Überwachungsaudits und Rezertifizierung als Daueraufgabe

Problem in der Praxis

Nach einer bestandenen Erstzertifizierung fällt in vielen Organisationen die Energie ab. Das Projektteam löst sich auf, Budgets werden umgewidmet, das ISMS verliert seinen Treiber. Die Folge: Risiken werden nicht mehr aktualisiert, das interne Audit findet nicht statt, die Managementbewertung wird verschoben, Korrekturmaßnahmen bleiben offen.

Dann kommt das nächste Überwachungsaudit, und es wird sichtbar, dass das System zwischen den Audits stillstand. Genau das soll Surveillance prüfen: ob das ISMS im laufenden Betrieb wirksam bleibt, nicht nur am Tag der Erstzertifizierung. Auch die Rezertifizierung am Ende des Zyklus betrachtet das System über die gesamte Laufzeit, nicht nur eine Momentaufnahme.

Das eigentliche Problem ist also strukturell: Die Organisation hat Informationssicherheit als Projekt mit Enddatum verstanden, obwohl das Zertifikat einen Dauerbetrieb verlangt. Konkrete Intervalle, Auditumfänge und Regeln dafür gibt die akkreditierte Zertifizierungsstelle vor; sie sind hier bewusst nicht rekonstruiert.

CISO-Einordnung

Aus CISO-Sicht ist die Aufrechterhaltung des Zertifikats kein Audit-Thema, sondern ein Betriebsthema. Die Audits sind nur der Spiegel. Was sie spiegeln, ist die Frage: Läuft das Managementsystem zwischen den Prüfungen weiter?

Die belastbaren Anker dafür liegen in ISO/IEC 27001 selbst, nicht in den Zertifizierungsregeln. Das ISMS muss seine Leistung überwachen und messen (Klausel 9.1), interne Audits in geplanten Abständen durchführen (9.2) und Managementbewertungen abhalten (9.3). Nichtkonformitäten und Korrekturmaßnahmen müssen nachverfolgt werden (10.2), und das System ist kontinuierlich zu verbessern (10.1). Risikobewertung und Risikobehandlung (6.1.2 / 6.1.3) sowie die Anwendbarkeitserklärung (SoA, 6.1.3 d) bleiben lebende Artefakte.

Diese Klauseln liefern die Substanz, die ein Überwachungs- oder Rezertifizierungsaudit sehen will. Wenn der interne Audit-Zyklus läuft, die Managementbewertung dokumentierte Entscheidungen produziert, das Risikobild aktuell ist und die SoA zu den real betriebenen Maßnahmen passt, ist die Aufrechterhaltung weitgehend ein Nebenprodukt eines gut geführten ISMS. Der CISO sollte Surveillance daher nicht als Sonderereignis behandeln, sondern als Bestätigung eines ohnehin laufenden Betriebs.

Die Klassifizierung von Abweichungen (etwa wesentliche gegenüber geringfügigen Nichtkonformitäten) und der Umgang damit liegen bei der Zertifizierungsstelle. Für den CISO zählt, offene Punkte früh transparent zu machen und mit Ownern, Maßnahmen und Fristen zu hinterlegen.

Umsetzungsperspektive

Die Aufrechterhaltung gelingt, wenn der ISMS-Regelbetrieb als wiederkehrender Jahresrhythmus organisiert ist und nicht von einzelnen Personen abhängt. In der Praxis bewährt sich, die Kernpflichten des Managementsystems als feste Termine zu planen:

• Internes Auditprogramm mit Abdeckung über den Zyklus, nicht punktuell vor dem externen Audit.
• Managementbewertung mit echten Entscheidungen zu Risiken, Ressourcen und Verbesserungen.
• Laufende Pflege von Risikobild, Risikobehandlungsplan und SoA bei wesentlichen Änderungen.
• Nachverfolgung von Korrekturmaßnahmen aus internen und externen Feststellungen.
• Nachweise, die aus realen Prozessen entstehen, statt kurz vor dem Audit erzeugt zu werden.

Der CISO sollte die externen Audittermine früh mit der Zertifizierungsstelle abstimmen und intern als feste Meilensteine kommunizieren. Wesentliche Veränderungen wie Scope-Änderungen, Umstrukturierungen, neue Standorte oder große Technologiewechsel gehören früh besprochen, weil sie Auswirkungen auf das Zertifikat haben können. Was das im Einzelfall bedeutet, klärt die akkreditierte Stelle.

Typische Fehler

1. Das ISMS wird nach der Erstzertifizierung als erledigt betrachtet.
2. Internes Audit und Managementbewertung werden ausgesetzt oder nur formal nachgeholt.
3. Korrekturmaßnahmen aus dem letzten Audit bleiben bis kurz vor dem nächsten offen.
4. Risikobild und SoA bilden den realen Betrieb nicht mehr ab.
5. Wesentliche Änderungen am Scope werden der Zertifizierungsstelle zu spät gemeldet.

Risiken und Trade-offs

Ein minimalistischer Erhaltungsbetrieb spart kurzfristig Aufwand, erhöht aber das Risiko, dass sich Abweichungen ansammeln und im Audit gebündelt sichtbar werden. Ein durchgehend gelebter Betrieb kostet kontinuierlich Ressourcen, glättet aber die Audits und reduziert Nacharbeit.

Es gibt zudem einen Zielkonflikt zwischen Stabilität und Veränderung. Das Unternehmen entwickelt sich weiter, während das Zertifikat einen definierten Scope bestätigt. Wenn sich Organisation, Technologie oder Geschäftsmodell stark ändern, muss der CISO entscheiden, wann der Scope nachgezogen und die Stelle einbezogen wird, statt die Lücke zwischen Zertifikat und Realität wachsen zu lassen.

Ein weiteres Risiko ist falsche Sicherheit: Ein gültiges Zertifikat belegt, dass ein Managementsystem nachvollziehbar betrieben wird, nicht dass jede aktuelle Bedrohung abgedeckt ist. Diese Unterscheidung sollte der CISO intern aktiv kommunizieren.

Entscheidungspunkte

• Wer trägt nach der Erstzertifizierung dauerhaft die Verantwortung für den ISMS-Regelbetrieb?
• Welche ISMS-Pflichten werden als feste Jahrestermine verankert und budgetiert?
• Wann und wie werden wesentliche Änderungen am Scope mit der Zertifizierungsstelle abgestimmt?
• Welche offenen Risiken dürfen über den Zyklus bestehen bleiben, und wer akzeptiert sie?
• Wie wird sichergestellt, dass Nachweise fortlaufend aus Prozessen entstehen?

Praktische Empfehlungen

1. Behandeln Sie die Aufrechterhaltung des Zertifikats als Linienaufgabe mit klarem Owner, nicht als wiederkehrendes Projekt.
2. Planen Sie internes Audit, Managementbewertung und Risiko-Review als feste Termine über den gesamten Zyklus.
3. Halten Sie Risikobild, Risikobehandlungsplan und SoA laufend aktuell, besonders bei Änderungen.
4. Führen Sie ein lebendes Register für Feststellungen und Korrekturmaßnahmen mit Ownern und Fristen.
5. Stimmen Sie Audittermine und wesentliche Änderungen früh mit der akkreditierten Zertifizierungsstelle ab.
6. Klären Sie verbindliche Fristen, Intervalle und Auditregeln immer mit der Zertifizierungsstelle und der Originalnorm, nicht aus Erfahrungswerten.

Relevante Normreferenzen

• ISO/IEC 27001: Referenz für die ISMS-Anforderungen, deren laufender Betrieb in Überwachungs- und Rezertifizierungsaudits geprüft wird (u. a. 9.1, 9.2, 9.3, 10.1, 10.2, 6.1.2, 6.1.3).
• ISO/IEC 17021-1: Allgemeiner Referenzrahmen für Zertifizierungsstellen von Managementsystemen, einschließlich Aufrechterhaltung und Erneuerung von Zertifikaten.
• ISO/IEC 27006-1: Referenz für Anforderungen an Stellen, die ISMS auditieren und zertifizieren.