Emendo Event + Congress hat sein Informationssicherheitsmanagementsystem (ISMS) nach DIN EN ISO/IEC 27001:2024 zertifizieren lassen. Das von GutCert ausgestellte Zertifikat mit der Nummer G-26-26502 gilt für drei Jahre und wird durch jährliche Überwachungsaudits begleitet. Es umfasst die Entwicklung, das Hosting und den Betrieb der Teilnehmermanagement-Plattformen EM.EX und EM.EXchange sowie die zugehörigen Prozesse in Vertrieb, Projektplanung, Beratung und Support.
Für Veranstalter und Agenturen ist der Schutz von Teilnehmerdaten ein relevantes Kriterium bei der Auswahl von Dienstleistern. Über Anmeldeplattformen werden unter anderem Stamm- und Buchungsdaten, Reise- und Hotelinformationen, Dokumente, Zugangsberechtigungen und Abrechnungsdaten verarbeitet. Auch Angaben zu Ernährungsanforderungen oder Barrierefreiheit können als besondere Kategorien personenbezogener Daten unter Artikel 9 der Datenschutz-Grundverordnung fallen. Zahlungsvorgänge wickelt Emendo über spezialisierte Zahlungsdienstleister ab; vollständige Kartendaten werden nicht auf den Plattformen gespeichert.
Die Norm ISO/IEC 27001 beschreibt Anforderungen an ein systematisches Management der Informationssicherheit. Dazu gehören dokumentierte Risikobewertungen, definierte Zuständigkeiten, interne Audits, regelmäßige Managementbewertungen und kontinuierliche Verbesserungsprozesse. Emendo hat den Geltungsbereich deshalb nicht auf Software und Server beschränkt, sondern auch vor- und nachgelagerte Projektprozesse einbezogen.
Zu den festgelegten Maßnahmen zählen rollenbasierte Zugriffsrechte nach dem Prinzip der geringstmöglichen Berechtigung. Innerhalb von Kundenprojekten lassen sich Lese-, Bearbeitungs- und Administrationsrechte getrennt vergeben. Besonders privilegierte Zugänge sind zusätzlich durch Mehr-Faktor-Authentifizierung mit phishing-resistenten FIDO2-Verfahren geschützt. Änderungen am Programmcode werden von einer zweiten Person geprüft und kontrolliert freigegeben. Entwicklungs-, Test- und Produktivumgebungen sind voneinander getrennt. Personenbezogene Daten von Kunden und Teilnehmern werden ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet.
Weitere Bestandteile des Systems sind die zentrale, schreibgeschützte Protokollierung sicherheitsrelevanter Ereignisse sowie regelmäßige Datensicherungen und getestete Wiederherstellungsverfahren. Dokumentierte Wiederanlaufprozesse sollen die Verfügbarkeit der Plattformen auch bei Störungen absichern. Für Sicherheitsvorfälle bestehen festgelegte Abläufe mit definierten Zuständigkeiten, Eskalationswegen und Meldefristen.
