ISO-27001-Zertifizierung: So läuft sie ab

Der Ablauf im Überblick

Der Weg zum Zertifikat gliedert sich in eine Vorbereitungsphase, die allein bei Ihnen liegt, und ein Zertifizierungsverfahren, das die akkreditierte Zertifizierungsstelle nach den Regeln der ISO/IEC 17021-1 durchführt. Die Stationen sind für jede Organisation dieselben — unabhängig von Größe und Branche.

Schritt 1: Anwendungsbereich und Entscheidung

Am Anfang steht eine Entscheidung der Geschäftsführung — nicht der IT. Die Norm verlangt in Kapitel 5, dass die oberste Leitung Verantwortung übernimmt, Ressourcen bereitstellt und die Leitlinie trägt. Ohne dieses Bekenntnis scheitern ISMS-Projekte nicht am Audit, sondern vorher.

Gleichzeitig legen Sie den Anwendungsbereich fest (Kapitel 4.3): Welche Standorte, Geschäftsprozesse, Systeme und Personen gehören zum ISMS? Der Anwendungsbereich bestimmt später die Auditzeit und damit die Kosten, muss aber fachlich tragfähig sein — ein Schnitt, der wesentliche Informationswerte oder Schnittstellen ausklammert, wird von der Zertifizierungsstelle hinterfragt.

Schritt 2: ISMS aufbauen und betreiben

Jetzt entsteht das eigentliche Managementsystem entlang der Kapitel 4 bis 10 der Norm. In der Praxis heißt das:

1. 01

   Kontext und interessierte Parteien bestimmen

   Welche internen und externen Themen beeinflussen die Informationssicherheit, und was erwarten Kunden, Gesetzgeber, Partner?

2. 02

   Leitlinie und Rollen festlegen

   Eine Informationssicherheitsleitlinie, die die Leitung freigibt, und klar zugewiesene Verantwortlichkeiten.

3. 03

   Risiken beurteilen und behandeln

   Ein wiederholbarer Prozess, der Risiken identifiziert, bewertet und Behandlungsoptionen zuordnet. Daraus folgt die Auswahl der Controls und die Erklärung zur Anwendbarkeit.

4. 04

   Maßnahmen umsetzen und Nachweise sammeln

   Richtlinien, technische Maßnahmen, Schulungen — und für jede Anforderung ein Nachweis, dass sie umgesetzt ist. Diese Zuordnung von Nachweisen zu Anforderungen ist später der Kern des Audits.

5. 05

   Messen und überwachen

   Kennzahlen zur Wirksamkeit festlegen und erheben (Kapitel 9.1) — Auditoren fragen nach Ergebnissen, nicht nach Absichten.

Was die Norm in jedem Kapitel konkret verlangt und welche Dokumente Pflicht sind, steht im Ratgeber Anforderungen der ISO 27001.

Schritt 3: Internes Audit und Managementbewertung

Bevor eine Zertifizierungsstelle prüft, müssen Sie selbst geprüft haben. Die Norm verlangt ein internes Audit (Kapitel 9.2), das das gesamte ISMS gegen die Norm und die eigenen Vorgaben prüft, und eine Managementbewertung (Kapitel 9.3), in der die oberste Leitung Ergebnisse, Kennzahlen, Vorfälle und Verbesserungsbedarf bewertet und Entscheidungen trifft.

Beides muss vor dem Stufe-2-Audit mindestens einmal vollständig durchlaufen und dokumentiert sein. Das interne Audit darf durch eigene Mitarbeitende erfolgen, sofern sie unabhängig vom geprüften Bereich sind — oder durch externe Auditoren, die nicht zugleich beraten haben.

Schritt 4: Zertifizierungsstelle auswählen

Zertifikate nach ISO/IEC 27001 dürfen nur Stellen ausstellen, die dafür akkreditiert sind. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) zuständig; sie prüft Zertifizierungsstellen nach ISO/IEC 17021-1 und ISO/IEC 27006-1 und führt ein öffentliches Verzeichnis. Ob eine Stelle akkreditiert ist, lässt sich dort in wenigen Minuten nachsehen.

Worauf es bei der Auswahl ankommt:

• Akkreditierung für ISO/IEC 27001 — nicht nur für andere Normen.
• Branchenerfahrung der Auditoren: Ein Auditor, der Ihre Prozesse versteht, prüft schärfer, aber sinnvoller.
• Angebot über den gesamten Zyklus: Erstaudit, zwei Überwachungsaudits, Rezertifizierung — nicht nur der Einstiegspreis. Wie Angebote aufgebaut sind, erklärt der Ratgeber Was kostet eine ISO-27001-Zertifizierung?.
• Terminlage: Zertifizierungsstellen planen Auditoren mit Vorlauf. Klären Sie früh, wann Stufe 1 und Stufe 2 stattfinden können.
• Trennung von Beratung und Audit: Wer Ihr ISMS aufgebaut hat, darf es nicht auditieren. Seriöse Stellen sprechen das von sich aus an.

Schritt 5: Stufe-1-Audit

Das Stufe-1-Audit ist eine Bereitschaftsprüfung. Der Auditor sichtet Ihre Dokumentation — Anwendungsbereich, Leitlinie, Risikobeurteilung, Erklärung zur Anwendbarkeit, Ergebnisse von internem Audit und Managementbewertung — und verschafft sich ein Bild von Standort, Prozessen und Reifegrad. Ziel ist festzustellen, ob Stufe 2 Aussicht auf Erfolg hat, und den Stufe-2-Plan zu erstellen.

Das Ergebnis ist ein Bericht mit Feststellungen, die Sie vor Stufe 2 beheben sollten. Stufe 1 kann vor Ort oder aus der Ferne stattfinden; wie die Zertifizierungsstelle das handhabt, richtet sich nach ihren Akkreditierungsregeln.

Schritt 6: Stufe-2-Audit und Abweichungen

Im Stufe-2-Audit prüft die Zertifizierungsstelle vor Ort, ob das ISMS umgesetzt und wirksam ist. Auditoren lesen nicht nur, sie befragen Mitarbeitende, sehen sich Systeme an, ziehen Stichproben aus Nachweisen und vergleichen, ob das, was die Dokumente sagen, mit dem übereinstimmt, was im Betrieb geschieht.

Feststellungen werden üblicherweise in drei Stufen eingeteilt:

• Wesentliche Abweichung (Major): Eine Anforderung ist nicht erfüllt, oder das ISMS ist an einer Stelle nicht wirksam. Das Zertifikat wird erst erteilt, wenn Ursache und Behebung nachgewiesen sind — gegebenenfalls in einem Nachaudit.
• Geringfügige Abweichung (Minor): Eine einzelne Anforderung ist unvollständig erfüllt. Ein Korrekturplan genügt; die Umsetzung wird beim nächsten Audit geprüft.
• Hinweis oder Verbesserungspotenzial: keine Abweichung, aber eine Beobachtung, die Sie aufgreifen sollten.

Die genauen Bezeichnungen und Fristen legt jede Zertifizierungsstelle in ihren Verfahrensregeln fest; sie stehen im Zertifizierungsvertrag.

Schritt 7: Zertifikat, Überwachung, Rezertifizierung

Nach erfolgreichem Stufe-2-Audit und Behebung wesentlicher Abweichungen entscheidet die Zertifizierungsstelle über die Zertifikatserteilung — durch Personen, die nicht selbst auditiert haben. Das Zertifikat nennt den Anwendungsbereich, die Normfassung und die Gültigkeit.

Es gilt drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, die kürzer sind als das Erstaudit und schwerpunktmäßig prüfen, ob das ISMS weiter betrieben und verbessert wird — insbesondere internes Audit, Managementbewertung, Umgang mit Vorfällen und Abweichungen, Änderungen am Anwendungsbereich. Vor Ablauf der drei Jahre folgt das Rezertifizierungsaudit, das das gesamte ISMS erneut prüft und einen neuen Zyklus eröffnet.

Wird ein Überwachungsaudit nicht fristgerecht durchgeführt oder werden wesentliche Abweichungen nicht behoben, kann die Zertifizierungsstelle das Zertifikat aussetzen oder entziehen. Der Zyklus ist also kein Selbstläufer — er verlangt, dass das ISMS gelebt wird, nicht nur zum Audittermin aufgeräumt.

Wie lange das dauert

Für die Dauer der Vorbereitung gibt es keine belastbare Regel; sie hängt davon ab, wie viel bereits vorhanden ist. Wer dokumentierte Prozesse, geregelte Zugriffsrechte und Erfahrung mit Managementsystemen mitbringt, ergänzt; wer bei null anfängt, baut. Belastbar sind dagegen die strukturellen Fixpunkte:

• Das ISMS muss vor Stufe 2 in Betrieb sein und mindestens ein internes Audit und eine Managementbewertung durchlaufen haben — beides braucht Vorlauf und Nachweise aus dem laufenden Betrieb.
• Zwischen Stufe 1 und Stufe 2 liegt üblicherweise Zeit, um die Feststellungen aus Stufe 1 zu beheben; wie viel, vereinbaren Sie mit der Zertifizierungsstelle.
• Die Zertifikatsentscheidung fällt erst, wenn wesentliche Abweichungen nachweislich behoben sind.
• Zertifizierungsstellen brauchen Vorlauf für Angebot, Vertrag und Auditorenplanung — beauftragen Sie früher, als Sie bereit sind.

Für Organisationen, die den Weg über das Bundesamt für Sicherheit in der Informationstechnik erwägen, unterscheidet sich das Verfahren in einigen Punkten — der Ratgeber BSI IT-Grundschutz zertifizieren erklärt sie.