ISO 27001 Ablauf: In fünf Phasen zum Zertifikat

Viele KMU stellen dieselbe Frage. Nämlich: Wie läuft eine ISO-27001-Zertifizierung eigentlich ab? Der ISO 27001 Ablauf gliedert sich in fünf klare Phasen. Zunächst die Vorbereitung, danach der Aufbau des Managementsystems, zuletzt das externe Audit. Wer die Reihenfolge kennt, plant deshalb besser. Denn der Weg dauert Monate, nicht Wochen.

Dieser Beitrag führt Sie zunächst durch jede Phase. Zudem nennt er realistische Zeiträume, die nötigen Rollen und die typischen Stolpersteine. Das Ziel ist somit ein klares Bild vom gesamten ISO 27001 Ablauf. Also eine Grundlage, mit der Sie Ihr Projekt aufsetzen können. Eine Vergleichstabelle fasst die Phasen mit ihrer Dauer am Ende zusammen.

Was der ISO 27001 Ablauf umfasst

Der ISO 27001 Ablauf beschreibt den Weg von der ersten Idee bis zum Zertifikat. Dabei geht es um mehr als ein Audit. Denn im Kern bauen Sie ein Informationssicherheits-Managementsystem auf, kurz ISMS. Erst dieses System prüft der Auditor am Ende. Somit ist das Zertifikat das Ergebnis, nicht der Anfang.

ISO/IEC 27001 ist die weltweit führende Norm für Informationssicherheit. Sie legt insbesondere fest, wie ein Unternehmen Risiken erkennt, behandelt und laufend überwacht. Die offizielle Beschreibung finden Sie beim ISO-Normengremium. Eine deutschsprachige Einordnung liefert die österreichische Plattform onlinesicherheit.gv.at.

Fünf Phasen im Überblick

Der ISO 27001 Ablauf teilt sich in fünf Etappen. Zunächst die Vorbereitung mit einer Gap-Analyse. Danach der Aufbau des ISMS mit Scope, Risikoanalyse und Maßnahmen. Als Drittes die Dokumentation samt internem Audit und Managementbewertung. Danach das eigentliche Zertifizierungsaudit in zwei Stufen. Zuletzt der laufende Betrieb mit jährlichen Überwachungsaudits. Jede Phase baut auf der vorigen auf.

Wie lange dauert das Ganze?

Rechnen Sie mit sechs bis zwölf Monaten bis zum Zertifikat. Ein KMU mit klarem Scope schafft es oft in sechs bis acht Monaten. Größere Organisationen brauchen hingegen ein Jahr oder länger. Die Dauer hängt somit vom Reifegrad ab. Wer schon Prozesse dokumentiert hat, ist deshalb schneller. Wer bei null startet, plant hingegen großzügiger. Einen strukturierten Rahmen dafür bietet unsere ISMS-Beratung nach ISO 27001. Wie Sie die einzelnen Schritte ordnen, zeigt zudem der Beitrag zum ISMS aufbauen in Schritten.

Phase 1: Vorbereitung und Gap-Analyse

Die erste Phase im ISO 27001 Ablauf schafft die Basis. Zunächst klären Sie den Zweck des Projekts und holen die Leitung ins Boot. Denn ohne Rückhalt von oben scheitert ein ISMS oft schon am Budget. Zudem bestimmen Sie, wer das Projekt steuert. Meist ist das ein Informationssicherheitsbeauftragter oder eine kleine Projektgruppe.

Die Gap-Analyse als Startpunkt

Am Anfang steht ein ehrlicher Kassensturz. Die Gap-Analyse vergleicht dabei Ihren Ist-Zustand mit den Anforderungen der Norm. Wo stehen Sie schon gut da? Wo fehlt es an Prozessen, Nachweisen oder Technik? Das Ergebnis ist somit eine Liste offener Punkte. Diese Liste wird danach zur Landkarte für das ganze Projekt. Rechnen Sie für die Gap-Analyse mit zwei bis vier Wochen.

Eine gute Analyse deckt beide Seiten der Norm ab. Zunächst die Management-Anforderungen aus den Kapiteln 4 bis 10. Danach die konkreten Maßnahmen aus Anhang A. Die aktuelle Fassung ISO 27001:2022 listet dort 93 Controls in vier Themengruppen. Details zur neuen Struktur lesen Sie im Beitrag zur ISO-27001:2022-Umstellung. Wer die Lücken lieber technisch aufdecken lässt, nutzt ein IT-Security-Audit als Ergänzung.

Häufige Stolpersteine am Start

Ein typischer Fehler ist ein zu breiter Anspruch. Manche Betriebe wollen sofort alles perfekt machen. Das kostet folglich Zeit und Motivation. Besser ist deshalb ein enger, klarer Fokus. Ein weiterer Stolperstein ist zudem fehlende Verantwortung. Wenn niemand das Projekt führt, versandet es. Deshalb gehört die Rollenklärung an den Anfang. Fehlt intern das Know-how, übernimmt ein externer CISO die Steuerung. Auch die Grundlagen der Informationssicherheit helfen beim gemeinsamen Verständnis im Team.

Am Ende der ersten Phase steht ein grober Projektplan. Er nennt Ziele, Rollen, Budget und einen groben Zeitrahmen. Zudem legt er den vorläufigen Scope fest. Dieser Plan muss nicht perfekt sein. Er gibt dem Projekt dennoch eine Richtung. Wichtig ist außerdem ein realistischer Blick auf die eigenen Ressourcen. Wer nebenbei zertifizieren will, unterschätzt den Aufwand oft. Deshalb lohnt sich hier ein ehrlicher Kassensturz. Lieber ein etwas längerer Zeitplan als ein gerissener.

Phase 2: ISMS aufbauen mit Scope, Risiko und SoA

Die zweite Phase ist das Herzstück im ISO 27001 Ablauf. Hier bauen Sie das Managementsystem tatsächlich auf. Zunächst legen Sie den Geltungsbereich fest, den sogenannten Scope. Danach folgt die Risikoanalyse. Daraus leiten Sie schließlich die Maßnahmen und das Statement of Applicability ab. Diese Phase dauert meist drei bis sechs Monate.

Den Scope sauber abgrenzen

Der Scope entscheidet, was das ISMS abdeckt. Also welche Standorte, Prozesse und Systeme dazugehören. Ein enger Scope senkt somit den Aufwand deutlich. Ein zu enger Scope verliert aber an Aussagekraft. Deshalb gilt: so klein wie möglich, so groß wie nötig. Ein Softwarehaus zertifiziert beispielsweise oft nur die Entwicklung und den Betrieb. Die Kantine bleibt hingegen außen vor. Genau diese Abgrenzung spart später viele Prüfstunden.

Risikoanalyse als Motor

Die Risikoanalyse treibt das ganze ISMS an. Zunächst erfassen Sie Ihre wichtigen Werte, etwa Kundendaten oder Quellcode. Danach bewerten Sie mögliche Bedrohungen und ihre Folgen. So entsteht eine Rangfolge der Risiken. Für die größten Risiken planen Sie anschließend Maßnahmen. Wie eine strukturierte Risikobewertung aufgebaut ist, beschreibt die EU-Agentur ENISA in ihren Leitfäden. Praktische Bausteine für Maßnahmen liefert das BSI mit dem IT-Grundschutz.

Das Statement of Applicability

Aus der Risikoanalyse folgt das Statement of Applicability, kurz SoA. Dieses Dokument listet alle 93 Controls aus Anhang A. Für jedes Control halten Sie fest: gilt es für uns oder nicht? Und wenn ja, wie setzen Sie es um? Das SoA ist das zentrale Nachweisdokument im Audit. Der Auditor prüft es besonders genau. Wie Sie es richtig erstellen, zeigt der Beitrag zum Statement of Applicability. Fehler hier ziehen sich durch das ganze Projekt. Deshalb lohnt sich Sorgfalt genau an dieser Stelle.

Die 93 Controls teilen sich in vier Gruppen. Nämlich organisatorische, personenbezogene, physische und technische Maßnahmen. Dabei passt nicht jedes Control zu jedem Betrieb. Ein reiner Cloud-Anbieter braucht beispielsweise andere physische Regeln als eine Fertigung. Genau das hält das SoA fest. Wichtig ist eine nachvollziehbare Begründung. Warum schließen Sie ein Control aus? Ohne Begründung hakt der Auditor sofort nach. Deshalb dokumentieren Sie jede Entscheidung knapp, aber klar.

Phase 3: Dokumentation, internes Audit und Managementbewertung

In der dritten Phase wird das ISMS prüfreif. Der ISO 27001 Ablauf verlangt hier zwei Dinge, die viele unterschätzen. Nämlich ein internes Audit und eine Managementbewertung. Beide muss die Norm belegt sehen, bevor der externe Auditor kommt. Ohne sie fällt das Zertifizierungsaudit durch.

Dokumentation mit Augenmaß

Die Norm verlangt bestimmte Dokumente. Dazu zählen die Sicherheitsleitlinie, der Scope, das SoA und der Risikobehandlungsplan. Ebenso Nachweise über Schulungen und Vorfälle. Wichtig ist dabei der richtige Umfang. Zu wenig Dokumentation fällt im Audit auf. Zu viel erstickt hingegen den Betrieb in Papier. Ein schlankes, gelebtes System schlägt einen dicken Ordner, den niemand liest. Konkrete Vorlagen für Sicherheitsrichtlinien finden Sie über unsere Beratung zu ISO-27001-Sicherheitsrichtlinien.

Internes Audit und Managementbewertung

Das interne Audit prüft Ihr System aus eigener Kraft. Dabei sieht sich ein Prüfer an, ob die Prozesse wirklich funktionieren. Wichtig: dieser Prüfer muss unabhängig vom geprüften Bereich sein. Kleine Betriebe holen sich dafür deshalb oft externe Unterstützung. Wie ein solches Audit abläuft, erklärt der Beitrag zum internen Audit nach ISO 27001. Danach bewertet die Leitung das gesamte ISMS. Diese Managementbewertung hält fest, ob das System wirkt und wo es besser werden muss. Beide Schritte erzeugen wichtige Nachweise für das externe Audit.

Ein häufiger Stolperstein liegt im Timing. Viele planen internes Audit und Managementbewertung zu spät ein. Dann fehlt die Zeit, gefundene Lücken zu schließen. Deshalb planen Sie beide Schritte mit Puffer vor dem externen Audit. So bleibt Raum für Korrekturen. Zudem zeigt ein gelebter Verbesserungszyklus dem Auditor genau das, was die Norm sehen will.

Auch die Schulung der Mitarbeiter fällt in diese Phase. Die Norm verlangt, dass die Belegschaft die Sicherheitsregeln kennt. Ein kurzer Awareness-Termin reicht dafür oft nicht. Besser wirken regelmäßige, kurze Einheiten über das Jahr verteilt. Der Auditor fragt in Stufe 2 gezielt nach. Etwa: Was tun Sie bei einer verdächtigen E-Mail? Wer hier vorbereitet ist, überzeugt schnell. Deshalb gehört das Thema Mensch früh auf die Agenda, nicht erst kurz vor dem Audit.

Phase 4: Das Zertifizierungsaudit in Stufe 1 und Stufe 2

Die vierte Phase im ISO 27001 Ablauf ist das externe Audit. Es läuft über eine akkreditierte Zertifizierungsstelle. Diese Stelle ist zudem unabhängig von Ihrer Beratung, das schreibt die Norm vor. Das Audit teilt sich danach in zwei Stufen. Zunächst Stufe 1, danach Stufe 2. Zwischen beiden liegen meist vier bis sechs Wochen.

Stufe 1: die Dokumentenprüfung

In Stufe 1 prüft der Auditor Ihre Unterlagen. Dabei sieht er sich Leitlinie, Scope, SoA und die Auditnachweise an. Zudem klärt er, ob Ihr ISMS grundsätzlich prüfreif ist. Stufe 1 dauert meist ein bis zwei Tage. Findet der Auditor Lücken, notiert er sie. Diese Punkte schließen Sie danach vor Stufe 2. So dient Stufe 1 auch als Probelauf. Ein guter Auditor gibt hier klare Hinweise.

Stufe 2: das Vor-Ort-Audit

Stufe 2 prüft die gelebte Praxis. Dabei spricht der Auditor mit Mitarbeitern und sieht sich Prozesse an. Er will Beweise sehen, dass das System wirklich läuft. Nicht nur auf dem Papier. Stufe 2 dauert je nach Größe zwei bis fünf Tage. Am Ende steht schließlich das Ergebnis. Bei kleineren Abweichungen bekommen Sie zudem eine Frist zur Korrektur. Bei schweren Abweichungen fällt das Audit durch. Eine detaillierte Übersicht der Audit-Arten bietet der Beitrag zum Auditablauf nach ISO 27001.

Was das Audit kostet

Die Auditkosten hängen von Größe und Scope ab. Für ein KMU liegen sie oft im mittleren vierstelligen Bereich pro Zertifizierungszyklus. Dazu kommen die internen Aufwände für Vorbereitung und Umsetzung. Eine realistische Kostenaufstellung liefert der Beitrag zu den ISO-27001-Zertifizierungskosten. Wer früh plant, verteilt den Aufwand und vermeidet teure Hektik am Ende.

Phase 5: Laufender Betrieb und Überwachungsaudits

Mit dem Zertifikat endet der ISO 27001 Ablauf nicht. Vielmehr geht er in den Dauerbetrieb über. Das Zertifikat gilt drei Jahre. In dieser Zeit muss das ISMS aber leben. Denn die Zertifizierungsstelle prüft regelmäßig nach. So bleibt das Zertifikat gültig.

Jährliche Überwachungsaudits

In den beiden Jahren nach der Erstzertifizierung kommt je ein Überwachungsaudit. Diese Audits sind kürzer als das erste. Sie umfassen nämlich grob ein Drittel des Aufwands. Dabei prüft der Auditor, ob Sie das System pflegen und verbessern. Er sieht sich zudem neue Risiken, Vorfälle und Änderungen an. Wer das ISMS zwischen den Audits schleifen lässt, fällt hier auf. Deshalb gehört Informationssicherheit in den Alltag, nicht nur ins Auditjahr.

Rezertifizierung nach drei Jahren

Nach drei Jahren steht die Rezertifizierung an. Sie ähnelt dem ersten Audit, fällt aber oft schlanker aus. Denn das System ist eingespielt und die meisten Nachweise liegen schon vor. Zudem kennt der Auditor Ihr Haus bereits. So verläuft die dritte Runde meist ruhiger als der erste Anlauf. Der laufende Betrieb umfasst außerdem mehr als die Audits. Sie behandeln Vorfälle, schulen Mitarbeiter und aktualisieren Ihre Risiken. Ein solider Notfallplan gehört ebenso dazu. Wie Sie ihn aufsetzen, zeigt der Beitrag zum IT-Notfallplan. Ergänzend sorgt Notfallmanagement und BCM für Handlungsfähigkeit im Ernstfall.

Der ISO 27001 Ablauf als Tabelle

Die folgende Tabelle fasst den gesamten ISO 27001 Ablauf mit realistischer Dauer zusammen. Sie dient als grobe Planungshilfe für ein KMU mit klarem Scope.

Wer diesen Fahrplan früh aufsetzt, arbeitet ruhig statt in Hektik. Bei Fragen zum konkreten Vorgehen hilft ein kurzes Gespräch über unsere Kontaktseite. So klären Sie den passenden Startpunkt für Ihr Haus.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Wie lange dauert der ISO 27001 Ablauf bis zum Zertifikat?

Rechnen Sie mit sechs bis zwölf Monaten. Ein KMU mit klarem Scope schafft es oft in sechs bis acht Monaten. Der Reifegrad entscheidet dabei. Wer schon Prozesse dokumentiert hat, ist deshalb schneller als ein Betrieb, der bei null beginnt.

Was ist der Unterschied zwischen Stufe 1 und Stufe 2 im Audit?

Stufe 1 ist die Dokumentenprüfung und dauert ein bis zwei Tage. Dabei prüft der Auditor, ob das ISMS grundsätzlich reif ist. Stufe 2 prüft hingegen die gelebte Praxis vor Ort und dauert zwei bis fünf Tage. Dazwischen liegen meist vier bis sechs Wochen.

Brauche ich für die Zertifizierung ein internes Audit?

Ja, das interne Audit ist Pflicht. Die Norm verlangt es zudem vor dem externen Audit. Ebenso eine Managementbewertung durch die Leitung. Beide erzeugen Nachweise, die der externe Auditor sehen will. Ohne sie besteht das ISMS die Prüfung nicht.

Was ist das Statement of Applicability im ISO 27001 Ablauf?

Das SoA listet alle 93 Controls aus Anhang A. Für jedes halten Sie dabei fest, ob es gilt und wie Sie es umsetzen. Es ist somit das zentrale Nachweisdokument im Audit. Der Auditor prüft es besonders genau, deshalb lohnt sich hier Sorgfalt.

Wie oft finden Überwachungsaudits statt?

Das Zertifikat gilt drei Jahre. In den beiden Folgejahren kommt zudem je ein Überwachungsaudit. Diese fallen kürzer aus als das Erstaudit. Nach drei Jahren steht schließlich die Rezertifizierung an. So bleibt das ISMS dauerhaft geprüft.

Kann ein KMU die Zertifizierung ohne externe Hilfe schaffen?

Grundsätzlich ja, wenn internes Know-how vorhanden ist. Oft fehlt aber Zeit oder Erfahrung mit der Norm. Dann hilft ein externer CISO oder eine Beratung bei Scope, Risikoanalyse und SoA. Das interne Audit muss ohnehin eine unabhängige Person durchführen.

Welche Rolle spielt die Geschäftsführung im ISO 27001 Ablauf?

Eine zentrale. Die Leitung gibt Budget und Rückhalt frei, ohne die das Projekt scheitert. Zudem führt sie die Managementbewertung durch. Die Norm verlangt sichtbares Engagement der Führung. Ein ISMS ohne Rückhalt von oben bleibt Papier.

Fazit: Struktur schlägt Hektik

Der ISO 27001 Ablauf folgt fünf klaren Phasen. Zunächst Vorbereitung und Gap-Analyse, danach der ISMS-Aufbau mit Scope, Risikoanalyse und SoA. Danach die Prüfreife mit internem Audit und Managementbewertung. Als Viertes das Zertifizierungsaudit in Stufe 1 und Stufe 2. Zuletzt der laufende Betrieb mit Überwachungsaudits. Wer diese Reihenfolge kennt, plant sicher statt aus dem Bauch.

Der beste Zeitpunkt zum Start ist früh. Denn sechs bis zwölf Monate klingen lang, vergehen aber schnell. Ein sauberer Fahrplan spart Geld und Nerven. Zudem entsteht ein System, das nicht nur ein Zertifikat bringt, sondern echte Sicherheit. Wer den Weg strukturiert angeht, nutzt gern eine begleitende ISMS-Beratung nach ISO 27001 für die kritischen Phasen.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren