Bei einer Cloud-Entscheidung reichen Aussagen wie „sicher“, „europäisch“ oder „DSGVO-konform“ nicht aus. Unternehmen brauchen nachvollziehbare Antworten: Welche Prozesse werden systematisch gesteuert? Welcher Bereich wurde unabhängig geprüft? Und wo beginnt weiterhin die eigene Verantwortung?
Yorizon hat dafür jetzt einen wichtigen Nachweis erbracht. Das Unternehmen ist nach ISO/IEC 27001:2022 zertifiziert. Ergänzend wurde die Anwendung der Cloud-Sicherheitsleitlinien nach ISO/IEC 27017:2015 und der Datenschutzleitlinien für Auftragsverarbeiter in öffentlichen Clouds nach ISO/IEC 27018:2019 bestätigt.
Für uns ist das vor allem deshalb relevant, weil wir Yorizon als bevorzugte europäische Betriebsbasis für OpenKM und andere dokumentennahe Anwendungen einordnen. Die Zertifikate ersetzen keine Prüfung des konkreten Projekts. Sie schaffen aber eine belastbarere Grundlage dafür.
Was genau wurde zertifiziert?
Der Blick in die Zertifikate ist wichtiger als das bloße Logo. Der ausgewiesene Geltungsbereich umfasst bei der Yorizon GmbH & Co. KG die Entwicklung, Implementierung, den Betrieb und Support von Cloud-Infrastrukturdiensten einschließlich der zugehörigen Managed Services im hochverfügbaren Rechenzentrumsbetrieb in Heiligenhaus.
Die ISO/IEC-27001-Zertifizierung gilt vom 30. Juli 2026 bis zum 29. Juli 2029. Ausgestellt wurde sie durch die infaz Institut für Auditierung und Zertifizierung GmbH. Auch ISO 27017 und ISO 27018 beziehen sich auf denselben Geltungsbereich und sind nur zusammen mit der ISO/IEC-27001-Zertifizierung gültig.
Diese Präzision ist entscheidend: Zertifiziert wurde nicht pauschal „die Cloud“ und auch nicht jede Anwendung, die später dort betrieben wird. Geprüft wurde das Informationssicherheits-Managementsystem innerhalb des benannten organisatorischen und technischen Geltungsbereichs.
ISO 27001: Sicherheit als dauerhaftes Managementsystem
ISO/IEC 27001 betrachtet Informationssicherheit nicht als Sammlung einzelner Werkzeuge. Die Norm verlangt ein Informationssicherheits-Managementsystem, kurz ISMS. Dazu gehören unter anderem definierte Verantwortlichkeiten, Risikobewertung, Sicherheitsmaßnahmen, dokumentierte Prozesse, Wirksamkeitskontrollen und kontinuierliche Verbesserung.
Für Kunden ist dieser Unterschied wesentlich. Eine Firewall oder Verschlüsselung kann technisch sinnvoll sein. Ein ISMS fragt zusätzlich, wer Risiken bewertet, wie Berechtigungen geändert werden, wie Vorfälle behandelt werden, welche Nachweise existieren und ob Maßnahmen dauerhaft funktionieren.
Damit wird Sicherheit weniger vom Bauchgefühl und von Einzelpersonen abhängig. Sie wird zu einem steuerbaren und prüfbaren Prozess.
Warum ISO 27017 für Cloud-Projekte wichtig ist
ISO/IEC 27017 ergänzt den allgemeinen ISMS-Rahmen um Leitlinien für Cloud-Dienste. Im Mittelpunkt stehen typische Cloud-Fragen, etwa die klare Aufteilung der Verantwortung zwischen Anbieter und Kunde, der Schutz virtueller Umgebungen, sichere Administration und die Kontrolle von Zugriffen auf Cloud-Ressourcen.
Gerade diese Verantwortungsteilung wird in Projekten leicht unterschätzt. Der Cloud-Anbieter kann die Infrastruktur und bestimmte Betriebsprozesse absichern. Der Kunde oder Anwendungspartner bleibt dennoch für Entscheidungen verantwortlich, beispielsweise für Benutzerrollen, fachliche Berechtigungen, Konfiguration, Datenklassifikation und die sichere Nutzung der Anwendung.
ISO 27017 hilft, diese Grenze systematischer zu behandeln. Sie hebt sie nicht auf.
Was ISO 27018 zusätzlich abdeckt
ISO/IEC 27018 richtet den Blick auf den Schutz personenbezogener Daten, wenn ein Cloud-Service-Provider solche Daten im Auftrag seiner Kunden verarbeitet. Die Leitlinien ergänzen den Sicherheitsrahmen um cloudbezogene Datenschutzkontrollen und Anforderungen an einen transparenten Umgang mit personenbezogenen Informationen.
Das ist für Dokumentenmanagement besonders relevant. Personalakten, Verträge, Kundenunterlagen oder Vorgänge können personenbezogene Daten enthalten. Der zusätzliche Nachweis stärkt deshalb die Grundlage für die Anbieterprüfung.
Er ersetzt jedoch weder den Auftragsverarbeitungsvertrag noch die Prüfung der technischen und organisatorischen Maßnahmen. Auch Rechtsgrundlage, Löschkonzept, Berechtigungen und die datenschutzgerechte Konfiguration des konkreten OpenKM-Systems bleiben zu klären.
Was die Zertifizierungen für OpenKM auf Yorizon verbessern
Ein Dokumentenmanagementsystem bündelt Informationen, die für den Geschäftsbetrieb und häufig auch für Audits oder rechtliche Nachweise wichtig sind. Deshalb müssen Anwendung, Organisation und Infrastruktur zusammenspielen.
Die Rollen lassen sich klar trennen:
- Yorizon stellt die zertifizierte Cloud-Infrastruktur und die vom Scope erfassten Managed Services bereit.
- OpenKM bildet Dokumente, Metadaten, Versionen, Berechtigungen, Workflows und Suche ab.
- Wir bei Faustmann übersetzen den fachlichen Engpass in Aktenstrukturen, Rollen, Abläufe, Schnittstellen und einen kontrollierten Einführungsplan.
- Das Kundenunternehmen entscheidet über Daten, Zugriffsregeln, interne Verantwortlichkeiten und die zulässige Nutzung.
Die Zertifizierung stärkt damit einen wichtigen Teil der Lieferkette. Sie zertifiziert aber nicht automatisch die vollständige OpenKM-Lösung beim Kunden und auch nicht die Faustmann-Leistungen. Für einen belastbaren Betrieb müssen alle Übergaben und Verantwortungsbereiche zusammen betrachtet werden.
Die richtigen Fragen im Auswahlgespräch
Aus dem Zertifikat entstehen bessere Fragen, nicht weniger Prüfbedarf. Vor einem produktiven Einsatz sollten mindestens folgende Punkte geklärt werden:
- Liegt der geplante Dienst vollständig im ausgewiesenen Zertifizierungsumfang?
- Welche Leistungen übernimmt Yorizon, welche Faustmann und welche das Kundenunternehmen?
- Wie werden Administratoren, Benutzer und fachliche Rollen verwaltet?
- Welche Sicherungs-, Wiederherstellungs- und Vorfallprozesse gelten für die konkrete Anwendung?
- Welche Standorte, Unterauftragnehmer, Vertragsunterlagen und Service Levels sind einschlägig?
- Welche Nachweise benötigt der Kunde für Datenschutz, interne Revision oder eine eigene Zertifizierung?
So wird aus einem Zertifikat ein praktischer Baustein der Anbieter- und Architekturentscheidung.
BSI IT-Grundschutz bleibt ein eigener Schritt
Yorizon weist darauf hin, dass sich eine ISO-27001-Zertifizierung auf Basis des BSI IT-Grundschutzes noch im Prüfprozess befindet. Diese Aussage sollte nicht mit den bereits ausgestellten Zertifikaten vermischt werden. ISO/IEC 27001, ISO 27017 und ISO 27018 sind nachgewiesen; der zusätzliche IT-Grundschutz-Nachweis ist noch nicht abgeschlossen.
Unser Fazit
Die neuen Zertifikate machen die Yorizon-Positionierung für sicherheits- und compliancebewusste Cloud-Projekte belastbarer. Besonders wertvoll ist die Kombination: ein geprüftes ISMS nach ISO/IEC 27001, cloudbezogene Sicherheitsleitlinien nach ISO 27017 und der zusätzliche Blick auf personenbezogene Daten nach ISO 27018.
Für OpenKM-Projekte ist das ein starkes Fundament. Tragfähig wird die Gesamtlösung aber erst, wenn Zertifizierungsumfang, Anwendungskonfiguration, Prozesse, Verträge und Verantwortlichkeiten gemeinsam geprüft werden.
Wenn Sie OpenKM oder eine andere dokumentennahe Anwendung in einer europäischen Cloud betreiben möchten, ordnen wir im Yorizon-Gespräch zunächst Schutzbedarf, Rollen, Betriebsumfang und den passenden Pilotfall ein.
