Dauer und Aufwand einer ISO-27001-Zertifizierung
Die Frage nach der Dauer hat eine ehrliche Antwort: Es hängt vom Reifegrad, vom Anwendungsbereich und von der Verfügbarkeit Ihrer Leute ab. Diese Seite zeigt, welche Phasen wie lange dauern, welche Rollen wie viel Zeit brauchen und welche Stellschrauben Sie selbst in der Hand haben.
- 6–12 Monate typisch vom Projektstart bis Stage 2 bei Start ohne Vorarbeiten
- 4 Phasen Gap-Analyse, Risiko und SoA, Umsetzung, Audit
- 1 Rolle benannter Informationssicherheitsbeauftragter mit Zeitbudget
- gelebt internes Audit und Managementbewertung vor Stage 2
Typischer Zeitplan bis zum Zertifikat
Die Angaben sind Erfahrungswerte für ein mittelständisches Unternehmen ohne bestehendes Managementsystem. Mit Vorarbeiten verkürzen sich vor allem Phase 2 und 3.
| Phase | Inhalt | Richtwert Dauer | Woran es hängt |
|---|---|---|---|
| 1. Gap-Analyse und Anwendungsbereich | Bestandsaufnahme je Normkapitel und Anhang-A-Thema, Festlegung des Anwendungsbereichs, Projektplan, Beschluss der Geschäftsleitung. | Wenige Wochen | Verfügbarkeit der Gesprächspartner, Klarheit über die Kundenanforderung, Anzahl der Standorte. |
| 2. Risikobewertung und Erklärung zur Anwendbarkeit | Risikomethodik festlegen, Werte und Risiken in Workshops bewerten, Risikobehandlung ableiten, SoA für alle 93 Maßnahmen erstellen. | Ein bis drei Monate | Anzahl der Geschäftsprozesse und Systeme, Entscheidungsfähigkeit bei der Risikoakzeptanz, vorhandene Inventare. |
| 3. Umsetzung und Aufnahme des Betriebs | Richtlinien und Prozesse einführen, technische Maßnahmen umsetzen, Schulungen durchführen, Kennzahlen erheben, erstes internes Audit und erste Managementbewertung. | Drei bis sechs Monate | Umfang der technischen Maßnahmen, Abhängigkeit von Dienstleistern, Zeit, bis Prozesse Nachweise erzeugen. |
| 4. Zertifizierungsaudit | Antrag, Stage 1, Bearbeitung der Befunde, Stage 2, Bearbeitung von Abweichungen, Zertifikatsentscheidung. | Ein bis drei Monate | Terminverfügbarkeit der Zertifizierungsstelle, Anzahl und Schwere der Abweichungen. |
Der Engpass ist der Betrieb, nicht das Papier. Dokumentation lässt sich beschleunigen, der Nachweis eines funktionierenden Systems nicht. Der Auditor will sehen, dass das interne Audit stattgefunden hat, die Managementbewertung Beschlüsse hervorgebracht hat und Prozesse im Alltag Spuren hinterlassen. Planen Sie deshalb vom Stage-2-Termin rückwärts.
Wer wie viel Zeit einbringen muss
Ein ISMS-Projekt scheitert selten an fehlendem Wissen, häufig an fehlender Zeit der richtigen Personen. Diese Rollen sollten Sie vor dem Start mit einem Zeitbudget versehen.
| Rolle | Aufgaben im Projekt | Zeitbedarf (qualitativ) | Im laufenden Betrieb |
|---|---|---|---|
| Geschäftsleitung | Anwendungsbereich und Leitlinie freigeben, Risikoakzeptanz entscheiden, Ressourcen bereitstellen, Managementbewertung durchführen, Interview in Stage 2. | Punktuell, aber nicht delegierbar: einige Termine pro Quartal plus Freigaben. | Managementbewertung jährlich, Kennzahlen zur Kenntnis nehmen, Entscheidungen bei wesentlichen Risiken. |
| Informationssicherheitsbeauftragter (ISB) | Projekt steuern, Risikoworkshops moderieren, SoA und Richtlinien verantworten, Nachweise sammeln, Auditor begleiten. | Höchster Anteil: im Projekt ein erheblicher Teil der Arbeitszeit, in heißen Phasen mehr. | Teilzeitrolle mit festem Budget für Audits, Risikoüberprüfung, Berichte und Schulungen. |
| IT-Leitung und Administration | Inventar und Systemlandschaft liefern, technische Maßnahmen umsetzen, Protokollierung, Zugriffsmanagement, Backup, Schwachstellenmanagement nachweisen. | Mehrere Tage pro Monat, konzentriert in Phase 3. | Laufender Betrieb der technischen Maßnahmen, Zuarbeit für Kennzahlen und interne Audits. |
| Fachbereichsleitungen | Werte und Prozesse benennen, Risiken bewerten, Richtlinien im Bereich umsetzen, Interviews in Stage 2. | Einzelne Workshops und Abnahmen, verteilt über das Projekt. | Mitwirkung bei jährlicher Risikoüberprüfung und internem Audit. |
| Personal, Einkauf, Recht | Prozesse vor, während und nach der Beschäftigung, Lieferantenverträge und -bewertung, Vertraulichkeitsvereinbarungen, rechtliche Anforderungen. | Punktuell in Phase 2 und 3. | Lieferantenbewertung, Schulungsnachweise, Eintritts- und Austrittsprozess. |
| Interne Auditoren | Auditprogramm aufsetzen, erstes internes Audit durchführen und berichten. Dürfen nicht ihren eigenen Bereich prüfen; oft extern unterstützt. | Einige Tage vor Stage 1. | Jährliches internes Audit nach Programm, Nachverfolgung der Befunde. |
Was den Aufwand nach oben treibt
Diese sechs Faktoren erklären den größten Teil der Unterschiede zwischen einem schlanken und einem zähen ISMS-Projekt.
- Anwendungsbereich
Breite und Zahl der Standorte
Jeder Standort, jeder Geschäftsprozess und jede Tochtergesellschaft im Anwendungsbereich erhöht Risikoworkshops, Nachweise und Audittage. Der Anwendungsbereich ist die wirksamste Stellschraube, sollte aber zur Kundenanforderung passen.
- Ausgangslage
Was schon vorhanden ist
Ein Qualitätsmanagement nach ISO 9001, ein TISAX-Label, IT-Grundschutz-Bausteine oder ein NIS2-Projekt liefern Strukturen, Dokumente und Routinen, die übernommen werden können. Wer bei null startet, baut den Managementrahmen komplett neu.
- IT-Landschaft
Komplexität und Dienstleister
Viele Systeme, mehrere Cloud-Plattformen, eigene Softwareentwicklung und zahlreiche Dienstleister vergrößern Inventar, Risikobewertung und Lieferantenmanagement. Jede ausgelagerte Leistung braucht Vertrag, Bewertung und Nachweis.
- Entscheidungen
Tempo der Freigaben
Risikoakzeptanz, Anwendungsbereich, Richtlinien und Budget müssen von der Geschäftsleitung entschieden werden. Projekte verlieren Monate, wenn Beschlüsse auf den nächsten Quartalstermin warten.
- Verfügbarkeit
Zeit des ISB und der Fachbereiche
Ein ISB, der das ISMS neben einer vollen Linienaufgabe aufbaut, kommt nicht voran. Blockierte Zeiten im Kalender und ein Stellvertreter sind wirksamer als jede Projektmanagement-Methode.
- Reifegrad der Technik
Lücken bei Grundmaßnahmen
Fehlt es an Inventar, zentralem Berechtigungsmanagement, Protokollierung, Patch-Prozess oder getesteten Backups, entstehen echte Umsetzungsprojekte innerhalb des ISMS-Projekts. Das verlängert Phase 3 deutlich.
Was den Aufwand senkt, ohne die Qualität zu senken
Nicht jede Abkürzung ist eine. Diese Maßnahmen verkürzen den Weg zum Zertifikat und bestehen trotzdem vor dem Auditor.
- Anwendungsbereich vor Projektstart mit dem anfordernden Kunden abgleichen und so eng schneiden, wie es die Anforderung zulässt
- Vorhandene Nachweise aus TISAX, IT-Grundschutz, ISO 9001 oder NIS2-Projekten systematisch wiederverwenden statt neu zu schreiben
- Geschäftsleitung mit festen Entscheidungsterminen einbinden, nicht mit Ad-hoc-Anfragen
- ISB mit blockiertem Zeitbudget und Stellvertretung ausstatten
- Angemessen dimensionieren: Ausschlüsse in der SoA begründen statt jede Maßnahme maximal auszurollen
- Pflichtroutinen früh starten: Kennzahlen, internes Audit und Managementbewertung erzeugen die Nachweise, die Stage 2 verlangt
- Zertifizierungsstelle früh beauftragen, damit Stage-1- und Stage-2-Termine den Projektplan strukturieren
- Workshop-Protokolle und Beschlüsse von Anfang an als Nachweise ablegen, statt am Ende einen Evidenz-Ordner zu rekonstruieren
Vertiefung zu ISO 27001
-
Zertifizierungsablauf
Stage 1, Stage 2, Umgang mit Abweichungen, Überwachungsaudits und Rezertifizierung sowie die Auswahl der Zertifizierungsstelle.
-
ISO 27001 und NIS2
Wie die Norm die zehn Maßnahmenbereiche aus § 30 BSIG abdeckt und welche gesetzlichen Pflichten zusätzlich bleiben.
-
ISO 27001 Beratung im Überblick
Anlass, Norm, unser Vorgehen in vier Phasen, Pflichtdokumente und die Einordnung neben NIS2, TISAX und IT-Grundschutz.
Zu Dauer und Aufwand
Geht es auch schneller als sechs Monate?
In Einzelfällen ja, etwa wenn ein TISAX-Label, ein Grundschutz-Verbund oder ein gelebtes Qualitätsmanagement mit Risikoprozess vorhanden ist. Die Untergrenze setzt nicht die Dokumentation, sondern der Nachweis des Betriebs: internes Audit und Managementbewertung müssen vor Stage 2 stattgefunden haben, und die Prozesse müssen Spuren hinterlassen haben, die der Auditor prüfen kann.
Was kostet uns das intern an Zeit?
Der größte Zeitblock liegt beim Informationssicherheitsbeauftragten, der im Projekt einen erheblichen Teil seiner Arbeitszeit einbringt. Geschäftsleitung, IT-Leitung und Fachbereiche werden punktuell in Workshops, Freigaben und Interviews gebraucht. Wir planen diese Zeiten zu Projektbeginn je Rolle und stimmen sie mit den Kalendern ab, damit das Projekt nicht an Verfügbarkeit scheitert.
Können wir das ISMS komplett auslagern?
Aufbau und Dokumentation lassen sich weitgehend extern unterstützen, das Betreiben nicht. Der Auditor interviewt Ihre Mitarbeitenden, nicht den Berater. Ein ISMS, das nur der Dienstleister kennt, fällt in Stage 2 auf. Sinnvoll ist eine klare Arbeitsteilung: Sie treffen Entscheidungen und betreiben Prozesse, wir strukturieren, dokumentieren und prüfen.
Wie klein darf der Anwendungsbereich sein?
So klein, wie er Ihre Kundenanforderung noch erfüllt. Ein Anwendungsbereich, der nur einen Dienst oder Standort umfasst, reduziert Aufwand und Auditdauer spürbar. Er muss aber schlüssig abgegrenzt sein, und die Schnittstellen zu ausgeschlossenen Bereichen müssen beschrieben werden. Ein zu enger Anwendungsbereich fällt spätestens im Lieferantenfragebogen des Kunden auf.
Was passiert nach dem Zertifikat mit dem Aufwand?
Er sinkt, verschwindet aber nicht. Im Betrieb bleiben internes Audit, Managementbewertung, Risikoüberprüfung, Kennzahlen, Schulungen und die Vorbereitung auf die jährlichen Überwachungsaudits. Wer diese Routinen in den Jahreskalender einbaut und mit anderen Managementsystemen zusammenlegt, hält den Aufwand planbar.
Marcel Rieger
Wie lange brauchen Sie bis zum Zertifikat?
Im kostenlosen Erstgespräch schätzen wir anhand Ihrer Ausgangslage, Ihres Anwendungsbereichs und Ihrer Kapazitäten einen realistischen Zeitplan und den internen Aufwand je Rolle.
- Reifegrad je Normkapitel als Grundlage der Planung
- Zeitbudget je Rolle, abgestimmt mit Ihren Kalendern
- Meilensteine rückwärts vom Stage-2-Termin
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen