Wie lange dauert eine ISO 27001-Zertifizierung?

Die Frage nach der Dauer ist fast immer eine der ersten: Wie lange brauchen wir, bis wir ein ISO 27001-Zertifikat in den Händen halten?

Die ehrliche Antwort lautet: Das hängt stark von Ihrer Ausgangslage ab. Trotzdem lässt sich die Frage sinnvoll beantworten.

Für viele kleine und mittlere Unternehmen gilt grob:

• sehr schnell: etwa 3 bis 4 Monate;
• realistisch: etwa 4 bis 9 Monate;
• entspannt: 9 Monate oder mehr.

Entscheidend ist nicht nur, wie groß Ihr Unternehmen ist. Entscheidend ist vor allem, wie klar der Anwendungsbereich (Scope) ist, wie viel interne Kapazität wirklich verfügbar ist, wie schnell ein Zertifikat benötigt wird - und wie konsequent das Projekt geführt wird.

Die kurze Antwort

Eine ISO 27001-Zertifizierung dauert in der Praxis meist mehrere Monate, nicht mehrere Wochen.

Wenn ein Unternehmen fokussiert arbeitet, Entscheidungen schnell trifft und der Anwendungsbereich klar abgegrenzt ist, kann es vergleichsweise schnell gehen. Wenn das Projekt dagegen „nebenbei“ läuft, viele Beteiligte abstimmen müssen, das Projekt „nebenbei“ gemacht wird oder der Scope zu groß angesetzt ist, zieht es sich deutlich länger.

 (Achtung: Wenn Ihnen jemand ISO 27001-Unterstützung anbietet und „in wenigen Wochen sind Sie fertig“ suggeriert - seien Sie vorsichtig.)

Wovon die Dauer wirklich abhängt

Die Zeit bis zur Zertifizierung hängt vor allem an vier Stellschrauben.

1. Wie viel Arbeitszeit bekommt das Projekt wirklich?

Das ist oft der größte Hebel.

Viele Unternehmen starten ein ISO 27001-Projekt mit guten Absichten, geben ihm aber keine echte Priorität. Dann läuft alles „on top“ zum Tagesgeschäft. Genau an dieser Stelle wird aus einem überschaubaren Projekt schnell ein zäher Langläufer.

Je mehr konzentrierte Zeit Ihr Projektteam tatsächlich bekommt, desto schneller kommen Sie voran.

Faustregel: Nicht die theoretische Projektfreigabe zählt, sondern die reale Arbeitszeit, die intern wirklich verfügbar ist.

2. Wie stark steht die Geschäftsführung hinter dem Thema?

ISO 27001 ist kein Einzelkämpfer-Projekt. Es ist ein Managementsystem. Ein Steuerungsinstrument für das Unternehmen.

Deshalb schauen Mitarbeiter sehr genau darauf, ob die Geschäftsführung das Thema wirklich ernst meint oder ob es nur ein weiteres Vorhaben ist, das irgendwann wieder versandet. Wenn von oben keine klare Priorität, keine Entscheidungen und keine Verbindlichkeit kommen, verliert das Projekt an Tempo.

Eine engagierte Geschäftsführung beschleunigt das Projekt nicht durch Fachdetails, sondern durch klare Signale:

• Das Thema ist wichtig.
• Zuständigkeiten gelten.
• Entscheidungen werden nicht endlos vertagt.
• Das Projekt läuft nicht nur auf dem Papier.
• Sie möchte Fortschritte sehen.

3. Wie groß ist der zertifizierte „Bereich“?

Je größer der Scope, desto länger dauert das Projekt meist.

Wenn Sie viele Standorte, Teams, Systeme und Schnittstellen gleichzeitig in den Anwendungsbereich ziehen, steigt der Abstimmungsaufwand stark an. Das zu tun ist nicht automatisch falsch. Es dauert nur meist länger.

Ein kleiner, klar abgegrenzter Scope ist fast immer schneller zertifizierbar als ein breit gefasster Gesamtansatz.

Deshalb ist eine der wichtigsten Frühentscheidungen überhaupt:

Was soll wirklich zertifiziert werden und was vorerst nicht?

4. Wie gut passt das Projekt zur inneren Motivation im Unternehmen?

Dieser Punkt wird oft unterschätzt.

Wenn ISO 27001 intern nur als lästige Pflicht gesehen wird, werden Aufgaben eher geschoben als gezogen. Dann wird nur reagiert, wenn der Druck steigt. Genau das verlängert Projekte.

Wenn das Unternehmen dagegen versteht, dass das Projekt auch hilft, Dinge sauberer zu regeln, Verantwortlichkeiten zu klären, Kunden zu gewinnen, Vertrauen aufzubauen und Sicherheitslücken im Betrieb zu schließen, entsteht deutlich mehr Zug.

ISO 27001 wird schneller, wenn das Projekt nicht nur als Audit-Hürde wahrgenommen wird.

5. Wie viel Arbeit machen Sie im Unternehmen selbst - und wie viel geben Sie ab?

Es gibt verschiedene Wege, zu einer ISO 27001-Zertifizierung zu kommen. Sie können sich alles selbst erarbeiten (dauert oft länger, wenn Sie keine Erfahrung damit haben) - oder Arbeit an erfahrene Begleitung auslagern (geht schneller). Genaueres dazu in einem eigenen Artikel.

Drei typische Zeitfenster in der Praxis

Schnell: etwa 3 bis 4 Monate

Das ist möglich, wenn:

• der Scope klein und klar ist,
• intern schnelle Entscheidungen getroffen werden,
• bereits Struktur vorhanden ist,
• und das Projekt echte Priorität hat.

Das ist eher der Ausnahmefall als die Regel, aber durchaus machbar.

Realistisch: etwa 4 bis 9 Monate

Das ist für viele Unternehmen die vernünftigste Erwartung.

In diesem Fenster bleibt genug Zeit, um die Anforderungen sauber umzusetzen, Verantwortlichkeiten zu klären, Dokumente sinnvoll aufzubauen und sich auf das Audit vorzubereiten, ohne unnötig zu trödeln.

Lang: 9 Monate oder mehr

Das passiert typischerweise dann, wenn:

• das Projekt nebenbei läuft,
• der Scope sehr breit gewählt wurde,
• Entscheidungen hängen bleiben,
• oder intern zu wenig Kapazität verfügbar ist.

In solchen Fällen ist die Norm selten das Problem. Meist ist es die Projektorganisation.

Der häufigste Denkfehler

Viele Unternehmen fragen: „Wie lange dauert ISO 27001?“

Die wichtigere Frage sollte aber lauten: „Wie lange dauert unser Projekt unter unseren eigenen Rahmenbedingungen?“

Denn zwei Unternehmen mit derselben Mitarbeiterzahl können völlig unterschiedlich schnell sein. Das schnellere Unternehmen ist nicht automatisch besser. Es ist oft einfach klarer organisiert, fokussierter und konsequenter geführt.

Wie Sie die Dauer realistisch verkürzen

Wenn Sie das Projekt beschleunigen wollen, funktionieren in der Praxis vor allem diese Hebel:

• Scope klein und klar halten (Tipps dazu siehe hier);
• feste Verantwortlichkeiten vergeben,
• Entscheidungen nicht aufschieben,
• dem Projekt echte Arbeitszeit geben,
• unnötige Perfektion vermeiden,
• mehr externe Unterstützung einholen (wie kann das gehen? - dazu hier ein separater Artikel),
• früh auditfähig statt spät „schön“ werden.

Gerade der letzte Punkt ist wichtig: Viele Projekte dauern länger, weil Unternehmen zu lange an Details feilen, die für den Zertifizierungserfolg zunächst gar nicht entscheidend sind.

Was die Dauer oft künstlich verlängert

Diese Fehler sehe ich besonders häufig:

Das Projekt läuft nur nebenbei

Dann fehlt Fokus, und alles dauert länger als nötig.

Der Scope ist zu groß gewählt

Dann steigt der Abstimmungsaufwand unnötig früh.

Niemand entscheidet zügig

Dann entstehen Wartezeiten, obwohl fachlich längst klar ist, was zu tun wäre.

Es wird zu perfekt gedacht

Dann wird an Dokumenten und Formulierungen gefeilt, statt die eigentliche Zertifizierungsreife herzustellen.

Das Projektteam ist zu klein oder zu diffus

Dann bleibt alles an einzelnen Personen hängen oder versandet zwischen mehreren Zuständigkeiten.

Bauen Sie den Terminplan vom gewünschten Zertifikat rückwärts

Ein belastbarer Zeitplan beginnt nicht mit „Wir fangen demnächst an“. Er beginnt mit dem Datum, zu dem das Zertifikat wirklich gebraucht wird. Von dort rechnen Sie rückwärts: Stage 2, mögliche Nacharbeit, Stage 1, Internes Audit, Management Review, wirksamer Betrieb des ISMS und die eigentliche Umsetzung.

Dabei sollten Sie nicht nur Audittermine eintragen. Ein Zertifizierer braucht Vorlauf, und attraktive Termine sind nicht unbegrenzt verfügbar. Wenn das Zertifikat Voraussetzung für eine Ausschreibung ist, gehört außerdem ein Puffer zwischen Audit und Abgabefrist. Eine Abweichung, Krankheit oder Terminverschiebung darf nicht sofort das gesamte Geschäftsziel reißen.

Der Artikel zum Ablauf von Stage 1 und Stage 2 hilft beim Einordnen der beiden Auditstufen. Für die Auswahl der Zertifizierungsstelle sollten Sie zusätzlich prüfen, woran sich Fake-Zertifizierer erkennen lassen.

Nicht jede Arbeit lässt sich parallel erledigen

Viele Projektpläne sehen schnell aus, weil überall gleichzeitig bunte Balken liegen. In der Realität bestehen Abhängigkeiten. Ohne Scope lässt sich das Risikomanagement nicht sauber begrenzen. Ohne Assets und Prozesse bleiben Risiken abstrakt. Ohne beschlossene Maßnahmen kann keine Wirksamkeit geprüft werden. Ohne ausreichend gelebte Praxis liefert das Interne Audit nur einen Bericht darüber, dass alles sehr neu ist.

Besonders kritisch sind vier Ketten:

1. Scope → Assets und Prozesse → Risiken → Risikobehandlung.
2. Rollen → Vorgaben → Umsetzung → Nachweise.
3. Internes Audit → Korrekturen und Korrekturmaßnahmen → Management Review.
4. Auswahl des Zertifizierers → Stage 1 → Nacharbeit → Stage 2.

Parallelisierung ist trotzdem möglich. Während die Geschäftsführung Scope und Politik entscheidet, kann die IT technische Nachweise zusammenstellen und der Einkauf relevante Lieferanten erfassen. Der Projektleiter muss aber wissen, welche Ergebnisse Voraussetzung für den nächsten Schritt sind.

Welche Projektgeschwindigkeit zur Organisation passt

Ein kleines, gut strukturiertes Unternehmen kann schneller sein als ein großer Konzern. Es gibt weniger Schnittstellen, Entscheidungen fallen direkter und der Scope ist oft überschaubar. Umgekehrt kann auch ein Unternehmen mit zwanzig Mitarbeitern neun Monate brauchen, wenn der Geschäftsführer jede Entscheidung selbst treffen möchte und nur alle drei Wochen Zeit findet.

Ein realistischer Plan beantwortet deshalb nicht nur die Frage nach der Unternehmensgröße:

• Wie viele Stunden pro Woche sind tatsächlich reserviert?
• Wer darf Richtlinien, Risiken und Maßnahmen entscheiden?
• Welche technischen oder vertraglichen Lücken sind bereits bekannt?
• Wie viele Standorte und ausgelagerte Leistungen gehören zum Scope?
• Wie routiniert arbeitet das Unternehmen heute schon mit Verantwortlichkeiten und Nachweisen?

Der Beitrag über das notwendige Commitment im ISO 27001-Projekt zeigt, warum „nebenbei, wenn wir mal Zeit haben“ keine Projektmethode ist. Auch die Aufgaben der Geschäftsführung wirken direkt auf die Dauer.

Woran Sie früh erkennen, dass der Plan kippt

Ein Projekt wird selten über Nacht langsam. Es sendet vorher Signale: Workshops werden verschoben, Entscheidungen bleiben offen, Maßnahmen haben keine Verantwortlichen und Dokumente werden diskutiert, ohne dass jemand ihre praktische Umsetzung ausprobiert.

Führen Sie deshalb eine kurze wöchentliche Steuerung ein. Sie braucht keine zweistündige Statusshow. Vier Fragen genügen häufig:

1. Was wurde seit dem letzten Termin tatsächlich fertig?
2. Welche Entscheidung blockiert den nächsten Schritt?
3. Welche Maßnahme ist überfällig oder ohne Ressourcen?
4. Gefährdet etwas den Audit- oder Kundentermin?

Wenn dieselbe Blockade drei Wochen hintereinander auftaucht, ist sie kein Status mehr, sondern ein Führungsproblem. Dann muss jemand entscheiden, Ressourcen bereitstellen oder den Termin ehrlich verschieben.

Die Norm nennt keine feste Projektdauer

ISO 27001 schreibt weder drei noch sechs noch zwölf Monate für die Einführung vor. Sie verlangt Ergebnisse: festgelegter Scope, wirksames Risikomanagement, umgesetzte Anforderungen, bewertete Leistung, Internes Audit, Management Review und Verbesserung. Wie lange das dauert, hängt von Ausgangslage und Projektorganisation ab.

Auch die Zeit zwischen einzelnen Aktivitäten ist nicht überall pauschal vorgegeben. Das ISMS muss jedoch lang genug praktisch angewendet worden sein, damit Sie nicht nur Absichtserklärungen zeigen. Ein Internes Audit ohne echte Fälle findet wenig. Eine Managementbewertung ohne belastbare Ergebnisse kann nur feststellen, dass noch kaum etwas bewertbar ist.

Planen Sie daher nicht für die Norm, sondern für glaubwürdige Nachweise. Ein sauber bearbeiteter Benutzerwechsel, eine tatsächlich durchgeführte Lieferantenbewertung oder ein getesteter Wiederanlauf sagen mehr als eine Richtlinie, die gestern um 23:48 Uhr freigegeben wurde.

Audittermine sind eine eigene Ressource

Der gewünschte Zertifizierer kann fachlich passen und trotzdem in Ihrem Zielmonat ausgebucht sein. Fragen Sie daher früh nach verfügbaren Auditoren, benötigten Auditzeiten und dem zeitlichen Abstand zwischen Stage 1 und Stage 2. Bei mehreren Standorten, besonderen Technologien oder internationalen Einheiten kann die Planung aufwendiger werden.

Reservieren Sie Termine erst, wenn die grundlegenden Projektdaten belastbar sind. Eine vorschnelle Buchung mit unklarem Scope führt später zu Änderungen am Angebot und an der Auditplanung. Zu spätes Buchen lässt dagegen selbst ein fertiges ISMS warten. Projektplan und Zertifizierungsplanung müssen deshalb regelmäßig miteinander abgeglichen werden.

Dokumentieren Sie auch eine Vertretung für die wichtigsten Termine. Wenn das gesamte Risikomanagement nur von einer Person erklärt werden kann, wird schon eine einfache Erkrankung zum Projektproblem.

Dasselbe gilt für interne Entscheider. Urlaub und Auditdatum sollten einander nicht erst im gemeinsamen Kalender kennenlernen.

Ein kurzer Vertretungsplan spart an dieser Stelle mehr Zeit als jede nachträgliche Eskalation kurz vor dem bereits fest vereinbarten Termin.

Interesse geweckt?

Wenn Sie wissen möchten, welcher Zeitplan zu Ihrem Scope, Ihrer Organisation und Ihrem Zieltermin passt, Sprechen Sie mit uns. Eine realistische Planung ist meist deutlich beruhigender als ein sportliches Datum, an das intern niemand glaubt.