ISO 27001 Zertifizierung: der Ablauf von Stage 1 bis zur Rezertifizierung
Eine ISO-27001-Zertifizierung ist kein einzelner Termin, sondern ein Dreijahreszyklus mit festen Prüfpunkten. Wer die Schritte kennt, kann Vorbereitung, Personal und Nachweise so planen, dass das Audit die Arbeit bestätigt, statt sie zu unterbrechen.
- Stage 1 Dokumentenprüfung: ist das ISMS vollständig beschrieben?
- Stage 2 Wirksamkeitsaudit: wird das ISMS gelebt?
- 3 Jahre Laufzeit des Zertifikats bis zur Rezertifizierung
- jährlich Überwachungsaudit in Jahr 1 und Jahr 2
Sieben Schritte vom Antrag bis zur Rezertifizierung
Der Ablauf ist bei allen akkreditierten Zertifizierungsstellen im Kern gleich, weil er aus den Akkreditierungsregeln für Managementsystem-Zertifizierungen folgt. Unterschiede liegen in Terminplanung, Auditorenteam und Vertragsdetails.
-
Zertifizierungsstelle auswählen und Antrag stellen
Sie beschreiben Anwendungsbereich, Standorte, Mitarbeiterzahl und Komplexität. Daraus kalkuliert die Zertifizierungsstelle die Audittage und legt ein Angebot für den gesamten Dreijahreszyklus vor. Erst nach Vertragsschluss werden Termine und Auditoren festgelegt.
-
Stage 1: Dokumentenprüfung
Der Auditor prüft, ob das ISMS vollständig und normkonform beschrieben ist: Anwendungsbereich, Leitlinie, Risikoprozess, Erklärung zur Anwendbarkeit, Pflichtdokumente, Ergebnisse von internem Audit und Managementbewertung. Er verschafft sich ein Bild von Organisation und Standorten und bewertet, ob Stage 2 sinnvoll stattfinden kann.
-
Befunde aus Stage 1 schließen
Stage 1 endet mit einem Bericht, der Auffälligkeiten und Bereiche mit Risiko für Stage 2 benennt. Diese Punkte schließen Sie vor dem Wirksamkeitsaudit. Häufig betrifft das eine unvollständige SoA, fehlende Nachweise für das interne Audit oder Lücken zwischen Risikobehandlung und umgesetzten Maßnahmen.
-
Stage 2: Wirksamkeitsaudit
Vor Ort oder remote prüft das Auditteam, ob das beschriebene System tatsächlich funktioniert: Interviews mit Geschäftsleitung, Verantwortlichen und Mitarbeitenden, Stichproben in Prozessen, Einsicht in Protokolle, Tickets, Zugriffslisten und Schulungsnachweise. Jede Maßnahme aus der SoA kann geprüft werden.
-
Abweichungen bearbeiten und Zertifikatsentscheidung
Festgestellte Abweichungen werden klassifiziert und mit Korrekturmaßnahmen beantwortet. Sind Hauptabweichungen geschlossen und Nebenabweichungen mit Korrekturplan belegt, empfiehlt das Auditteam die Zertifizierung. Eine unabhängige Stelle innerhalb der Zertifizierungsstelle trifft die Entscheidung und stellt das Zertifikat aus.
-
Überwachungsaudits in Jahr 1 und Jahr 2
Jährlich prüft der Auditor einen Teil des ISMS, immer aber die Kernelemente: internes Audit, Managementbewertung, Umgang mit Abweichungen und Beschwerden, Wirksamkeit der Korrekturmaßnahmen, Änderungen an Anwendungsbereich und Organisation. Der Umfang ist kleiner als bei Stage 2, die Konsequenzen bei offenen Hauptabweichungen sind dieselben.
-
Rezertifizierung im dritten Jahr
Vor Ablauf des Zertifikats findet ein vollständiges Audit des Anwendungsbereichs statt. Zusätzlich bewertet der Auditor die Entwicklung über den Zyklus. Damit das Zertifikat ohne Lücke weiterläuft, muss die Rezertifizierung einschließlich der Bearbeitung von Abweichungen vor dem Ablaufdatum abgeschlossen sein.
Was in der Dokumentenprüfung geprüft wird
Stage 1 beantwortet die Frage, ob das Managementsystem so beschrieben ist, dass ein Wirksamkeitsaudit überhaupt möglich ist. Es geht um Vollständigkeit, Konsistenz und Normbezug, nicht um Perfektion.
| Prüfgegenstand | Was der Auditor sehen will | Häufiger Befund |
|---|---|---|
| Anwendungsbereich | Klare Grenzen: welche Standorte, Prozesse, Systeme und Schnittstellen gehören dazu, und warum andere nicht. | Anwendungsbereich so eng geschnitten, dass er die Kundenanforderung nicht mehr abdeckt, oder Schnittstellen zu ausgeschlossenen Bereichen nicht beschrieben. |
| Leitlinie und Ziele | Von der Geschäftsleitung freigegebene Informationssicherheitsleitlinie und messbare Sicherheitsziele mit Plan zur Erreichung. | Ziele ohne Kennzahl oder ohne Verantwortliche; Leitlinie, die niemand im Unternehmen kennt. |
| Risikoprozess | Dokumentierte Methodik, Kriterien für Akzeptanz, Ergebnisse der Bewertung, Risikobehandlungsplan mit Bezug zu Anhang A. | Risikoregister ohne Verbindung zur SoA; Maßnahmen, die kein Risiko adressieren, und Risiken ohne Maßnahme. |
| Erklärung zur Anwendbarkeit (SoA) | Alle 93 Maßnahmen aus Anhang A mit Status, Begründung für Ausschlüsse und Verweis auf die Umsetzung. | Pauschale Begründungen wie „nicht relevant“, veraltete Struktur nach der Fassung 2013, fehlende Verweise auf Nachweise. |
| Internes Audit und Managementbewertung | Auditprogramm, mindestens ein durchgeführtes internes Audit mit Bericht, eine dokumentierte Managementbewertung mit Beschlüssen. | Beides für „nach dem Zertifikat“ geplant. Ohne diese Nachweise wird Stage 2 in der Regel verschoben. |
| Pflichtdokumente und Betriebsnachweise | Kompetenznachweise, Ergebnisse von Überwachung und Messung, Umgang mit Nichtkonformitäten, Betriebsdokumentation soweit erforderlich. | Dokumente ohne Versionsstand und Freigabe; Prozesse beschrieben, aber ohne Spuren im Alltag. |
Wie der Auditor Wirksamkeit prüft
Stage 2 ist ein Nachweisaudit. Der Auditor glaubt keiner Beschreibung, er will die Spur der Umsetzung sehen. Das entscheidet über Vorbereitung und Auswahl der Gesprächspartner.
- Interviews
Von der Geschäftsleitung bis zum Arbeitsplatz
Die Geschäftsleitung wird zu Führung, Ressourcen und Managementbewertung befragt, der Informationssicherheitsbeauftragte zu Risiko und Betrieb, Fachbereiche zu ihren Prozessen. Mitarbeitende werden gefragt, ob sie die Leitlinie kennen und wie sie einen Vorfall melden würden.
- Stichproben
Der Auditor wählt, nicht Sie
Aus Zugriffslisten, Änderungstickets, Schulungsnachweisen, Lieferantenverträgen und Vorfallprotokollen zieht der Auditor eigene Stichproben. Bereiten Sie deshalb keine Vorzeigebeispiele vor, sondern sorgen Sie dafür, dass jeder Fall auffindbar ist.
- Begehung
Physische Sicherheit und Arbeitsplätze
Serverraum, Zutrittskontrolle, Umgang mit Dokumenten und Datenträgern, Bildschirmsperren, Besucherregelung. Bei mehreren Standorten wird eine Stichprobe an Standorten besucht, deren Auswahl die Zertifizierungsstelle begründet.
- Nachweiskette
Von der Maßnahme zum Beleg
Für jede geprüfte Maßnahme aus der SoA verfolgt der Auditor die Kette: Was steht in der Richtlinie, wie ist es umgesetzt, wer prüft es, was war das Ergebnis der letzten Prüfung. Bricht die Kette, entsteht eine Abweichung.
- Kennzahlen
Überwachung und Messung
Welche Kennzahlen erheben Sie, wer berichtet sie wann an wen, und welche Entscheidungen folgten daraus? Kennzahlen, die erhoben, aber nie bewertet werden, gelten nicht als wirksame Überwachung.
- Verbesserung
Umgang mit Nichtkonformitäten
Interne Auditbefunde, Vorfälle und Beschwerden müssen zu Korrekturmaßnahmen mit Ursachenanalyse geführt haben. Der Auditor prüft, ob geschlossene Punkte tatsächlich geschlossen sind.
Haupt- und Nebenabweichungen richtig behandeln
Abweichungen sind kein Scheitern, sondern das normale Ergebnis eines Audits. Entscheidend ist, wie schnell und wie gründlich sie bearbeitet werden.
| Kategorie | Bedeutung | Was verlangt wird | Auswirkung auf das Zertifikat |
|---|---|---|---|
| Hauptabweichung | Eine Normanforderung ist nicht erfüllt oder ein Teil des ISMS ist nicht wirksam, sodass die Erreichung der Sicherheitsziele gefährdet ist. Auch eine Häufung gleichartiger Nebenabweichungen kann als Hauptabweichung gewertet werden. | Ursachenanalyse, Korrekturmaßnahme und Nachweis der Umsetzung innerhalb der gesetzten Frist. Die Zertifizierungsstelle verifiziert, gegebenenfalls durch Nachaudit. | Zertifikat wird erst nach Verifizierung empfohlen. Im laufenden Zyklus droht Aussetzung, wenn die Frist verstreicht. |
| Nebenabweichung | Einzelne Abweichung von einer Anforderung, die die Wirksamkeit des Systems nicht grundsätzlich in Frage stellt. | Ursachenanalyse und Korrekturplan mit Termin und Verantwortlichem. Die Umsetzung wird beim nächsten Audit geprüft. | Zertifikat kann mit anerkanntem Korrekturplan erteilt werden. |
| Hinweis oder Verbesserungspotenzial | Keine Normverletzung, aber ein Punkt, der sich zu einer Abweichung entwickeln könnte oder das System verbessern würde. | Keine formale Pflicht. Sinnvoll ist eine Bewertung im internen Audit oder in der Managementbewertung. | Keine. |
Ursachenanalyse ist der Prüfstein. Eine Korrekturmaßnahme, die nur das Symptom behebt (fehlende Unterschrift nachgeholt, Dokument aktualisiert), überzeugt keinen Auditor. Erwartet wird die Frage, warum der Prozess das nicht selbst verhindert hat, und eine Maßnahme, die genau dort ansetzt.
Die richtige Zertifizierungsstelle finden
Das Zertifikat ist nur so viel wert wie die Stelle, die es ausstellt. Diese Kriterien sollten Sie vor dem Angebotsvergleich klären.
- Pflichtkriterium
Akkreditierung durch die DAkkS
Die Deutsche Akkreditierungsstelle (DAkkS) akkreditiert Zertifizierungsstellen für Managementsysteme nach ISO/IEC 17021-1. Über die internationalen Abkommen der Akkreditierungsstellen wird ein DAkkS-akkreditiertes Zertifikat weltweit anerkannt. Zertifikate ohne Akkreditierung werden von vielen Kunden und Ausschreibungen nicht akzeptiert; prüfen Sie die Akkreditierungsurkunde und den Geltungsbereich, der ISO/IEC 27001 explizit nennen muss.
- Fachliche Passung
Branchenerfahrung des Auditteams
Ein Auditor, der Ihre Branche und Ihre Technologielandschaft kennt, stellt bessere Fragen und akzeptiert angemessene Lösungen. Fragen Sie, wer auditieren wird, welche Erfahrung diese Person hat und ob das Team über den Dreijahreszyklus stabil bleibt.
- Organisation
Standorte, Sprache, Remote-Anteil
Bei mehreren Standorten oder internationalen Tochtergesellschaften zählen Auditoren vor Ort, Sprache der Audits und Berichte sowie die Regeln der Zertifizierungsstelle für Remote-Audits. Klären Sie, wie Standort-Stichproben gezogen werden.
- Kalkulation
Audittage und Vertrag über drei Jahre
Die Anzahl der Audittage folgt aus Mitarbeiterzahl, Standorten und Komplexität nach den Vorgaben der Akkreditierung. Vergleichen Sie Angebote über den gesamten Zyklus einschließlich Überwachungsaudits, Reisekosten und Regelungen für Nachaudits, nicht nur den Preis für Stage 1 und 2.
- Marktakzeptanz
Was Ihre Kunden erwarten
Manche Konzerne und Ausschreibungen nennen bevorzugte oder ausgeschlossene Zertifizierungsstellen. Fragen Sie den Kunden, der die Zertifizierung ausgelöst hat, bevor Sie sich festlegen.
- Unabhängigkeit
Keine Beratung aus derselben Hand
Zertifizierungsstellen dürfen das ISMS, das sie prüfen, nicht selbst aufgebaut haben. Umgekehrt gilt: Ihr Berater sollte kein wirtschaftliches Interesse an der Wahl der Zertifizierungsstelle haben. Wir empfehlen mehrere Angebote und begleiten den Vergleich neutral.
Den Dreijahreszyklus planen
Das Zertifikat ist der Startpunkt des Betriebs. Diese Punkte gehören in den Jahreskalender des ISMS, damit Überwachungsaudits keine Sonderanstrengung mehr sind.
- Internes Auditprogramm über drei Jahre, das alle Normkapitel und Anhang-A-Themen mindestens einmal abdeckt
- Managementbewertung jährlich, terminiert vor dem Überwachungsaudit, mit dokumentierten Beschlüssen
- Nachverfolgung aller Abweichungen und Korrekturmaßnahmen aus Audits, Vorfällen und internen Prüfungen
- Änderungen an Anwendungsbereich, Standorten, Organisation oder Rechtsform rechtzeitig der Zertifizierungsstelle melden
- Risikobewertung und SoA jährlich überprüfen und bei wesentlichen Änderungen aktualisieren
- Kennzahlen laufend erheben und quartalsweise an die Geschäftsleitung berichten
- Rezertifizierungsaudit so terminieren, dass Abweichungen vor dem Ablaufdatum des Zertifikats geschlossen sind
Vertiefung zu ISO 27001
-
Dauer und Aufwand
Phasen, typische Dauer von sechs bis zwölf Monaten, interne Rollen und was den Aufwand nach oben oder unten treibt.
-
ISO 27001 und NIS2
Wie die Norm die zehn Maßnahmenbereiche aus § 30 BSIG abdeckt und welche gesetzlichen Pflichten zusätzlich bleiben.
-
ISO 27001 Beratung im Überblick
Anlass, Norm, unser Vorgehen in vier Phasen, Pflichtdokumente und die Einordnung neben NIS2, TISAX und IT-Grundschutz.
Zum Zertifizierungsablauf
Wie viel Zeit liegt zwischen Stage 1 und Stage 2?
Das legen Sie mit der Zertifizierungsstelle fest. Üblich sind einige Wochen, damit Befunde aus der Dokumentenprüfung vor dem Wirksamkeitsaudit geschlossen werden können. Zu kurz geplant, tragen Sie offene Punkte aus Stage 1 in Stage 2; zu lang geplant, verlieren Sie den Schwung im Projekt.
Kann man Stage 2 nicht bestehen?
Ja. Wenn Hauptabweichungen festgestellt werden, wird das Zertifikat erst empfohlen, nachdem die Korrekturmaßnahmen umgesetzt und von der Zertifizierungsstelle verifiziert sind. Das kann eine Nachprüfung vor Ort oder eine Dokumentenprüfung sein. Ein Scheitern im Sinne von Neustart ist selten; häufiger ist eine Verzögerung um Wochen bis Monate.
Was passiert, wenn wir im Überwachungsaudit Abweichungen haben?
Auch hier gilt: Nebenabweichungen werden mit einem Korrekturplan bearbeitet, Hauptabweichungen müssen innerhalb der von der Zertifizierungsstelle gesetzten Frist nachweislich behoben sein. Bleiben Hauptabweichungen offen, kann die Zertifizierungsstelle das Zertifikat aussetzen oder entziehen. Deshalb gehören interne Audits und Managementbewertung in den Jahreskalender, nicht nur in die Vorbereitung auf das erste Audit.
Müssen wir bei der Rezertifizierung wieder bei Stage 1 anfangen?
Nein. Die Rezertifizierung nach drei Jahren ist ein vollständiges Audit des gesamten Anwendungsbereichs, aber ohne separate Dokumentenprüfung wie beim Erstaudit. Der Auditor bewertet zusätzlich, wie sich das ISMS über den Zyklus entwickelt hat: Wurden Abweichungen dauerhaft behoben, hat sich die Wirksamkeit verbessert, passt der Anwendungsbereich noch?
Dürfen Berater und Zertifizierungsstelle dieselbe Firma sein?
Nein. Die Akkreditierungsregeln verlangen Unabhängigkeit: Wer das ISMS aufgebaut oder beraten hat, darf es nicht selbst zertifizieren. Achten Sie umgekehrt darauf, dass Ihre Zertifizierungsstelle keine Beratungsleistungen zum selben ISMS anbietet. Das schützt die Aussagekraft Ihres Zertifikats gegenüber Kunden.
Marcel Rieger
Bereit für Stage 1?
Im kostenlosen Erstgespräch prüfen wir, wo Ihr ISMS gegenüber den Erwartungen des Auditors steht und was vor dem Antrag noch zu schließen ist.
- Einschätzung der Auditreife je Normkapitel
- Neutraler Vergleich von Zertifizierungsstellen
- Begleitung in Stage 1, Stage 2 und bei Abweichungen
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen