Was bei einer ISO-27001-Zertifizierung wirklich passiert

Problem in der Praxis

Viele Unternehmen starten eine Zertifizierung, weil Kunden, Ausschreibungen, Investoren oder Partner sie verlangen. Dadurch entsteht ein hoher Erwartungsdruck. Intern wird das Ziel oft verkürzt zu: "Wir brauchen das Zertifikat."

Diese Verkürzung ist gefährlich. Teams fokussieren dann auf Dokumente, Auditfragen und schnelle Nachweise. Nach dem Audit fällt die Energie ab. Das ISMS bleibt als Pflichtapparat liegen, statt die Sicherheitsarbeit zu tragen.

Zertifizierung wird dadurch zum Projekt mit Enddatum, obwohl Informationssicherheit einen laufenden Betrieb braucht.

Auch das Zertifikat selbst ist kein Dauerzustand. Es wird über regelmäßige Überwachungsaudits aufrechterhalten und in einem mehrjährigen Rezertifizierungszyklus erneuert. Schon strukturell bestätigt sich damit: Eine Zertifizierung ist kein einmaliges Projekt, sondern bindet die Organisation an einen fortlaufenden Nachweis ihrer Wirksamkeit. Überwachungsaudits und Rezertifizierung sind dabei anerkannte Zertifizierungspraxis (Referenzrahmen ISO/IEC 17021-1 und ISO/IEC 27006) und nicht Bestandteil der Anforderungsnorm ISO/IEC 27001; die genauen Intervalle und Regeln gibt die akkreditierte Zertifizierungsstelle vor.

CISO-Einordnung

Aus CISO-Sicht prüft eine Zertifizierung vor allem die Nachvollziehbarkeit des Managementsystems. Das Unternehmen muss zeigen können, dass es Informationssicherheit nicht zufällig betreibt, sondern mit Scope, Rollen, Risiken, Maßnahmen, Nachweisen und Verbesserung.

Das bedeutet nicht, dass jeder technische Zustand perfekt sein muss. Maßgeblich ist, ob wesentliche Risiken erkannt, bewertet, behandelt und transparent gesteuert werden. Offene Punkte sind nicht automatisch ein Scheitern, wenn sie bekannt, bewertet und angemessen bearbeitet werden. In der Praxis bewerten Auditoren Abweichungen nach ihrer Schwere. Wesentliche Abweichungen deuten auf ein systematisches Versagen hin und müssen in der Regel vor einer Zertifikatserteilung bereinigt werden; geringfügige Abweichungen lassen sich über einen nachvollziehbaren Korrekturmaßnahmenplan handhaben. Der CISO sollte offene Punkte früh transparent machen und mit Ownern, Maßnahmen und Fristen hinterlegen. Die konkrete Einstufung und der Umgang damit liegen bei der akkreditierten Zertifizierungsstelle.

Ein Zertifizierungsaudit ist daher ein Reifegradspiegel. Es zeigt, ob Security Governance und Betrieb zusammenpassen. Es zeigt auch, ob die Organisation Verantwortung verstanden hat oder nur Dokumente vorbereitet.

Umsetzungsperspektive

Eine gute Zertifizierungsvorbereitung beginnt lange vor dem externen Audit. Das Unternehmen sollte zuerst sicherstellen, dass der ISMS-Kern funktioniert:

• Scope ist plausibel und intern verstanden.
• Rollen und Verantwortlichkeiten sind nicht nur dokumentiert, sondern gelebt.
• Risiken sind entscheidbar beschrieben.
• Maßnahmen haben Owner und Fortschritt.
• Nachweise entstehen aus Prozessen.
• Abweichungen werden nachverfolgt.
• Managemententscheidungen sind nachvollziehbar.

Der CISO sollte die Zertifizierung als Kommunikationsprojekt mitführen. Führung, Fachbereiche, IT, HR, Einkauf, Recht und Datenschutz müssen verstehen, welche Rolle sie im ISMS haben. Sonst wirkt das Audit wie eine Security-Veranstaltung, obwohl es ein Managementsystem betrifft.

Typische Fehler

1. Das Zertifikat wird als Ziel behandelt, nicht als Ergebnis eines funktionierenden Systems.
2. Das Unternehmen erzeugt kurz vor dem Audit künstliche Nachweise.
3. Fachbereiche kennen ihre Rolle im ISMS nicht.
4. Risiken werden für das Audit schönformuliert, aber nicht entschieden.
5. Nach dem Zertifizierungsaudit fehlt ein Plan für den Regelbetrieb.

Risiken und Trade-offs

Eine schnelle Zertifizierung kann kommerziell wichtig sein, erhöht aber das Risiko eines papierlastigen ISMS. Ein gründlicher Aufbau dauert länger, schafft aber mehr Betriebssicherheit und weniger Stress in Folgeaudits.

Auch beim Scope gibt es Zielkonflikte. Ein enger Scope kann schneller zertifizierbar sein, aber Kundenfragen nicht vollständig bedienen. Ein breiter Scope wirkt stärker, kann aber die Organisation überfordern.

Ein weiteres Risiko ist falsche Sicherheit. Ein Zertifikat kann intern als Entwarnung missverstanden werden. Der CISO muss klar kommunizieren, dass Zertifizierung und Sicherheitslage miteinander verbunden, aber nicht identisch sind.

Entscheidungspunkte

• Warum braucht das Unternehmen die Zertifizierung: Kunde, Markt, Governance, Risiko oder regulatorische Erwartung?
• Welcher Scope ist glaubwürdig, nützlich und betreibbar?
• Welche Managemententscheidungen müssen vor dem Audit getroffen werden?
• Welche offenen Risiken dürfen bestehen bleiben, und wer akzeptiert sie?
• Wie wird der ISMS-Regelbetrieb nach dem Zertifikat abgesichert?

Praktische Empfehlungen

1. Definieren Sie die Zertifizierung als Meilenstein im Sicherheitsbetrieb, nicht als Projektabschluss.
2. Bauen Sie Nachweise aus realen Prozessen auf.
3. Schulen Sie nicht nur IT und Security, sondern auch relevante Fachbereichs-Owner.
4. Führen Sie vor dem externen Audit ein internes Managementgespräch zu Top-Risiken und offenen Entscheidungen.
5. Planen Sie direkt nach der Zertifizierung die nächsten 90 Tage ISMS-Betrieb.

Relevante Normreferenzen

• ISO/IEC 27001: Referenz für ISMS-Anforderungen und Zertifizierungsbasis.
• ISO/IEC 27006-1: Referenz für Anforderungen an Stellen, die ISMS auditieren und zertifizieren.
• ISO/IEC 17021-1: Allgemeiner Referenzrahmen für Zertifizierungsstellen von Managementsystemen.