Wie lange ist ein ISO 27001-Zertifikat gültig – und was passiert danach?

Das Zertifikat ist endlich da. Es wird eingerahmt, fotografiert, auf die Website gestellt und vielleicht sogar ein wenig feierlich betrachtet. Nach Monaten voller Risikobewertungen, Richtlinien, Internem Audit und Zertifizierungsaudit sagt irgendwann jemand erleichtert: „Sehr schön. Dann haben wir jetzt drei Jahre Ruhe.“

Nein. Haben Sie nicht.

Einschönes Sprichwort lautet nämlich: Nach dem Audit ist vor dem Audit.

Ein Zertifikat nach ISO 27001 kann zwar grundsätzlich drei Jahre gültig sein. Es bleibt aber nicht einfach deshalb gültig, weil es hinter Glas hängt und niemand daran rüttelt. Während dieses Zeitraums finden Überwachungsaudits statt. Vor dem Ende des Zyklus folgt die Rezertifizierung. Und das Unternehmen muss sein Informationssicherheitsmanagementsystem während der ganzen Zeit weiter betreiben.

Das Zertifikat ist also kein Pokal für eine einmal vollbrachte Leistung. Es ist eher die aktuelle Bestätigung, dass ein lebendes Managementsystem funktioniert.

Die kurze Antwort

Ein akkreditiertes ISO 27001-Zertifikat wird normalerweise für einen Zertifizierungszyklus von drei Jahren ausgestellt.

Das bedeutet jedoch nicht, dass nach der Erstzertifizierung drei Jahre lang niemand mehr hinschaut. Typischerweise besteht der Zyklus aus:

• dem Erstzertifizierungsaudit mit Stage 1 und Stage 2;
• dem ersten Überwachungsaudit innerhalb des ersten Jahres (ISO/IEC 17021-1:2015, 9.1.3.2 und 9.1.3.3);
• einem weiteren Überwachungsaudit im zweiten Jahr (ISO/IEC 17021-1:2015, 9.1.3.2);
• und dem Rezertifizierungsaudit vor Ablauf des Zertifikats (ISO/IEC 17021-1:2015, 9.1.3.2 und 9.6.3).

Danach beginnt – bei erfolgreicher Rezertifizierung – ein neuer dreijähriger Zyklus.

Der Merksatz lautet: Ein ISO 27001-Zertifikat ist drei Jahre gültig – aber nicht drei Jahre unbeaufsichtigt.

Warum gilt ein ISO 27001-Zertifikat drei Jahre?

Die ISO 27001 selbst beschreibt die Anforderungen an das Informationssicherheitsmanagementsystem des Unternehmens. Wie Zertifizierungsstellen Managementsysteme auditieren und Zertifikate behandeln, wird dagegen insbesondere durch ISO/IEC 17021-1 geregelt. Für die Zertifizierung von ISMS kommen die ergänzenden Anforderungen der ISO/IEC 27006-1 hinzu.

Diese Zertifizierungslogik arbeitet mit einem dreijährigen Zyklus. Die Zertifizierungsstelle betrachtet dabei nicht nur einen einzelnen Audittag. Sie soll über den gesamten Zyklus ausreichendes Vertrauen gewinnen, dass das Managementsystem weiterhin normkonform und wirksam betrieben wird.

Genau deshalb gibt es zwischen Erstzertifizierung und Rezertifizierung die Überwachungsaudits.

Was sagt das Ablaufdatum auf dem Zertifikat wirklich aus?

Auf einem Zertifikat finden Sie typischerweise nicht nur eine große Normbezeichnung und einen dekorativen Rahmen. Entscheidend sind mehrere Angaben, die zusammengehören:

• die eindeutig bezeichnete zertifizierte Organisation;
• der Anwendungsbereich der Zertifizierung;
• gegebenenfalls einbezogene Standorte;
• die zugrunde liegende Ausgabe der ISO 27001;
• das Datum der erstmaligen Zertifizierung;
• das aktuelle Ausstellungs- und Ablaufdatum;
• die Zertifikatsnummer und die ausstellende Zertifizierungsstelle.

Das Ablaufdatum bedeutet: Bis zu diesem Zeitpunkt kann die Zertifizierung längstens als gültig ausgewiesen werden – sofern sie zwischenzeitlich nicht ausgesetzt, eingeschränkt oder entzogen wurde. Es ist also kein Versprechen, das unabhängig vom Verhalten des Unternehmens drei Jahre lang unzerstörbar bleibt.

Umgekehrt bedeutet das Datum der erstmaligen Zertifizierung nicht, dass seit diesem Tag immer exakt derselbe Anwendungsbereich, dieselben Standorte und dieselbe Normausgabe gegolten haben. Deshalb sollte man Zertifikate nicht nur nach einem Datum beurteilen, sondern vollständig lesen.

Jahr 0: Erstzertifizierung und Zertifizierungsentscheidung

Am Anfang stehen Stage 1 und Stage 2. In Stage 1 prüft die Zertifizierungsstelle unter anderem, ob das Unternehmen grundsätzlich bereit für die eigentliche Zertifizierungsprüfung ist. In Stage 2 geht es um die Umsetzung und Wirksamkeit des ISMS.

Wie diese beiden Stufen ablaufen, erklären wir ausführlich in unserem Artikel zum ISO 27001-Zertifizierungsaudit mit Stage 1 und Stage 2.

Wichtig: Der Auditor druckt am Ende von Stage 2 nicht selbst das Zertifikat aus. Das Auditteam berichtet über die Ergebnisse und spricht eine Empfehlung aus. Die eigentliche Zertifizierungsentscheidung trifft anschließend die Zertifizierungsstelle.

Mit dieser positiven Entscheidung beginnt der Zertifizierungszyklus. Das Zertifikat nennt üblicherweise sein Ausstellungsdatum und sein Ablaufdatum.

Jahr 1 und Jahr 2: Was passiert im Überwachungsaudit?

Das erste Überwachungsaudit muss grundsätzlich spätestens zwölf Monate nach der Zertifizierungsentscheidung stattfinden (ISO/IEC 17021-1:2015, 9.1.3.3). Im darauffolgenden Jahr folgt die nächste Überwachung (ISO/IEC 17021-1:2015, 9.1.3.2).

Ein Überwachungsaudit ist normalerweise kürzer als das Erstzertifizierungsaudit. Es ist aber kein freundlicher Kaffeebesuch mit gelegentlichem Blick auf das gerahmte Zertifikat.

Die Zertifizierungsstelle prüft anhand von Stichproben, ob das ISMS weiter betrieben wird und wirksam bleibt. Typische Themen sind:

• Änderungen im Unternehmen, im Anwendungsbereich oder an wesentlichen Prozessen;
• die Behandlung früherer Nichtkonformitäten;
• Ergebnisse und Durchführung des Internen Audits;
• die Managementbewertung durch die Geschäftsführung;
• Fortschritte bei Informationssicherheitszielen;
• der Umgang mit Vorfällen, Risiken und Korrekturmaßnahmen;
• die operative Wirksamkeit ausgewählter Prozesse und Maßnahmen;
• und die fortlaufende Verbesserung des ISMS.

Nicht in jedem Überwachungsaudit wird jeder Winkel des ISMS noch einmal vollständig geprüft. Die Auditplanung soll aber über den Zertifizierungszyklus hinweg ein belastbares Bild ergeben (ISO/IEC 17021-1:2015, 9.6.2; ISO/IEC 27006-1:2024, 9.6.2.2 bis 9.6.2.4). Wer darauf setzt, dass ein problematisches Thema diesmal schon nicht gezogen wird, betreibt daher weniger Informationssicherheit als Auditlotterie.

Jahr 3: Die Rezertifizierung

Vor Ablauf des Zertifikats steht das Rezertifizierungsaudit an. Es ist umfangreicher als ein typisches Überwachungsaudit und bewertet, ob das Managementsystem über den gesamten Zyklus hinweg wirksam geblieben ist und weiterhin zum Unternehmen passt (ISO/IEC 17021-1:2015, 9.6.3; ISO/IEC 27006-1:2024, 9.6.3).

Die Zertifizierungsstelle betrachtet dabei nicht nur den aktuellen Zustand. Relevant ist auch, wie sich das ISMS in den vergangenen Jahren entwickelt hat:

• Was wurde aus früheren Auditfeststellungen?
• Welche wesentlichen Veränderungen gab es?
• Wurden Ziele verfolgt und Risiken behandelt?
• Funktionieren die Prozesse weiterhin?
• Hat das Unternehmen sein ISMS tatsächlich verbessert?

Das Rezertifizierungsverfahren muss rechtzeitig geplant werden. Die erforderlichen Audits, die Bearbeitung möglicher Feststellungen und die neue Zertifizierungsentscheidung sollten vor dem Ablaufdatum abgeschlossen sein. Wer erst zwei Wochen vor Ablauf anruft und einen Termin verlangt, hat aus einer planbaren Routineveranstaltung eine unnötige Sportart gemacht.

Wie lange nicht nur das Audit, sondern das gesamte Vorhaben bis zum ersten Zertifikat dauern kann, erläutern wir im Artikel Wie lange dauert eine ISO 27001-Zertifizierung?.

Wann sollte die Rezertifizierung geplant werden?

Nicht am letzten gültigen Tag. Auch nicht vier Wochen vorher, wenn gleichzeitig der Geschäftsführer im Urlaub, der ISB auf einer Messe und die Hälfte der Fachabteilungen mit dem Jahresabschluss beschäftigt ist.

Die Zertifizierungsstelle benötigt verfügbare Auditoren und eine belastbare Auditplanung. Das Unternehmen braucht Zeit zur Vorbereitung. Und falls im Audit Nichtkonformitäten festgestellt werden, müssen möglicherweise Korrekturen, Ursachenanalysen, Korrekturmaßnahmen und deren Nachweise vor der neuen Zertifizierungsentscheidung bewertet werden.

Ein sinnvoller interner Terminplan betrachtet deshalb rückwärts:

1. Wann läuft das Zertifikat ab?
2. Bis wann muss die Zertifizierungsentscheidung vorliegen?
3. Welcher Zeitraum wird für die Behandlung möglicher Feststellungen benötigt?
4. Wann muss das Rezertifizierungsaudit spätestens stattfinden?
5. Wann müssen Internes Audit, Managementbewertung und weitere Vorbereitungen abgeschlossen sein?

Die konkrete Planung stimmen Sie mit Ihrer Zertifizierungsstelle ab. Entscheidend ist weniger eine universelle Monatszahl als ausreichend Puffer. Ein Ablaufdatum ist keine motivierende Zielmarke, auf die man mit quietschenden Reifen zufahren sollte.

Bedeutet eine Nichtkonformität sofort das Ende des Zertifikats?

Nein. Eine festgestellte Nichtkonformität lässt das Zertifikat nicht automatisch im selben Moment erlöschen.

Entscheidend sind insbesondere Schwere, Umfang und Behandlung der Feststellung. Bei einer geringfügigen Nichtkonformität werden normalerweise Korrektur, Ursachenanalyse und Korrekturmaßnahme innerhalb der festgelegten Frist erwartet. Eine schwerwiegende Nichtkonformität kann dagegen die Wirksamkeit des Managementsystems grundsätzlich infrage stellen.

Was Haupt- und Nebenabweichungen unterscheidet, erklären wir im Artikel Was ist eine Nichtkonformität im ISO 27001-Audit?.

Bei erheblichen Problemen kann die Zertifizierungsstelle zusätzliche Nachweise oder ein Nachaudit verlangen. Werden schwerwiegende Probleme nicht wirksam behandelt, kann das Zertifikat ausgesetzt und schließlich entzogen werden. Den praktischen Ablauf nach einem problematischen Audit haben wir in ISO 27001-Zertifizierung nicht bestanden: Was passiert jetzt? beschrieben.

Ablauf, Aussetzung und Entzug: drei unterschiedliche Dinge

Das Zertifikat läuft ab

Das aufgedruckte Gültigkeitsende wird erreicht, ohne dass rechtzeitig eine erfolgreiche Rezertifizierung erfolgt ist. Dann besteht keine aktuelle Zertifizierung mehr (ISO/IEC 17021-1:2015, 9.6.3.2.4 und 9.6.3.2.5).

Das Zertifikat wird ausgesetzt

Bei einer Aussetzung ist die Zertifizierung vorübergehend nicht gültig. Das kann beispielsweise geschehen, wenn notwendige Überwachungsaudits nicht stattfinden oder erhebliche Anforderungen an die Aufrechterhaltung der Zertifizierung nicht erfüllt werden (ISO/IEC 17021-1:2015, 9.6.5.2 und 9.6.5.3; ISO/IEC 27006-1:2024, 9.6.5).

Während einer Aussetzung darf das Unternehmen nicht so auftreten, als besitze es eine uneingeschränkt gültige Zertifizierung.

Das Zertifikat wird entzogen

Beim Entzug beendet die Zertifizierungsstelle die Zertifizierung. Das ist deutlich endgültiger als eine Aussetzung und kann eine erneute Zertifizierung erforderlich machen (ISO/IEC 17021-1:2015, 9.6.5.4).

Außerdem kann der zertifizierte Anwendungsbereich eingeschränkt werden, wenn ein Teil dauerhaft nicht mehr den Zertifizierungsanforderungen entspricht (ISO/IEC 17021-1:2015, 9.6.5.5).

Welche Veränderungen muss das Unternehmen melden?

Eine Zertifizierungsstelle stellt ihr Zertifikat für eine bestimmte Organisation und einen bestimmten Anwendungsbereich aus. Wenn sich die Grundlagen wesentlich verändern, darf das nicht bis zum nächsten Audit als Überraschung aufgehoben werden.

Meldepflichtig oder zumindest abstimmungsbedürftig können beispielsweise sein:

• wesentliche Änderungen des Anwendungsbereichs;
• neue oder aufgegebene Standorte;
• eine Änderung der Rechtsform oder Eigentumsverhältnisse;
• Fusionen, Übernahmen oder größere Umstrukturierungen;
• wesentliche Veränderungen an Leistungen, Prozessen oder Technologien;
• und schwerwiegende Sicherheitsereignisse, soweit sie die Zertifizierung berühren.

Die Zertifizierungsstelle entscheidet dann, ob die Änderung im regulären Audit behandelt werden kann oder zusätzliche Tätigkeiten erforderlich sind.

Kann man während der drei Jahre die Zertifizierungsstelle wechseln?

Grundsätzlich ja. Ein bestehendes gültiges und akkreditiertes Managementsystemzertifikat kann unter festgelegten Voraussetzungen von einer anderen akkreditierten Zertifizierungsstelle übernommen werden. Die Regeln für einen solchen Transfer beschreibt unter anderem das IAF Mandatory Document 2.

Die neue Zertifizierungsstelle prüft vor der Übernahme unter anderem die Gültigkeit und den Status der bisherigen Zertifizierung, frühere Auditberichte sowie offene Nichtkonformitäten. Ein Wechsel ist also kein magischer Radiergummi für unbequeme Feststellungen.

Wer mit seiner Zertifizierungsstelle unzufrieden ist, sollte einen Transfer rechtzeitig anstoßen und nicht erst dann, wenn das Zertifikat bereits abgelaufen, ausgesetzt oder gefährdet ist.

Woran erkennen Kunden, ob ein Zertifikat wirklich gültig ist?

Ein PDF mit hübschem Rahmen ist noch kein ausreichender Beleg. Kunden und Auftraggeber sollten mindestens prüfen:

• Ist das Zertifikat noch innerhalb des angegebenen Gültigkeitszeitraums?
• Ist die richtige Organisation genannt?
• Deckt der zertifizierte Anwendungsbereich tatsächlich die relevante Leistung ab?
• Sind die betreffenden Standorte eingeschlossen?
• Auf welche Ausgabe der ISO 27001 bezieht sich das Zertifikat?
• Welche Zertifizierungsstelle hat es ausgestellt und ist die Zertifizierung akkreditiert?

Gerade der Scope wird gerne überlesen. Ein Unternehmen kann ein echtes und gültiges Zertifikat besitzen, das aber nur einen kleinen Teil seiner Leistungen abdeckt. Für den konkreten Kundenauftrag kann es dann trotzdem nicht passen.

Was will der Auditor während des Zertifizierungszyklus sehen?

Vor allem möchte der Auditor sehen, dass das ISMS zwischen den Audits gelebt, und nicht im Cryoschlaf verbracht hat.

Ein Unternehmen, das drei Wochen vor dem Überwachungsaudit hektisch sein Internes Audit nachholt, die Managementbewertung rückdatiert, sämtliche Maßnahmen auf „in Bearbeitung“ setzt und anschließend von kontinuierlicher Verbesserung spricht, liefert kein besonders überzeugendes Bild.

Belastbar wirkt dagegen ein normaler, nachvollziehbarer Betrieb:

• Entscheidungen wurden getroffen und dokumentiert;
• Risiken und Veränderungen wurden behandelt;
• Maßnahmen besitzen Verantwortliche und sinnvolle Termine;
• Interne Audits und Managementbewertungen fanden geplant statt;
• Feststellungen wurden nicht bis zum nächsten Auditorenbesuch konserviert;
• und das Unternehmen kann erklären, wie sein System funktioniert.

Das ist auch der Kern unseres Artikels Leben mit ISO 27001: Nach der Einführung läuft nicht ständig ein Auditprojekt. Viele Anforderungen gehen in einen vernünftig organisierten Arbeitsalltag über.

Der eigentliche Punkt

Die Gültigkeit eines ISO 27001-Zertifikats lässt sich auf dem Papier leicht beantworten: grundsätzlich drei Jahre.

Die praktisch wichtigere Antwort lautet: Das Zertifikat bleibt nur belastbar, wenn das Unternehmen sein ISMS während dieser drei Jahre betreibt, überwachen lässt und rechtzeitig rezertifiziert.

Wer Informationssicherheit als einmaliges Projekt bis zum Zertifikat versteht, wird spätestens beim ersten Überwachungsaudit unsanft daran erinnert, dass ein Managementsystem Verben enthält: betreiben, prüfen, bewerten und verbessern.

Interesse geweckt?

Wenn Sie nicht nur bis zum ersten Zertifikat kommen, sondern Ihr ISMS so aufbauen wollen, dass auch Überwachung und Rezertifizierung ohne jährliche Wiederbelebungsmaßnahmen funktionieren, Sprechen Sie mit uns.