ISO-27001-Zertifizierung: Ablauf und Kosten

Wer eine ISO-27001-Zertifizierung durchführt

Zertifikate nach ISO/IEC 27001 vergeben Zertifizierungsstellen, die für diesen Bereich akkreditiert sind. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) dafür zuständig; ihre Datenbank zeigt, welche Stellen für Informationssicherheits-Managementsysteme akkreditiert sind. Grundlage der Akkreditierung sind die Normen ISO/IEC 17021-1 und ISO/IEC 27006. Achten Sie darauf, dass das Zertifikat ein Akkreditierungszeichen trägt; nicht akkreditierte Zertifikate werden von Kunden und Behörden oft nicht anerkannt.

Daneben gibt es die ISO-27001-Zertifizierung auf Basis von IT-Grundschutz. Hier prüft ein vom BSI zertifizierter Auditor, und das BSI selbst erteilt das Zertifikat. Sie ist für die Standard- und die Kern-Absicherung möglich; für die Basis-Absicherung bietet das BSI ein Testat an.

Ablauf in fünf Phasen

1. Vorbereitung und Aufbau des ISMS

• Ziele und Geltungsbereich festlegen
• Verantwortliche benennen, Rückhalt der Geschäftsleitung sichern
• Informationswerte und Prozesse erfassen
• Risikobeurteilung durchführen und Risikobehandlung planen
• Statement of Applicability erstellen
• Richtlinien und Verfahren in Kraft setzen, Maßnahmen umsetzen
• Beschäftigte schulen

2. Betrieb und interne Prüfung

Bevor das Zertifizierungsaudit sinnvoll ist, sollte das ISMS einige Zeit gelaufen sein, damit Nachweise entstehen. Mindestens ein vollständiges internes Audit und eine Managementbewertung sollten vorliegen, weil die Norm beides fordert und die Auditoren danach fragen.

3. Stufe-1-Audit

Die Zertifizierungsstelle prüft Dokumentation, Geltungsbereich, Risikobeurteilung und Statement of Applicability und beurteilt, ob das Unternehmen für die zweite Stufe bereit ist. Festgestellte Schwachstellen sind bis zur Stufe 2 zu beheben.

4. Stufe-2-Audit

Die Auditoren prüfen vor Ort oder teilweise remote, ob das ISMS wie beschrieben umgesetzt ist und wirkt: Interviews, Stichproben, Begehungen, Einsicht in Nachweise. Abweichungen werden als Nichtkonformitäten festgehalten. Schwere Abweichungen müssen vor Erteilung des Zertifikats behoben sein, für leichtere genügt in der Regel ein Maßnahmenplan.

5. Zertifikat und Aufrechterhaltung

Das Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen finden Überwachungsaudits statt, im dritten Jahr ein Rezertifizierungsaudit. Das ISMS muss also dauerhaft betrieben werden; interne Audits und Managementbewertung gehören zum jährlichen Pflichtprogramm.

Was im Audit typischerweise geprüft wird

Auditoren interessieren sich weniger für schön formulierte Richtlinien als für Belege, dass das System funktioniert. Typische Fragen sind:

• Wie wurde der Geltungsbereich festgelegt, und passt er zu den tatsächlichen Abläufen?
• Ist die Risikobeurteilung nachvollziehbar, und wurden die Ergebnisse in Maßnahmen umgesetzt?
• Kennen die Beschäftigten die für sie relevanten Regeln?
• Wie werden Berechtigungen vergeben und entzogen, und gibt es Nachweise dafür?
• Wurden Datensicherungen getestet, und ist das dokumentiert?
• Wie wurden Sicherheitsvorfälle behandelt, und welche Lehren wurden gezogen?
• Hat die Geschäftsleitung die Managementbewertung durchgeführt und Entscheidungen getroffen?

Dauer

Wie lange die Vorbereitung dauert, hängt vom Ausgangszustand ab. Unternehmen mit etablierten IT-Prozessen und vorhandener Dokumentation kommen deutlich schneller voran als solche, die bei null beginnen. Planen Sie realistisch mehrere Monate ein und rechnen Sie die Betriebsphase vor dem Audit mit ein. Zusagen wie «zertifiziert in wenigen Wochen» sollten Sie kritisch prüfen.

Kostentreiber

Auf feste Beträge verzichten wir hier bewusst, weil sie stark vom Einzelfall abhängen. Die wesentlichen Einflussgrößen sind:

• Geltungsbereich: Zahl der Standorte, Beschäftigten im Scope und Komplexität der IT
• Ausgangslage: vorhandene Richtlinien, Prozesse, technische Maßnahmen
• Eigenleistung: wie viel interne Arbeitszeit Sie einsetzen können
• Beratung: ob und in welchem Umfang externe Unterstützung nötig ist
• Auditaufwand: die Zertifizierungsstelle berechnet die Audittage nach Vorgaben aus ISO/IEC 27006, abhängig von Beschäftigtenzahl und Komplexität
• Technische Lücken: Investitionen, etwa in Backup, Protokollierung oder Zugriffsschutz
• Laufende Kosten: Überwachungs- und Rezertifizierungsaudits, Pflege des ISMS, Schulungen

Holen Sie Angebote mehrerer akkreditierter Stellen ein und vergleichen Sie die angesetzten Audittage, nicht nur den Tagessatz.

Tipps für mittelständische Betriebe

• Scope bewusst wählen: Ein klar abgegrenzter Geltungsbereich senkt den Aufwand. Er muss aber zu dem passen, was Kunden oder Gesetzgeber erwarten. Für NIS-2 gilt die gesamte Einrichtung.
• Vorhandenes nutzen: Datenschutzdokumentation, Notfallpläne, IT-Betriebshandbücher und Verträge enthalten oft schon viel von dem, was die Norm verlangt.
• Vorlagen anpassen: Gekaufte Dokumentenpakete sparen Zeit, müssen aber an den Betrieb angepasst werden. Auditoren erkennen ungepasste Vorlagen schnell.
• Voraudit erwägen: Ein internes Audit durch eine erfahrene Person vor der Stufe 1 deckt Lücken auf, solange noch Zeit zum Nachbessern ist.
• Kontinuität planen: Legen Sie fest, wer das ISMS nach der Zertifizierung betreibt. Ohne Zuständigkeit wird das erste Überwachungsaudit schwierig.
• Beschäftigte einbinden: Interviews im Audit gelingen besser, wenn die Beschäftigten die Regeln aus der Praxis kennen und nicht erst kurz vorher davon erfahren.