Die Zertifizierung nach ISO/IEC 27001:2022 läuft in zwei Stufen. Stufe 1 prüft die Dokumentation und ob Sie bereit sind. Stufe 2 prüft vor Ort, ob alles umgesetzt ist und wirkt. Eine Hauptabweichung verhindert das Zertifikat, bis Sie die Korrektur nachweisen. Das Zertifikat gilt drei Jahre, mit einem Überwachungsaudit pro Jahr. Zuerst will der Auditor Geltungsbereich, Risikoanalyse, Erklärung zur Anwendbarkeit, internes Audit und Managementbewertung sehen.
Was die Norm verlangt
ISO/IEC 27001 beschreibt ein Managementsystem für Informationssicherheit, kurz ISMS. Gemeint sind feste Regeln, Rollen und Abläufe, mit denen Sie Ihre Informationssicherheit planen, umsetzen, prüfen und verbessern.
Die Fassung 2022 besteht aus den Kapiteln 4 bis 10 mit den Anforderungen und dem Anhang A. Der Anhang enthält 93 Maßnahmen in vier Themen: organisatorisch, personenbezogen, physisch, technologisch. Die Fassung 2013 hatte 114 Maßnahmen in 14 Abschnitten. Die Übergangsfrist endete am 31. Oktober 2025. Seitdem sind nur noch Zertifikate nach der Fassung 2022 gültig.
from 114 controls in 14 clauses to 93 controls in 4 clauses
Die Norm verlangt kein bestimmtes Sicherheitsniveau. Sie verlangt, dass Sie Ihre Risiken kennen, daraus Maßnahmen ableiten, sie umsetzen, prüfen und verbessern. Der Auditor prüft diesen Kreislauf, nicht die Firewall.
Der Ablauf in zwei Stufen
| Schritt | Was passiert | Was Sie vorlegen |
|---|---|---|
| Stufe-1-Audit | Prüfung der Dokumentation und der Bereitschaft, meist ein bis zwei Tage, oft remote | Geltungsbereich, Leitlinie, Risikoanalyse, Erklärung zur Anwendbarkeit, Auditprogramm |
| Stufe-2-Audit | Prüfung der Umsetzung und Wirksamkeit vor Ort, Interviews, Stichproben | Nachweise zu jeder anwendbaren Maßnahme, internes Audit, Managementbewertung |
| Zertifizierungsentscheidung | Nach Behebung der Hauptabweichungen | Korrekturmaßnahmen mit Nachweis |
| Überwachungsaudit | Jährlich, das erste innerhalb von zwölf Monaten nach der Entscheidung | Fortschreibung aller Dokumente, Behandlung der Nebenabweichungen |
| Rezertifizierung | Vor Ablauf der drei Jahre | Vollständiger Nachweis wie in Stufe 2 |
Zwischen Stufe 1 und Stufe 2 liegen meist einige Wochen. In dieser Zeit schließen Sie die Lücken, die Stufe 1 gezeigt hat. Wer Stufe 2 direkt an Stufe 1 hängt, verschenkt diese Chance.
Haupt- und Nebenabweichung
Eine Hauptabweichung liegt vor, wenn Sie eine Anforderung der Norm nicht erfüllen oder das Managementsystem nicht wirken kann. Beispiele aus der Praxis: keine Managementbewertung, kein internes Audit, eine Risikoanalyse ohne Bezug zu den Maßnahmen. Ohne nachgewiesene Korrektur gibt es kein Zertifikat.
Eine Nebenabweichung ist eine einzelne Lücke, die das System als Ganzes nicht in Frage stellt. Der Auditor hält sie mit Korrekturmaßnahme und Frist fest und prüft sie beim nächsten Audit. Mehrere Nebenabweichungen zum selben Thema kann er zu einer Hauptabweichung zusammenfassen.
Die Begriffe stammen aus ISO/IEC 17021-1. Nach dieser Norm und nach ISO/IEC 27006 muss die Zertifizierungsstelle akkreditiert sein, also amtlich zugelassen. In Deutschland ist dafür die Deutsche Akkreditierungsstelle (DAkkS) zuständig.
Die fünf Dokumente, die der Auditor zuerst verlangt
- Geltungsbereich. Welche Standorte, Prozesse, Systeme und Schnittstellen das ISMS abdeckt. Ist er zu eng gewählt, nützt das Zertifikat Ihren Kunden nichts.
- Risikoanalyse. Methode, Bewertungskriterien, Bewertung, Behandlung. Jede Maßnahme muss sich auf ein Risiko zurückführen lassen.
- Erklärung zur Anwendbarkeit. Eine Liste aller 93 Maßnahmen aus Anhang A. Zu jeder steht, ob sie anwendbar ist, warum und wie weit sie umgesetzt ist.
- Internes Audit. Ihre eigene Prüfung des ISMS mit Programm, Bericht und Feststellungen. Es muss vor dem Zertifizierungsaudit stattgefunden haben.
- Managementbewertung. Die Geschäftsleitung bewertet das ISMS und entscheidet über Ziele und Mittel. Der Auditor will das Protokoll mit Eingaben, Entscheidungen und Ressourcen sehen.
Dazu kommen Nachweise, dass Ihr Betrieb bei Störungen weiterläuft. Anhang A verlangt Informationssicherheit bei Störungen und IKT-Bereitschaft für Business Continuity (A 5.29 und 5.30). IKT steht für Informations- und Kommunikationstechnik. Gemeint ist IT, die für den Notfall vorbereitet und getestet ist. Betreiben Sie ein Notfallmanagement (BCMS) nach BSI-Standard 200-4 oder ISO 22301, erfüllen Sie das mit. Sonst brauchen Sie mindestens ein getestetes Notfallkonzept.
Die häufigsten Gründe für Hauptabweichungen
- Das ISMS existiert auf Papier, die Mitarbeitenden kennen es nicht. Der Auditor merkt das im ersten Interview.
- Risikoanalyse und Maßnahmen passen nicht zusammen.
- Das interne Audit hat dieselbe Person gemacht, die das ISMS aufgebaut hat.
- Lieferanten sind nicht bewertet (Anhang A 5.19 bis 5.22).
- Die Geschäftsleitung war nicht beteiligt und kann im Gespräch keine Entscheidung nennen.
Ein Probeaudit vier bis sechs Wochen vor Stufe 2 deckt diese Punkte auf, solange noch Zeit zum Nachbessern bleibt.