ISO-27001-Audit vorbereiten: Was prüft der Auditor?

Im ISO-27001-Zertifizierungsaudit prüft eine akkreditierte Zertifizierungsstelle in zwei Stufen: Stufe 1 klärt anhand der Dokumentation, ob Ihr ISMS auditbereit ist, Stufe 2 prüft per Stichprobe, ob es wirksam läuft. Ist eine Hauptabweichung nicht binnen sechs Monaten nach Stufe 2 verifiziert behoben, folgt nach ISO/IEC 17021-1 eine neue Stufe 2. Das KaitoSec Team zeigt, welche Nachweise der Auditor sehen will.

Wie läuft ein ISO-27001-Zertifizierungsaudit ab?

Ein ISO-27001-Zertifizierungsaudit läuft in zwei Stufen ab: Stufe 1 prüft Dokumentation und Auditbereitschaft, Stufe 2 die Wirksamkeit des ISMS im Betrieb. Danach entscheidet die Zertifizierungsstelle unabhängig vom Auditteam über das Zertifikat, das einen Zyklus von drei Jahren eröffnet. Die Regeln, nach denen die Zertifizierungsstelle auditiert, legen ISO/IEC 17021-1 und ISO/IEC 27006-1 fest.

Stufe-1-Audit (Stage 1) und Stufe-2-Audit (Stage 2) bilden zusammen das Erstzertifizierungsaudit. Achten Sie auf eine akkreditierte Zertifizierungsstelle; in Deutschland akkreditiert die DAkkS. Grundlage sind ISO/IEC 17021-1 mit den allgemeinen Anforderungen an Stellen, die Managementsysteme zertifizieren, und ISO/IEC 27006-1:2024 mit den ISMS-spezifischen Zusatzanforderungen. Ob eine Stelle für ISO/IEC 27001 akkreditiert ist, zeigt die Suche nach akkreditierten Stellen der DAkkS.

Der Ablauf in fünf Schritten:

• Die Zertifizierungsstelle erstellt nach Ihren Angaben zum Geltungsbereich ein Angebot mit Auditzeit.
• Im Stufe-1-Audit prüft der Auditor Dokumentation, Geltungsbereich und die Bereitschaft für Stufe 2.
• Im Stufe-2-Audit prüft das Auditteam per Stichprobe, Interview und Beobachtung die Wirksamkeit.
• Die Zertifizierungsentscheidung trifft Personal der Stelle, das nicht selbst auditiert hat.
• Nach der Entscheidung folgen Überwachungsaudits und im dritten Jahr die Rezertifizierung.

Die Auditzeit leitet die Stelle nach ISO/IEC 27006-1 unter anderem aus der Zahl der Personen im Geltungsbereich ab. Für die Budgetplanung lesen Sie, was das Zertifizierungsaudit kostet und wie sich die Audittage ergeben. Bei mehreren Standorten kann die Stelle nach IAF MD 1 (IAF-Dokumentenliste) eine Standort-Stichprobe ziehen, statt jeden Standort zu auditieren.

Wie das praktisch aussieht, zeigen die DQS-Auditierungs- und Zertifizierungsregeln: Die Ergebnisse werden dort „durch unabhängiges Personal der jeweiligen DQS-Zertifizierungsstelle bewertet“, die Empfehlung des Auditteams ist „für sie nicht bindend“.

KaitoSec ist keine Zertifizierungsstelle; dieser Leitfaden ordnet die Regeln ein, die für Zertifizierungsstellen gelten.

Was prüft der Auditor im Stufe-1-Audit nach ISO 27001?

Im Stufe-1-Audit prüft der Auditor, ob Ihr ISMS dokumentiert, im Geltungsbereich klar abgegrenzt und reif für Stufe 2 ist. ISO/IEC 17021-1 verlangt dabei ausdrücklich zu bewerten, ob interne Audits und Managementbewertung geplant und durchgeführt werden. Stufe 1 entscheidet nicht über das Zertifikat, kann Stufe 2 aber verschieben.

ISO/IEC 17021-1, Abschnitt 9.3.1.2, gibt Stufe 1 mehrere Aufgaben. Der Auditor prüft die dokumentierte Information Ihres Managementsystems und verschafft sich ein Bild von Standortbedingungen und Geltungsbereich. Er klärt, wie Sie die Normanforderungen verstanden haben, vor allem bei Leistungsindikatoren, wesentlichen Aspekten, Prozessen und Zielen, und plant mit Ihnen Ressourcen und Ablauf für Stufe 2. Die DQS-Auditierungsregeln beschreiben Stufe 1 als „eine Analyse und Bewertung der Systemdokumentation, der Ziele, der Ergebnisse des Managementreviews sowie der internen Audits“.

Diese Unterlagen fordert der Auditor für Stufe 1 typischerweise an:

• Geltungsbereich des ISMS mit Standorten, Prozessen und Schnittstellen zu Dienstleistern und anderen Bereichen
• Informationssicherheitsleitlinie, von der obersten Leitung freigegeben und im Unternehmen bekannt gemacht
• Methodik für Risikobeurteilung und Risikobehandlung samt aktueller Ergebnisse und Risikobehandlungsplan
• Anwendbarkeitserklärung (SoA) mit Begründung für jede ein- oder ausgeschlossene Annex-A-Maßnahme
• Informationssicherheitsziele mit Verantwortlichen, Terminen und einer Angabe, wie Sie Erfolg messen
• Auditprogramm und Bericht des internen Audits, einschließlich festgestellter Abweichungen und eingeleiteter Maßnahmen
• Protokoll der Managementbewertung mit den Eingaben und Entscheidungen der obersten Leitung

Ein internes Audit, das erst nach Stufe 1 stattfindet, kann der Auditor dort nicht bewerten. Wie Sie das interne Audit nach ISO 27001 planen, lesen Sie in unserem Wissensbereich.

Bedenken aus Stufe 1, die in Stufe 2 zu einer Abweichung führen könnten, dokumentiert der Auditor und teilt sie Ihnen vor Stufe 2 mit (ISO/IEC 17021-1, 9.3.1.2.3). Die Zertifizierungsordnung von TÜV AUSTRIA Deutschland sieht vor, dass Stufe 2 bei festgestellten Mängeln „erst nach Behebung der Mängel durch den Kunden fortgesetzt“ wird. Den Abstand zwischen beiden Stufen legt die Zertifizierungsstelle fest; die Norm nennt keinen festen Zeitraum.

Stufe 1 ist der günstigste Zeitpunkt, Lücken zu finden. Reichen Sie die Unterlagen deshalb vollständig und freigegeben ein, statt Entwürfe nachzuliefern.

Was prüft der Auditor im Stufe-2-Audit?

Im Stufe-2-Audit prüft das Auditteam, ob Ihr ISMS so umgesetzt ist, wie es dokumentiert ist, und ob es wirkt. Dazu zieht es Stichproben aus Aufzeichnungen, befragt Beschäftigte und beobachtet Abläufe, quer über alle Klauseln 4 bis 10 und die anwendbaren Annex-A-Maßnahmen. Am Ende stehen Feststellungen und eine Empfehlung an die Zertifizierungsstelle.

ISO/IEC 17021-1, Abschnitt 9.3.1.3, nennt als Ziel von Stufe 2, die Umsetzung des Managementsystems einschließlich seiner Wirksamkeit zu bewerten. Die DQS-Auditierungsregeln beschreiben ihre Bewertung als „basierend auf deren Beobachtungen, Überprüfungen, Befragungen, Durchsicht der dazugehörigen Unterlagen und weiteren Audittechniken“. Im ISMS sieht das zum Beispiel so aus:

• Für eine Stichprobe wählt der Auditor aus der Anwendbarkeitserklärung (SoA) eine Annex-A-Maßnahme wie A.5.18 Zugangsrechte und verlangt Nachweise ihrer Anwendung, etwa Protokolle einer Berechtigungsrezertifizierung.
• Im Interview erklärt eine Fachbereichsleitung, wie ein Sicherheitsvorfall gemeldet wird. Der Auditor vergleicht die Antwort mit dem dokumentierten Prozess.
• Entlang der Wirkungskette verfolgt der Auditor ein Risiko über die Behandlungsentscheidung zur Maßnahme, zu ihrem Nachweis und zur Akzeptanz des Restrisikos. Wie diese Kette entsteht, lesen Sie im Beitrag, wie Sie Risiken nach ISO 27005 bewerten und behandeln.
• Bei der Beobachtung vor Ort achtet der Auditor auf Bildschirmsperre, Zutrittsregelung und den Umgang mit Besuchern.

Stufe 1 und Stufe 2 im Vergleich. Zusammenstellung des KaitoSec Teams auf Basis von ISO/IEC 17021-1 und veröffentlichten Auditierungsregeln von Zertifizierungsstellen.

Merkmal	Stufe-1-Audit	Stufe-2-Audit
Leitfrage	Ist das ISMS dokumentiert und bereit für Stufe 2?	Ist das ISMS umgesetzt und wirksam?
Schwerpunkt	Dokumentation, Geltungsbereich, Planung von Stufe 2	Aufzeichnungen, Interviews, Beobachtung im Betrieb
Internes Audit und Managementbewertung	Geprüft wird, ob beide geplant und durchgeführt sind.	Geprüft wird, ob ihre Ergebnisse zu Maßnahmen geführt haben.
Annex-A-Maßnahmen	Anwendbarkeitserklärung und Begründungen	Nachweise der Anwendung per Stichprobe
Ort	Vor Ort oder remote, nach Festlegung der Stelle	Vor Ort oder remote nach IAF MD 4 und Festlegung der Stelle
Ergebnis	Bedenken und Hinweise zur Vorbereitung von Stufe 2	Feststellungen und Empfehlung zur Zertifizierungsentscheidung

In einer Stichprobe prüft der Auditor nicht alles, aber jede gezogene Stelle muss tragen. Die DQS-Regeln halten fest: „Die meisten Feststellungen basieren auf einem Stichprobenprozess“. Eine Lücke in der Stichprobe wird zur Feststellung.

Befragt wird nicht nur die oder der Informationssicherheitsbeauftragte. Der Auditor spricht mit der Geschäftsleitung zu Klausel 5 (Führung), mit Fachbereichen und mit dem IT-Betrieb. Bereiten Sie diese Rollen darauf vor, wo ihre Nachweise liegen.

Vor Stufe 2 schickt die Zertifizierungsstelle einen Auditplan, aus dem hervorgeht, wer wann zu welchem Thema befragt wird. Das Audit beginnt mit einem Eröffnungsgespräch. Im Abschlussgespräch stellt das Auditteam nach den DQS-Regeln Feststellungen und Empfehlung vor, bei Bedarf werden Maßnahmenpläne vereinbart. Die Feststellungen stehen anschließend im Auditbericht, der Grundlage für Ihren Korrekturmaßnahmenplan und die Zertifizierungsentscheidung ist.

Welche Dokumente und Nachweise sollten vor dem ISO-27001-Audit bereitliegen?

Vor dem Zertifizierungsaudit sollten alle dokumentierten Informationen bereitliegen, die ISO/IEC 27001 in den Klauseln 4 bis 10 verlangt, darunter Geltungsbereich, Risikobeurteilung, Anwendbarkeitserklärung (SoA), Ergebnisse des internen Audits und der Managementbewertung. Seit Februar 2024 verlangt die Norm zudem zu bestimmen, ob der Klimawandel ein relevantes Thema ist. Für Annex A zählen Anwendungsnachweise, nicht Richtlinien allein.

Die Tabelle ordnet jeder Klausel den Nachweis zu, den der Auditor typischerweise sieht.

Klausel	Typischer Nachweis	Worauf der Auditor achtet
4.1/4.2 Kontext und interessierte Parteien	Bewertung interner und externer Themen und Anforderungen, inklusive Klimawandel	Ob die Klimafrage bewusst entschieden ist
4.3 Geltungsbereich	Dokumentierter Geltungsbereich mit Schnittstellen	Ob Ausschlüsse begründet und Schnittstellen benannt sind
5.2 Informationssicherheitspolitik	Freigegebene Leitlinie	Ob sie bekannt gemacht ist
6.1.2/8.2 Risikobeurteilung	Methode und Ergebnisse	Ob Ergebnisse wiederholbar und aktuell sind
6.1.3/8.3 Risikobehandlung	Behandlungsplan, Anwendbarkeitserklärung	Ob Risikoeigner Plan und Restrisiko genehmigt haben
6.2 Ziele	Dokumentierte Informationssicherheitsziele	Ob sie, sofern praktikabel, messbar sind und verfolgt werden
7.2 Kompetenz	Nachweise über Kompetenz	Ob Schulungen zur Rolle passen
9.1 Überwachung und Messung	Mess- und Auswertungsergebnisse	Ob Ergebnisse ausgewertet wurden
9.2 Internes Audit	Auditprogramm und Auditergebnisse	Ob das Programm den Geltungsbereich abdeckt
9.3 Managementbewertung	Ergebnisse der Managementbewertung	Ob Entscheidungen und Ressourcen dokumentiert sind
10.2 Nichtkonformität und Korrekturmaßnahmen	Art der Abweichungen, ergriffene Maßnahmen, Ergebnisse	Ob Ursachen analysiert und die Wirksamkeit geprüft wurde

Zwei Zeilen tragen besonders viel Gewicht. An der Anwendbarkeitserklärung richtet der Auditor seine Stichproben aus, deshalb lohnt ein Blick darauf, wie die Anwendbarkeitserklärung zum Steuerungsdokument wird. Bei der Managementbewertung zählen die dokumentierten Ergebnisse: welche Entscheidungen die Managementbewertung treffen muss.

Die Klimafrage stammt aus ISO/IEC 27001:2022/Amd 1:2024, das die Klauseln 4.1 und 4.2 ergänzt. Laut IAF-ISO Joint Communiqué beziehen Zertifizierungsstellen den neuen Text „upon publication“ in ihre Audits ein; ein volles Übergangsprogramm ist nicht vorgesehen. Mindestens nötig ist eine nachvollziehbare Entscheidung; ist der Klimawandel relevant, gehört er in die Risikobeurteilung und gegebenenfalls in die Ziele.

Für jede als anwendbar erklärte Annex-A-Maßnahme sollte ein Anwendungsnachweis greifbar sein, etwa ein Protokoll, eine Konfiguration, ein Ticket oder ein Schulungsnachweis. Eine Richtlinie belegt die Vorgabe, die Anwendung belegt sie nicht. Wie Sie Status und Nachweise je Maßnahme nachverfolgen, beschreibt ein eigener Beitrag.

Der Auditor prüft den Stand, der zum Audit freigegeben war. Klausel 7.5.3 verlangt die Lenkung dokumentierter Information, einschließlich der Lenkung von Änderungen, etwa per Versionskontrolle. Datum und Freigabe am Nachweis machen den Stand belegbar; eine überschriebene Datei belegt keinen Stichtag.

Welche Abweichungen gibt es im ISO-27001-Audit, und was bedeuten sie?

ISO/IEC 17021-1 kennt Hauptabweichungen, die die Fähigkeit des ISMS beeinträchtigen, seine beabsichtigten Ergebnisse zu erreichen, und Nebenabweichungen, die das nicht tun. Bei einer Hauptabweichung muss die Zertifizierungsstelle Korrektur und Korrekturmaßnahme vor der Entscheidung verifizieren; gelingt das im Erstaudit nicht binnen sechs Monaten nach Stufe 2, führt sie eine erneute Stufe 2 durch. Verbesserungspotenziale sind keine Abweichungen.

Eine Abweichung ist nach ISO/IEC 17021-1, Abschnitt 3.11, die Nichterfüllung einer Anforderung (Grundbegriff: Nichtkonformität). Die Hauptabweichung (major nonconformity, 3.12) nennt in ihrer Anmerkung zwei typische Fälle: erhebliche Zweifel daran, dass ein Prozess wirksam gelenkt wird, oder mehrere Nebenabweichungen zur selben Anforderung, die zusammen ein systemisches Versagen zeigen. Die Nebenabweichung (minor nonconformity, 3.13) beeinträchtigt die Fähigkeit des ISMS nicht. Den Wortlaut der Definitionen gibt die European co-operation for Accreditation in FAQ 35.10 wieder.

Für die Zertifizierungsentscheidung unterscheidet Abschnitt 9.5.2 beide Klassen klar. Bei einer Hauptabweichung hat die Stelle Korrektur und Korrekturmaßnahme geprüft, akzeptiert und verifiziert. Bei einer Nebenabweichung genügt ein geprüfter und akzeptierter Plan; die Umsetzung verifiziert der Auditor später, etwa im ersten Überwachungsaudit.

Für Hauptabweichungen im Erstaudit gilt Abschnitt 9.5.3.2: Kann die Zertifizierungsstelle die Umsetzung nicht binnen sechs Monaten nach dem letzten Tag von Stufe 2 verifizieren, führt sie vor ihrer Empfehlung eine erneute Stufe 2 durch. Die EA zitiert diese Regel in FAQ 36.14.

Klasse	Bedeutung	Was die Zertifizierungsstelle vor der Entscheidung verlangt	Fundstelle
Hauptabweichung	Beeinträchtigt die Fähigkeit des ISMS, seine beabsichtigten Ergebnisse zu erreichen	Korrektur und Korrekturmaßnahme geprüft und verifiziert; im Erstaudit binnen sechs Monaten nach dem letzten Tag von Stufe 2, sonst erneute Stufe 2	ISO/IEC 17021-1, 3.12, 9.5.2, 9.5.3.2
Nebenabweichung	Anforderung nicht erfüllt, Fähigkeit des ISMS nicht beeinträchtigt	Akzeptierter Plan für Korrektur und Korrekturmaßnahme; Umsetzung wird später verifiziert	ISO/IEC 17021-1, 3.13, 9.5.2
Verbesserungspotenzial	Keine Abweichung, Hinweis des Auditors	Keine Korrekturmaßnahme nach 9.4.9 vorgesehen	ISO/IEC 17021-1, 9.4.5.2

Einzelne Zertifizierungsstellen verlangen mehr als diese Mindestregel. Die DQS-Regeln sehen etwa vor, dass alle Abweichungen oder Auflagen vor der Ausstellung des Zertifikats zu beheben bzw. zu erfüllen sind. Was für Sie gilt, steht im Vertrag und in den Auditierungsregeln Ihrer Stelle.

Verbesserungspotenziale halten Auditoren fest, eine Korrekturmaßnahme verlangen sie dafür nicht. Manche Stellen sprechen stattdessen von „Beobachtung“; eine eigene Kategorie der Norm ist das nicht. Nach der Normlogik verhindern Nebenabweichungen im Erstaudit das Zertifikat nicht, sofern die Stelle den Plan akzeptiert.

Wie gehen Sie mit Abweichungen um, und welche Fristen gelten?

Auf jede Abweichung antworten Sie mit Ursachenanalyse, Korrektur und Korrekturmaßnahme, eingereicht innerhalb der Frist, die Ihre Zertifizierungsstelle setzt. ISO/IEC 17021-1 verlangt nur, dass diese Frist definiert ist; eine feste Tageszahl nennt die Norm nicht. Bei Hauptabweichungen im Erstaudit muss die Stelle die Umsetzung zudem binnen sechs Monaten nach Stufe 2 verifizieren, sonst folgt eine erneute Stufe 2.

Nach ISO/IEC 17021-1, Abschnitt 9.4.9, fordert die Stelle Ursachenanalyse und Beschreibung der Korrekturen und Korrekturmaßnahmen innerhalb einer definierten Frist an. Wie lang diese ist, legt jede Stelle selbst fest. Die DQS-Regeln sehen etwa vor, dass der Auftraggeber Korrekturmaßnahmen plant und innerhalb eines bestimmten Zeitraums umsetzt; nicht fristgerecht umgesetzte Korrekturmaßnahmen nennen sie als Grund für eine Aussetzung. Die Zertifizierungsordnung von TÜV AUSTRIA Deutschland spricht bei negativem Auditergebnis von einer Nachfrist zur Mängelbehebung.

Ihre Frist steht im Auditbericht oder in den Auditierungsregeln Ihrer Stelle; klären Sie im Abschlussgespräch, bis wann Sie was in welcher Form einreichen.

Inhaltlich folgt der Umgang mit Abweichungen ISO/IEC 27001, Abschnitt 10.2:

1. Korrektur: Die festgestellte Abweichung selbst beseitigen, etwa einen fehlenden Nachweis nachreichen.
2. Ursachenanalyse: Klären, warum die Abweichung entstand und ob sie anderswo ebenfalls auftritt.
3. Korrekturmaßnahme: Die Ursache beseitigen, damit die Abweichung nicht erneut auftritt.
4. Wirksamkeit prüfen: Belegen, dass die Korrekturmaßnahme wirkt, und den Nachweis aufbewahren.

Ein fiktives Beispiel zeigt den Unterschied: Die Rezertifizierung von Zugriffsrechten fehlt. Die Korrektur holt sie nach. Die Korrekturmaßnahme verankert Verantwortliche und Termin im Maßnahmenregister, damit sie künftig nicht wieder ausfällt.

Wer nur die Korrektur einreicht, riskiert, dass die Stelle den Plan nicht akzeptiert. Korrekturmaßnahmen aus dem Audit brauchen wie jede andere Maßnahme Status, Verantwortliche, Termin und Nachweis.

Was passiert nach dem Zertifikat: Überwachungsaudits und Rezertifizierung?

Das ISO-27001-Zertifikat eröffnet einen Zyklus von drei Jahren. Die Zertifizierungsstelle muss nach ISO/IEC 17021-1 mindestens einmal pro Kalenderjahr auditieren, das erste Überwachungsaudit spätestens zwölf Monate nach der Zertifizierungsentscheidung. Vor Ablauf des dritten Jahres folgt die Rezertifizierung, die das ISMS wieder vollständig betrachtet.

Der Zyklus beginnt mit der Zertifizierungsentscheidung, nicht mit dem letzten Tag des Stufe-2-Audits. Im ersten und zweiten Jahr danach folgen Überwachungsaudits, im dritten Jahr die Rezertifizierung. Die European co-operation for Accreditation (EA) fasst die Grundregel so:

„in each calendar year, at least (the CB can have a stricter regime but not an ‚easier‘ one), there shall be an audit, whether surveillance or recertification.“

— European co-operation for Accreditation (EA), FAQ 37.12 zu ISO/IEC 17021-1, Abschnitt 9.1.3

Sinngemäß übersetzt: In jedem Kalenderjahr findet mindestens ein Audit statt, als Überwachungsaudit oder als Rezertifizierung. Eine Zertifizierungsstelle darf einen strengeren Rhythmus festlegen, einen lockereren nicht.

Ein Überwachungsaudit deckt den Geltungsbereich nicht vollständig ab. Der Auditor prüft, ob das ISMS im Alltag läuft: interne Audits, Managementbewertung, die Maßnahmen zu Abweichungen aus dem vorherigen Audit und Änderungen (ISO/IEC 17021-1, 9.6.2.2). Auch die Umsetzung der Nebenabweichungen aus dem Erstaudit verifiziert die Zertifizierungsstelle laut EA-FAQ 35.10 zum Beispiel im ersten Überwachungsaudit.

Die Rezertifizierung findet vor Ablauf des Zertifikats statt. Läuft es dennoch ab, kann die Zertifizierungsstelle es nach EA-FAQ 36.14 innerhalb von sechs Monaten wiederherstellen, sofern die ausstehenden Rezertifizierungstätigkeiten abgeschlossen werden. Andernfalls ist mindestens ein Stufe-2-Audit nötig. Planen Sie den Termin deshalb früh mit Ihrer Zertifizierungsstelle.

Lieferanten- und Altzertifikate prüfen Sie auf die Normfassung: Seit dem 31. Oktober 2025 gelten nur noch Zertifikate nach ISO/IEC 27001:2022 (IAF MD 26:2023).

Mit welchen Kosten von Überwachungsaudit und Rezertifizierung Sie im Zyklus rechnen sollten, zeigt unser Kostenartikel.

Wie bereiten Sie das ISO-27001-Zertifizierungsaudit konkret vor?

Bereiten Sie das Zertifizierungsaudit vor, indem Sie eine akkreditierte Zertifizierungsstelle wählen, internes Audit und Managementbewertung abschließen, offene Feststellungen bearbeiten und jeden Nachweis seiner Klausel oder Annex-A-Maßnahme zuordnen. ISO/IEC 17021-1 verlangt, dass die Zertifizierungsstelle in Stufe 1 prüft, ob internes Audit und Managementbewertung geplant und durchgeführt wurden. Ein Werkzeug ersetzt keine dieser Entscheidungen.

1. Prüfen Sie die Akkreditierung der Zertifizierungsstelle in der DAkkS-Datenbank und fordern Sie die Herleitung der Auditzeit schriftlich an.
2. Gleichen Sie den Auditplan der Zertifizierungsstelle mit Ihren Interviewpartnern und deren Verfügbarkeit ab.
3. Schließen Sie das interne Audit über den gesamten Geltungsbereich vor Stufe 1 ab.
4. Halten Sie die Managementbewertung vor Stufe 1 ab und dokumentieren Sie die getroffenen Entscheidungen.
5. Bearbeiten Sie offene Feststellungen des internen Audits mit Ursache, Maßnahme und Termin.
6. Ordnen Sie jedem Nachweis Klausel oder Annex-A-Maßnahme, Datum und freigebende Person zu.
7. Klären Sie mit jedem Interviewpartner, wo seine Nachweise liegen und wie er sie zeigt.

Software ersetzt dabei weder den Schnitt des Geltungsbereichs noch die Risikoentscheidung noch das Gespräch mit dem Auditor. Ob Ihr ISMS wirksam ist, belegen Menschen, die ihre Nachweise kennen und erklären können.

Für Schritt 6 setzt ISO 27001 in KaitoSec beim einzelnen Nachweis an: Jede Annex-A-Maßnahme verfügt über einen dedizierten Arbeitsbereich, in dem Sie Verantwortliche zuweisen, Nachweise anhängen und den Implementierungsstatus verfolgen. Die Anwendbarkeitserklärung (SoA) führt Anwendbarkeit, Begründung, Umsetzung und Nachweis zusammen, Änderungen werden versioniert. Ihre Zertifizierungsstelle erhält bei Bedarf begrenzten Lesezugriff auf einen freigegebenen Stand Ihrer ISMS-Nachweise. Kontext, Version und Verantwortlichkeit bleiben am Nachweis erhalten.

Im Richtlinienmanagement sehen Sie nach dem Veröffentlichen einer Fassung, wer sie bestätigt hat und wer noch fehlt; diese Liste legen Sie im Audit vor. Über das Berichtswesen für Audit und Management-Review entstehen Management-Reviews und Anwendbarkeitserklärungen aus dem laufenden Stand und bleiben mit Ersteller und Zeitpunkt gespeichert.

Über das Zertifikat entscheidet allein die akkreditierte Zertifizierungsstelle. Wie das an Ihrem eigenen Geltungsbereich aussieht, können Sie mit KaitoSec in einem Demo-Gespräch durchgehen.

Häufige Fragen zum ISO-27001-Zertifizierungsaudit

Wie lange liegt zwischen Stufe 1 und Stufe 2?

ISO/IEC 17021-1 schreibt keinen festen Abstand vor. Die Zertifizierungsstelle legt ihn fest und berücksichtigt dabei, ob Feststellungen aus Stufe 1 zuerst behoben werden müssen. Die Zertifizierungsordnung von TÜV AUSTRIA Deutschland sieht vor, dass Stufe 2 auch direkt im Anschluss an Stufe 1 stattfinden kann, sofern Stufe 1 positiv abgeschlossen ist.

Muss das interne Audit vor dem Zertifizierungsaudit abgeschlossen sein?

Ja, praktisch schon. Im Stufe-1-Audit bewertet die Zertifizierungsstelle, ob interne Audits und Managementbewertung geplant und durchgeführt werden. ISO/IEC 27001, Kapitel 9.2, verlangt interne Audits in geplanten Abständen. Den Rhythmus legen Sie selbst im Auditprogramm fest, mindestens ein Durchlauf über den gesamten Geltungsbereich sollte vor Stufe 1 abgeschlossen sein.

Kann das Zertifizierungsaudit remote stattfinden?

Teilweise oder weitgehend, sofern sich Zertifizierungsstelle und Organisation auf den Einsatz von Fernaudit-Technik einigen und die Auditziele erreichbar bleiben. Den Rahmen für den Einsatz von Informations- und Kommunikationstechnik im Audit setzt IAF MD 4:2025 (siehe IAF-Dokumentenliste). Ob zusätzlich Begehungen vor Ort nötig sind, entscheidet die Stelle anhand von Geltungsbereich und Standorten.

Darf der Auditor bei der Behebung von Abweichungen beraten?

Nein. Nach den Unparteilichkeitsanforderungen von ISO/IEC 17021-1 (5.2.5) dürfen Zertifizierungsstellen keine Beratung zu Managementsystemen anbieten oder erbringen. Der Auditor benennt die Abweichung und die betroffene Anforderung, ohne einen Lösungsweg vorzugeben. Die Lösung erarbeiten Sie selbst oder mit externer Unterstützung, die nicht von der Zertifizierungsstelle stammt.

Ist ein Zertifikat nach ISO/IEC 27001:2013 noch gültig?

Nein. Nach IAF MD 26:2023 endete die Übergangsfrist am 31. Oktober 2025; Zertifikate nach der Fassung von 2013 sind seitdem abgelaufen oder entzogen. Die 2024 ergänzten Klimawandel-Anforderungen (Amd 1) brauchten laut IAF dagegen keinen eigenen Übergang und kein neues Zertifikat.

Ist ein Voraudit vor der Zertifizierung sinnvoll?

Ein Voraudit (Pre-Audit) kann sinnvoll sein, ist aber freiwillig und ersetzt weder Stufe 1 noch Stufe 2. Manche Zertifizierungsstellen bieten es als Generalprobe an. Es macht Lücken sichtbar, Lösungen erarbeitet der Auditor aber auch hier nicht. Einen ähnlichen Zweck erfüllt das interne Audit, das ISO/IEC 27001 ohnehin verlangt.

Gelten dieselben Regeln für ISO 27001 auf Basis von IT-Grundschutz?

Nein, dafür gibt es ein eigenes Zertifizierungsschema des BSI. Dort prüft ein vom BSI zertifizierter Auditor die Referenzdokumente und führt eine Vor-Ort-Prüfung durch. Der Auditbericht geht anschließend zur Überprüfung an die Zertifizierungsstelle im BSI. Ablauf und Prüfgrundlage regeln die BSI-Dokumente zum Schema.

Quellen

1. FAQ 36.14: Corrections and corrective actions, European co-operation for Accreditation (EA), September 2018.
2. FAQ 37.12: ISO 17021-1:2015, clause 9.1.3, European co-operation for Accreditation (EA), März 2019.
3. FAQ 35.10: Definition of nonconformity, European co-operation for Accreditation (EA), März 2018.
4. IAF MD 26:2023, Transition Requirements for ISO/IEC 27001:2022, International Accreditation Forum (IAF), Issue 2, 2023.
5. IAF-ISO Joint Communiqué on the Addition of Climate Change Considerations, IAF und ISO, Februar 2024.
6. IAF Mandatory Documents (u. a. IAF MD 1 und IAF MD 4:2025), International Accreditation Forum (IAF).
7. ISO/IEC 27006-1:2024, ISO/IEC, 2024.
8. ISO/IEC 27001:2022 Information security management systems, International Organization for Standardization (ISO), 2022, ergänzt durch Amd 1:2024.
9. ISO/IEC 17021-1:2015, Konformitätsbewertung: Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, ISO/IEC, 2015.
10. Suche nach akkreditierten Stellen, Deutsche Akkreditierungsstelle (DAkkS).
11. DQS Auditierungs- und Zertifizierungsregeln (CF10), DQS, Stand Juni 2026.
12. Zertifizierungsordnung-MS, TÜV AUSTRIA Deutschland GmbH, Rev. 04, Oktober 2021.
13. Zertifizierungsschema ISO 27001 auf der Basis von IT-Grundschutz, Bundesamt für Sicherheit in der Informationstechnik (BSI).
14. ISO/IEC 17021-1:2015 Section 9 (Normauszüge), International Accreditation Service (IAS), Sekundärbeleg für die zitierten Klauseln aus Kapitel 9.