ISO 27001-Zertifizierung nicht bestanden: Was passiert jetzt?

Ein Unternehmen ist seit Monaten bereit für das Zertifizierungsaudit. Zumindest fast. Eine Richtlinie könnte noch etwas schöner werden, in der Assetliste fehlen drei Modellbezeichnungen und irgendwo lässt sich bestimmt noch ein Prozess zum siebten Mal reviewen.

Der Audittermin wird trotzdem immer wieder verschoben. Der eigentliche Grund ist irgendwann nicht mehr fachlich, sondern psychologisch: „Was ist, wenn wir durchfallen?“

Die Sorge ist verständlich. Aber sie beruht häufig auf einer falschen Vorstellung. Ein Zertifizierungsaudit ist keine Führerscheinprüfung, bei der ein einziger Fehler alles beendet. Werden Nichtkonformitäten festgestellt, beginnt ein geregelter Prozess. Sie erhalten einen Auditbericht, bearbeiten die Feststellungen, reichen Korrekturen und Korrekturmaßnahmen ein und weisen deren Umsetzung nach.

Das ist nicht angenehm. Es ist aber auch kein Weltuntergang.

Die kurze Antwort

Ja, man kann ein ISO 27001-Audit umgangssprachlich „nicht bestehen“. Die Zertifizierungsregeln sprechen allerdings nicht von „bestanden“ oder „durchgefallen“. Das Auditteam dokumentiert, ob Anforderungen nicht erfüllt sind, und stuft Nichtkonformitäten als geringfügig (sog. „Nebenabweichung“ oder schwerwiegend (sog. „Hauptabweichung“) ein.

Eine Nebenabweichung bedeutet normalerweise nicht, dass das Zertifikat grundsätzlich außer Reichweite ist.

Bei einer Hauptabweichung wird ein Zertifikat im Erstzertifizierungsaudit zunächst nicht erteilt.

In einem Überwachungs- oder Rezertifizierungsaudit können schwerwiegende, nicht rechtzeitig behandelte Probleme die Fortdauer des Zertifikats gefährden.

Entscheidend ist deshalb nicht nur, was im Audit gefunden wurde. Entscheidend ist, was Sie danach tun – und ob Sie es fristgerecht und nachvollziehbar tun.

Was Sie nach dem Audit bekommen

Für jedes Zertifizierungsaudit erhalten Sie einen schriftlichen Auditbericht. Darin stehen der Umfang des Audits, die wesentlichen Feststellungen, die Schlussfolgerungen des Auditteams und: die festgestellten Nichtkonformitäten.

Zusätzlich erhalten Unternehmen in der Praxis häufig ein eigenes Dokument oder Formular zu den Nichtkonformitäten. Manchmal ist es eine Anlage zum Auditbericht, manchmal wird jede Feststellung in einem separaten Formular erfasst. Die Norm schreibt nicht vor, dass dafür zwingend eine bestimmte Excel- oder Word-Datei verwendet werden muss. Sie verlangt aber, dass die Nichtkonformität nachvollziehbar dokumentiert ist: mit der betroffenen Anforderung, einer klaren Beschreibung und den objektiven Nachweisen, auf denen die Feststellung beruht.

In diesem Dokument finden Sie gewöhnlich auch die Termine, zu denen Ihre Reaktion erwartet wird. Typischerweise müssen Sie darlegen:

1. welche Korrektur Sie durchgeführt haben oder bis wann Sie sie durchführen;
2. welche Ursache Sie für die Nichtkonformität festgestellt haben;
3. welche Korrekturmaßnahme Sie umsetzen oder bis wann Sie sie umsetzen;
4. mit welchen Nachweisen Sie Umsetzung und – soweit bereits möglich – Wirksamkeit belegen.

Wenn Ihnen die Feststellung selbst noch unklar ist, fragen Sie nach. Sie müssen nicht mit jedem Wort glücklich sein. Sie müssen aber verstehen, welche Anforderung aus Sicht des Auditteams nicht erfüllt war und welche Beobachtung diese Bewertung trägt. Mehr zum grundsätzlichen Zustandekommen solcher Feststellungen finden Sie in unserem Artikel Was ist eigentlich eine Abweichung?.

Korrektur, Ursachenanalyse und Korrekturmaßnahme: drei verschiedene Dinge

Diese Begriffe klingen ein wenig nach Professor für höhere theoretische Regulatorik. Praktisch ist die Unterscheidung sehr hilfreich.

Die Korrektur beseitigt das konkrete Problem

Im Audit wird festgestellt, dass ein ausgeschiedener Mitarbeiter noch einen aktiven Benutzerzugang besitzt. Die unmittelbare Korrektur lautet: Der Zugang wird gesperrt.

Damit ist der konkrete Fehler behoben. Es ist aber noch nicht erklärt, warum er entstehen konnte.

Die Ursachenanalyse fragt nach dem Warum

Die Ursachenanalyse darf nicht bei „Der Administrator hat es vergessen.“ enden. Menschen vergessen Dinge. Ein funktionierender Prozess muss damit umgehen können.

Vielleicht wurde der Austritt nicht an die IT gemeldet. Vielleicht war unklar, wer die Sperrung beauftragen muss. Vielleicht gab es keine Vertretung. Vielleicht wurde die Aufgabe erledigt, aber nirgendwo kontrolliert. Die Ursachenanalyse soll den Mechanismus hinter der Feststellung sichtbar machen – nicht den nächstgelegenen Schuldigen. Für gute Ursachenanalysen gibt es Methodiken: bspw. 5-WHY, 8D, Ishikawa-Diagramm, FTA u.v.m.

Die Korrekturmaßnahme behandelt die Ursache

Die Korrekturmaßnahme könnte darin bestehen, den Offboarding-Prozess zu ändern, eine eindeutige Verantwortung festzulegen, die Meldung technisch zu automatisieren und die erfolgreiche Sperrung kontrollieren zu lassen.

Nur den alten Zugang zu schließen, wäre zu wenig. Dann ist der Einzelfall weg, aber der nächste ausgeschiedene Mitarbeiter kann wieder durchs Raster fallen. Genau das soll eine Korrekturmaßnahme verhindern.

Diese Logik ist übrigens keine Sonderveranstaltung der Zertifizierungsstelle. Sie gehört zum Verbesserungsprinzip eines Managementsystems. Auch beim Internen Audit sollen Nichtkonformitäten nicht nur kosmetisch zugedeckt, sondern sinnvoll bearbeitet werden.

So füllen Sie das Nichtkonformitätsformular sinnvoll aus

Eine gute Antwort auf eine Nichtkonformität ist konkret. Sie verbindet Feststellung, Ursache, Maßnahme, Verantwortlichkeit, Termin und Nachweis.

Nicht ausreichend wäre etwa:

„Wir haben alle noch einmal sensibilisiert.“

Das kann ein Bestandteil der Lösung sein. Es beantwortet aber weder, warum der Fehler auftrat, noch wie künftig erkennbar wird, dass die Regel funktioniert.

Besser ist eine Antwort wie diese:

• Korrektur: Der noch aktive Zugang wurde am 12. August gesperrt. Die aktuelle Benutzerliste wurde auf weitere ausgeschiedene Beschäftigte geprüft.
• Ursache: Im Offboarding-Prozess war nicht eindeutig festgelegt, wer die Sperrung auslöst und wie deren Erledigung bestätigt wird.
• Korrekturmaßnahme: HR startet künftig über das Ticketsystem einen verbindlichen Offboarding-Workflow. Die IT bestätigt die Sperrung im Ticket; offene Vorgänge werden wöchentlich eskaliert.
• Verantwortlich: Leitung HR gemeinsam mit IT-Leitung.
• Termin: Einführung bis 31. August.
• Nachweise: freigegebener Prozess, Beispiel-Ticket, Auswertung der ersten abgeschlossenen Offboardings und dokumentierte Wirksamkeitskontrolle.

Die Maßnahme muss zur Ursache passen. Eine neue Richtlinie hilft wenig, wenn die eigentliche Ursache eine fehlende Übergabe, eine unklare Zuständigkeit oder ein technisch unzuverlässiger Ablauf ist. Bei der Formulierung können die Hinweise aus unserem Artikel zu Rollen, Verantwortlichkeiten und Befugnissen helfen.

Welche Fristen gelten – und kann man darüber verhandeln?

Die Fristen fallen nicht unangekündigt vom Himmel. ISO/IEC 17021-1 sieht vor, dass der Zeitraum für Ihre Reaktion im Abschlussgespräch vereinbart wird. Im Bericht oder Nichtkonformitätsformular stehen anschließend die konkreten Termine.

Über diese Termine kann man sprechen. Wenn eine Maßnahme realistisch sechs Wochen benötigt, ist es sinnvoller, das früh und begründet anzusprechen, als schweigend einen Zweiwochentermin zu akzeptieren und ihn dann zu reißen. Eine Verhandlung ist besonders plausibel, wenn technische Änderungen, Lieferzeiten, Gremienentscheidungen oder belastbare Wirksamkeitsnachweise Zeit benötigen.

Beliebig sind die Fristen trotzdem nicht. Die Zertifizierungsstelle muss die Schwere der Nichtkonformität und das damit verbundene Informationssicherheitsrisiko berücksichtigen. Hinzu kommen feste Grenzen des Zertifizierungsverfahrens und gegebenenfalls das Ablaufdatum des bestehenden Zertifikats.

Sprechen Sie deshalb nicht erst am letzten Tag über den Termin. Schicken Sie früh einen belastbaren Plan: Was wird sofort korrigiert? Was ist die Ursache? Welche Maßnahme folgt? Welche Zwischenschritte gibt es? Wann können welche Nachweise vorliegen?

Wann genügt eine Dokumentenprüfung – und wann kommt das Nachaudit?

Ein Nachaudit ist nicht automatisch die Strafe für jede Abweichung. ISO/IEC 17021-1 lässt der Zertifizierungsstelle verschiedene Wege, Ihre Reaktion zu prüfen:

• Sie kann Dokumente und andere Nachweise aus der Ferne bewerten.
• Sie kann ein begrenztes zusätzliches Audit durchführen.
• Sie kann ein vollständiges zusätzliches Audit verlangen.

Was nötig ist, hängt von der Feststellung ab. Eine korrigierte Freigabe oder ein überarbeiteter Prozess lässt sich möglicherweise anhand von Unterlagen, Systemauszügen und Stichproben nachweisen. Wenn dagegen ein zentraler Prozess praktisch nicht funktioniert hat, kann ein Auditor dessen wirksame Umsetzung eventuell nur in einem zusätzlichen Termin beurteilen.

Das umgangssprachliche Nachaudit ist also kein automatischer zweiter kompletter Zertifizierungsversuch. Es ist die Prüfung, ob das relevante Problem tatsächlich gelöst wurde – und nicht nur ein neuer Absatz in einer Richtlinie entstanden ist.

Wie Stage 1, Stage 2 und die Zertifizierungsentscheidung zusammenspielen, erläutern wir ausführlicher im Ablauf einer ISO 27001-Zertifizierung. Einen Blick in die praktische Auditsituation gibt unser Sneak Peek zum Zertifizierungsaudit.

Was gilt im Erstzertifizierungsaudit?

Bei einer geringfügigen Nichtkonformität muss die Zertifizierungsstelle vor der Zertifizierungsentscheidung grundsätzlich Ihren Plan für Korrektur und Korrekturmaßnahme prüfen und akzeptieren. Die vollständige Umsetzung wird anschließend nachverfolgt.

Bei einer schwerwiegenden Nichtkonformität reicht ein Plan nicht. Korrektur und Korrekturmaßnahme müssen geprüft, akzeptiert und wirksam verifiziert sein, bevor die Zertifizierung erteilt werden kann.

Für eine solche Hauptabweichung gibt es eine wichtige äußere Grenze: Kann die Behebung nicht innerhalb von sechs Monaten nach dem letzten Tag des Stage-2-Audits verifiziert werden, muss vor einer Empfehlung zur Zertifizierung ein weiteres Stage-2-Audit durchgeführt werden.

Das bedeutet nicht, dass Sie automatisch sechs Monate Zeit bekommen. Die Zertifizierungsstelle kann kürzere, angemessene Termine vorgeben. Die Sechsmonatsfrist ist die äußere Grenze des Verfahrens, kein bequemer Standardtermin.

Was gilt im Überwachungsaudit?

Im Überwachungsaudit besteht das Zertifikat bereits. Die Zertifizierungsstelle prüft dabei auch, wie frühere Nichtkonformitäten untersucht und behandelt wurden.

Eine einzelne Nebenabweichung führt nicht sofort zum Verlust des Zertifikats. Eine schwerwiegende oder dauerhaft nicht behandelte Nichterfüllung kann jedoch Folgen haben. Bei ernsthaften oder fortbestehenden Problemen kann die Zertifizierung ausgesetzt, ihr Geltungsbereich eingeschränkt oder sie schließlich zurückgezogen werden.

Der genaue Ablauf richtet sich nach den Verfahren der Zertifizierungsstelle. Wichtig ist vor allem: Eine offene Hauptabweichung aus einem Überwachungsaudit gehört auf die Prioritätenliste der Geschäftsführung – nicht in die Schublade „machen wir irgendwann nach dem nächsten Quartalsabschluss“.

Was gilt im Rezertifizierungsaudit?

Bei der Rezertifizierung kommt ein zusätzlicher Zeitdruck hinzu: Das bestehende Zertifikat hat ein Ablaufdatum.

Werden schwerwiegende Nichtkonformitäten nicht rechtzeitig korrigiert und die Korrekturmaßnahmen nicht vor Ablauf des Zertifikats verifiziert, kann die Zertifizierungsstelle die Rezertifizierung nicht empfehlen und die Gültigkeit nicht einfach verlängern.

Unter bestimmten Voraussetzungen kann die Zertifizierung innerhalb von sechs Monaten nach Ablauf wiederhergestellt werden, wenn die ausstehenden Rezertifizierungsaktivitäten abgeschlossen werden. Andernfalls ist mindestens ein neues Stage-2-Audit erforderlich. Für Kunden und Ausschreibungen kann schon eine Zertifikatslücke unangenehm sein. Planen Sie das Rezertifizierungsaudit deshalb nicht so knapp, dass für eine ernsthafte Feststellung praktisch keine Bearbeitungszeit mehr bleibt.

Was passiert, wenn Sie die Frist verpassen?

Ignorieren ist die teuerste Reaktion. Abhängig von Auditart und Schwere kann eine verpasste Frist dazu führen, dass:

• die Zertifizierungsentscheidung nicht getroffen werden kann;
• ein weiteres Stage-2-Audit erforderlich wird;
• zusätzliche Auditzeit und zusätzliche Kosten entstehen;
• die bestehende Zertifizierung ausgesetzt wird;
• der Geltungsbereich eingeschränkt wird;
• oder das Zertifikat schließlich zurückgezogen wird.

Wenn Sie merken, dass eine Frist nicht haltbar ist, melden Sie sich sofort bei der Zertifizierungsstelle. Erklären Sie sachlich, was bereits erledigt ist, was noch fehlt und warum. Ein sauber gesteuerter Verzug ist immer noch besser als Funkstille.

Und wenn Sie die Nichtkonformität für falsch halten?

Auch Auditoren sind Menschen. Wenn Sie eine Feststellung fachlich nicht nachvollziehen können, lassen Sie sich Anforderung, Beobachtung und Nachweis erläutern. Bringen Sie konkrete Gegenbelege mit und argumentieren Sie in der Sache.

Bleibt die Meinungsverschiedenheit bestehen, soll sie dokumentiert werden. Zertifizierungsstellen müssen außerdem ein Verfahren für Einsprüche und Beschwerden haben. Der Weg dorthin sollte aber nicht mit gekränktem Stolz beginnen, sondern mit einer sauberen Frage: Welche Anforderung soll nicht erfüllt sein – und welcher objektive Nachweis zeigt das?

Für Unternehmen, die bereits vor dem Audit wissen möchten, wo größere Lücken liegen, ist eine strukturierte ISO 27001 Gap-Analyse sinnvoll. Sie ersetzt das Zertifizierungsaudit nicht, verhindert aber manche sehr vermeidbare Überraschung.

Was Sie jetzt konkret tun sollten

1. Lesen Sie Auditbericht und Nichtkonformitätsformular vollständig.
2. Klären Sie jede unverständliche Feststellung sofort mit Auditteam oder Zertifizierungsstelle.
3. Korrigieren Sie das konkrete Problem, soweit das unmittelbar möglich ist.
4. Analysieren Sie die tatsächliche Ursache – nicht nur die Person, bei der der Fehler sichtbar wurde.
5. Legen Sie eine Korrekturmaßnahme fest, die genau diese Ursache behandelt.
6. Bestimmen Sie Verantwortliche, Zwischenschritte, Termine und Nachweise.
7. Stimmen Sie unrealistische Fristen früh und begründet mit der Zertifizierungsstelle ab.
8. Reichen Sie die Unterlagen nicht in letzter Minute ein, damit Rückfragen noch möglich sind.

Wenn Sie bei der Bearbeitung Unterstützung brauchen, sollte ein Berater nicht bloß neue Texte produzieren. Er sollte helfen, Feststellung und Ursache zu trennen, Maßnahmen realistisch zu planen und geeignete Nachweise zusammenzustellen. Woran Sie dabei einen brauchbaren Partner erkennen, lesen Sie in ISO 27001: Wer kann mir wirklich helfen?.

Interesse geweckt?

Sie haben in einem Erstzertifizierungs-, Überwachungs- oder Rezertifizierungsaudit Nichtkonformitäten erhalten und möchten diese pragmatisch bearbeiten? Wir helfen Ihnen dabei, aus dem Auditbericht einen belastbaren Maßnahmenplan zu machen, Ursachen sauber zu analysieren und die benötigten Nachweise zusammenzustellen.

Dabei geht es nicht darum, eine Abweichung sprachlich möglichst klein aussehen zu lassen. Es geht darum, das konkrete Problem zu beheben und das ISMS an der richtigen Stelle besser zu machen.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.