Welche Schritte umfasst der ISO-27001-Zertifizierungsprozess?

Der Weg zur ISO 27001-Zertifizierung folgt einer klaren Abfolge von Schritten, die sich in zwei Phasen gliedern: den Aufbau und Betrieb des Informationssicherheits-Managementsystems (ISMS) sowie das anschließende externe Zertifizierungsaudit. Die Norm schreibt das Ergebnis vor, nicht jeden einzelnen Projektschritt. In der Praxis hat sich jedoch ein bewährter Ablauf etabliert, der die Anforderungen zuverlässig erfüllt.

Die Schritte im Überblick

Die zwei Phasen des externen Audits

Das Zertifizierungsaudit selbst läuft in zwei Stufen ab:

• Stufe 1 (Dokumentenprüfung): Die Zertifizierungsstelle prüft, ob das ISMS dokumentiert und grundsätzlich bereit ist. Sie identifiziert Bereiche, die vor Stufe 2 nachgebessert werden müssen.
• Stufe 2 (Implementierungsaudit): Die Auditoren prüfen über mehrere Tage hinweg vor Ort oder remote, ob das ISMS wirksam gelebt wird und die Maßnahmen tatsächlich greifen. Bei Erfolg wird das Zertifikat ausgestellt, das drei Jahre gültig ist.

Wichtiger Hinweis: Das ISMS muss vor dem Stufe-2-Audit bereits nachweislich einige Wochen bis Monate in Betrieb gewesen sein. Internes Audit und Managementbewertung sind verpflichtende Voraussetzungen und müssen vor dem externen Audit abgeschlossen sein.

Wie Kertos den Prozess strukturiert und beschleunigt

Kertos führt Sie Schritt für Schritt durch den gesamten Zertifizierungsprozess und automatisiert die aufwändigsten Teile. Kertos verbindet eine agentische Compliance-Plattform (KAIA) mit akkreditierten internen Expertinnen und Experten, die Seite an Seite mit Ihrem Team arbeiten:

• Geführter Projektplan: Die Plattform übersetzt die Schritte in konkrete Aufgaben mit Verantwortlichkeiten und Fristen.
• Automatisierte Gap-Analyse und Risikobewertung: Lücken werden früh sichtbar, Risiken direkt mit Maßnahmen verknüpft.
• Vorlagen und Nachweissammlung: Richtlinien, SoA und Nachweise werden vorbereitet und kontinuierlich zugeordnet.
• Audit-Begleitung durch Experten: Kertos unterstützt internes Audit, Managementbewertung sowie Stufe 1 und Stufe 2.

Das Ergebnis spiegelt sich in der Bilanz von Kertos wider: eine 100%ige Audit-Erfolgsquote, rund 80% weniger manueller Compliance-Aufwand und Kunden wie AskUI, die die ISO 27001-Zertifizierung in nur 2,5 Monaten erreicht haben. Aus einem komplexen Prozess wird ein planbarer, nachvollziehbarer Weg.