ISO 27001 · Zertifizierung
ISO 27001: Ablauf und Dauer der Zertifizierung Schritt für Schritt
Lesezeit etwa 14 Minuten · Stand Juli 2026
Eine ISO 27001 Zertifizierung ist der formale Nachweis, dass ein Unternehmen ein Informationssicherheits-Managementsystem (ISMS) nach der Norm ISO/IEC 27001 betreibt. Eine unabhängige, akkreditierte Zertifizierungsstelle prüft das System und stellt bei Erfolg ein Zertifikat aus. Zertifiziert wird also nicht ein Produkt, sondern die Art, wie eine Organisation Informationssicherheit steuert.
Die Unabhängigkeit ist dabei kein Formalismus: In Deutschland werden Zertifizierungsstellen von der Deutschen Akkreditierungsstelle (DAkkS) akkreditiert. Nur ein Zertifikat einer akkreditierten Stelle hat im Markt und in Ausschreibungen echtes Gewicht. Voraussetzung für die Zertifizierung ist ein funktionierendes ISMS. Das Zertifikat ist die Bestätigung, nicht der Aufbau.
Die aktuelle Fassung ist die ISO/IEC 27001:2022. Sie beschreibt die Anforderungen an das Managementsystem in den Kapiteln 4 bis 10 und listet im Annex A 93 mögliche Sicherheitsmaßnahmen. Wer sich zertifizieren lässt, weist damit gegenüber Kunden, Partnern und Behörden nach, dass Informationssicherheit bei ihm kein Zufall, sondern gesteuerter Regelbetrieb ist.
Zertifiziert wird nicht das Versprechen, sondern das gelebte System, geprüft in 2 Stufen.
Wer sollte sich nach ISO 27001 zertifizieren lassen?
Eine ISO 27001 Zertifizierung ist freiwillig, bis der Markt sie einfordert. Für die meisten Mittelständler ist nicht die Frage, ob Informationssicherheit sinnvoll ist, sondern ob der formale Nachweis nach außen einen konkreten Gegenwert bringt. In diesen Situationen lohnt sich die Zertifizierung fast immer:
- Kundenanforderung: Ein wichtiger Auftraggeber verlangt das Zertifikat als Voraussetzung für die Zusammenarbeit.
- Ausschreibungen: Öffentliche und große private Ausschreibungen setzen ISO 27001 zunehmend als Mindestkriterium.
- Regulierung: Wer unter NIS2 fällt, erfüllt mit einem zertifizierten ISMS einen Großteil der Pflichten und hat den Nachweis gleich mit.
- Wettbewerb: In sicherheitssensiblen Branchen wird das Zertifikat zum Verkaufsargument, das Wettbewerber ohne Nachweis ausschließt.
- Eigenes Risiko: Unternehmen mit hohem Schutzbedarf nutzen die Zertifizierung als externe Qualitätssicherung ihrer Sicherheit.
Umgekehrt gilt: Wer keinen dieser Treiber hat, muss nicht sofort zertifizieren. Ein gelebtes ISMS ohne Zertifikat ist oft der pragmatische erste Schritt, mit der Option, später aufzusatteln, wenn der erste Kunde den Nachweis verlangt.
Welche Voraussetzungen müssen vor der Zertifizierung erfüllt sein?
Bevor die Zertifizierungsstelle überhaupt anreist, muss das ISMS vollständig aufgebaut sein und mindestens einen kompletten Zyklus durchlaufen haben. Ohne diese Grundlagen scheitert bereits die erste Auditstufe. Die wichtigsten Voraussetzungen im Überblick:
- Definierter Geltungsbereich (Scope): klar abgegrenzt, welche Standorte, Prozesse und Systeme das ISMS umfasst.
- Informationssicherheitsleitlinie und Richtlinien: von der Leitung verabschiedet und in Kraft.
- Risikoanalyse und Risikobehandlung: Risiken bewertet, Behandlungsentscheidungen dokumentiert.
- Anwendbarkeitserklärung (Statement of Applicability): begründet, welche der 93 Annex-A-Controls anwendbar sind, das Herzstück im Audit.
- Umgesetzte Maßnahmen und Nachweise: die ausgewählten Controls sind gelebt und belegt.
- Internes Audit: mindestens einmal durchgeführt, mit dokumentierten Findings.
- Managementbewertung: die Geschäftsleitung hat das ISMS bewertet und Beschlüsse gefasst.
Diese Liste ist zugleich eine gute Selbstprüfung: Fehlt einer der Punkte, ist das Unternehmen noch nicht auditreif. Eine ehrliche Gap-Analyse zu Beginn zeigt genau diese Lücken und verhindert, dass man den teuren Audittermin verbrennt.
Internes Audit und Managementbewertung: die Generalprobe
2 Pflichtübungen entscheiden darüber, ob ein ISMS auditreif ist: das interne Audit und die Managementbewertung. Beide sind in der ISO 27001 vorgeschrieben, in den Abschnitten 9.2 und 9.3. Zugleich sind sie die beste Generalprobe für das externe Audit.
Das interne Audit prüft unabhängig, ob das ISMS wie geplant funktioniert. Entscheidend ist die Unabhängigkeit: Niemand auditiert den eigenen Bereich. Kleine Unternehmen lösen das über wechselseitige Prüfung oder einen externen Auditor. Gefundene Abweichungen werden dokumentiert und über eine Ursachenanalyse behoben, nicht überdeckt, denn ein ehrliches internes Audit ist wertvoller als ein makelloses.
Die Managementbewertung bringt die Ergebnisse auf den Tisch der Geschäftsleitung: Kennzahlen, Auditergebnisse, offene Risiken, Vorfälle und Verbesserungsvorschläge. Die Leitung entscheidet über Ressourcen und Prioritäten und hält diese Beschlüsse fest. Genau dieses Protokoll will der externe Auditor in Stage 1 sehen. Wer beide Schritte ernst nimmt, geht ohne böse Überraschungen ins Zertifizierungsaudit. Die meisten Abweichungen hat man dann längst selbst gefunden und korrigiert.
Wie läuft das Zertifizierungsaudit ab? Stage 1 und Stage 2
Das eigentliche Zertifizierungsaudit läuft in 2 Stufen ab. In Stage 1 prüft der Auditor die Dokumentation und die grundsätzliche Auditreife, in Stage 2 die praktische Umsetzung vor Ort. Erst wenn beide Stufen ohne schwerwiegende Abweichungen bestanden sind, wird das Zertifikat ausgestellt.
| Merkmal | Stage 1 | Stage 2 |
|---|---|---|
| Fokus | Dokumentenprüfung, Auditreife | Wirksamkeit in der Praxis |
| Was geprüft wird | Leitlinie, Scope, Risikoanalyse, SoA, internes Audit, Management-Review | gelebte Prozesse, Interviews, Stichproben, Nachweise |
| Ort | oft remote oder kurz vor Ort | vor Ort in der Organisation |
| Ergebnis | Freigabe für Stage 2 oder Nacharbeit | Zertifizierungsempfehlung oder Abweichungen |
| Abstand | meist einige Wochen vor Stage 2 | entfällt |
Zwischen den beiden Stufen liegen in der Regel einige Wochen, in denen kleinere Beobachtungen aus Stage 1 nachgebessert werden. In Stage 2 spricht der Auditor bewusst mit Mitarbeitern aus dem Tagesgeschäft, nicht nur mit dem Sicherheitsbeauftragten. Genau hier zeigt sich, ob das ISMS gelebt wird oder nur auf dem Papier existiert, der häufigste Grund für Abweichungen.
Wie viele Audit-Tage anfallen, richtet sich vor allem nach Mitarbeiterzahl und Komplexität des Geltungsbereichs; die akkreditierten Stellen orientieren sich dabei an anerkannten Rahmenwerken zur Auditdauer. Für einen kleinen Mittelständler bewegt sich das Zertifizierungsaudit oft im Bereich weniger Personentage, für größere Organisationen entsprechend mehr. Anwesend sein sollten neben dem Informationssicherheitsbeauftragten auch die jeweils fachlich Verantwortlichen. Der Auditor will mit denen sprechen, die die Prozesse täglich leben, nicht nur mit dem Projektleiter.
Wie reif ist Ihr ISMS für Stage 1?
Der kostenlose Reifegrad-Check verortet Ihren Stand entlang der Normkapitel, die ehrlichste Vorbereitung auf das erste Auditgespräch.
Wie lange dauert eine ISO 27001 Zertifizierung?
Als Richtwert dauert der Weg zur ISO 27001 Zertifizierung zwischen 6 und 18 Monaten. Im Mittelstand ohne nennenswerte Vorarbeit sind meist 9 bis 12 Monate realistisch. Diese Spannen sind Orientierung, keine Garantie. Die tatsächliche Dauer hängt stark von der technischen Reife und der verfügbaren internen Zeit ab.
| Phase | Typische Dauer (Richtwert) |
|---|---|
| Gap-Analyse & Projektplanung | 2 bis 4 Wochen |
| ISMS-Aufbau (Richtlinien, Risikoanalyse, SoA) | 2 bis 4 Monate |
| Maßnahmen umsetzen & einschwingen lassen | 2 bis 5 Monate |
| Internes Audit & Managementbewertung | 3 bis 6 Wochen |
| Stage-1- und Stage-2-Audit | 4 bis 8 Wochen (inkl. Wartezeit auf Auditor) |
2 Faktoren werden regelmäßig unterschätzt. Erstens braucht ein ISMS eine „Einschwingzeit“: Auditoren wollen sehen, dass Prozesse über mehrere Monate gelebt wurden, nicht erst seit letzter Woche. Zweitens sind die Terminkalender akkreditierter Zertifizierungsstellen oft Monate im Voraus gefüllt. Wer den Auditor zu spät bucht, verliert Zeit, die er organisatorisch längst aufgeholt hätte. Deshalb gilt: Audittermin früh reservieren.
Die gute Nachricht für den Mittelstand: Ein großer Teil dieser Zeit ist organisatorische Arbeit, die parallel zum Tagesgeschäft läuft, kein Vollzeitprojekt. Wer den Aufbau von Beginn an mit einer Plattform strukturiert und Nachweise laufend statt rückwirkend sammelt, verkürzt vor allem die nervenaufreibende Endphase vor dem Audit. Ein festes Datum lässt sich dennoch erst dann seriös nennen, wenn Reifegrad und Scope bekannt sind. Alles andere ist ein Versprechen ins Blaue.
Was hat sich mit der ISO 27001:2022 geändert?
Wer sich heute zertifizieren lässt, tut das nach der Fassung ISO/IEC 27001:2022. Sie hat die Vorgängerversion von 2013 abgelöst und vor allem den Maßnahmenkatalog im Annex A modernisiert. Für den Aufbau eines ISMS ist es wichtig, gleich mit der aktuellen Struktur zu arbeiten.
Der Annex A umfasst nun 93 Controls, gegliedert in 4 Themengruppen:
| Gruppe | Thema | Anzahl Controls |
|---|---|---|
| A.5 | Organisatorische Maßnahmen | 37 |
| A.6 | Personelle Maßnahmen | 8 |
| A.7 | Physische Maßnahmen | 14 |
| A.8 | Technologische Maßnahmen | 34 |
Die 2022er-Fassung führte 11 neue Controls ein, darunter Bedrohungsanalyse (Threat Intelligence), Informationssicherheit bei Cloud-Diensten und sichere Softwareentwicklung. Sie bündelte damit die zuvor 114 Controls in 14 Domänen zu einer schlankeren, thematisch klareren Struktur. Für Unternehmen bedeutet das: weniger Redundanz und eine Gliederung, die besser zu modernen IT-Landschaften passt. Details zu allen Gruppen liefert später unser Ratgeber zum Annex A der ISO 27001.
Wie funktioniert der Drei-Jahres-Zyklus mit Überwachungsaudits?
Mit dem Zertifikat ist die Arbeit nicht vorbei. Sie geht in den Regelbetrieb über. Ein ISO-27001-Zertifikat ist in der Regel 3 Jahre gültig und an jährliche Überwachungsaudits gebunden. Wer diese versäumt, verliert die Zertifizierung, auch wenn das ausgestellte Zertifikat formal noch läuft.
| Jahr | Aktivität |
|---|---|
| Jahr 0 | Zertifizierungsaudit (Stage 1 + Stage 2), Ausstellung des Zertifikats |
| Jahr 1 | 1. Überwachungsaudit (Surveillance): Stichprobe, kein Vollaudit |
| Jahr 2 | 2. Überwachungsaudit |
| Jahr 3 | Rezertifizierungsaudit: erneut umfassender, Verlängerung um 3 Jahre |
Die Überwachungsaudits sind schlanker als das Erstaudit, prüfen aber gezielt, ob das ISMS weiterhin gelebt und kontinuierlich verbessert wird. Genau deshalb ist der PDCA-Gedanke kein theoretisches Beiwerk: Ein ISMS, das nach dem Zertifikat einschläft, fällt spätestens im nächsten Surveillance-Audit auf.
Welche Abweichungen drohen und wie vermeidet man sie?
Findet der Auditor Lücken, hält er sie als Abweichungen (Nonkonformitäten) fest. Unterschieden wird zwischen schwerwiegenden (Major) und geringfügigen (Minor) Abweichungen. Eine Major-Abweichung verhindert die Zertifizierung, bis sie behoben ist; Minor-Abweichungen erlauben die Zertifizierung gegen einen verbindlichen Korrekturmaßnahmenplan.
Die häufigsten Abweichungen sind selten technischer Natur, sondern betreffen die Lücke zwischen Papier und gelebter Praxis:
- Gelebtes vs. dokumentiertes ISMS: Richtlinien existieren, aber die Mitarbeiter kennen oder befolgen sie nicht.
- Veraltete Risikoanalyse: einmal erstellt, seither nicht mehr aktualisiert.
- Fehlende Wirksamkeitsmessung: keine Kennzahlen nach Abschnitt 9.1.
- Unvollständige Nachweise: Schulungen, interne Audits oder Management-Reviews sind nicht belegt.
- Inkonsistente Anwendbarkeitserklärung: die SoA passt nicht zu den tatsächlich umgesetzten Maßnahmen.
Die beste Vorbeugung ist ein internes Audit, das ehrlich prüft, statt Häkchen zu setzen, idealerweise ergänzt um ein Pre-Audit durch einen erfahrenen Dritten. Findings, die man selbst findet, kosten deutlich weniger als solche, die der externe Auditor entdeckt.
Was kostet eine ISO 27001 Zertifizierung?
Die Kosten einer ISO 27001 Zertifizierung lassen sich nicht seriös mit einer einzigen Zahl beantworten. Sie hängen von Unternehmensgröße, Scope und Reifegrad ab. Grob gliedern sie sich in 4 Blöcke: den ISMS-Aufbau (inklusive Plattform oder Beratung), das zweistufige Zertifizierungsaudit, den internen Personalaufwand und die jährlichen Überwachungsaudits.
Hinzu kommen leicht übersehene Posten wie Produktivitätsverlust während des Aufbaus oder die Migration bestehender Dokumentation. Umgekehrt gibt es echtes Sparpotenzial: Wer die Synergien mit NIS2 und dem Datenschutz nutzt, dokumentiert einmal statt dreifach. Eine detaillierte Aufschlüsselung der Kostenblöcke nach Unternehmensgröße finden Sie in unserem Ratgeber Was kostet eine ISO 27001 Zertifizierung wirklich?. Ob ISO 27001 oder der deutsche Weg der bessere ist, klärt der Vergleich ISO 27001 oder BSI IT-Grundschutz.
Wie hängen ISO 27001, NIS2 und TISAX zusammen?
Ein häufiges Missverständnis: Jede Norm brauche ihr eigenes Projekt. Tatsächlich ist die ISO 27001 die gemeinsame Basis, auf der andere Nachweise aufsetzen. Wer sie sauber aufbaut, hat den Großteil der Arbeit für NIS2 und TISAX bereits erledigt. Die Standards überschneiden sich erheblich.
- NIS2: Ein ISMS nach ISO 27001 deckt einen Großteil der Risikomanagement-Anforderungen aus NIS2 ab. Es bleiben NIS2-Spezifika wie Registrierung und Meldewege, aber kein zweites Managementsystem.
- TISAX: Der VDA-ISA-Katalog hinter TISAX überschneidet sich nach Branchenangaben in der Größenordnung von rund 75 % mit der ISO 27001, ein Richtwert, keine feste Quote. Wer beides braucht, baut einmal auf und weist zweifach nach.
- Datenschutz: Viele technische und organisatorische Maßnahmen erfüllen zugleich Anforderungen aus Artikel 32 DSGVO.
Genau das ist der Kern der Idee „einmal erfassen, über alle Normen nutzen“. Statt 3 Silos entsteht eine Datenbasis, aus der jede Norm nur eine andere Sicht ist. Das spart nicht nur beim Aufbau, sondern jedes Jahr aufs Neue bei Pflege und Audit.
Wie bereitet man sich effizient auf die Zertifizierung vor?
Effiziente Vorbereitung heißt: die richtigen Dinge in der richtigen Reihenfolge tun und den Audittermin früh sichern. Wer strukturiert vorgeht, kürzt die Projektdauer spürbar ab, ohne an Substanz zu sparen. Bewährt hat sich dieser Fahrplan:
- Gap-Analyse zuerst: ehrlicher Ist-Soll-Abgleich, bevor Ressourcen fließen.
- Prioritäten setzen: zuerst die Lücken schließen, die im Audit sicher geprüft werden.
- Nachweise von Anfang an sammeln: nicht erst kurz vor dem Audit rekonstruieren.
- Auditor früh buchen: akkreditierte Stellen sind oft Monate ausgebucht.
- Pre-Audit einplanen: ein Probelauf entlarvt Abweichungen, solange sie noch billig zu beheben sind.
Genau an dieser Stelle spielt eine ISMS-Plattform ihre Stärke aus. Mit sehen Sie Ihren Reifegrad und die Audit-Readiness jederzeit auf einem Dashboard, Nachweise entstehen automatisch im laufenden Betrieb und die Anwendbarkeitserklärung bleibt konsistent zu den umgesetzten Maßnahmen. So verschiebt sich der Aufwand von der hektischen Endphase in einen ruhigen Regelbetrieb.
Den Weg zur Zertifizierung nicht allein gehen
Von der Gap-Analyse bis zum Stage-2-Audit: Wir begleiten Sie mit Plattform und externem ISB, mit ehrlicher Zeitachse statt Wunschterminen.
Häufige Fragen: ISO 27001: Ablauf und Dauer der Zertifiz
Wie lange dauert eine ISO 27001 Zertifizierung?
Als Richtwert 6 bis 18 Monate, im Mittelstand ohne Vorarbeit meist 9 bis 12 Monate. Die tatsächliche Dauer hängt von technischer Reife und interner Kapazität ab. Ein wichtiger, oft unterschätzter Faktor ist die Wartezeit auf einen Termin bei der akkreditierten Zertifizierungsstelle.
Wie lange ist ein ISO-27001-Zertifikat gültig?
In der Regel 3 Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, nach 3 Jahren folgt ein umfassenderes Rezertifizierungsaudit. Werden die Überwachungsaudits versäumt, kann die Zertifizierung ausgesetzt oder entzogen werden, auch wenn das Zertifikat formal noch läuft.
Was ist der Unterschied zwischen Stage 1 und Stage 2?
Stage 1 ist die Dokumenten- und Reifeprüfung: Der Auditor sichtet Leitlinie, Scope, Risikoanalyse und Anwendbarkeitserklärung. Stage 2 prüft vor Ort die gelebte Praxis mit Interviews und Stichproben. Erst wenn beide Stufen ohne schwerwiegende Abweichung bestehen, wird zertifiziert.
Was kostet eine ISO 27001 Zertifizierung?
Das lässt sich nicht pauschal beziffern; es hängt von Größe, Scope und Reifegrad ab. Die Kosten verteilen sich auf Aufbau, Zertifizierungsaudit, internen Aufwand und Überwachungsaudits. Eine Aufschlüsselung nach Unternehmensgröße bietet unser Ratgeber zu den ISO 27001 Kosten.
Brauchen wir für die Zertifizierung eine externe Beratung?
Nicht zwingend. Kleine Unternehmen mit interner Kompetenz schaffen es allein, viele holen sich Unterstützung für Risikoanalyse, Anwendbarkeitserklärung und Pre-Audit. Sinnvoll ist der Anteil, der Lücken schließt, die die Organisation allein nicht schließen kann, nicht mehr und nicht weniger.
Was passiert bei einer Abweichung im Audit?
Es kommt auf die Schwere an. Eine schwerwiegende Abweichung (Major) verhindert die Zertifizierung, bis sie behoben ist. Eine geringfügige (Minor) erlaubt die Zertifizierung gegen einen verbindlichen Korrekturmaßnahmenplan. Beides wird im nächsten Audit auf Umsetzung geprüft.
Deckt eine ISO 27001 Zertifizierung auch NIS2 ab?
Zu einem großen Teil, aber nicht vollständig. Ein ISMS nach ISO 27001 erfüllt viele NIS2-Anforderungen, doch NIS2 bringt eigene Pflichten wie Registrierung und Meldewege mit. Prüfen Sie zuerst Ihre NIS2-Betroffenheit und nutzen Sie die Synergien.
Kann man ein ISMS ohne Zertifizierung betreiben?
Ja. Ein ISMS ist auch ohne Zertifikat wirksam und erfüllt gesetzliche Anforderungen. Die Zertifizierung wird dann sinnvoll, wenn Kunden oder Ausschreibungen einen anerkannten Nachweis verlangen. Grundlagen dazu erklärt unser Ratgeber Was ist ein ISMS?.
ISO 27001 Zertifizierung auf einen Blick
| Norm | ISO/IEC 27001:2022 |
|---|---|
| Zertifiziert wird | das Informationssicherheits-Managementsystem (ISMS) |
| Prüfende Stelle | akkreditierte Zertifizierungsstelle (in Deutschland DAkkS-akkreditiert) |
| Ablauf | Stage 1 (Dokumentenprüfung) + Stage 2 (Vor-Ort-Audit) |
| Dauer (Richtwert) | 6 bis 18 Monate; Mittelstand ohne Vorarbeit meist 9 bis 12 Monate |
| Gültigkeit | 3 Jahre, mit jährlichen Überwachungsaudits |
| Rezertifizierung | umfassendes Audit vor Ablauf der 3 Jahre |
| Voraussetzung | vollständig aufgebautes, gelebtes ISMS inkl. internem Audit & Management-Review |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.