Ein Unternehmen mit 20 bis 250 Personen, das aus einer normalen, ungesteuerten Ausgangslage startet und niemanden hat, dessen Aufgabe Sicherheit ist, sollte neun bis zwölf Monate bis zur ISO-27001-Zertifizierung einplanen. Die meisten Phasen lassen sich mit Geld und Fokus komprimieren. Der Nachweiszeitraum nicht: Das Managementsystem muss vor dem Stage-2-Audit typischerweise drei Monate gelaufen sein.
Dieser Leitfaden behandelt jede Phase, einen Plan Monat für Monat, den Nachweiszeitraum, warum sich Stage-2-Audits verschieben, was ein Projekt bremst, was es verkürzt und was bei einer Komprimierung auf der Strecke bleibt.
| Phase | Realistische Dauer |
|---|---|
| Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit | 4 bis 8 Wochen |
| Die Lücken schließen, die zählen | 2 bis 5 Monate |
| Das System betreiben, um Nachweise zu sammeln | Mindestens 3 Monate, 6 sind komfortabel |
| Internes Audit und Managementbewertung | 2 bis 4 Wochen |
| Stage-1-Audit | Wenige Tage bis zwei Wochen |
| Abstand zwischen Stage 1 und Stage 2 | 4 bis 6 Wochen |
| Stage-2-Audit | 1 bis 2 Wochen Kalenderzeit |
| Zertifizierungsentscheidung und Ausstellung des Zertifikats | Bis zu 3 Monate |
Wie lange dauert ISO 27001 vom Start bis zum Zertifikat?
Addiert sehen die Phasen schlimmer aus als die Realität, weil sich mehrere davon überlappen. Hier der gute Fall für ein Softwareunternehmen mit 40 Personen. Es ist cloudgehostet, und der Geltungsbereich umfasst das Produkt und die Teams, die es entwickeln und betreiben.
| Monat | Was passiert |
|---|---|
| 1 | Entscheidungen, Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit. Nachweisquellen eingeschaltet. Lieferanteninventar begonnen. |
| 2 bis 4 | Lücken schließen. Die Entwicklungsarbeit läuft parallel zur Dokumentation. Nachweise sammeln sich an. |
| 5 | Internes Audit, dann Managementbewertung. Beheben, was das interne Audit findet, denn genau dafür macht man es. |
| 6 | Stage-1-Audit. |
| 7 oder 8 | Stage-2-Audit, vier bis sechs Wochen nach Stage 1. |
| 8 bis 10 | Zertifikat ausgestellt, unter Berücksichtigung der Zertifizierungsentscheidung. |
Das setzt echte Verantwortung und keine Überraschungen voraus. Zehn bis zwölf Monate ist die sicherere Zahl, die Sie Ihrer Geschäftsführung nennen sollten.
Wenn Ihnen jemand drei Monate nennt, schneidet er den Geltungsbereich entweder sehr eng zu oder plant, Nachweise zusammenzutragen, statt sie zu erzeugen. Eines davon ist ein Problem, das Ihnen in Stage 2 begegnen wird.
Welche Mindestlaufzeit gilt vor dem Stage-2-Audit?
Ihr Managementsystem muss vor Stage 2 eine Mindestzeit in Betrieb gewesen sein, typischerweise drei Monate. Auditoren wollen eine Historie sehen: datierte Zugriffsüberprüfungen, Patch-Aufzeichnungen, Vorfallstickets, eine Managementbewertung, die tatsächlich stattgefunden hat, und Lieferantenbewertungen, die über die Zeit abgelegt wurden.
Das ist Kalenderzeit, kein Aufwand. Sie können sie nicht kaufen, nicht parallelisieren und nicht durch Wochenendarbeit verkürzen. Jede andere Phase lässt sich mit Geld und Fokus komprimieren. Diese nicht.
Deshalb gilt: Die Uhr, die zählt, beginnt zu laufen, wenn Ihre Nachweise beginnen, nicht wenn Ihre Dokumentation fertig ist. Die meisten Projekte gehen in der falschen Reihenfolge vor. Sie verbringen drei Monate damit, Richtlinien zu perfektionieren, und starten die Nachweisuhr im vierten Monat. Das schiebt die Zertifizierung ohne jeden Gewinn um ein volles Quartal nach hinten.
Schalten Sie die langweiligen wiederkehrenden Dinge in Woche eins ein: Zugriffsüberprüfungen, Patch-Aufzeichnungen, Protokollaufbewahrung, die ersten Lieferantenbewertungen. Sie dürfen unvollkommen sein. Fehlen dürfen sie nicht.
Warum werden 40 % der Stage-2-Audits verschoben?
Etwa vier von zehn Organisationen, die ohne gesteuertes Sicherheitsprogramm in Stage 1 gehen, müssen ihr Stage-2-Audit verschieben. Die Nachweise sind nicht da, wenn der Auditor kommt.
Das Muster ist immer dasselbe. Stage 1 ist eine Dokumentenprüfung, und Dokumentation können Berater gut erstellen, also läuft Stage 1 gut. Stage 2 fragt, ob das dokumentierte System tatsächlich gelaufen ist. Dort scheitert ein Projekt, das die Papierarbeit an den Anfang gestellt hat.
Die Ursachen, in der Reihenfolge, in der wir sie sehen:
- Die Risikobeurteilung oder die Erklärung zur Anwendbarkeit ist in Stage 1 unvollständig, sodass der Auditor nicht einmal feststellen kann, was er testen soll.
- Für das Drei-Monats-Fenster fehlen Betriebsaufzeichnungen. Die Controls wurden entworfen, aber nichts hat aufgezeichnet, dass sie liefen.
- Hauptabweichungen in Stage 2 müssen behoben werden, bevor ein Zertifikat ausgestellt werden kann. Das kostet Wochen und manchmal einen erneuten Besuch.
- Der Geltungsbereich wurde schlecht abgegrenzt und muss neu gezogen werden, was einen Teil der bereits geleisteten Arbeit entwertet. Lesen Sie Geltungsbereich und Erklärung zur Anwendbarkeit, bevor Sie sich auf eine Abgrenzung festlegen.
Was verzögert ein ISO-27001-Projekt?
Fünf Dinge, der Reihe nach.
Verantwortung, die nicht echt ist. Der stärkste Indikator für ein Projekt, das sich hinzieht, ist, dass Sicherheit niemandes eigentliche Aufgabe ist. Das Projekt hat sechs Wochen lang Schwung, dann bekommt der CTO eine Produktdeadline, und drei Monate verpuffen. Wenn Sie die Person nicht benennen und auf die Zeit in ihrem Kalender zeigen können, schlagen Sie ein Quartal auf Ihre Schätzung auf.
Offen gelassene Entscheidungen. Geltungsbereich, Risikoappetit, was Sie dieses Jahr nicht tun werden. Jede Woche, in der eine davon offen bleibt, ist eine Woche Arbeit, die um sie herum geschieht und möglicherweise wiederholt werden muss. Sie werden in den Entscheidungen, die nur Sie treffen können behandelt.
Die lange Liste der Lieferanten. Anbieter inventarisieren, einstufen, Sicherheitsinformationen einholen und festhalten. Die Bremse sind die Antwortzeiten anderer Leute, deshalb sollte das in Woche eins beginnen. Das tut es nie.
Entwicklungsarbeit, die mit der Roadmap konkurriert. Konfigurationsmanagement, Trennung der Umgebungen, sichere Entwicklung. Echte Wochen echter Entwicklungsarbeit, und die einzige Gruppe, bei der mehr Dokumentation nichts bewirkt.
Terminplanung der Zertifizierungsstelle. Buchen Sie früher, als es nötig erscheint. Audittermine sind nicht immer dann frei, wenn Sie sie brauchen, und der Abstand zwischen Stage 1 und Stage 2 beträgt ohnehin planmäßig vier bis sechs Wochen.
Wie lässt sich der ISO-27001-Zeitplan verkürzen?
Nicht um viel, und seien Sie misstrauisch gegenüber jedem, der etwas anderes behauptet. Drei Dinge wirken wirklich:
- Starten Sie die Nachweisuhr in Woche eins. Das bringt bis zu ein volles Quartal und kostet nichts.
- Schneiden Sie den Geltungsbereich bewusst statt breit zu. Ein Geltungsbereich, der die tatsächliche Frage Ihres Kunden beantwortet, ist kleiner als „das ganze Unternehmen“, und kleiner heißt schneller. Außerdem kommen weniger Controls ins Spiel, was die Gruppen 4 und 5 der Control-Arbeit verkleinert.
- Kennen Sie Ihre Lücken, bevor Sie anfangen. Der größte Teil der Streuung in der Spanne von zwei bis fünf Monaten für das Schließen der Lücken kommt schlicht daher, dass man nicht weiß, was kaputt ist. Ein unabhängiges Audit vorab macht aus einer Unbekannten einen Plan, und das ist der Unterschied zwischen einem Projekt und einer Hängepartie.
Wenn Sie gleichzeitig NIS2 umsetzen, erledigen Sie die Arbeit nur einmal. Die Überschneidung ist erheblich, wie in Zertifizierungsstandards und ISO 27001 unter NIS2 dargelegt. Für eine Erstzertifizierung ohne Sicherheitsteam beginnen Sie mit ISO 27001 ohne Sicherheitsteam, und zum Geld lesen Sie Lohnen sich 50.000 € für ISO 27001?. Den Weg zeigt unsere ISO-27001-Lösungsseite.
Was bleibt bei einem komprimierten ISO-27001-Zeitplan auf der Strecke?
Jeder kursierende Trick zur Komprimierung funktioniert. Schneiden Sie den Geltungsbereich hart zu, kaufen Sie ein Richtlinienpaket, fahren Sie den Nachweiszeitraum am Minimum, seien Sie großzügig in der Erklärung zur Anwendbarkeit, und Sie können in sechs Monaten ein gültiges Zertifikat in der Hand halten. Die Norm erlaubt all das.
Wissen sollten Sie, wo die Zeit herkam. Komprimiert wird nie bei der Dokumentation, denn die liest der Auditor zuerst, und sie ist billig zu erstellen. Komprimiert wird beim Schließen der Lücken. Die Lückenliste, deren Abarbeitung vier Monate gedauert hätte, wird auf die Punkte zusammengestrichen, die das Audit blockieren. Der Rest wandert in eine Roadmap, die stillschweigend niemand mehr prüft.
Die ehrliche Antwort lautet deshalb: Die Zertifizierung dauert sechs bis zwölf Monate. Belastbar aufgestellt zu sein dauert so lange wie Ihre Lückenliste, und das Zertifikat verrät Ihnen nicht, welches von beidem Sie gekauft haben.
Wenn die Frist von einem Kundenvertrag kommt und das Zertifikat wirklich Umsatz freischaltet, komprimieren Sie. Nehmen Sie das Zertifikat, und bewahren Sie die unbearbeitete Hälfte der Lückenliste dort auf, wo sie jedes Quartal gelesen wird. Das ist eine legitime unternehmerische Entscheidung. Der Fehler ist nicht, den Zeitplan zu komprimieren. Der Fehler ist, ihn zu komprimieren und dann zu glauben, das Zertifikat bedeute, dass Sie fertig sind.
Checkliste zum ISO-27001-Zeitplan
- Planen Sie bei einem Start von null neun bis zwölf Monate ein, und nennen Sie Ihrer Geschäftsführung zehn bis zwölf.
- Benennen Sie die Person, die das Projekt verantwortet, und zeigen Sie auf die Zeit in ihrem Kalender.
- Klären Sie zuerst die offenen Entscheidungen: Geltungsbereich, Risikoappetit, was Sie dieses Jahr nicht tun werden.
- Schalten Sie Nachweise und das Lieferanteninventar in Woche eins ein.
- Kennen Sie Ihre Lücken vor Projektbeginn, nicht erst mitten im Schließen der Lücken.
- Buchen Sie die Zertifizierungsstelle früh, und planen Sie vier bis sechs Wochen zwischen Stage 1 und Stage 2 ein.
- Wenn Sie für einen Vertrag komprimieren, prüfen Sie den Rest der Lückenliste vierteljährlich.
Häufige Fragen
Kann man die ISO-27001-Zertifizierung in drei Monaten erreichen?
Nicht aus einer normalen Ausgangslage. Ein Unternehmen mit 20 bis 250 Personen, das bei null anfängt, sollte mit neun bis zwölf Monaten planen. Ein Angebot über drei Monate bedeutet meist einen sehr engen Geltungsbereich oder Nachweise, die zusammengetragen statt erzeugt werden, und dieses Problem holt Sie in Stage 2 ein.
Wie lange muss das ISMS vor dem Zertifizierungsaudit laufen?
Typischerweise drei Monate vor dem Stage-2-Audit, sechs sind komfortabel. Auditoren wollen eine Historie sehen: datierte Zugriffsüberprüfungen, Patch-Aufzeichnungen, Vorfallstickets und eine Managementbewertung, die tatsächlich stattgefunden hat.
Wie viel Zeit liegt bei ISO 27001 zwischen Stage 1 und Stage 2?
Vier bis sechs Wochen, und das ist so vorgesehen. Stage 2 dauert dann ein bis zwei Wochen Kalenderzeit, und die Zertifizierungsentscheidung und das Zertifikat können danach bis zu drei Monate dauern.
Warum werden ISO-27001-Stage-2-Audits verschoben?
Meist, weil die Nachweise fehlen. Etwa vier von zehn Organisationen, die ohne gesteuertes Sicherheitsprogramm in Stage 1 gehen, müssen ihr Stage-2-Audit verschieben, typischerweise weil die Risikobeurteilung oder die Erklärung zur Anwendbarkeit unvollständig ist oder Betriebsaufzeichnungen fehlen.
Was ist der schnellste Weg zur ISO-27001-Zertifizierung?
Beginnen Sie in Woche eins damit, Nachweise aufzuzeichnen, schneiden Sie den Geltungsbereich bewusst statt breit zu, und kennen Sie Ihre Lücken, bevor Sie anfangen. Starke Komprimierung kann in sechs Monaten ein gültiges Zertifikat ergeben, aber die Zeit wird beim Schließen der Lücken eingespart, nicht bei der Dokumentation.
