Die kurze Antwort
ISO 27001 gibt einem Biotech- oder Life-Science-Startup einen unabhängigen Nachweis, dass es die Sicherheit von Forschungsdaten und geistigem Eigentum im Griff hat. Ein fokussiertes Projekt dauert in der Regel 4 bis 8 Wochen, nicht ein Jahr, und das Audit selbst kann schnell gehen: Orbion, ein Berliner Startup, das KI-Modelle für Protein-Engineering entwickelt, erhielt sein UKAS-akkreditiertes Zertifikat 39 Tage nach dem Stage-1-Audit, ohne Nichtkonformitäten in Stage 2.
Es ist dieselbe Norm, die auch SaaS-Unternehmen nutzen. Was sich in Biotech ändert, ist das, was Sie schützen: Sequenzen, Assay-Ergebnisse, Modelle, das geistige Eigentum von Partnern und manchmal Patientendaten oder genetische Daten. Und Partner nennen oft im selben Atemzug weitere Frameworks, etwa die DSGVO und GxP. Dieser Leitfaden geht auf alle ein.
Mit einem Gründer über Ihren ISO-Weg sprechen · Orbion-Fallstudie lesen
Warum Biotech-Partner nach ISO 27001 fragen
Biotech-Startups bekommen Daten, für die ihre Partner Jahre gebraucht haben. Ein Pharma- oder Biotech-Partner, der Proteinsequenzen oder Versuchsergebnisse teilt, will wissen, wer sie sehen kann, wo sie gespeichert sind und was passiert, wenn etwas schiefgeht.
Orbions Mitgründer hat es in der Fallstudie von Tempo Audits so formuliert:
"Unsere Kunden und Partner vertrauen uns sensible Forschungsdaten und wertvolles geistiges Eigentum an. Wir wollten einen unabhängigen, anerkannten Standard, um zu zeigen, wie wir diese Informationen schützen."
Aniruddh Goteti, Mitgründer, Orbion
Aus dem Englischen übersetzt.
ISO 27001 beantwortet das mit einem Zertifikat einer akkreditierten Zertifizierungsstelle, das der Einkauf eines Partners über UKAS CertCheck oder IAF CertSearch prüfen kann. Die Fragen hören damit nicht auf: Partner schicken weiterhin Sicherheitsfragebögen. Viele Antworten können dann aber auf Richtlinien und Nachweise verweisen, die ein unabhängiger Auditor geprüft hat.
Was in den Geltungsbereich gehört
Der Geltungsbereich ist die erste echte Entscheidung und der größte Hebel für Audittage und Kosten. Gehen Sie von dem aus, was Partner kaufen, und von den Daten, die sie Ihnen schicken, nicht vom ganzen Unternehmen.
- Die Plattform und ihre Daten. Orbions Zertifikat umfasst die Menschen, Prozesse, Systeme, Anbieter, Standorte und Informationswerte, die die SaaS-Plattform für Protein-Engineering, die produktiven APIs, die ML-Compute-Workflows, den Kundensupport und die unterstützenden Geschäftsprozesse tragen (Tempo Audits).
- Rechenleistung und andere Lieferanten. GPU- und Cloud-Anbieter, die Partnerdaten verarbeiten, sind Lieferanten, die Sie bewerten und auflisten. Orbions Trust Center listet 8 Unterauftragsverarbeiter.
- Das Labor, wenn es die Daten speichert. ISO 27001 schützt Informationen, nicht Laborprozesse. Wenn Geräte, elektronische Laborbücher oder ein LIMS Daten aus dem Geltungsbereich speichern, nehmen Sie sie auf. Wenn das Labor nie damit in Berührung kommt, lassen Sie es draußen.
- Physische Sicherheit, auch bei einem Remote-Audit. Der Auditor prüft in Stage 2 die Maßnahmen in der Praxis. Orbions Remote-Audit in Stage 2 umfasste auch die physische Sicherheit.
Was Partner fragen und was sie akzeptieren
Fragen, die Käufer aus den Life Sciences oft stellen, und womit sie sich meist zufriedengeben.
| Was sie fragen | Was sie akzeptieren |
|---|---|
| „Sind Sie nach ISO 27001 zertifiziert?“ | Ein Zertifikat einer akkreditierten Zertifizierungsstelle mit einem Geltungsbereich, der abdeckt, was sie kaufen |
| „Gilt ein britisches Zertifikat für uns?“ | Ja, wenn es akkreditiert ist: UKAS und die DAkkS haben beide das Abkommen der EA unterzeichnet, das ihre Akkreditierungen als gleichwertig behandelt |
| „Wie schützen Sie unsere Daten und unser geistiges Eigentum?“ | Ihre Richtlinien, etwa zu Datenklassifizierung, Zugriffskontrolle und Verschlüsselung, plus Nachweise, dass Sie sie einhalten |
| „Wer hat sonst noch Zugriff auf unsere Daten?“ | Eine Liste der Unterauftragsverarbeiter, die angibt, was jeder davon tut |
| „Können wir Ihre Dokumente sehen?“ | Ein Trust Center, in dem sie Richtlinien und Zertifikate anfordern, bei Bedarf mit NDA |
| „Haben Sie einen aktuellen Pentest?“ | Einen Bericht über einen Penetrationstest für das Produkt, das sie nutzen |
| „Verarbeiten Sie Patientendaten oder genetische Daten?“ | Ihre Rolle nach DSGVO (Verantwortlicher oder Auftragsverarbeiter), die Rechtsgrundlage und die Bedingung nach Artikel 9, wenn Sie der Verantwortliche sind, sowie einen Auftragsverarbeitungsvertrag |
| „Ist Ihr System für GxP validiert?“ | Nur relevant, wenn Ihre Software Teil ihrer GxP-regulierten Arbeit ist, etwa GMP nach Annex 11 oder FDA-Aufzeichnungen nach Part 11. Das ist Validierungsdokumentation, nicht ISO 27001 |
Orbion beantwortet die Fragen nach Dokumenten in seinem Trust Center: Der ISO-27001-Status, 33 Richtlinientitel und 8 Unterauftragsverarbeiter sind öffentlich, und Partner fordern das Zertifikat, Richtlinien als PDF und weitere Dokumente an, die Orbion prüft.
ISO 27001, DSGVO und GxP: was jeweils abgedeckt ist
Gründer in den Life Sciences hören diese Begriffe oft zusammen. Sie beantworten unterschiedliche Fragen.
| Framework | Was es abdeckt | Was Sie bekommen |
|---|---|---|
| ISO 27001 | Wie Sie Informationssicherheit managen: Risiken, Maßnahmen und Nachweise | Ein Zertifikat einer akkreditierten Zertifizierungsstelle, drei Jahre gültig, mit jährlichen Audits |
| DSGVO | Personenbezogene Daten, darunter Gesundheitsdaten und genetische Daten als besondere Kategorien personenbezogener Daten | Kein Zertifikat, nach dem Käufer üblicherweise fragen: Verzeichnisse, Richtlinien, Auftragsverarbeitungsverträge und oft Folgenabschätzungen |
| EU-GMP Annex 11, FDA 21 CFR Part 11 | Computergestützte Systeme und elektronische Aufzeichnungen in GMP- oder FDA-regulierten Tätigkeiten | Validierungsdokumentation, kein Zertifikat |
| SOC 2 | Sicherheitsmaßnahmen, geprüft von einer CPA-Firma, vor allem von US-Käufern verlangt | Ein SOC-2-Bericht, kein Zertifikat |
Zwei Details sind für Biotech wichtig:
- Genetische Daten sind nicht immer personenbezogen. Das ICO weist darauf hin, dass eine Probe erst dann personenbezogene Daten darstellt, wenn Sie sie analysieren, und dass genetische Ergebnisse nur dann als personenbezogene Daten gelten, wenn Sie sie einer identifizierbaren Person zuordnen können. Ergebnisse, die mit einer bestimmten Probe verknüpft sind oder so detailliert, dass sie für eine Person eindeutig sind, sind aber meist auch ohne Namen personenbezogen. Prüfen Sie, welche Daten Sie tatsächlich haben, bevor Sie den Umfang Ihrer DSGVO-Arbeit festlegen.
- ISO 27001 validiert Ihr System nicht. Laut Annex 11 sollten Anwendungen, die in GMP-Tätigkeiten eingesetzt werden, validiert sein. ISO-27001-Maßnahmen wie Zugriffskontrolle, Protokollierung und Backups helfen, aber die Validierung ist ein eigenes Projekt.
Orbion: wie das Audit ablief
Orbion wurde 2025 gegründet, sitzt in Berlin und entwickelt KI-Modelle, die Expression, Stabilität und Developability von Proteinen vorhersagen. Das Unternehmen arbeitet mit Biotech-Firmen und akademischen Forschenden. Das Team hat die Richtlinienentwürfe von Kantis an seine Biotech-Arbeit angepasst, die Maßnahmen umgesetzt und die Nachweise vorbereitet. Tempo Audits, eine UKAS-akkreditierte Zertifizierungsstelle, hat das Audit durchgeführt.
- Buchung: Beide Auditstufen waren innerhalb von 8 Tagen nach Orbions erstem Gespräch mit Tempo gebucht.
- Stage 1, 16. Juli 2026: eine Prüfung von Richtlinien und Dokumenten. Der Bericht kam am nächsten Tag, mit fünf Verbesserungspotenzialen.
- Stage 2, 17.-18. August 2026: Maßnahmen und Nachweise im Detail, einschließlich der physischen Sicherheit. Keine Nichtkonformitäten.
- Zertifikat, 24. August 2026: ISO/IEC 27001:2022, 6 Tage nach Stage 2 und 39 Tage nach Stage 1.
- Wie: ein Remote-Audit, bei dem der Auditor Dokumente und Nachweise in Kantis geprüft hat.
Die Zertifizierung ist jetzt auf Orbions Website und im Trust Center zu sehen. Orbion-Fallstudie lesen.
Wie ein Biotech-Startup dorthin kommt
- Fragen Sie, was der Partner braucht und bis wann. ISO 27001, ein SOC-2-Bericht, ein Fragebogen oder eine GxP-Validierung sind verschiedene Aufgaben. Fragen Sie, ob „in Arbeit“ vorerst reicht. Unserer Erfahrung nach ist das oft der Fall.
- Legen Sie den Geltungsbereich um die Daten herum fest. Die Plattform, die Daten, die Partner schicken, und die Systeme, die damit in Berührung kommen.
- Benennen Sie eine verantwortliche Person und planen Sie die Zeit ein. Orbions Team hat einen erheblichen Teil der Arbeit selbst erledigt. Auch mit Plattform und Unterstützung muss jemand Entscheidungen treffen und die Maßnahmen umsetzen.
- Buchen Sie die Zertifizierungsstelle früh. Gute Stellen sind schnell ausgebucht. Orbions erstes Gespräch mit Tempo war am 22. Juni, das Stage-1-Audit am 16. Juli. Unserer Erfahrung nach sind die größten Namen stärker ausgelastet und können das Projekt auf drei bis vier Monate strecken.
- Sammeln Sie Nachweise laufend, nicht erst in der Woche vor Stage 2.
- Geben Sie Partnern einen zentralen Ort zum Nachsehen. Ein Trust Center mit Ihrem Zertifikat, Ihren Richtlinien und Unterauftragsverarbeitern beantwortet viele Fragen, bevor sie gestellt werden.
Den vollständigen Prozess vom Geltungsbereich bis zum Zertifikat finden Sie in unserem ISO-27001-Leitfaden für Startups. Das Budget, Posten für Posten, steht im Leitfaden zu den ISO-27001-Kosten.
Wo Kantis ins Spiel kommt
Kantis verbindet die Software mit praktischer Unterstützung: die Gap-Analyse, Richtlinienentwürfe, die Sie an die tatsächliche Arbeitsweise Ihres Teams anpassen, die Nachweiserhebung, das interne Audit, die Koordination mit Ihrer Zertifizierungsstelle und ein Trust Center für Ihre Partner. Die Zertifizierungsstelle führt das Audit durch und stellt das Zertifikat aus.
Sprechen Sie mit einem Gründer über Ihren ISO-Weg. Danach kennen Sie Ihren Geltungsbereich, wissen, was Ihre Partner fragen werden, und kennen den schnellsten glaubwürdigen Weg zum Zertifikat. Gespräche finden auf Englisch statt.