ISMS-Zertifizierung: Wie das Audit nach ISO 27001 wirklich abläuft

Das Wichtigste in Kürze

• Bei einer ISMS-Zertifizierung wird gegen ISO 27001 zertifiziert, geprüft wird Ihr Managementsystem. Die Zertifizierungsstelle arbeitet dabei nach zwei weiteren Normen: ISO/IEC 17021-1 und ISO/IEC 27006-1:2024.
• ISO/IEC 17021-1 definiert eine schwerwiegende Nichtkonformität in Abschnitt 3.12 nicht über den Schweregrad, sondern über die Wirkung auf die Fähigkeit des Managementsystems, die beabsichtigten Ergebnisse zu erreichen.
• Kann die Zertifizierungsstelle die Umsetzung der Korrekturen zu einer schwerwiegenden Nichtkonformität nicht innerhalb von 6 Monaten nach dem letzten Tag des Stufe-2-Audits verifizieren, muss sie ein weiteres Stufe-2-Audit ansetzen (17021-1, 9.5.3.2).
• Der Auditaufwand richtet sich nach der effektiven Personenzahl im Geltungsbereich. Die Berechnungsregeln stehen seit 2024 im normativen Anhang C der ISO/IEC 27006-1. IAF MD 5 gilt ausdrücklich für Qualitäts-, Umwelt- und Arbeitsschutzmanagement, nicht für ISMS.
• Läuft das Zertifikat ab, endet die Zertifizierung. Die Zertifizierungsstelle kann sie danach noch 6 Monate lang wiederherstellen (9.6.3.2.5), die Gültigkeit verlängert sich dadurch nicht.

Was bei einer ISMS-Zertifizierung geprüft wird

Geprüft wird Ihr Informationssicherheits-Managementsystem, zertifiziert wird gegen ISO 27001. Ein eigenes ISMS-Zertifikat gibt es nicht, und wer nach einer ISMS-Zertifizierung sucht, meint in aller Regel genau dieses Verfahren: ein zweistufiges externes Audit durch eine akkreditierte Stelle, an dessen Ende ein Zertifikat mit drei Jahren Gültigkeit steht.

Wichtig ist die Unterscheidung zwischen Konformität und Zertifizierung. Konform ist Ihr ISMS, sobald es die Anforderungen der Norm erfüllt. Das können Sie selbst feststellen. Zertifiziert ist es erst, wenn eine unabhängige Stelle das förmlich bestätigt hat. Was die Norm inhaltlich verlangt, welche Kapitel verpflichtend sind und wie Sie die 93 Controls aus Anhang A auswählen, behandelt unser Leitfaden zur ISO 27001 Zertifizierung. Dieser Artikel setzt danach an und beschreibt, was im Auditraum passiert.

Ein Punkt, den die meisten Teams erst spät erfahren, verändert die Vorbereitung erheblich: Der Auditor prüft Sie nach ISO 27001, aber er selbst arbeitet nach einem anderen Regelwerk. ISO/IEC 17021-1 legt fest, wie Zertifizierungsstellen Managementsysteme auditieren dürfen, und ISO/IEC 27006-1 ergänzt die Anforderungen speziell für ISMS. Diese beiden Dokumente bestimmen, wie lange ein Audit dauert, wie Befunde klassifiziert werden und welche Fristen für Korrekturen gelten. Sie beschreiben also nicht Ihre Pflichten, sondern die Spielregeln Ihres Gegenübers, und genau deshalb lohnt es sich, sie zu kennen.

Stufe 1: das Bereitschaftsaudit

In Stufe 1 stellt der Auditor eine einzige Frage: Ist dieses ISMS reif genug, um sinnvoll auf Wirksamkeit geprüft zu werden? Er sichtet die dokumentierten Informationen, prüft die Abgrenzung des Geltungsbereichs, liest die Erklärung zur Anwendbarkeit gegen die Ergebnisse Ihrer Risikobeurteilung und verschafft sich ein Bild von Standorten, Prozessen und Verantwortlichkeiten.

Zwei Nachweise entscheiden an dieser Stelle überproportional oft: das abgeschlossene interne Audit und die dokumentierte Managementbewertung. Beide sind nach ISO 27001 verpflichtend, beide werden regelmäßig zu spät angesetzt, und ohne beide fehlt dem Auditor die Grundlage, Stufe 2 zu terminieren.

Stufe 1 kann ganz oder teilweise remote stattfinden. Die frühere Regel, nach der eine Zertifizierungsstelle die Zustimmung ihrer Akkreditierungsstelle einholen musste, wenn Fernauditanteile 30 Prozent der geplanten Vor-Ort-Zeit überstiegen, ist mit ISO/IEC 27006-1:2024 entfallen. An ihre Stelle ist die Pflicht getreten, Umfang und Wirksamkeit des Fernaudits im Auditbericht auszuweisen. Für Sie heißt das: Fernaudits sind normal geworden, sie sind aber dokumentationspflichtig und damit angreifbar, wenn Ihre Nachweise nur im Vor-Ort-Gespräch plausibel wirken.

Ein verbreiteter Irrtum betrifft den Abstand zwischen den beiden Stufen. Die oft zitierte Sechs-Monats-Frist, nach deren Ablauf Stufe 1 wiederholt werden müsse, steht so in der Norm nicht. ISO/IEC 17021-1 verlangt in 9.3.1.2.4 lediglich, dass die Zertifizierungsstelle den Abstand bewertet und dabei berücksichtigt, wie viel Zeit Sie zur Behebung der in Stufe 1 erkannten Themen brauchen. Sie kann daraufhin entscheiden, Stufe 1 ganz oder teilweise zu wiederholen. Die Entscheidung liegt also beim Auditor, nicht bei einer festen Frist, und sie fällt umso wahrscheinlicher gegen Sie aus, je länger Sie warten.

Stufe 2: der Nachweis, dass das ISMS wirkt

Stufe 2 prüft Umsetzung und Wirksamkeit. ISO/IEC 17021-1 nennt in 9.3.1.3.2 ausdrücklich die internen Auditprozesse, die Managementbewertung sowie die Überwachung, Messung, Berichterstattung und Bewertung gegen die festgelegten Ziele. Der Auditor arbeitet dabei mit Stichproben: Er greift einzelne Zugriffsanträge, Onboarding-Vorgänge, Schulungsnachweise oder Vorfallmeldungen heraus und verfolgt sie durch Ihre Prozesse.

Damit rückt eine Frage in den Mittelpunkt, die viele Teams unterschätzen: Wie lange muss ein Control schon laufen, bevor Stufe 2 stattfinden kann? Die verbreitete Antwort lautet drei bis sechs Monate. Das ist eine Marktkonvention, keine Normanforderung. Weder ISO/IEC 17021-1 noch die Leitfäden der Akkreditierungsstellen nennen eine Mindestbetriebsdauer. Die Konvention leitet sich schlicht daraus ab, dass ein abgeschlossenes internes Audit, eine dokumentierte Managementbewertung und belastbare Betriebsaufzeichnungen Zeit brauchen. Wer diese drei Dinge früher vorweisen kann, kann auch früher auditiert werden.

Der Unterschied ist praktisch relevant, weil er das Argument gegenüber der Zertifizierungsstelle verändert. Sie diskutieren nicht über eine Frist, sondern über Nachweistiefe.

Ein Beispiel aus der Praxis: Ein SaaS-Unternehmen mit 45 Mitarbeitenden nimmt Produkt, Infrastruktur und Kundensupport in den Geltungsbereich, führt das interne Audit sechs Wochen vor dem Stufe-2-Termin durch und findet dabei selbst, dass die Lieferantenbewertungen für drei Subdienstleister fehlen. Genau dieser Punkt wäre im externen Audit ein Befund geworden. Weil das Team ihn vorher schließt, geht es mit einer belegten Korrektur statt mit einer offenen Lücke in das Audit. Welche Controls hier greifen, führt unser Beitrag zu den 93 Annex-A-Controls im Detail aus.

Nichtkonformitäten: was schwerwiegend und geringfügig wirklich heißt

Hier liegt das größte Missverständnis des gesamten Verfahrens. Die meisten Teams lesen "schwerwiegend" als Urteil über die Schwere eines Fehlers. Das ist nicht die Definition. ISO/IEC 17021-1 bestimmt in Abschnitt 3.12 eine schwerwiegende Nichtkonformität als eine, die die Fähigkeit des Managementsystems beeinträchtigt, die beabsichtigten Ergebnisse zu erreichen. Abschnitt 3.13 definiert die geringfügige Nichtkonformität spiegelbildlich als eine, bei der diese Fähigkeit gerade nicht beeinträchtigt ist. Maßgeblich ist also die Wirkung auf das System, nicht die Anzahl der betroffenen Fälle und nicht das Bauchgefühl des Auditors. Die Europäische Akkreditierungsorganisation weist ausdrücklich darauf hin, dass Zertifizierungsstellen von dieser Definition nicht abweichen dürfen, und das ist ein belastbares Argument, wenn eine Einstufung Ihnen unverhältnismäßig erscheint.

Zu den Fristen gibt es ebenfalls eine hartnäckige Legende. Die häufig genannten 90 Tage für die Einreichung von Korrekturmaßnahmen stehen nirgends in der Norm. ISO/IEC 17021-1 verlangt in 9.4.9 nur, dass die Zertifizierungsstelle eine Ursachenanalyse sowie die Beschreibung von Korrektur und Korrekturmaßnahme "innerhalb einer festgelegten Zeit" einfordert. Wie lang diese Zeit ist, legt die Zertifizierungsstelle fest, und das ist verhandelbar, bevor Sie den Vertrag unterschreiben.

Genau eine Frist ist dagegen normativ und unverhandelbar: Kann die Zertifizierungsstelle die Umsetzung der Korrekturen zu einer schwerwiegenden Nichtkonformität nicht innerhalb von sechs Monaten nach dem letzten Tag des Stufe-2-Audits verifizieren, muss sie nach 9.5.3.2 ein weiteres Stufe-2-Audit durchführen, bevor sie die Zertifizierung empfehlen darf. Der Normtext ist bei der ISO einsehbar. Wer nach dem Audit die Korrekturen liegen lässt, zahlt also nicht eine Nachbesserung, sondern ein zweites Audit.

Audittage, Überwachungsaudits und Rezertifizierung

Der Aufwand eines ISMS-Audits richtet sich nach der effektiven Personenzahl im Geltungsbereich, nicht nach dem Umsatz und nicht nach der Anzahl Ihrer Controls. Die Berechnungsregeln stehen im normativen Anhang C der ISO/IEC 27006-1:2024, ergänzt um den informativen Anhang D zu den Berechnungsmethoden. Die Europäische Akkreditierungsorganisation stellt dabei klar, dass die Wurzelreduktion je Tätigkeitskategorie angewendet wird und nicht auf die Gesamtzahl der Vollzeitäquivalente.

Weil der Geltungsbereich den Aufwand bestimmt, liegt der Gedanke nahe, ihn so eng wie möglich zu schneiden. Diese Rechnung geht nicht immer auf. Miriam Mindt, Expertin für Informationssicherheit und Compliance, erklärt im Video, warum ein enger Scope durch Schnittstellen und Ausnahmen mehr Arbeit erzeugen kann, als er spart:

Ein Detail, das erstaunlich oft falsch zitiert wird: IAF MD 5 gilt für Qualitäts-, Umwelt- und Arbeitsschutzmanagementsysteme und ausdrücklich nicht für ISMS. Wenn Ihnen ein Anbieter Audittage mit Verweis auf MD 5 vorrechnet, rechnet er mit der falschen Tabelle. Die Angebote verschiedener Zertifizierungsstellen sind dadurch übrigens auch nur begrenzt vergleichbar, solange Sie nicht wissen, welche effektive Personenzahl und welche Tätigkeitskategorien jeweils angesetzt wurden. Woran Sie unseriöse Anbieter und wertlose Zertifikate erkennen, haben wir separat zusammengestellt.

Nach der Erstzertifizierung folgen Überwachungsaudits in den Jahren eins und zwei. Sie sind kürzer als das Zertifizierungsaudit und konzentrieren sich auf die Rahmenkapitel sowie eine Teilmenge der Controls, insbesondere auf offene geringfügige Nichtkonformitäten aus dem Vorjahr. Den vollständigen Zyklus und die laufenden Pflichten dazwischen beschreibt unsere Übersicht zur Rezertifizierung und Aufrechterhaltung nach ISO 27001.

Kunden von Kertos berichten, dass die Vorbereitung auf genau diese Folgeaudits der Punkt ist, an dem sich der laufende Betrieb auszahlt. Eine Bewertung auf G2 fasst es so zusammen:

Bei der Rezertifizierung wird es formal streng. ISO/IEC 17021-1 verlangt in 9.6.3.1.1, das Verfahren so zu planen, dass die Erneuerung vor Ablauf des Zertifikats möglich ist. Sind die Korrekturen bis dahin nicht verifiziert, darf die Zertifizierungsstelle die Rezertifizierung nicht empfehlen und die Gültigkeit nicht verlängern (9.6.3.2.4). Das Zertifikat läuft dann aus. Nach 9.6.3.2.5 kann die Zertifizierungsstelle die Zertifizierung noch innerhalb von sechs Monaten wiederherstellen, sofern die ausstehenden Tätigkeiten abgeschlossen werden, andernfalls ist mindestens ein erneutes Stufe-2-Audit fällig. Diese sechs Monate sind ein Wiederherstellungsfenster, keine Verlängerung: In der Zwischenzeit sind Sie nicht zertifiziert, und genau in diese Lücke fällt erfahrungsgemäß die nächste Lieferantenprüfung eines Großkunden.

Wer den kompletten Weg von der Vorbereitung bis zum Zertifikat sucht, findet die einzelnen Schritte in unserer Übersicht zum ISO-27001-Zertifizierungsprozess.

Alles, was Sie in diesem Artikel gelesen haben, setzt eines voraus: ein ISMS, das im Alltag tatsächlich betrieben wird und nicht nur für den Audittermin existiert. Wie Sie es so zuschneiden, dass es diese Audits übersteht, ohne Ihr Team zu blockieren, behandelt der Leitfaden zum ISMS für Startups.

Wie Kertos auf das Audit vorbereitet

Der Unterschied zwischen einem ruhigen und einem hektischen Stufe-2-Audit liegt fast immer in der Nachweislage. Kertos verbindet eine agentische Compliance-Plattform mit zertifizierten Expertinnen und Experten, die den Auditzyklus aus der Praxis kennen. Die Plattform ordnet jede Aufgabe dem zuständigen Normkapitel zu und sammelt Nachweise automatisiert über Integrationen mit den Systemen, die Sie ohnehin betreiben. Statt vor dem Termin Screenshots und Logexporte zusammenzusuchen, wachsen die Aufzeichnungen im Hintergrund mit.

Für das Audit selbst zählt vor allem die Rückverfolgbarkeit. Wenn der Auditor eine Stichprobe zieht, etwa einen einzelnen Zugriffsantrag aus dem letzten Quartal, entscheidet sich in diesem Moment, ob Ihr Control belegt oder nur behauptet ist. Genau diese Kette von der Richtlinie über die Aufgabe bis zum einzelnen Nachweis bildet die Plattform ab, in beide Richtungen durchsuchbar.

Über die gesamte Kundenbasis liegt die Auditerfolgsquote bei 100 Prozent. Wenn bei Ihnen ein Zertifizierungs- oder Überwachungsaudit ansteht, gehen wir in einer Demo Ihren konkreten Auditfahrplan durch.

Häufig gestellte Fragen

Was ist eine ISMS-Zertifizierung?

Die förmliche Bestätigung durch eine akkreditierte Zertifizierungsstelle, dass Ihr Informationssicherheits-Managementsystem die Anforderungen der ISO 27001 erfüllt. Ein eigenes ISMS-Zertifikat existiert nicht, zertifiziert wird immer gegen die Norm. Das Zertifikat ist drei Jahre gültig.

Wie läuft ein ISO 27001 Audit ab?

In zwei Stufen. Stufe 1 prüft, ob Dokumentation, Geltungsbereich, internes Audit und Managementbewertung ein auditierbares ISMS ergeben. Stufe 2 prüft anhand von Stichproben, ob die Kapitel 4 bis 10 und die ausgewählten Controls in der Praxis wirken. Danach folgen Überwachungsaudits in den Jahren eins und zwei.

Was passiert bei einer schwerwiegenden Nichtkonformität?

Sie müssen Ursache analysieren, korrigieren und die Umsetzung nachweisen, bevor die Zertifizierungsstelle die Zertifizierung empfehlen darf. Gelingt die Verifizierung nicht innerhalb von sechs Monaten nach dem letzten Tag des Stufe-2-Audits, ist nach ISO/IEC 17021-1, 9.5.3.2 ein weiteres Stufe-2-Audit erforderlich.

Wie lange dauert ein ISO 27001 Audit?

Die Audittage werden nach der effektiven Personenzahl im Geltungsbereich berechnet, nach den Regeln in Anhang C der ISO/IEC 27006-1:2024. Verbindlich ist allein die Kalkulation Ihrer Zertifizierungsstelle. Tagessätze aus IAF MD 5 gelten für Qualitäts-, Umwelt- und Arbeitsschutzmanagement und nicht für ISMS.

Was wird beim Überwachungsaudit geprüft?

Die Rahmenkapitel 4 bis 10 sowie eine Teilmenge der Controls aus Anhang A, dazu offene Nichtkonformitäten aus dem Vorjahr und die Nachweise dafür, dass interne Audits, Managementbewertungen und Risikobeurteilungen tatsächlich stattgefunden haben. Überwachungsaudits sind kürzer als das Zertifizierungsaudit, aber sie sind keine Formalie.