Wissensdatenbank · CyFun
CyFun-Verifizierung und -Zertifizierung: Wie läuft die Bewertung ab und wer darf sie durchführen?
Ein CyFun-Label erhalten Sie weder von Ihrem Berater noch von sich selbst. Eine akkreditierte Konformitätsbewertungsstelle muss Ihre Selbstbewertung und Ihre Nachweise prüfen. Diese Seite erklärt den Unterschied zwischen Verifizierung und Zertifizierung, wer die Bewertung durchführen darf, wie sie abläuft und wo es in der Praxis hakt.
Der Unterschied
Basic und Important: Verifizierung. Essential: Zertifizierung.Verifizieren und Zertifizieren sind nicht dasselbe
Auf den Niveaus Basic und Important prüft eine akkreditierte Konformitätsbewertungsstelle, ob Ihre Selbstbewertung stimmt. Das Ergebnis ist eine Verifizierungserklärung, mit der Sie anschließend das Label beantragen. Auf dem Niveau Essential geht es um Zertifizierung: eine formelle Auditrunde mit einem Zertifikat als Ergebnis. Die Faustregel, dass CyFun immer verifiziert und ISO zertifiziert, gilt für Essential also nicht. Das Niveau hängt mit der Anzahl der Maßnahmen zusammen: 34 Anforderungen bei Basic, 133 bei Important und 218 bei Essential, jeweils als strikte Erweiterung des darunterliegenden Niveaus. Was Sie auf Basic aufbauen, zählt daher voll für die nächste Stufe.
Wer bewerten darf
Nur eine Stelle mit Akkreditierung und Zulassung darf es tun
Akkreditierung durch BELAC
Eine CyFun-Konformitätsbewertungsstelle muss von BELAC akkreditiert sein, der belgischen Akkreditierungsstelle.
Zulassung durch das CCB
Außerdem muss die Stelle vom Zentrum für Cybersicherheit Belgien zugelassen sein. Nur die Kombination zählt.
Wo die offizielle Liste steht
Das CCB veröffentlicht die Liste der zugelassenen Stellen auf der CyFun-Seite von Safeonweb@Work, unter Tools und Ressourcen. Konsultieren Sie diese Liste selbst, denn sie wird aktualisiert.
Die Zahl ist begrenzt
Nicht jede Stelle bietet jedes Niveau oder jede Ausgabe des Frameworks an. Fragen Sie früh nach, wer was anbietet, und reservieren Sie rechtzeitig einen Termin, besonders wenn Ihr Datum an einer Frist hängt.
Der ISO 27001-Weg
Ein ISO 27001-Zertifikat mit korrektem Scope und Erklärung zur Anwendbarkeit kann ein Weg zum Label sein. Dieses Zertifikat muss von einer Stelle mit Akkreditierung und CCB-Zulassung stammen.
Warum Ihr Berater es nicht selbst tun darf
Wer Sie begleitet, darf nicht über seine eigene Arbeit urteilen. Unabhängigkeit ist der Grund, warum Bewertung und Begleitung getrennt bleiben. RGI begleitet und nimmt selbst keine Verifizierung oder Zertifizierung vor.
Der Ablauf
Von der Selbstbewertung zum Label in sechs Schritten
Das CCB beschreibt vier Schritte. In der Praxis kommen zwei vorbereitende hinzu.
- 1Sie legen den Scope fest: welche Organisation, Prozesse sowie Netz- und Informationssysteme unter die Bewertung fallen.
- 2Sie wählen das Niveau mit dem CyFun-Auswahltool des CCB, auf Grundlage einer Risikoanalyse.
- 3Sie führen die Selbstbewertung mit dem Self-Assessment-Tool des CCB durch und setzen die noch fehlenden Maßnahmen um.
- 4Sie wählen eine zugelassene Bewertungsstelle und vereinbaren die Planung, am besten weit vor Ihrer Frist.
- 5Die Stelle bewertet Ihre Selbstbewertung und die Umsetzung und stellt eine Verifizierungserklärung (Basic, Important) oder ein Zertifikat (Essential) aus.
- 6Sie beantragen das Label über das Portal Safeonweb@Work.
Checkliste
Das muss bereitliegen, bevor der Gutachter kommt
Ein abgegrenzter Scope
Schriftlich, mit allen relevanten Netz- und Informationssystemen, und einer Liste der Standorte und Lieferanten, die Sie einbeziehen.
Eine ausgefüllte Selbstbewertung
Pro Maßnahme eine Bewertung mit kurzer Begründung. Der Gutachter geht von Ihrer eigenen Einschätzung aus und prüft, ob sie stimmt.
Nachweise pro Maßnahme
Logdateien, Genehmigungen, Schulungslisten, Testberichte, Backup-Kontrollen, Sitzungsprotokolle des Leitungsorgans.
Dokumentierte Schlüsselmaßnahmen
Jedes Niveau hat Schlüsselmaßnahmen, die ausdrücklich mitzählen. Wissen Sie, welche das sind, und sorgen Sie dafür, dass sie in Ordnung sind.
Benannte Verantwortliche
Pro Maßnahme jemand, der erklären kann, wie sie funktioniert, und der Fragen des Gutachters beantwortet.
Bestätigung des Leitungsorgans
Das Leitungsorgan genehmigt die Risikomanagementmaßnahmen und überwacht die Umsetzung. Sorgen Sie dafür, dass dies sichtbar ist.
Wo es hakt
Vier Stellen, an denen sich Bewertungen verzögern
Der Scope ist zu eng
Wer nur das Büro oder nur eine Anwendung abgrenzt, lässt relevante Systeme außen vor. Der Gutachter kann dann nicht bestätigen, dass der Scope ausreicht.
Richtlinie ohne Nachweis der Umsetzung
Eine schöne Richtlinie genügt nicht. Wenn der Gutachter ein Beispiel für die letzte Zugriffsüberprüfung oder einen Testbericht zum Backup verlangt und dieser nicht existiert, ist die Maßnahme nicht nachgewiesen.
Schlüsselmaßnahmen unterschätzt
Eine durchschnittlich gute Bewertung hilft nicht, wenn eine Schlüsselmaßnahme unter der geforderten Untergrenze bleibt. Beginnen Sie daher bei diesen Maßnahmen.
Zu später Kontakt mit einer Stelle
Die Kalender der Gutachter sind nicht unendlich. Wer erst zu suchen beginnt, wenn die Selbstbewertung fertig ist, wartet länger als nötig.
Nach der Bewertung
Das Label ist kein Endpunkt, aber die Gültigkeit müssen Sie selbst prüfen
Nach der Erklärung oder dem Zertifikat beantragen Sie das Label bei Safeonweb@Work. Wie lange eine Erklärung oder ein Zertifikat gültig bleibt und welche Nachverfolgung die Stelle verlangt, unterscheidet sich je nach Niveau und Stelle und hängt vom geltenden Bewertungsschema ab. Fragen Sie die Stelle ausdrücklich danach, bevor Sie unterschreiben, und planen Sie die Wartung in Ihrem Budget mit ein. Bedenken Sie auch, dass sich das Framework selbst weiterentwickelt: CyFun 2025 ersetzt die Ausgabe 2023. Fragen Sie die Stelle, welche Ausgabe sie bewertet und bis wann. Eine Bewertung ist die Momentaufnahme eines Systems, das weiterläuft, daher müssen Nachweise auch nach dem Label weiter ergänzt werden.
Der Stufenplan
Was die Daten von 2027 und 2028 für Ihre Bewertung bedeuten
Dies gilt für wesentliche Einrichtungen. Die gesetzlichen Pflichten haben sich nicht geändert. Was sich ändert, ist, worauf der Inspektionsdienst des CCB vorrangig prüft. Die ganze Geschichte steht auf der Seite zu den Fristen.
| Datum | Was der Inspektionsdienst erwartet | Was das für die Bewertung bedeutet |
|---|---|---|
| Bis 18. April 2027 | Vorrang für die Verifizierung von Maßnahmen, die CyFun Important gleichwertig sind. Ohne Zertifikat auf dem Niveau Essential folgt ein Remediationsplan. | Eine Important-Verifizierung oder ein Important-Zertifikat ist der Dreh- und Angelpunkt. Planen Sie den Termin jetzt. |
| 18. April 2028 | Letzter Termin für Maßnahmen, die CyFun Essential gleichwertig sind, über eine CyFun-Zertifizierung oder eine ISO 27001-Zertifizierung, die sie abdeckt. | Essential verlangt eine Zertifizierung. Prüfen Sie rechtzeitig, bei welcher Stelle das möglich ist. |
Häufig gestellte Fragen
Kurz beantwortet
Wissen, ob Sie bereit für den Gutachter sind?
Vereinbaren Sie ein Gespräch. Das erste Gespräch ist kostenlos. Wir gehen gemeinsam Ihren Scope, Ihre Selbstbewertung und Ihre Nachweise durch.