ISO 27001 Zertifizierung: Ablauf von Stage 1 bis Rezertifizierung

Wer zertifiziert nach ISO 27001?

Zertifikate nach ISO/IEC 27001 stellen Zertifizierungsstellen aus, die dafür akkreditiert sind, in Deutschland durch die Deutsche Akkreditierungsstelle (DAkkS). Die Anforderungen an diese Stellen regelt ISO/IEC 27006. Achten Sie bei der Auswahl darauf, dass die Akkreditierung ISO/IEC 27001 umfasst, und vergleichen Sie Auditumfang und Audittage, nicht nur das Angebot.

Wer nach BSI IT-Grundschutz arbeitet, kann alternativ ein ISO-27001-Zertifikat auf der Basis von IT-Grundschutz beim BSI beantragen. Der Ablauf ist ähnlich, Prüfgrundlage sind dann zusätzlich die BSI-Standards und das IT-Grundschutz-Kompendium.

Voraussetzungen vor dem ersten Audit

Auditiert wird ein ISMS im Betrieb, kein Projektplan. Vor dem Zertifizierungsaudit müssen die geforderten Dokumente vorliegen und die Kernprozesse mindestens einmal durchlaufen sein.

• Geltungsbereich (Kapitel 4.3) und Informationssicherheitspolitik (5.2)
• Methode und Ergebnisse von Risikobeurteilung und Risikobehandlung (6.1, 8.2, 8.3)
• Erklärung zur Anwendbarkeit mit Begründungen (6.1.3)
• Ein abgeschlossenes internes Audit (9.2)
• Eine Managementbewertung (9.3)

Stufe 1 und Stufe 2: das Zertifizierungsaudit

Das Erstzertifizierungsaudit hat zwei Stufen. In Stufe 1 prüft das Auditteam Dokumentation, Geltungsbereich und Bereitschaft für das eigentliche Audit. In Stufe 2 prüft es, ob das ISMS wirksam umgesetzt ist: durch Interviews, Stichproben und Nachweise aus dem Betrieb.

Feststellungen werden als Haupt- oder Nebenabweichung eingestuft. Hauptabweichungen müssen behoben und von der Zertifizierungsstelle verifiziert sein, bevor das Zertifikat erteilt wird; für Nebenabweichungen genügt in der Regel ein akzeptierter Maßnahmenplan.

Der Dreijahreszyklus

Das Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen finden Überwachungsaudits statt, die jeweils einen Ausschnitt des ISMS prüfen, dazu regelmäßig internes Audit, Managementbewertung und den Umgang mit Abweichungen. Vor Ablauf folgt ein Rezertifizierungsaudit über das gesamte ISMS.

Wesentliche Änderungen, etwa am Geltungsbereich, an Standorten oder an der Organisation, sollten Sie der Zertifizierungsstelle frühzeitig mitteilen. Sie können zusätzlichen Auditaufwand auslösen.

Was ein Zertifikat aussagt und was nicht

Ein Zertifikat bestätigt, dass das ISMS zum Auditzeitpunkt die Anforderungen der Norm im festgelegten Geltungsbereich erfüllt hat. Es ist keine Garantie gegen Vorfälle und deckt nichts ab, was außerhalb des Geltungsbereichs liegt. Prüfen Sie bei Lieferanten deshalb immer auch den Scope auf dem Zertifikat.