Anbieter von digitalen Angeboten müssen ein Managementsystem für Informationssicherheit (ISMS) etablieren und sich dabei an der ISO 27001 orientieren. Dabei ist nachzuweisen, dass die Zertifizierung alle zur Leistungserbringung notwendigen Systeme und Prozesse umfasst (vgl. aktuelle Fassung Leitfaden Prävention). Sofern die genannten Systeme und Prozesse (teilweise) von Dritten betrieben bzw. erbracht werden, ist deren Zertifikat ebenfalls einzureichen. Ein Verstoß gegen diese Anforderung kann zur Aberkennung der Zertifizierung führen.
Bitte beachten Sie, dass die ISO 27001-Zertifizierung nicht delegierbar ist. Sie bezieht sich auf das ISMS der Organisation, die das Präventionsangebot verantwortet. Die Nutzung einer zertifizierten Plattform entbindet den Anbieter nicht von der Pflicht, selbst ein ISMS zu betreiben und zertifizieren zu lassen.