Mitarbeiterzertifikate für SOC 2 und ISO 27001: Was IT-Dienstleister über einen Ordner voller PDFs hinaus brauchen

Ein SOC-2-Type-II-Bericht zeigt einem potenziellen Kunden, dass Ihre Kontrollen über mehrere Monate geprüft wurden und standgehalten haben, bestätigt von einem unabhängigen Auditor. Er sagt aber nichts darüber, ob die Engineerin oder der Engineer, die heute für diesen Kunden arbeiten, noch die Zertifizierung besitzen, die Ihre eigene Sicherheitsrichtlinie für diese Rolle vorschreibt. Eine ISO-27001-Zertifizierung zeigt einem Kunden, dass Ihr Informationssicherheits-Managementsystem ein Überwachungsaudit bestanden hat. Sie sagt aber nichts darüber, ob die Person, die im letzten Quartal gegangen ist, eine compliance-kritische Zertifizierung mitgenommen hat.

Due-Diligence-Teams auf Kundenseite stellen immer häufiger beide Fragen. Die meisten IT-Dienstleister beantworten die Frage nach den Systemen in wenigen Minuten, die Frage nach den Menschen dagegen erst nach Tagen, wenn überhaupt. Genau diese Lücke soll eine allgemeine Software für Mitarbeiterzertifikate schließen, und bei Teams im Geltungsbereich von SOC 2 und ISO 27001 zeigt sie sich auf ganz eigene Weise.

Wie eine Due-Diligence-Anfrage in der Praxis aussieht

In der Praxis kommt das selten als eine einzige, gezielte Frage an. Das Sicherheitsteam eines potenziellen Kunden schickt einen Lieferantenfragebogen, oft auf Basis von SIG Lite oder CAIQ, manchmal individuell vom eigenen Einkauf oder der InfoSec-Abteilung erstellt. Irgendwo zwischen den Abschnitten zu Datenverarbeitung und Incident Response steht dann eine Zeile, die Nachweise verlangt, dass Mitarbeitende mit Zugriff auf die Systeme oder Daten des Kunden aktuelle, relevante Sicherheitszertifizierungen besitzen.

Diese Zeile schon im ersten Durchgang überzeugend zu beantworten, ist eine ganz andere Aufgabe, als sie irgendwann zu beantworten. Ein offener Punkt in der Due-Diligence-Prüfung lässt einen Deal zwar selten platzen. Er verzögert ihn aber, zieht Rückfragen nach sich und signalisiert dem Sicherheitsteam des Kunden, dass die Antwort nicht griffbereit war. Und das ist für sich genommen auch schon eine Antwort.

Was SOC 2 und ISO 27001 tatsächlich von Ihren Mitarbeitenden verlangen

Die Common Criteria von SOC 2 basieren auf dem COSO-Framework, und CC1.4 stellt eine klare Frage: Zeigt die Organisation ein Engagement dafür, kompetente Mitarbeitende im Einklang mit ihren Sicherheitszielen zu gewinnen, zu entwickeln und zu halten? ISO 27001:2022 fragt etwas Ähnliches, und zwar auf zwei Wegen. Abschnitt 7.2 verlangt, dass Organisationen die Kompetenz aller Personen, deren Arbeit die Informationssicherheitsleistung beeinflusst, bestimmen, sicherstellen und dokumentieren: dieselbe Kompetenzklausel, die auch in ISO 9001 und jeder anderen Managementsystemnorm auf Basis der gemeinsamen ISO-Struktur verankert ist. Control 6.3 aus Anhang A geht auf operativer Ebene noch weiter und verlangt Nachweise, dass Mitarbeitende ihre konkreten Sicherheitsverantwortlichkeiten verstehen und dafür geschult sind.

Ein drei Jahre alter Schulungsnachweis genügt keiner der beiden Normen. Beide wollen etwas, das einer tagesaktuellen Antwort nahekommt: Wer in diesem Team ist im Moment für die sicherheitsrelevante Arbeit qualifiziert, die er oder sie gerade erledigt, und lässt sich das ohne eine Woche Vorlauf belegen?

Ein Zertifikatsordner belegt die Teilnahme, nicht die aktuelle Kompetenz

Einzelne Sicherheitszertifizierungen folgen ihrer eigenen Ablauflogik. Wer ein CISSP besitzt, braucht Weiterbildungspunkte (CPE), um es aktuell zu halten. Die AWS Security Specialty läuft ohne Erneuerung nach drei Jahren ab. Ein Nachweis als ISO 27001 Lead Implementer oder Lead Auditor hat einen eigenen Rezertifizierungszyklus, unabhängig vom ISO-Überwachungsaudit der Organisation. Ein Ordner mit PDFs, die bei der Einstellung gesammelt wurden, beantwortet keine dieser Fragen dauerhaft. Er zeigt, dass jemand einmal eine Prüfung bestanden hat, nicht, dass die Zertifizierung heute noch gültig ist.

MuchSkills erfasst Zertifizierungen bezogen auf die konkrete Rollenanforderung, die sie erfüllen sollen, mit einem Ablaufdatum, das rechtzeitig Alarm schlägt, bevor es zum Problem wird. Kein statischer Eintrag, der still und leise veraltet.

Übernahmen vervielfachen das Problem

IT-Dienstleister und Cybersecurity-Unternehmen wachsen regelmäßig durch Übernahmen, und jedes übernommene Unternehmen bringt seine eigene Zertifizierungshistorie mit, auf seine eigene Art dokumentiert. Ein US-amerikanischer IT-Dienstleister mit Security-first-Ansatz und mehr als 1.500 Kunden hat in einem einzigen Jahr drei Übernahmen getätigt. Jede davon kam mit Zertifizierungsunterlagen, die für den internen Gebrauch angelegt waren und nie dafür gedacht, mit anderen abgeglichen zu werden.

Das Muster kennt man: Ein übernommenes Team verwaltete Sicherheitszertifizierungen auf einem gemeinsamen Laufwerk, ein anderes in einem Freitextfeld im HRIS, ein drittes in dem, woran sich die scheidende Compliance-Leitung gerade noch erinnerte. Nichts davon beantwortet die Frage, die das Due-Diligence-Team eines Kunden tatsächlich stellt, und die lautet meist ungefähr so: Wer im gesamten Delivery-Team für unseren Account hat welche Zertifizierung, und ist sie noch gültig? Das nach jeder Übernahme von Hand abzugleichen, ist ein Projekt für sich, und zwar eines, das bei jedem Wachstumsschritt wieder von vorn beginnt.

Wie ein IT-Dienstleister seine Zertifizierungsnachweise zusammengeführt hat

TBS (Telelink Business Services), ein bulgarischer IT-Dienstleister, ist nach ISO-Normen für Qualität, Umwelt, Arbeitsschutz und Datenschutz zertifiziert und betreibt ein eigenes Pearson VUE Testcenter. Zertifizierung ist für TBS also kein Randthema, sondern nah am Kern des Geschäfts. Vor MuchSkills waren die Compliance- und Kompetenzdaten des Unternehmens auf SharePoint, Dynamics 365 und eine eigens entwickelte Power-BI-Ebene verteilt, die beides zusammenführen sollte.

Auf die Frage nach dem Vergleich brachte es Hinka S., Learning Coordination Specialist bei TBS, auf den Punkt: „MuchSkills hat uns mehr Funktionen und ein wirklich benutzerfreundliches Design geboten.“ Mit dem Wechsel wurden Zertifizierungsdaten zusammengeführt, die zuvor in drei getrennten Systemen lagen, von denen keines dafür gebaut war, die Frage eines Kunden oder Auditors schnell zu beantworten.

Der Prüfpfad, den Auditoren und Kunden tatsächlich erwarten

Fragt ein Due-Diligence-Team oder ein ISO-Überwachungsauditor, wer eine Zertifikatserneuerung freigegeben hat oder was sich seit der letzten Prüfung an einem Eintrag geändert hat, lässt keine der beiden Seiten ein „Wir gehen davon aus, dass das aktuell ist“ gelten. MuchSkills protokolliert jede Änderung an Zertifizierungen, ob hinzugefügt, bearbeitet, entfernt oder erneuert, und hält dabei vollständig fest, wer sie vorgenommen hat. Die Antwort lässt sich also nachschlagen, statt sie aus dem Gedächtnis und aus E-Mail-Verläufen zusammenzusetzen.

Zertifizierungen liegen in dreifacher Verantwortung: Die Mitarbeitenden laden ihre Nachweise selbst hoch, eine Führungskraft bestätigt sie, und die Anforderung selbst ist an die Rolle geknüpft, nicht an eine bestimmte Person. Eine Lücke in der Abdeckung zeigt sich so eher vor dem Audit als mittendrin. Verlässt zum Beispiel Ihr Lead Cloud Architect das Unternehmen, weist die Rolle selbst einen geforderten AWS-Security-Nachweis weiterhin als nicht erfüllt aus. Das sieht dann jeder, der die Rolle übernimmt oder als Nächstes die Abdeckung prüft, und es fällt nicht erst auf, wenn ein Kunde oder Auditor fragt, wer das jetzt abdeckt. Das klappt allerdings nur, wenn die Einträge aktuell bleiben, sobald jemand eine Zertifizierung erneuert, hinzufügt oder auslaufen lässt. Die Struktur unterstützt das, ein Selbstläufer ist es aber nicht.

Wo Plattformen für Compliance-Automatisierung an ihre Grenzen stoßen

Die meisten IT-Dienstleister, die SOC 2 oder ISO 27001 anstreben, nutzen bereits eine Plattform für Compliance-Automatisierung. Vanta, Drata und Secureframe sind die Namen, die am häufigsten fallen. Diese Tools sind dafür gebaut, das Audit selbst abzuwickeln: kontinuierliche Überwachung der Kontrollen, Sammlung von Nachweisen und integrierte Security-Awareness-Schulungen, die einen Teil der Anforderungen aus A.6.3 oder CC1.4 für alle in der Organisation abdecken.

Wofür sie in der Regel nicht ausgelegt sind: einzelne Berufszertifizierungen mit den tatsächlichen Anforderungen bestimmter Rollen in Ihrem Delivery-Team abzugleichen oder auf eine Lücke hinzuweisen, bevor sie beim Kunden zum Problem wird. Ein abgeschlossenes Security-Awareness-Modul beantwortet die Frage „Haben alle die Schulung durchlaufen?“. Ein gültiges CISSP beantwortet die Frage „Hat genau diese Person die Zertifizierung noch?“. Wer nur das Erste belegen kann, erfüllt keine Anfrage, bei der es eigentlich um das Zweite geht.

Wie es weitergeht

Ein SOC-2-Bericht oder ein ISO-27001-Zertifikat belegt, dass Ihre Organisation ein Audit bestanden hat. Jederzeit nachzuweisen, dass genau die Menschen dahinter weiterhin qualifiziert sind, ist eine andere und dauerhafte Aufgabe. Erfahren Sie, wie MuchSkills die Verwaltung von Mitarbeiterzertifikaten für IT-Dienstleister und sicherheitsorientierte Organisationen löst, oder verschaffen Sie sich auf der Compliance-Lösungsseite einen Überblick über das Gesamtbild.

Kommt die nächste Due-Diligence-Anfrage eines Kunden früher, als Ihre Zertifizierungsdaten dafür bereit sind? Sehen Sie sich die Compliance-Demo an: achtzehn Minuten, die genau dieses Problem durchgehen.

‍