7 Schritte zum ISO 27001-Zertifikat: So gehen Sie sinnvoll vor

Wer vor einer ISO 27001-Zertifizierung steht, hat am Anfang oft denselben Gedanken: Wo fangen wir jetzt eigentlich sinnvoll an?

Genau hier machen viele Unternehmen den ersten Fehler. Sie denken zu früh an den Auditor, zu früh an Dokumente oder zu früh an einzelne Maßnahmen. Der bessere Weg ist, das Thema als Projekt mit klarem Ziel zu behandeln und die Schritte in eine sinnvolle Reihenfolge zu bringen. Denn ISO 27001 ist kein loses Bündel aus Richtlinien, sondern ein Managementsystem, das aufgebaut, umgesetzt, betrieben und verbessert werden muss. 

Die kurze Antwort

Wenn Sie es sauber und pragmatisch angehen wollen, dann denken Sie den Weg zum Zertifikat in diesen sieben Schritten:

1. Ziel und Anlass klären;
2. Projekt sauber aufsetzen;
3. sehr wichtig: Scope festlegen;
4. ISMS aufbauen und umsetzen;
5. Zertifizierer auswählen und Termine planen;
6. Internes Audit und Management Review durchführen
7. Stage 1, Stage 2 und Zertifikat.

Genau diese Reihenfolge ist in der Praxis oft tragfähiger als der Reflex „erst mal einen Zertifizierer suchen und dann schauen wir weiter“.

Schritt 1: Ziel und Anlass klären

Bevor Sie irgendetwas aufsetzen, sollten Sie die einfachste Frage zuerst beantworten: Warum wollen oder müssen wir ISO 27001 überhaupt machen?

Typische Gründe sind Kundenerwartungen, Ausschreibungen, wachsende Sicherheitsanforderungen oder der Wunsch, Informationssicherheit endlich systematischer zu steuern. Diese Klärung ist wichtig, weil sie später bestimmt, wie viel Druck auf dem Projekt liegt, wie eng der Zeitrahmen ist und welcher Scope überhaupt Sinn ergibt. Der aktuelle Artikel nennt bereits genau diese typischen Auslöser: Kundenanforderungen, Ausschreibungen und Branchenimpulse.

Schritt 2: Das Projekt sauber aufsetzen

ISO 27001 ist kein Einzelkämpfer-Thema. Der bestehende Artikel sagt das schon richtig: Ohne Projektteam und ohne echte Arbeitszeit läuft das Thema nicht. Genau das würde ich heute noch deutlicher machen.

Sie brauchen mindestens:

• ein klares Ziel;
• eine Projektleitung oder ISMS-Verantwortung;
• Management-Rückendeckung;
• definierte Mitwirkung aus den relevanten Bereichen;
• und einen groben Zeitrahmen.

Wenn Sie das nicht sauber aufsetzen, wird ISO 27001 fast immer zum Nebenbei-Projekt. Und Nebenbei-Projekte dauern länger, kosten mehr Nerven und liefern am Ende keine Ergebnisse. Dass ISO 27001 ein Managementsystem verlangt und dass Rollen, Ressourcen und Verantwortlichkeiten geklärt sein müssen, passt genau dazu.

Schritt 3: Den Anwendungsbereich festlegen

Der Scope ist eine der wichtigsten Frühentscheidungen überhaupt. Er bestimmt, welcher Teil Ihres Unternehmens überhaupt vom ISMS und von der Zertifizierung erfasst wird.

Ein kleiner, sinnvoller und beherrschbarer Scope ist oft der bessere Start als ein zu großer Anspruch, der das Projekt unnötig schwer macht. Gerade weil das Stage-1-Audit später auch der Scoping- und Readiness-Bewertung dient, sollte dieser Punkt früh belastbar stehen.

Zum Thema Scope haben wir hier noch einen Extra-Artikel.

Schritt 4: Das ISMS aufbauen und umsetzen

Jetzt beginnt die eigentliche Arbeit. Hier geht es darum, die nötigen Bausteine Ihres ISMS aufzubauen:

• Kontext und Anforderungen verstehen;
• Rollen festlegen;
• Risiken bewerten;
• notwendige Maßnahmen auswählen;
• dokumentierte Informationen sauber aufsetzen;
• und dafür sorgen, dass das Ganze nicht nur geschrieben, sondern auch gelebt wird.

Genau hier entscheidet sich, ob aus ISO 27001 ein Papiersystem wird oder ein brauchbares Managementsystem.

Schritt 5: Zertifizierer auswählen und Termine planen

Jetzt ist der richtige Zeitpunkt, das Zertifizierungsaudit konkret zu planen. Wie Sie einen guten Zertifizierer finden, dazu haben wir hier noch einen separaten Artikel.

Schritt 6: Internes Audit und Management Review durchführen

Das ist einer der Punkte, die Unternehmen gern unterschätzen.

Bevor Sie in die Zertifizierung gehen, sollten Sie Ihr ISMS intern geprüft und durch die Leitung bewertet haben. Das ist nicht nur inhaltlich sinnvoll, sondern praktisch auch Teil dessen, was später im Zertifizierungsaudit vorausgesetzt wird. Gerade Stage 1 dient dazu, zu bewerten, ob die Organisation für Stage 2 bereit ist. In gängigen Zertifizierungsvorbereitungen und Auditbeschreibungen gehören internes Audit und Management Review deshalb klar zu den typischen Nachweisen vor der eigentlichen Zertifizierung.

Schritt 7: Stage 1, Stage 2 und Zertifikat

Das Zertifizierungsaudit läuft typischerweise in zwei Stufen.

Stage 1 dient vor allem dazu, die Organisation zu verstehen und zu prüfen, ob Sie für Stage 2 bereit sind. Es geht also noch nicht um die volle Praxisprüfung, sondern um Scoping, Planung und Reifegrad. Stage 2 prüft dann die tatsächliche Umsetzung des ISMS im Alltag. Wenn diese Phase erfolgreich verläuft und keine wesentlichen Hürden mehr offen sind, erfolgt die Zertifizierungsentscheidung und Sie erhalten das Zertifikat.

Was will der Auditor sehen?

Der Auditor will in der Regel nicht sehen, dass Sie besonders viele Dokumente geschrieben haben. Er will sehen, dass Ihr ISMS strukturiert aufgebaut, klar abgegrenzt, intern geprüft und durch das Management bewertet wurde. Gerade Stage 1 dient ausdrücklich dazu, Scope, Planung und Bereitschaft für Stage 2 zu bewerten. In Stage 2 wird dann sichtbar, ob Ihr Unternehmen die eigenen Regelungen tatsächlich lebt. Ein schlanker, sauber aufgebauter Ansatz ist dabei fast immer überzeugender als ein großer Dokumentenstapel ohne echte Verankerung.

Was zwischen den sieben Schritten leicht verloren geht

Die Schritte sind keine sieben voneinander unabhängigen Pakete. Entscheidungen aus einem Schritt wirken in die folgenden hinein. Ein zu weit formulierter Scope vergrößert Assets, Risiken, Beteiligte und Auditzeit. Eine unklare Projektorganisation verzögert Richtlinien und Maßnahmen. Ein hastig ausgewählter Zertifizierer bringt Termine durcheinander.

Führen Sie deshalb von Anfang an ein schlankes Entscheidungs- und Maßnahmenboard. Für jeden offenen Punkt sollte erkennbar sein:

• Was muss entschieden oder umgesetzt werden?
• Wer trägt die Verantwortung?
• Bis wann wird ein Ergebnis gebraucht?
• Wovon hängt der nächste Schritt ab?
• Welcher Nachweis zeigt später die Erledigung?

Das ist keine zusätzliche ISO-Bürokratie. Es ist normales Projektmanagement. Der Beitrag ISO 27001 ist ein Projekt erklärt, warum Ziel, Deadline, Aufwand und Einmaligkeitscharakter ernst genommen werden sollten.

Planen Sie außerdem feste kurze Steuerungstermine. Dort werden keine Dokumente vorgelesen, sondern Blockaden beseitigt: Welche Entscheidung fehlt? Welche Maßnahme hat keine Ressourcen? Welcher Termin gefährdet das Audit? Ein Projektstatus, der drei Wochen lang dasselbe Problem beschreibt, ist kein Statusbericht mehr. Er ist die Aufforderung, endlich zu entscheiden.

Planen Sie Zertifizierer und Audittermine früh, aber nicht blind

Sie müssen den Zertifizierer nicht am ersten Projekttag beauftragen. Zu langes Warten kann aber dazu führen, dass der gewünschte Auditzeitraum nicht verfügbar ist. Holen Sie Angebote ein, sobald Scope, Standorte, Mitarbeiterzahl und grobe Komplexität belastbar beschrieben werden können.

Prüfen Sie Akkreditierung, Auditzeit, Reisekosten, Umgang mit ausgelagerten Standorten und den gesamten Zertifizierungszyklus. Der Artikel über Berater und Zertifizierer erklärt zudem, warum dieselbe Stelle nicht erst Ihr ISMS bauen und es anschließend unabhängig zertifizieren kann.

Der Kostenartikel zur ISO 27001-Zertifizierung hilft bei der Gesamtbetrachtung. Der reine Preis von Stage 1 und Stage 2 ist nur ein Teil der Rechnung.

Stage 1 ist keine Generalprobe ohne Folgen

Stage 1 prüft unter anderem, ob Scope, Dokumentation, Standorte, wesentliche Anforderungen und Bereitschaft für Stage 2 ausreichend verstanden und vorbereitet sind. Feststellungen aus Stage 1 müssen ernst genommen werden. Wer diesen Termin als unverbindliches Kennenlernen behandelt, verbraucht den Puffer vor Stage 2 sehr schnell.

Stage 2 geht tiefer in Umsetzung und Wirksamkeit. Der Auditor verfolgt Stichproben durch Prozesse, Rollen und Nachweise. Deshalb reicht es nicht, kurz vorher Dokumente zu vervollständigen. Mitarbeiter müssen wissen, wie sie arbeiten sollen, und die Organisation muss zeigen können, dass sie es tatsächlich tut.

Bauen Sie vor Stage 2 eine ehrliche interne Prüfung ein

Das Interne Audit darf keine freundliche Dokumentenlesung sein. Es sollte gerade die Stellen prüfen, an denen das Projektteam unsicher ist: Werden Lieferanten wirklich bewertet? Sind Risiken entschieden? Funktioniert das Offboarding? Können technische Verantwortliche Nachweise finden?

Festgestellte Nichtkonformitäten brauchen Korrektur, Ursachenanalyse, Korrekturmaßnahme und Wirksamkeitskontrolle. Der praktische Leitfaden zur Behandlung von Abweichungen verhindert, dass aus dem Audit ein Maßnahmenfriedhof wird.

Danach bewertet die Geschäftsführung im Management Review das ISMS als Ganzes. Sie soll nicht lediglich bestätigen, dass ein Meeting stattgefunden hat. Sie entscheidet über Eignung, Angemessenheit, Wirksamkeit, Verbesserungen und benötigte Ressourcen.

Welche Ergebnisse vor dem Audit wirklich fertig sein sollten

Vor Stage 1 sollten Scope, wesentliche Dokumentation, Risikomethode, Anwendbarkeitserklärung und Planung so weit stehen, dass der Zertifizierer Organisation und Bereitschaft beurteilen kann. Vor Stage 2 müssen die Prozesse praktisch funktionieren. Dazu gehören echte Nachweise aus Betrieb, Internem Audit und Management Review.

Erstellen Sie keine künstlichen Musterfälle nur für den Auditor. Wenn ein Prozess noch nie ausgelöst wurde, kann ein Test sinnvoll sein: Probe-Offboarding, Wiederherstellung eines Backups, Alarmierung bei einem Vorfall oder Durchspielen eines Ausfalls. Dokumentieren Sie, was funktioniert hat und was verbessert werden muss.

Eine Zertifizierung belohnt nicht die Fähigkeit, einen perfekten Ordner für zwei Audittage zu bauen. Sie prüft, ob das Unternehmen Informationssicherheit dauerhaft steuern kann.

Was nach einer Abweichung geschieht

Eine Abweichung bedeutet nicht automatisch, dass das gesamte Projekt gescheitert ist. Entscheidend sind Einstufung, Frist und Verfahren der Zertifizierungsstelle. Das Unternehmen muss die konkrete Nichtkonformität verstehen, gegebenenfalls sofort korrigieren, die Ursache analysieren und eine Korrekturmaßnahme umsetzen. Danach wird geprüft, ob sie wirksam war.

Verwechseln Sie Korrektur und Korrekturmaßnahme nicht. Das fehlende Protokoll nachzutragen beseitigt den sichtbaren Einzelfall. Zu klären, warum der vorgesehene Prozess das Protokoll nicht erzeugt hat, führt zur Ursache. Erst die passende Änderung am Prozess verhindert die Wiederholung.

Die Urkunde ist nicht das einzige Ergebnis

Am Ende sollte das Unternehmen nicht nur ein Zertifikat besitzen, sondern besser arbeiten können: Risiken sind sichtbar, Verantwortlichkeiten klar, Vorfälle und Änderungen gesteuert, Lieferanten verstanden und Maßnahmen priorisiert. Wenn nach dem Audit niemand weiß, wie das ISMS ohne Berater weiterläuft, war das Projekt trotz Urkunde zu kurz gedacht.

Rechnen Sie einen achten, unsichtbaren Schritt ein

Nach dem Zertifikat beginnt der Betrieb. Risiken verändern sich, Mitarbeiter kommen und gehen, Lieferanten ändern Leistungen, Vorfälle passieren und Maßnahmen müssen abgeschlossen werden. Die sieben Schritte führen zum ersten Zertifikat. Der achte Schritt heißt: Das ISMS so betreiben, dass das Überwachungsaudit keine archäologische Ausgrabung wird.

Der Zertifizierungszyklus läuft weiter

Nach der Erstzertifizierung folgen Überwachungsaudits und später die Rezertifizierung. Der genaue Auditplan wird mit der Zertifizierungsstelle abgestimmt. Intern laufen Audits, Management Reviews, Risikoarbeit und Verbesserungen weiter.

Nutzen Sie das erste Jahr nicht nur zum Reparieren der letzten Auditfeststellungen. Prüfen Sie, welche Prozesse unnötig schwer sind, wo Nachweise automatisch entstehen könnten und welche Maßnahmen immer wieder verschoben werden. Im nächsten Audit ist besonders interessant, was sich seit dem letzten Besuch tatsächlich verbessert hat.

Bewahren Sie deshalb Entscheidungen und Verbesserungen nachvollziehbar auf. Eine gepflegte Maßnahmenliste zeigt nicht nur offene Arbeit, sondern auch abgeschlossene Veränderungen und ihre Wirkung. So wird das nächste Audit nicht zur hektischen Suche nach der Frage, was eigentlich seit dem letzten Mal geschehen ist.

Der Zertifizierungszyklus ist damit kein dreijähriges Warten auf die nächste große Prüfung. Er ist der äußere Takt für ein Managementsystem, das intern ohnehin weiterlaufen sollte.

Planen Sie nach der Erstzertifizierung auch eine saubere Übergabe aus dem Projekt in den Betrieb. Wer pflegt Risiken und Maßnahmen? Wer organisiert Audits und Management Review? Wer beobachtet Änderungen am Scope und bei Lieferanten? Ohne diese Antworten fällt das erfolgreiche Projekt wenige Wochen später in ein organisatorisches Loch. Das Zertifikat hängt dann zwar an der Wand, aber die Aufgaben haben keinen Eigentümer mehr.

Eine kurze, saubere Betriebsplanung mit Rollen, Terminen und Werkzeugen schließt genau diese Lücke.

Legen Sie deshalb schon im Projekt fest, wann der erste reguläre Steuerungstermin nach der Zertifizierung stattfindet und wer ihn verbindlich vorbereitet.

Interesse geweckt?

Wenn Sie die sieben Schritte nicht nur als Checkliste, sondern als steuerbares Projekt aufsetzen möchten, Sprechen Sie mit uns. Wir helfen beim Aufbau – die Entscheidungen und das ISMS bleiben dabei Ihres.