Informationssicherheit
Zertifiziert nach ISO/IEC 27001:2022
Zertifiziert seit 2019, derzeit im dritten Zertifizierungszyklus, durch eine in Großbritannien ansässige, von der UKAS akkreditierte Zertifizierungsstelle. Das Zertifikat ist unten vollständig veröffentlicht — bitte prüfen Sie es.
- Norm: ISO/IEC 27001:2022
- Von der UKAS akkreditierte Zertifizierungsstelle
- Seit 2019 durchgehend gültig
Das Zertifikat im Detail
Alles auf dieser Seite ist dem Zertifikat selbst entnommen, sodass es anhand der unten stehenden Kopie oder direkt bei der Zertifizierungsstelle überprüft werden kann.
| Feld | Wert |
|---|---|
| Zertifizierte Organisation | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slowenien |
| Norm | ISO/IEC 27001:2022 — die aktuelle Revision der Norm |
| Geltungsbereich | Design, Development, Implementation and Maintenance of Software Solutions |
| Erklärung zur Anwendbarkeit | Version 3.0 vom 1. Dezember 2024 |
| Zertifikatsnummer | 202124/A/0001/UK/En |
| Zertifizierungsstelle | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Vereinigtes Königreich |
| Akkreditierung | UKAS Management Systems, Akkreditierungsnummer 0043; URS ist Mitglied des IAF Multilateral Recognition Arrangement |
| Erstmals ausgestellt | 28. März 2019 |
| Aktueller Zyklus ausgestellt | 28. März 2025 (Ausgabe 3, Zyklus 3) |
| Gültig bis | 27. März 2028 |
Warum die Akkreditierung mehr zählt als das Siegel
Jeder kann ein Zertifikat drucken. Die Frage, die eine Beschaffungsstelle stellen sollte, lautet, wer die ausstellende Stelle akkreditiert hat.
Unseres wurde von URS ausgestellt, einer Zertifizierungsstelle mit Sitz in Bournemouth im Vereinigten Königreich, akkreditiert von der UKAS — dem United Kingdom Accreditation Service, der nationalen Akkreditierungsstelle, die von der britischen Regierung anerkannt ist. Die UKAS-Akkreditierungsnummer 0043 steht auf dem Zertifikat selbst.
URS ist außerdem Mitglied des IAF Multilateral Recognition Arrangement, wodurch das Zertifikat für eine Universität in Riad, Kuala Lumpur oder Dublin dasselbe bedeutet wie in London. Ein nicht akkreditiertes Zertifikat hat nichts davon.
Es lohnt sich auch zu prüfen, welche Fassung der Norm ein Anbieter besitzt. Unsere ist ISO/IEC 27001:2022, die aktuelle Revision. Zertifikate nach der überholten Ausgabe 2013 sind weiterhin im Umlauf.
- Ausgestellt von einer in Großbritannien ansässigen Zertifizierungsstelle, nicht von einer nicht akkreditierten Registrierstelle
- UKAS-akkreditiert, Akkreditierungsnummer 0043
- Mitglied des IAF Multilateral Recognition Arrangement, daher international anerkannt
- Zertifiziert nach ISO/IEC 27001:2022, nicht nach der überholten Ausgabe 2013
- Seit März 2019 durchgehend gültig, über drei Zertifizierungszyklen
- Der Geltungsbereich umfasst ausdrücklich Softwaredesign, -entwicklung, -einführung und -wartung — das Produkt selbst, nicht nur ein Büro
Wozu uns die Zertifizierung tatsächlich verpflichtet
ISO/IEC 27001 ist keine Produktfunktion, und wir werden sie nicht als solche darstellen. Sie zertifiziert ein Managementsystem: einen strukturierten, risikobasierten Ansatz zur Informationssicherheit, der Menschen, Prozesse und Technik umfasst und von einer externen Stelle in wiederkehrendem Zyklus auditiert wird, statt einmal behauptet zu werden.
In der Praxis bedeutet das für eine Einrichtung, die uns evaluiert, dass es eine dokumentierte Erklärung zur Anwendbarkeit gibt, dass Risiken in einem festgelegten Zyklus bewertet und behandelt werden, dass Zugriff und Änderungen kontrolliert werden und dass eine unabhängige Auditorin oder ein unabhängiger Auditor all dies gegen eine veröffentlichte Norm prüft.
- Verschlüsselung sensibler Informationen bei Speicherung und Übertragung
- Regelmäßige Backups, deren Wiederherstellung getestet statt angenommen wird
- Strenge Zugriffskontrollen, die die Angriffsfläche auf das begrenzen, was eine Rolle benötigt
- Dokumentierte Reaktion auf Vorfälle und dokumentiertes Änderungsmanagement
- Jährliche Überwachungsaudits, mit vollständiger Rezertifizierung alle drei Jahre
Personenbezogene Daten und das Recht, das sie regelt
Ein Stundenplan ist kein abstrakter Datensatz. Er sagt, wo sich ein namentlich bekannter Studierender dienstags um neun aufhält und welche lehrende Person bei ihm ist. Das sind personenbezogene Daten, und in manchen Kombinationen sind sie sensibel.
Wir haben unseren Sitz in Slowenien, innerhalb der Europäischen Union, sodass die Datenschutz-Grundverordnung direkt für uns gilt und nicht als Exportverpflichtung, die wir uns freiwillig auferlegt haben. Die DSGVO-Konformität ist im Kaufpreis enthalten; sie ist kein kostenpflichtiges Modul, und es gibt keine gesonderte Compliance-Stufe.
In der Sprache der Verordnung ist Ihre Einrichtung der Verantwortliche und Wise Technologies ein Auftragsverarbeiter. Diese Unterscheidung ist wichtig: Die Daten bleiben Ihre, wir verarbeiten sie nur auf Ihre dokumentierte Weisung, und wir verwenden sie nicht zweckfremd. Wir verkaufen oder vermieten keine personenbezogenen Daten, wir verwenden die Daten Ihrer Einrichtung nicht zum Training irgendeines Systems, und wir werten sie nicht für unsere eigenen Analysen aus.
Wir versuchen außerdem, von vornherein weniger davon vorzuhalten. Ein Stundenplansystem braucht nicht die Wohnadresse eines Studierenden, und Felder abzufragen, die wir nie nutzen werden, wäre für uns beide ein Risiko. Wo eine Einrichtung uns Gruppenkennungen statt namentlich bekannter Personen senden kann, sähen wir das lieber.
- Ein Auftragsverarbeitungsvertrag ist verfügbar, und wir unterzeichnen Ihren, wenn Sie Ihren eigenen Wortlaut bevorzugen
- Personenbezogene Daten werden nicht außerhalb des Europäischen Wirtschaftsraums übermittelt, es sei denn, es bestehen angemessene Garantien, etwa EU-Standardvertragsklauseln
- Unterauftragsverarbeiter sind begrenzt, werden auf Anfrage offengelegt und unterliegen gleichwertigen Pflichten
- Die Rechte betroffener Personen — Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch — werden unterstützt, und wir helfen Ihnen als Auftragsverarbeiter bei der Beantwortung von Anfragen
- Die Aufbewahrung ist definiert und nicht unbegrenzt: Kontodaten für die Laufzeit des Abonnements, importierte Planungsdaten so lange, wie Sie den Dienst nutzen
- Pflichten zur Meldung von Verletzungen sind vertraglich geregelt, nicht ins Ermessen gestellt
- Vollständige On-premises-Bereitstellung, wo Richtlinie oder nationales Recht verlangt, dass die Daten Ihr Netzwerk nie verlassen
Über die DSGVO hinaus
Einrichtungen außerhalb der Europäischen Union bringen eigene Verpflichtungen mit, und wir besprechen sie lieber früh, als sie spät zu entdecken. Einrichtungen am Golf arbeiten zunehmend unter nationalen Datenschutzgesetzen mit Anforderungen an den Datenstandort; Einrichtungen in den Vereinigten Staaten sprechen FERPA an; mehrere unserer Kunden unterliegen auch Branchenaufsichten.
Wir behaupten keine pauschale Zertifizierung nach jedem Regime, denn diese Behauptung wäre nicht ehrlich. Was wir sagen können, ist, dass die On-premises-Option Anforderungen an den Datenstandort vollständig erfüllt, dass unsere Vertragsbedingungen angepasst werden können und dass wir Ihnen offen sagen, wenn etwas, das Sie brauchen, außerhalb dessen liegt, was wir zusagen können.
Lesen Sie die Datenschutzerklärung, wie wir mit personenbezogenen Daten im Detail umgehen, und die Geschäftsbedingungen zur vertraglichen Lage.
Das Zertifikat
Vollständig wiedergegeben. Das unterzeichnete PDF ist oben und unten verlinkt.
Wo Ihre Daten liegen, entscheiden weiterhin Sie
Die Zertifizierung regelt, wie wir arbeiten; sie verpflichtet Sie nicht, irgendetwas bei uns zu hosten. Das Cloud-Hosting läuft auf AWS mit täglichen Backups und regional verteilter Infrastruktur, und die vollständige On-premises-Installation ist eine unterstützte Alternative mit identischer Funktionalität, identischem Support und identischen Upgrade-Bedingungen.
Für Einrichtungen in Rechtsordnungen mit Vorgaben zum Datenstandort hält On-premises jeden Datensatz innerhalb Ihres eigenen Netzwerks. Mehr zu Hosting und Bereitstellung.
Fragen, die die Beschaffung stellt
Füllen Sie unseren Fragebogen zur Informationssicherheit aus?
Ja, und wir sind daran gewöhnt. Senden Sie ihn mit Ihrem Zeitrahmen, und wir bearbeiten ihn zügig; wir beantworten lieber vierzig Fragen vor einem Vertrag, als nach einem eine Unstimmigkeit zu entdecken.
Wenn Sie das Zertifikat, den Verweis auf die Erklärung zur Anwendbarkeit oder eine Bestätigung direkt von der Zertifizierungsstelle benötigen, fragen Sie, und wir veranlassen es.
Können wir das Zertifikat unabhängig überprüfen?
Bitte tun Sie das. Die Zertifikatsnummer lautet 202124/A/0001/UK/En, und die ausstellende Stelle ist URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Vereinigtes Königreich. URS veröffentlicht Kontaktdaten für Echtheitsprüfungen auf dem Zertifikat selbst.
Die UKAS führt außerdem ein öffentliches Register der von ihr akkreditierten Stellen, in dem URS unter der Akkreditierungsnummer 0043 erscheint.
Ist der Geltungsbereich breit genug, um die Software abzudecken, die wir kaufen würden?
Ja. Der zertifizierte Geltungsbereich lautet „Design, Development, Implementation and Maintenance of Software Solutions“, was abdeckt, wie Wise Timetable gebaut, bereitgestellt und betreut wird — nicht nur, wie unser Büro geführt wird. Enge, auf einen Hauptsitz beschränkte Geltungsbereiche sind etwas, das man häufig prüft und bei jedem Anbieter prüfen sollte.
Was geschieht, wenn wir Daten im eigenen Land halten müssen?
Wir installieren vollständig auf Ihrer eigenen Infrastruktur. Das ist eine reguläre Bereitstellungsoption mit derselben Funktionalität und denselben Support- und Upgrade-Bedingungen wie beim Cloud-Hosting, keine widerwillige Ausnahme.
Führen Sie eine Sicherheitsprüfung durch?
Senden Sie uns den Fragebogen und die Frist. Wir füllen ihn sorgfältig aus und sagen Ihnen offen, was wir nicht erfüllen können.