Der Weg zu einem zertifizierten ISMS beginnt mit verschiedenen Eigenleistungen, mit denen Sie Ihr Unternehmen auf den Zertifizierungsprozess vorbereiten. Anschließend folgt eine mehrstufige offizielle Prüfung, an deren Ende im Optimalfall Ihr Zertifikat steht.
Wichtig zu wissen: Eine ISMS-Zertifizierung ist keine einmalige Angelegenheit. Regelmäßige Rezertifizierungen sind Pflicht, in der Regel alle drei Jahre. Hinzu kommen zu Beginn jährliche Überwachsungsaudits.
Voraussetzungen für die Zertifizierung
Bevor Ihr Unternehmen ein Zertifizierungsaudit durchlaufen kann, müssen folgende Voraussetzungen erfüllt sein:
Gap-Analyse durchführen: Ein Soll-Ist-Vergleich zeigt, welche Anforderungen der ISO/IEC 27001 Ihr Unternehmen bereits erfüllt und wo noch Lücken bestehen. Diese Analyse ist freiwillig, erleichtert aber die weitere Planung.
ISMS aufbauen: Sie legen Prozesse, Verantwortlichkeiten und Sicherheitsmaßnahmen fest. Dazu gehört auch der Geltungsbereich, häufig Scope genannt. Er bestimmt, welche Standorte, Systeme und Geschäftsprozesse die Zertifizierung umfasst.
SoA erstellen: Das „Statement of Applicability“, auf Deutsch „Erklärung zur Anwendbarkeit“, führt die für Ihr Unternehmen relevanten Sicherheitsmaßnahmen aus Anhang A der ISO/IEC 27001 auf. Zudem begründen Sie hier, warum einzelne Maßnahmen umgesetzt oder ausgeschlossen werden.
Intern prüfen: Ein internes Audit deckt Schwachstellen vor der externen ISMS-Prüfung auf. Die jeweiligen Prüfer:innen dürfen dabei nicht in Interessenskonflikte geraten (niemand prüft die eigene Abteilung).
Managementbewertung: Die Geschäftsleitung bewertet, ob das Managementsystem angemessen und wirksam ist, und beschließt notwendige Verbesserungen. So ist sichergestellt, dass die oberste Managementebene Verantwortung für die Informationssicherheit übernimmt.
Betriebsnachweise: Sie müssen belegen, dass Ihr ISMS aktiv genutzt wird. Die ISO-Norm nennt keinen festen Mindestzeitraum. Zertifizierungsstellen erwarten in der Praxis meist aussagekräftige Nachweise über mindestens drei Monate. Für die Zertifizierung nach IT-Grundschutz sollte Ihr ISMS einen vollständigen Zyklus aus Planen, Umsetzen, Prüfen und Verbessern durchlaufen haben.
Ablauf der Zertifizierung
Das eigentliche ISO-27001-Zertifizierungsaudit besteht aus zwei Audit-Stufen und der Zertifikatsvergabe:
Stufe-1-Audit absolvieren: Die Zertifizierungsstelle prüft unter anderem den Geltungsbereich, die Risikoanalyse, die SoA und weitere Pflichtdokumente. Außerdem bewertet sie, ob Ihr Unternehmen für die zweite Auditstufe bereit ist.
Stufe-2-Audit bestehen: Auditor:innen kontrollieren die praktische Umsetzung des ISMS – in der Regel vor Ort. Dazu führen sie Interviews, prüfen Nachweise und kontrollieren stichprobenartig die Arbeitsabläufe. Schwerwiegende Abweichungen müssen behoben sein, bevor das Zertifikat erteilt werden kann.
Zertifikat erhalten: Nach erfolgreicher Prüfung erhält Ihr Unternehmen das ISO-27001-Zertifikat. Es gilt für drei Jahre.
Bei der Erstzertifizierung erfolgen in den ersten zwei Jahren nach Ausstellung des Zertifikats weitere Prüfungen:
Überwachungsaudit 1: Die Zertifizierungsstelle überprüft in Jahr 1 nach der Zertifikatsausstellung, ob und wie das ISMS in der Praxis genutzt und angewandt wird.
Überwachungsaudit 2: Die Zertifizierungsstelle wiederholt die Überprüfung in Jahr 2.
In jedem Fall ist nach drei Jahren eine Rezertifizierung notwendig.
