ISO 27001 Zertifizierung – Struktur, Anforderungen und Nutzen

Was regelt die ISO 27001? Was seit 2025 gilt.

ISO 27001 Digital Health bedeutet zunächst: eine allgemeine Managementnorm auf eine hochregulierte Branche angewendet.

Die ISO 27001 spezifiziert die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines ISMS, also eines Informationssicherheitsmanagementsystems, im Kontext einer Organisation. Sie enthält die Vorgaben zur Beurteilung und Behandlung von Informationssicherheitsrisiken, zugeschnitten auf die Bedürfnisse der jeweiligen Organisation. Um unabhängig von Art, Größe oder Wesen anwendbar zu sein, wurde sie bewusst allgemein, branchen- und technologieneutral gehalten. Sie verlangt nur, dass das eigene Sicherheitsniveau aus einer nachvollziehbaren Risikobeurteilung abgeleitet wird.

Das Ziel ist die Wahrung der klassischen Schutzziele: Ein ISMS, das die Anforderungen der ISO 27001 erfüllt, erhält Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch die Anwendung eines Risikomanagementprozesses. Das gibt interessierten Parteien das Vertrauen, dass Risiken angemessen gesteuert werden. Interessierte Parteien sind Personen, Gruppen oder Organisationen, die Einfluss auf das ISMS haben, von ihm beeinflusst werden oder sich durch Entscheidungen betroffen fühlen. Die Norm bezieht sich dabei auf Informationen in jeglicher Form, seien sie papierbasiert, cloudbasiert oder digital.

Wie ist die ISO 27001 aufgebaut?

Die zurzeit gültige Fassung ist die ISO/IEC 27001:2022. In 2024 gab es die Änderung 1, die nur eine inhaltliche Ergänzung zu klimabezogenen Aspekten im Kontext- und Anforderungsteil war. (1)

Wichtig für alle, die noch nach der alten Fassung zertifiziert sind: Die dreijährige Übergangsfrist von ISO/IEC 27001:2013 zu ISO/IEC 27001:2022 ist am 31. Oktober 2025 abgelaufen. Zertifikate nach der 2013er-Fassung sind seitdem ungültig. Wer sein Zertifikat noch nicht umgestellt hat, operiert aktuell ohne gültigen internationalen Nachweis, das betrifft auch die DiGAV-Zulassungsvoraussetzung.

Die Kapitel 4 bis 10 behandeln die verbindlichen Anforderungen und die Struktur der ISO-Managementsystemnormen.

Im Folgenden haben wir dir die grundlegende Kapitelstruktur zusammengefasst: (2)

• Kapitel 4: Kontext der Organisation, Festlegung des Geltungsbereichs (Scope)
• Kapitel 5: Führung: Verpflichtung der obersten Leitung, Informationssicherheitspolitik, Rollen und Verantwortlichkeiten
• Kapitel 6: Planung: Risikiobeurteilung, Risikobehandlung, Erklärung zur Anwendbarkeit (Statement of Applicability), Informationssicherheitsziele
• Kapitel 7: Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information
• Kapitel 8: Betrieb: Durchführung von Risikobeurteilung und -behandlung
• Kapitel 9: Bewertung der Leistung: Überwachung, Messung, internes Audit, Managementbewertung
• Kapitel 10: Verbesserung: Nichtkonformitäten, Korrekturmaßnahmen, fortlaufende Verbesserung

Der Geltungsbereich der ISO 27001

Deine Organisation bestimmt die Grenzen und die Anwendbarkeit der ISO 27001 selbst. Sie muss dabei interne und externe Themen, die Anforderungen an interessierte Parteien sowie die Schnittstellen und Abhängigkeiten zwischen sich selbst und anderen Organisationen berücksichtigen. Dieser Geltungsbereich – auch Scope genannt – muss dokumentiert werden und vorzeigbar sein. Das ist ein für Zertifikate zentraler und häufig unterschätzter Punkt.

Der Anhang A – Die Abgleichliste

Anders als die in Kapitel 4 bis 10 festgelegten, verpflichtenden Anforderungen bildet der Anhang A eine normative Abgleichliste, sie ist also kein Pflichtenkatalog. Insgesamt beinhaltet er 93 Kontrollpunkte in 4 verschiedenen Kategorien: organisatorische, personenbezogene, physische und technologische Maßnahmen. (3)

Die aus der Risikobehandlung abgeleiteten Maßnahmen werden gegen Anhang A geprüft, um Lücken zu erkennen. Falls einzelne Punkte in deiner Organisation nicht anwendbar sind, musst du das in der sogenannten Erklärung zur Anwendbarkeit (Statement of Applicability) begründen.

Was die ISO 27001 NICHT regelt

1. keine konkreten technischen Vorgaben: Umsetzungsdetails, Leitlinien und bewährte Praktiken für das Informationssicherheitsmanagement stehen in der ISO 27002.
2. kein vorgegebenes Sicherheitsniveau: Ergibt sich aus dem Kontext und der Risikobereitschaft der Organisation.
3. kein Datenschutzrecht: Datenschutz ist Gegenstand der aufsetzenden ISO 27701.
4. keine Rechtsverbindlichkeit aus sich heraus: Die Anwendung ist grundsätzlich freiwillig. Organisationen entscheiden selbst über ein mögliches Zertifizierungsverfahren, profitieren aber in der Regel von der enthaltenen, guten Praxis.

Welche Anforderungen der ISO 27001 müssen erfüllt sein?

Vorab ein unbequemer Fakt: Geprüft wird nicht, ob deine Organisation sicher ist. Geprüft wird, ob sie ein funktionierendes Managementsystem betreibt. Das ist ein relevanter Unterschied mit einer unangenehmen Konsequenz:

Ein Unternehmen mit mittelmäßigem technischen Sicherheitsniveau kann das Zertifikat erhalten, wenn es seine Risiken systematisch identifiziert, bewertet, bewusst behandelt oder begründet akzeptiert und das lückenlos dokumentiert hat. Umgekehrt kann ein technisch exzellent aufgestelltes Unternehmen durchfallen, weil es keine Managementbewertung durchgeführt hat. Der Auditor prüft Nachweise über Prozesse, nicht Firewalls.

Inhaltlich müssen Kapitel 4–10 erfüllt sein. Hier gibt es kein „nicht anwendbar“. Anhang A ist, wie oben erwähnt, eine Abgleichliste, bei der Nicht-Anwendbarkeit zulässig ist, aber immer in der Erklärung zur Anwendbarkeit begründet werden muss. Die Norm unterscheidet zwischen Pflichtdokumenten – also dokumentierten Informationen, die gepflegt werden (z. B. Richtlinien, Verfahren) – und Pflichtaufzeichnungen, die Nachweise über Durchgeführtes liefern.

Die Erklärung zur Anwendbarkeit ist das Herzstück. Sie listet alle Kontrollpunkte des Anhangs A auf und nennt für jeden, ob sie angewendet oder ausgeschlossen werden. Zusätzlich begründet sie diese Entscheidungen und dokumentiert den Umsetzungsstatus. Die Begründungen müssen auf Risiken, Verpflichtungen oder der Architektur des Systems gestützt sein. Die Erklärung zur Anwendbarkeit, das Risikoregister und die Managementbewertung müssen außerdem stimmig sein – auf Widersprüche werden Auditoren im Normalfall schnell aufmerksam.

Wie läuft eine ISO-27001-Zertifizierung ab?

Vor dem Zertifizierungs-Audit muss mindestens ein vollständiges internes Audit und eine Managementbewertung stattgefunden haben, da sonst Kapitel 9.2 und 9.3 unbelegbar sind. Auch danach gilt: Interne Audits mindestens einmal jährlich, die über den Zyklus hinweg das komplette ISMS abdecken.

Die Vorbedingung: eine akkreditierte Zertifizierungsstelle. Das ist kein Formalismus, denn Zertifizierer ohne Akkreditierung stellen keine anerkannten Zertifikate aus. Der Berater, der zum Audit vorbereitet, darf nicht die Zertifizierungsstelle sein – diese Trennung ist ein Kernelement der Akkreditierung. In Deutschland akkreditiert die DAkkS: Sie stellt als zentrale nationale Organisation sicher, dass Prüf- und Zertifizierungsstellen definierte Standards einhalten.

Stufe 1: Die Dokumenten- und Reifeprüfung

Der Auditor sichtet die Leitlinie, den Geltungsbereich (Scope), die Risikoanalyse und die Anwendbarkeitserklärung und entscheidet, ob die Organisation überhaupt auditreif ist. Wichtig für den Zeitplan: Zwischen den beiden Teilen des Audits müssen mindestens 6 Wochen liegen, maximal 6 Monate. Einzelne Dokumente können in dieser Zeit nachgereicht werden. Fehlen davon viele, kann die Zertifizierung verweigert werden.

Stufe 2: Das Wirksamkeits-Audit

Hier prüft der Auditor die gelebte Praxis mit Interviews und Stichproben. Erst wenn beide Stufen ohne schwerwiegende Abweichung bestehen, wird auch zertifiziert. Der Fokus liegt auf Nachweisen darüber, dass die dokumentierten Prozesse tatsächlich ausgeführt werden.

Bewertung der Befunde

Abweichungen werden als Major Nonconformity (Hauptabweichung), Minor Nonconformity (Nebenabweichung) oder Opportunity for Improvement (Verbesserungspotenzial) eingestuft. Bei schwerwiegenden Abweichungen setzt die Zertifizierungsstelle eine Frist zur Nachbesserung. Wird diese nicht eingehalten, kann das Zertifikat ausgesetzt oder entzogen werden. Häufiger sind Nebenabweichungen, die beim nächsten Audit erneut geprüft werden.

Der Dreijahreszyklus

Ein ISO-27001-Zertifikat ist 3 Jahre gültig, allerdings ist die Gültigkeit an eine fortlaufende Überwachung geknüpft: In dieser Zeit finden jährliche Überwachungs-Audits statt, nach 3 Jahren folgt ein umfassendes Rezertifizierungs-Audit.

Werden die Überwachungs-Audits versäumt, kann die Zertifizierung ausgesetzt oder entzogen werden, selbst wenn das Zertifikat formal noch läuft. Die Überwachungsaudits sind schlanker und konzentrieren sich auf die Umsetzung von Korrekturmaßnahmen aus dem Zertifizierungsaudit, die Wirksamkeit des kontinuierlichen Verbesserungsprozesses, Änderungen im ISMS-Scope oder in der Organisation sowie die Behandlung von Sicherheitsvorfällen seit dem letzten Audit.

Die Spielregeln der Auditoren

Wonach und wie lange geprüft werden darf, bestimmt die ISO 27006-1 von 2024. Sie spezifiziert (neben der ISO 17021-1) zusätzliche Anforderungen an Stellen, die ein ISMS nach ISO 27001 auditieren und zertifizieren, indem sie die Regeln auf den spezifischen Kontext der ISMS-Zertifizierung zuschneidet.

Die vier Änderungen mit unmittelbarer Wirkung auf Unternehmen:

• Wer zählt als Mitarbeiter? Es kommt nicht darauf an, ob Personen Mitglieder der Organisation sind oder nicht. Beschäftigt ein Unternehmen beispielsweise viele Freelancer, wird das den Audit-Aufwand spürbar erhöhen – sofern sie im Scope des ISMS liegen.
• Einzelne Standorte zählen nicht mehr: Bei Unternehmen mit mehreren Standorten wird der Zeitaufwand auf Basis der Gesamtzahl der beschäftigten Personen berechnet. Die Anzahl der Standorte ist nicht mehr eigenständig relevant. Die berechneten Audittage werden nach Relevanz des jeweiligen Standorts für das ISMS, den Aktivitäten vor Ort und potenziellen Risiken verteilt.
• Remote-Audits ohne Deckel: Die frühere 30-%-Obergrenze für Remote-Audit-Anteile ist aufgehoben. Eine gesonderte Vorabgenehmigung des Auditplans bei über 30 % Remote-Anteil ist nicht mehr erforderlich – theoretisch ist inzwischen sogar ein vollständig remote durchgeführtes Audit möglich, sofern die technischen Voraussetzungen erfüllt sind.
• Scope-Erweiterungen: Neue Vorgaben zur Berechnung des Zeitaufwands bei Erweiterungen des Geltungsbereichs. Einbezogen werden unter anderem Aktivitäten der laufenden Zertifizierung, die Anzahl der relevanten Controls und Informationsrisiken, die mit neuen Aktivitäten hinzukommen.

Wichtig für die Praxis: Zertifizierungsstellen müssen die Umstellung auf ISO/IEC 27006-1:2024 laut internationalen Akkreditierungsvorgaben (IAF MD 29:2024) bis spätestens 31. März 2026 vollständig abgeschlossen haben. Nicht jede Zertifizierungsstelle wendet die neuen Regeln also schon konsequent an, es lohnt sich, im Erstgespräch aktiv nachzufragen, ob euer Auditor bereits vollständig nach ISO/IEC 27006-1:2024 arbeitet, insbesondere bei der Berechnung der Audit-Tage über mehrere Standorte hinweg.

Was nicht geprüft wird

• Kein Penetrationstest, kein Code-Review, keine Schwachstellenanalyse: Der Auditor prüft, ob es einen Prozess für technisches Schwachstellenmanagement gibt, nicht, ob das System sicher ist.
• Keine Vollprüfung, sondern Stichprobe: Der Auditor prüft stichprobenartig, ob das ISMS noch funktioniert.
• Nichts außerhalb des Scopes: Der Geltungsbereich ist selbstdefiniert.
• Keine Datenschutzkonformität.

Wie unterscheidet sich die ISO 27001 vom BSI IT-Grundschutz?

Zuerst sei gesagt: Sie sind keine Konkurrenten, sondern werden gestaffelt. Grundsätzlich gibt es drei Wege: ISO 27001 nativ, ISO 27001 auf Basis von IT-Grundschutz und IT-Grundschutz ohne Zertifizierung.

Der BSI-Standard 200-1 ist kompatibel zur ISO 27001 formuliert, erfüllt die ISO-27001-Anforderungen und ergänzt sie um eine Methodik und einen Maßnahmenkatalog.

Die ISO überlässt die Risikobeurteilung der Organisation selbst, der IT-Grundschutz gibt eine klare Anzahl an Bausteinen mit konkreten Anforderungen vor.

Wenn ihr mehr zu BSI-TR erfahren möchtet: Hier findet ihr unseren Fachartikel zu dem Thema.

Warum ist die ISO 27001 wichtig im Digital Health-Bereich?

Die ISO 27001 spielt im digitalen Gesundheitswesen eine wichtige Rolle, besonders für Hersteller digitaler Gesundheitsanwendungen:

1. Datenkategorie: DiGAs verarbeiten Gesundheitsdaten und damit Daten besonderer Kategorien nach Art. 9 DSGVO. Sie müssen gesetzliche Vorgaben des Datenschutzes und die Anforderungen an die Datensicherheit nach Stand der Technik gewährleisten, unter Berücksichtigung der Art der verarbeiteten Daten, damit verbundener Schutzstufen und des Schutzbedarfs. Ist der Schutzbedarf sehr hoch, kommt eine Liste mit Zusatzanforderungen hinzu. (4)
2. Lückenschluss zum Medizinprodukterecht: Die MDR, ISO 13485, ISO 14971 und IEC 62304 regeln die Produktsicherheit und das Qualitätsmanagement, nicht aber die Informationssicherheit der Herstellerorganisation. Die Betreiber müssen die Sicherheit von Gesundheitsdaten durch geeignete technische und organisatorische Maßnahmen gewährleisten. Diese Lücke füllt ein ISMS. Einige Regularien wie die DiGAV schreiben sogar eine Zertifizierung vor. (5)
3. Telematikinfrastruktur (TI): Wer Dienste über die TI anbietet, kommt an der ISO 27001 nicht vorbei. Im TI Security Standard der Gematik ist ein aktuell gültiges ISO 27001-Zertifikat des Anbieters als Kriterium festgelegt. (6)
4. BSIG: Das BSI nennt in seinem Infopaket zu § 30 BSIG (Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen) die Implementierung eines ISMS mithilfe bestehender Standards, also auch die ISO 27001, als Umsetzungsweg. (7)

Die Kontrollpunkte orientieren sich eng an der ISO 27001, ISO 27002 sowie der Handreichung zum „Stand der Technik“ des Bundesverbands IT-Sicherheit.

Ist die ISO 27001 Pflicht für DiGA-Hersteller?

Kurz gesagt: jein. Seit April 2022 ist für Hersteller digitaler Gesundheitsanwendungen ein zertifiziertes ISMS verbindlich, allerdings nicht zwingend nach ISO 27001 im engeren Sinne. Zugelassen sind wahlweise die ISO 27001 nativ oder die ISO 27001 auf Basis von IT-Grundschutz (BSI-Standard 200-2). (8)

Seit 2025 reicht das ISMS-Zertifikat allein aber nicht mehr aus. Zusätzlich ist ein Nachweis nach der Technischen Richtlinie BSI TR-03161 verpflichtend. (9)

Der Zeitplan war gestaffelt:

1. Januar 2025: Stichtag für bereits im DiGA-Verzeichnis gelistete Anwendungen. Sie mussten ihren Nachweis über die Datensicherheit auf Basis der TR-03161 vorlegen.
30. Juni 2025: Ende der Übergangsfrist für neue Zulassungsanträge, sofern bei Antragstellung bereits eine Terminbestätigung der Prüfstelle vorlag.
Seit 1. Juli 2025: Laut DiGA-Leitfaden v3.6 des BfArM (Stand 10.12.2025) ist die Vorlage eines TR-03161-Zertifikats Voraussetzung für die formale Vollständigkeit jedes neuen Zulassungsantrags.

Ein positiver Nebeneffekt aus dem Leitfaden vom 10.12.2025: Eine erfolgreiche TR-03161-Zertifizierung macht einen separaten Penetrationstest für die DiGA-Zulassung überflüssig.

Zur Abgrenzung: Die ISO 27001 beschreibt die Anforderungen an das ISMS einer Organisation und zertifiziert eine Firma; die BSI-TR-03161 ist eine technische Produktzertifizierung und definiert die Mindestanforderungen an die Datensicherheit für digitale Gesundheits- und Pflegeanwendungen selbst. Beide sind nebeneinander erforderlich und ersetzen sich nicht.

Ein zertifiziertes ISMS ist also ein Nachweis über einen Managementprozess, nicht über die Sicherheit einer App. Der Geltungsbereich des Zertifikats sollte außerdem den gesamten Lebenszyklus der DiGA einschließen, da sie sonst regulatorisch weitgehend wertlos ist, deshalb die Zweistufigkeit mit einer extra Produktzertifizierung durch die BSI-TR-03161.

Wichtig bei ausgelagertem Hosting: Wird die Infrastruktur an einen Cloud- oder Rechenzentrumsanbieter ausgelagert, wird in der Praxis zusätzlich zum eigenen ISMS und zur TR-03161-Zertifizierung häufig ein C5-Testat (Typ 2) des Infrastrukturanbieters verlangt. Auch ausgelagerte Komponenten müssen die Anforderungen der TR-03161 einhalten.

Wie hängen die ISO 27001 und die DSGVO zusammen?

Wie du dir sicher schon denken kannst, spielt der Datenschutz bei der ISO 27001 eine wichtige Rolle.

Vereinfacht gesagt überschneiden sich ISO 27001 und die DSGVO, sind aber nicht deckungsgleich: Die ISO schützt die Informationswerte deiner Organisation, das Risiko liegt also beim Unternehmen. Die DSGVO hingegen schützt die Rechte und Freiheiten natürlicher Personen – hier liegt das Risiko also bei den Betroffenen.

Auch ein perfekt geführtes ISMS kann Datenbestände als risikoarm bewerten, weil dem Unternehmen wenig passieren kann, während die DSGVO für denselben Datenbestand hohe Schutzmaßnahmen verlangt, weil den Betroffenen viel passieren kann. Der Art. 32 DSGVO „Sicherheit der Verarbeitung“ dient hier als Brücke:

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten […] (10)

Das risikobasierte, verhältnismäßige, am Stand der Technik orientierte Vorgehen entspricht exakt der Logik in Kapitel 6 und 8 der ISO 27001.

Um es einmal deutlich zu machen: Ein gültiges ISO-27001-Zertifikat belegt nicht die DSGVO-Konformität, sondern dass eine Organisation ein wirksames ISMS betreibt. Das ist zwar ein starkes Indiz für die Angemessenheit der Maßnahmen nach Art. 32 DSGVO, aber kein Zertifizierungsverfahren im Sinne von Art. 42 DSGVO.

Trotzdem hat die ISO 27001 einen praktischen Wert für den Datenschutz: Im Streitfall muss der Verantwortliche selbst darlegen und beweisen, dass seine Maßnahmen angemessen waren.

Die Erklärung zur Anwendbarkeit, Auditberichte, Managementbewertungen und Wirksamkeitsmessungen sind vorhandene, datierte, extern geprüfte Dokumentationen. Wer kein ISMS hat, muss die komplette Nachweiskette rückwirkend konstruieren – ein Vorgehen, das regelmäßig misslingt. Auch bei der Festsetzung eventueller Bußgelder sind die getroffenen technischen und organisatorischen Maßnahmen ein Zumessungskriterium.

Wo die ISO 27001 nicht hilft

Die DSGVO stellt viele Anforderungen, für die ein ISMS strukturell nichts liefert:

• Rechtmäßigkeit (Art. 6, 9): Die ISO fragt nicht, ob die Daten verarbeitet werden dürfen, sondern nur, wie sicher.
• Zweckbindung, Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. b, c, e): Hier ist die ISO sogar gegenläufig; ISMS-Ziel der Verfügbarkeit steht in Spannung zur Löschpflicht.
• Betroffenenrechte (Art. 12-22): Auskunft, Löschung, Datenübertragbarkeit, Widerspruch
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
• Datenschutz-Folgenabschätzung (Art. 35)
• Auftragverarbeitung (Art. 28) und Drittlandtransfer (Kapitel V)
• datenschutzbeauftragte Person (Art. 37-39)

Die Brücke zwischen ISO 27001 und DSGVO

An dieser Stelle ist erwähnenswert, dass die ISO 27701 eine Art Verbindung zwischen ISO 27001 und der DSGVO bildet. Bis Oktober 2025 war sie ausschließlich als Erweiterung eines bestehenden ISO-27001-ISMS konzipiert – eine Zertifizierung setzte also zwingend ein zertifiziertes ISMS voraus.

Seit dem 14. Oktober 2025 gilt eine vollständig überarbeitete Fassung, die ISO/IEC 27701:2025. Sie ist jetzt eine eigenständige, zertifizierbare Managementsystemnorm für ein Datenschutz-Informationsmanagementsystem (Privacy Information Management System, PIMS) und nicht mehr von einer vorherigen ISO-27001- oder ISO-27002-Implementierung abhängig. (12)

Das senkt die Einstiegshürde deutlich für Organisationen, die noch kein ISMS betreiben, aber ihre DSGVO-Rechenschaftspflicht strukturiert nachweisen wollen.

Wer bereits nach ISO 27001 zertifiziert ist, kann die ISO 27701 weiterhin ergänzend und eng integriert nutzen – die neue Fassung folgt derselben harmonisierten Struktur (Harmonized Structure) wie ISO 27001 und lässt sich entsprechend gut anschließen.

Wichtig: Auch die ISO 27701 ersetzt keine DSGVO-Compliance. Sie liefert aber einen strukturierten, auditierbaren Nachweis dafür, dass ein Datenschutzmanagementsystem existiert und gelebt wird.

Warum Bornholdt Lee?

Wir kennen den Weg zur ISO 27001, weil wir ihn selbst gegangen sind. Bornholdt Lee ist nach ISO 27001 zertifiziert, zusätzlich nach ISO 13485.

Das heißt: Wenn wir mit dir über Kapitel 6 und 8, über die Erklärung zur Anwendbarkeit oder über den Unterschied zwischen Stufe-1- und Stufe-2-Audit sprechen, reden wir nicht über Theorie, sondern über Prozesse, die wir intern selbst betreiben und regelmäßig auditieren lassen.

Für Hersteller*innen von DiGA und DiPA bedeutet das einen konkreten Vorteil: Wir wissen aus eigener Erfahrung, wo ein ISMS-Aufbau in der Praxis Zeit kostet, welche Nachweise Auditor*innen wirklich sehen wollen und wie sich die Anforderungen aus ISO 27001, BSI TR-03161 und der DiGAV so zusammenführen lassen, dass am Ende nicht drei separate Baustellen entstehen, sondern ein stimmiges Gesamtbild.

Seit über 15 Jahren entwickeln wir Digital-Health-Produkte „Made in Germany“ und begleiten Hersteller*innen von der ersten Konzeption bis zur Aufnahme ins BfArM-Verzeichnis – Informationssicherheit ist dabei kein nachgelagerter Prüfschritt, sondern Teil des Entwicklungsprozesses von Anfang an.