Geteilte Verantwortung
Wer zwischen Kunde und Anbieter was übernimmt, muss schriftlich festgehalten, zugewiesen und überprüft sein. Ohne klare Matrix geht jede Seite davon aus, dass die andere sich kümmert.
ISO/IEC 27017:2026 · Informationssicherheit bei Cloud-Diensten
Cloud-Sicherheit: Was Ihre Aufgabe als Kunde und als Anbieter ist.
In der Cloud liegt ein Teil der Sicherheit beim Anbieter und ein Teil bei Ihnen. Audexa fragt zuerst nach Ihrer Rolle und führt Sie dann Kontrolle für Kontrolle durch Ihren Anteil: geteilte Verantwortung, Isolation, Konsolenzugriff, Protokolle, Verschlüsselung und Ausstieg aus dem Dienst.
- 64 Kontrollen der Ausgabe 2026
- Hinweise für Kunde, Anbieter oder beides
- Zuordnungen zu ISO 27001 und ISO 27018
Selbstbewertung ISO 27017Anbieter
61%
UmsetzungsgradBeispieldaten
- Governance und geteilte Verantwortung74%
- Identitäten und Zugriff auf die Cloud-Konsole58%
- Virtualisierung und Isolation66%
- Protokollierung und Überwachung49%
- Verschlüsselung und Schlüsselverwaltung55%
64 Kontrollen der ISO/IEC 27017:2026 mit Hinweisen und Umsetzungsschritten
14 Bereiche, von der Cloud-Governance bis zu Infrastrukturänderungen
80 Zuordnungen ISO 27017 ↔ ISO 27001 zur Wiederverwendung von Antworten
43 Zuordnungen ISO 27017 ↔ ISO 27018
Was ISO 27017 ergänzt
ISO 27017 macht Informationssicherheit für Cloud-Dienste konkret.
Die Norm ist ein Leitfaden, der die Kontrollen der ISO/IEC 27002 um spezifische Hinweise für Kunden und Anbieter von Cloud-Diensten erweitert. Die Ausgabe 2026 folgt der Nummerierung der ISO/IEC 27002:2022.
Vereinbarung mit dem Cloud-Partner
Sicherheitspflichten, Meldung von Vorfällen und Änderungen, Speicherort der Daten und Ausstieg aus dem Dienst werden vertraglich vereinbart.
Isolation zwischen Kunden
Der Anbieter muss die virtuellen Umgebungen jedes Kunden trennen und gemeinsam genutzte Ressourcen sicher löschen, bevor er sie wiederverwendet.
Administrativer Zugriff
Konsolen, APIs und die Steuerungsebene bündeln das Risiko: föderierte Identitäten, geschützte Root-Zugangsdaten und überprüfte privilegierte Zugriffe.
Protokolle und Aufsicht
Protokollierung der Aktivitäten auf der Steuerungsebene, Überwachung der Nutzung und eine gemeinsame Zeitreferenz zwischen Kunde und Anbieter.
Nicht genehmigte Cloud-Nutzung
Die Ausgabe 2026 umfasst die Erkennung von Cloud-Diensten, die ohne Genehmigung genutzt werden, sowie den Missbrauch des Dienstes und von Kundenkonten.
Wie Audexa Sie unterstützt
Eine Cloud-Selbstbewertung, die Ihre Rolle berücksichtigt.
Fragebogen, Maßnahmenplan und Nachweise passen sich daran an, ob Sie Cloud-Dienste nutzen, anbieten oder beides.
Bewerten
Nur die Fragen, die zu Ihrer Rolle passen.
Vorab-Frage
Sie geben an, ob Sie Kunde, Anbieter oder beides sind, und sehen, wie viele Fragen Ihr Fragebogen hat.
So bewerten Sie es
Jede Kontrolle erklärt, was zu prüfen ist und wann die Antwort Ja, Teilweise oder Nein lautet.
Anwendbarkeit mit Begründung
Markieren Sie, was nicht anwendbar oder außerhalb des Geltungsbereichs ist, und halten Sie den Grund fest.
Beheben
Konkrete Schritte für jede Lücke.
So erfüllen Sie es
Schritte, erwartete Nachweise, vorgeschlagener Verantwortlicher, Abschlusskriterium und Überprüfungstermin.
Aufgabenplan
Feststellungen werden zu Aufgaben mit Unteraufgaben, Verantwortlichem und Terminen.
Cloud- und SaaS-Richtlinie
Starten Sie mit der „Cloud- und SaaS-Sicherheitsrichtlinie“ und der „Informationssicherheitsrichtlinie“, den 2 Vorlagen, die mit ISO 27017 verknüpft sind, aus der Bibliothek mit 67.
Nachweisen
Nachweise für Ihre Zertifizierungsstelle und Ihre Kunden.
Nachweisarchiv
Verantwortungsmatrix, Verträge, Protokolle und Belege, mit jeder Kontrolle verknüpft.
Bericht als PDF und Excel
Score, Feststellungen und Maßnahmenplan für die Geschäftsleitung oder das Audit.
Re-Audit
Bewerten Sie erneut, sobald Sie Lücken schließen, und messen Sie die Entwicklung.
Einige Funktionen hängen vom gebuchten Plan und den aktiven Modulen ab.
Kunde, Anbieter oder beides
Jede Rolle sieht die Hinweise, die für sie gelten.
Ein Cloud-Kunde prüft, wie er seine Dienste beschafft, konfiguriert und überwacht. Ein Anbieter prüft, was er seinen Kunden bietet: veröffentlichte Matrix, Isolation, verfügbare Protokolle und Verschlüsselungsoptionen. Ein MSP, der IaaS eines Dritten nutzt und selbst ein SaaS anbietet, wählt beide Rollen.
- Gemeinsame Fragen, die immer angezeigt werden
- Hinweise für Kunden: Inventar, Freigabe von Diensten, Ausstiegsplan
- Hinweise für Anbieter: Isolation, Meldung von Änderungen und Vorfällen
- Anzahl der Fragen vor dem Start sichtbar
Vorab-Frage ISO 27017Ihre Rolle
- Kunde von Cloud-Diensten40 Fragen
- Anbieter von Cloud-Diensten35 Fragen
- Kunde und Anbieter (MSP)64 Fragen
Was abgedeckt ist
Die Themen, die in einer Cloud-Umgebung tatsächlich geprüft werden.
Der Fragebogen ist in 14 Bereiche gegliedert, von der Cloud-Governance bis zu Infrastructure as Code. Jede Kontrolle zeigt, wie Sie sie bewerten und erfüllen, mit konkreten Nachweisen.
- Matrix der geteilten Verantwortung und Vereinbarung mit dem Anbieter
- Mandantenisolation und administrativer Zugriff auf Konsolen
- Verschlüsselung und Schlüsselverwaltung (BYOK und HYOK), virtuelle Netzwerke und Protokolle
- Meldung von Änderungen und Vorfällen sowie Ausstieg aus dem Dienst
Feststellungen ISO 27017Maßnahmenplan
- Verantwortungsmatrix nicht überprüftGovernance
- Root-Zugangsdaten ohne MFAKonsolenzugriff
- Ausstiegsplan für den DienstNicht dokumentiert
- Protokolle der SteuerungsebeneZentralisiert
ISO 27001 und ISO 27018
Verbinden Sie ISO 27017 mit Ihrer ISO 27001 und ISO 27018.
Jedes Kontrollpaar hat eine Beziehung, eine Abdeckung (hoch, teilweise oder gering), eine Begründung und eine Quelle. Beim Anlegen des Audits schätzt Audexa, wie viel Ihre anderen Audits abdecken, und Antworten mit hoher Abdeckung kommen als Vorschlag mit dem Hinweis „Prüfen Sie es“, den eine Person bestätigt.
- 80 Zuordnungen zu ISO/IEC 27001:2022
- 43 Zuordnungen zu ISO/IEC 27018 für personenbezogene Daten in der Cloud
- „Was Sie bereits haben, deckt ~X % ab“ vor dem Start
- Nur hohe Abdeckung schlägt ein „Ja“ vor
Zuordnungen ISO 27017123 Paare
- ISO/IEC 27001:202280 Paare
- ISO/IEC 27018:202543 Paare
- Hohe AbdeckungSchlägt Ja vor · „Prüfen Sie es“
- Teilweise oder geringe AbdeckungKeine vorgeschlagene Antwort
So funktioniert es
In drei Schritten Ordnung in die Sicherheit Ihrer Cloud-Dienste bringen.
Rolle angeben
Kunde, Anbieter oder beides. Sehen Sie, wie viel Ihre bisherige Arbeit abdeckt, und legen Sie die Anwendbarkeit jeder Kontrolle fest.
Mit Hinweisen bewerten
Antworten Sie Kontrolle für Kontrolle mit Ja, Teilweise, Nein oder Nicht anwendbar und erhalten Sie Score und Feststellungen.
Lücken schließen und nachweisen
Weisen Sie Aufgaben zu, geben Sie die Cloud-Richtlinie frei, sammeln Sie Nachweise und wiederholen Sie die Bewertung.
Pläne
ISO 27017 ist ab dem Plan Premium enthalten.
Die Pläne Free und Core enthalten ISO 27017 nicht. Der Preis hängt von der Größe Ihres Teams ab: In der Demo erhalten Sie ein verbindliches Angebot.
Premium
EmpfohlenFür Teams, die einen oder mehrere Cloud-Dienste betreiben.
- ISO 27017 und die übrigen neuen Frameworks der Version 1.6.1
- 10 Audits pro Monat und 3 Benutzer
- Richtlinien, Nachweise, Aufgaben und Re-Audits
- Berichte als PDF und Excel und der Assistent Aude
- 200 Assets pro Bereich
Diamond
Für Anbieter und MSPs mit mehreren Teams.
- Unbegrenzte Audits und Benutzer
- Alles aus Premium
- Unbegrenzte Assets
- vRadar: CVE-Exposition des Inventars
Vorher und nachher
Cloud-Sicherheit in Tabellen oder in Audexa.
BereichOhne PlattformMit Audexa
Verantwortlichkeiten
Jede Seite verlässt sich auf die andere
Hinweise je Rolle: Kunde, Anbieter oder beides
Lücken
Lose Notizen nach einer Prüfung
Aufgaben mit Unteraufgaben, Verantwortlichem und Abschlusskriterium
Nachweise
Verträge und Screenshots in Ordnern
Nachweisarchiv, mit jeder Kontrolle verknüpft
ISO 27001
Die Arbeit für die Cloud neu machen
80 begründete Zuordnungen
Nachverfolgung
Eine Prüfung pro Jahr
Re-Audits und messbare Entwicklung
Häufige Fragen
Was uns zu ISO 27017 häufig gefragt wird.
Zertifiziert uns Audexa nach ISO 27017?
Nein. Die Zertifizierung erteilt eine akkreditierte Zertifizierungsstelle, meist im Rahmen einer ISO-27001-Zertifizierung. Audexa hilft Ihnen bei der Vorbereitung mit einer geführten Selbstbewertung, einem Maßnahmenplan und Ihren Nachweisen.
Ist ISO 27017 für Cloud-Anbieter oder auch für Kunden?
Für beide. Die Norm gibt Hinweise für Anbieter und für Nutzer von Cloud-Diensten. In Audexa wählen Sie vor dem Fragebogen Ihre Rolle und sehen die passenden Hinweise; wenn Sie beides sind, etwa als MSP, wählen Sie beide Rollen.
Was ändert sich mit der Ausgabe 2026?
Audexa verwendet die Ausgabe 2026. Sie folgt der Nummerierung der ISO/IEC 27002:2022 und behält cloudspezifische Kontrollen bei, etwa geteilte Rollen, die Vereinbarung mit dem Cloud-Partner, die Trennung virtueller Umgebungen und die Erkennung nicht genehmigter Cloud-Nutzung.
Wir haben bereits ISO 27001. Fangen wir bei null an?
Nein. Viele Kontrollen der ISO 27017 erweitern Kontrollen der ISO 27002, an denen Sie für ISO 27001 bereits arbeiten. Audexa enthält 80 Zuordnungen zu ISO 27001 und 43 zu ISO 27018, schätzt, wie viel Ihre bisherige Arbeit abdeckt, und schlägt bei hoher Abdeckung die Antwort vor, die eine Person prüft.
Gibt der Fragebogen die Norm wieder?
Nein. Der Text der ISO/IEC 27017 gehört ISO. Die Fragen, die Bewertungshinweise und die Schritte zu jeder Kontrolle hat Audexa selbst verfasst.
Welchen Plan brauche ich für ISO 27017?
ISO 27017 ist in den Plänen Premium und Diamond verfügbar. Free und Core enthalten sie nicht. In der Demo klären wir, welcher Plan zu Ihrem Team passt.
Demo anfragen
Sehen Sie Ihre ISO-27017-Selbstbewertung in Aktion.
In einer 30-minütigen Demo zeigen wir Ihnen die Rollenauswahl, die Hinweise je Kontrolle und den Maßnahmenplan.
- Wir klären, welche Rolle Sie bei Ihren Cloud-Diensten haben.
- Wir zeigen, wie viel Ihre ISO-27001-Arbeit bereits abdeckt.
- Wir erklären, welcher Plan zu Ihrem Team passt.