Auditierte IT-Dienstleister setzen nachweislich hohe technische und organisatorische Standards um und stärken so die Cyber-Resilienz von Schweizer KMU.
Für wen ist das Schweizer Gütesiegel CyberSeal geeignet?
IT-Dienstleister mit Sitz und Kundenbasis in der Schweiz können das CyberSeal erhalten, wenn sie im Auftrag von KMU Kunden die Gesamt- oder Teilverantwortung für das Setup und den Betrieb der IT übernehmen und/oder Cloudlösungen (Bsp. Microsoft 365) konfigurieren und zur Verfügung stellen.
Der Zertifizierungszyklus erstreckt sich über drei Jahre: Im ersten Jahr findet ein umfassendes Audit vor Ort statt. In den Jahren zwei und drei dient jeweils ein Aufrechterhaltungsaudit der Qualitätskontrolle. Ab dem vierten Jahr beginnt der Zyklus erneut mit einem vollständigen Audit.
Audit beantragen
IT-Dienstleister melden sich über das Bestellformular an und erhalten die aktuelle CyberSeal-Prüfliste. Ein Audittermin wird vereinbart.
Selbstdeklaration
Der IT-Dienstleister füllt die mit Selbstdeklaration gekennzeichneten Fragen aus und reicht die Prüfliste ein.
Audit vor Ort
Die vertieften Kontrollpunkte prüft der Auditor vor Ort – per Interview und Konsolenprüfung.
Zertifizierung
Liegen keine Hauptabweichungen vor, werden das CyberSeal und der Auditbericht ausgestellt.
Abweichungen umsetzen
Abweichungen und Hinweise müssen innerhalb eines Jahres umgesetzt werden. Die Kontrolle erfolgt im darauffolgenden Aufrechterhaltungsaudit.
Aufrechterhaltungsaudit
In den Jahren zwei und drei erfolgt eine Aktualisierung der Selbstdeklaration, eine telefonische Prüfung durch den Auditor und eine Besprechung etwaiger Neuerungen am Standard.
Das Handbuch erklärt die Anwendung der Prüfliste, zentrale Begriffe, den Auditablauf und den Umgang mit Abweichungen. Es wird jährlich an aktuelle Bedrohungslagen angepasst.
Die Prüfliste enthält die verbindlichen Anforderungen an IT-Dienstleister. Sie ist der definierte Standard für das Gütesiegel und dient als Basis für Selbstdeklaration und Audit.
Der Auditbericht dokumentiert die Ergebnisse des Audits, zeigt Haupt- und Nebenabweichungen und enthält Hinweise und Empfehlungen zur Verbesserung der IT-Sicherheit.
Abweichungen und Hinweise
Im Rahmen des Audits können Hauptabweichungen, Nebenabweichungen oder Hinweise festgestellt werden. Der Umgang mit diesen Befunden ist verbindlich geregelt: Hauptabweichungen führen zur Ablehnung der Zertifizierung, Nebenabweichungen müssen innerhalb einer Frist behoben werden. Hinweise dienen der freiwilligen Weiterentwicklung.
Hauptabweichung – kein CyberSeal
Eine Hauptabweichung liegt vor, wenn eine Priorität-1-Anforderung nicht erfüllt ist. In diesem Fall kann das CyberSeal nicht ausgestellt werden. Der IT-Dienstleister hat drei Monate Zeit, um die Abweichung zu beheben. Danach erfolgt eine Nachprüfung durch den Auditor – dafür wird eine zusätzliche Gebühr von CHF 600.– erhoben. Bleibt die Nachbesserung ungenügend, muss der gesamte Zertifizierungsprozess neu gestartet werden.
Nebenabweichung
Eine Nebenabweichung liegt vor, wenn eine Priorität-1-Anforderung nur teilweise erfüllt ist. Die Behebung muss bis zum nächsten Aufrechterhaltungsaudit erfolgt sein. Ist die Umsetzung unzureichend, kann die Abweichung erneut festgestellt werden.
Hinweise und Empfehlungen
Hinweise sind nicht-zertifizierungsrelevante Feststellungen, die zur Verbesserung der IT-Sicherheit beitragen können – sowohl auf Seiten des IT-Dienstleisters als auch seiner Kunden. Die Umsetzung ist freiwillig, wird jedoch beim nächsten Aufrechterhaltungsaudit gemeinsam reflektiert.
Kostenübersicht
Das CyberSeal-Gütesiegel ist drei Jahre gültig. Der Zertifizierungszyklus umfasst ein Initialaudit sowie zwei Aufrechterhaltungsaudit. Ab Jahr 4 beginnt der Zyklus erneut mit einem vergünstigten Rezertifizierungsaudit.
CyberSeal Audit Geprüfter IT-Dienstleister
CHF 4’900.– (zzgl. MwSt)
Gültigkeit: 3 Jahre
Beinhaltet das Initialaudit sowie zwei Aufrechterhaltungsaudits
Leistungsumfang:
Audit vor Ort im ersten Jahr
Kompakte CyberSeal-Prüfliste
Ausführlicher Auditbericht mit Schwachstellen und Empfehlungen
