ISO 270017 Min. Lesezeit
ISO 27001 Zertifikat ohne externes Audit: Was möglich ist
ISO 27001 ohne externes Audit geht per Selbstbeurteilung. Was das Zertifikat belegt, wo es nicht genügt und wann eine Zertifizierungsstelle nötig ist.
Von Zertify Redaktion
Ja, das geht, sofern das Zertifikat auf einer Selbstbeurteilung beruht. Ein Audit durch eine Zertifizierungsstelle ersetzt es aber nicht, wenn eine Ausschreibung, ein Kunde oder eine Aufsichtsbehörde genau das ausdrücklich verlangt.
Für viele KMU ist die Selbstbeurteilung ein vernünftiger Einstieg. Voraussetzung ist, dass Sie wissen, was das Zertifikat aussagt und was nicht.
Was «ohne externes Audit» in der Praxis heisst
Bei der klassischen Zertifizierung prüft eine Zertifizierungsstelle Ihr Informationssicherheits-Managementsystem. Die Auditoren sichten Dokumente, befragen Mitarbeitende und beurteilen, ob das System die Anforderungen der Norm erfüllt. Das läuft über mehrere Schritte und bindet Zeit im Team.
Ohne externes Audit entfällt dieser Besuch. Sie beurteilen Ihr Unternehmen selbst, anhand strukturierter Fragen zu den Normanforderungen, und dokumentieren das Ergebnis. Es bildet die Grundlage für das Zertifikat. Die Grundlagen erklärt der Leitfaden zur ISO-Zertifizierung ohne Audit.
An der Norm ändert sich nichts, nur die Prüfinstanz wechselt: Sie sind es selbst. Das setzt voraus, dass Sie sich nichts schönreden.
Was ein Zertifikat auf Selbstbeurteilung belegt
Es belegt, dass sich Ihr Unternehmen strukturiert mit ISO 27001:2022 auseinandergesetzt hat. Informationswerte, Risiken und Schutzmassnahmen sind betrachtet, der eigene Stand ist bewertet. Kunden, Partnern und Mitarbeitenden zeigt es, dass Informationssicherheit bei Ihnen ein Thema ist.
Bei Zertify stellt die G6 Agency AG das Zertifikat in Lizenz des Swiss Institute of Certification and Education (SICE) aus. SICE prüft jede Beurteilung, bevor es dazu kommt.
Was es nicht belegt
Drei Grenzen sollten Sie kennen:
- Es gibt kein Audit vor Ort bei Ihnen.
- Ob Ihre Massnahmen im Alltag wirken, belegt es nicht. Das hängt davon ab, wie sorgfältig Sie die Selbstbeurteilung durchführen.
- Vor Sicherheitsvorfällen schützt es nicht. Das kann kein Zertifikat.
Wer das Zertifikat als Ergebnis einer Selbstbeurteilung ausweist, erspart sich Missverständnisse mit Kunden.
Wann ein Vor-Ort-Audit durch eine Zertifizierungsstelle nötig ist
Der klassische Weg mit Vor-Ort-Audit ist nötig, wenn:
- eine Ausschreibung ausdrücklich ein ISO-27001-Zertifikat nach einem Audit durch eine Zertifizierungsstelle verlangt,
- ein Kundenvertrag eine Zertifizierung durch eine Zertifizierungsstelle vorschreibt,
- ein Regulator oder eine Aufsicht eine unabhängige Prüfung erwartet,
- ein Grosskunde in seiner Lieferkette nur Nachweise aus einem Audit durch eine Zertifizierungsstelle akzeptiert.
In diesen Fällen hilft Ihnen das Zertifikat auf Selbstbeurteilung nicht weiter, auch wenn Ihre Massnahmen gut sind. Verlangt wird die unabhängige Prüfung, nicht ein bestimmter Inhalt. Die Gegenüberstellung steht im Beitrag Selbstbeurteilung und klassischer Weg im Vergleich.
Im Zweifel fragen Sie schriftlich nach, beim Kunden oder in den Ausschreibungsunterlagen, welche Art von Nachweis verlangt wird. Das kostet fünf Minuten und erspart Ihnen eine falsche Investition.
Wann ein Zertifikat auf Selbstbeurteilung sinnvoll ist
Der Weg passt in diesen Fällen:
- Einstieg: Sie wollen Informationssicherheit systematisch angehen und brauchen dafür einen klaren Rahmen.
- Transparenz gegenüber Kunden: Ihre Kunden fragen im Lieferantenfragebogen nach Ihrem Umgang mit Daten, verlangen aber kein Audit durch eine Zertifizierungsstelle.
- Interne Struktur: Zuständigkeiten, Regeln und Risiken sollen sauber dokumentiert sein.
- Vorbereitung: Sie planen später ein Audit durch eine Zertifizierungsstelle und wollen vorher wissen, wo Sie stehen.
Für kleine Teams ist der Aufwand eines vollen Audits oft eine Hürde. Die Selbstbeurteilung senkt sie, ohne das Thema zu verharmlosen.
Was ISO 27001:2022 inhaltlich verlangt
Der Massstab bleibt auch ohne externes Audit die Norm. ISO 27001:2022 folgt der gemeinsamen Struktur der Managementsystem-Normen. Die Kapitel 4 bis 10 legen fest, was Ihr System leisten muss:
- Kapitel 4, Kontext der Organisation: Sie klären interne und externe Themen, interessierte Parteien und den Geltungsbereich Ihres Systems.
- Kapitel 5, Führung: Die Leitung übernimmt Verantwortung, legt eine Informationssicherheitspolitik fest und verteilt Rollen.
- Kapitel 6, Planung: Sie bewerten Risiken und Chancen, behandeln Risiken und halten das in einer Anwendbarkeitserklärung fest (Kapitel 6.1.2 und 6.1.3).
- Kapitel 7, Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Informationen.
- Kapitel 8, Betrieb: Sie setzen die geplanten Prozesse und Risikobehandlungen um.
- Kapitel 9, Bewertung der Leistung: Überwachung, interne Audits und Managementbewertung.
- Kapitel 10, Verbesserung: Abweichungen korrigieren und das System laufend verbessern.
Dazu kommt Anhang A mit 93 Massnahmen in vier Themengruppen: organisatorisch, personenbezogen, physisch und technologisch. Nicht jede Massnahme betrifft jedes Unternehmen. Welche Sie anwenden und warum, begründen Sie in der Anwendbarkeitserklärung.
Für die Selbstbeurteilung müssen Sie nichts perfekt erfüllen, Ihren Stand aber ehrlich einschätzen können.
Checkliste vor der Selbstbeurteilung
Mit diesen Punkten sind Sie vorbereitet:
Fehlen einzelne Punkte, sehen Sie daran, wo Sie zuerst ansetzen müssen.
So passt Zertify dazu
Zertify bietet ein Zertifikat für ISO 27001:2022 auf Basis einer Selbstbeurteilung. Sie beantworten die Fragen online und bewerten Ihren Stand. Haben Sie die Beurteilung bestanden und die Zahlung abgeschlossen, wird das Zertifikat innerhalb von 4 Stunden ausgestellt.
Verlangt Ihr Kunde oder eine Ausschreibung ein Audit durch eine Zertifizierungsstelle, ist Zertify der falsche Weg. In allen anderen Fällen reicht es als Einstieg.
Die Kosten stehen auf der Seite Preise. Wer die Selbstbeurteilung starten will, sieht sofort, wo das Unternehmen steht.
Häufige Fehler bei der Selbstbeurteilung
Zu wohlwollend bewerten. Wer jede Frage mit «erfüllt» beantwortet, ohne Nachweise zu haben, täuscht vor allem sich selbst. Stellen Sie sich bei jeder Antwort die Frage: Könnte ich das belegen?
Den Geltungsbereich zu gross wählen. Ein sauber abgegrenzter Bereich taugt mehr als ein diffuses «alles». Erweitern können Sie später immer noch.
Nur die Technik betrachten. Informationssicherheit besteht nicht nur aus Firewall und Passwort. Rollen, Schulung, Lieferanten und Abläufe zählen genauso.
Das Zertifikat grösser darstellen, als es ist. Schreiben Sie auf der Website und in Offerten klar, dass es auf einer Selbstbeurteilung beruht. Das schützt Ihre Glaubwürdigkeit.
Danach nichts mehr tun. Ein Managementsystem lebt von Wiederholung. Prüfen Sie Risiken, Zugriffe und Dokumente regelmässig, auch wenn kein externer Termin ansteht.
Welcher Weg passt zu Ihnen?
Klären Sie zuerst, was Ihr Gegenüber verlangt. Verlangt niemand ein Audit durch eine Zertifizierungsstelle, genügt die Selbstbeurteilung als Start. Verlangt es jemand, planen Sie das Audit ein und nutzen die Selbstbeurteilung als Vorbereitung.
Häufige Fragen
Kann ich ein ISO-27001-Zertifikat ohne externes Audit erhalten?
Ja, wenn das Zertifikat auf einer Selbstbeurteilung beruht, wie bei Zertify. Ein Audit vor Ort findet dann nicht statt.
Wer stellt das Zertifikat auf Selbstbeurteilung aus?
Bei Zertify stellt die G6 Agency AG das Zertifikat in Lizenz von SICE aus. SICE prüft jede Beurteilung vor der Ausstellung. Das Zertifikat beruht auf Ihrer Selbstbeurteilung. Verlangt ein Kunde oder eine Ausschreibung ein Audit durch eine Zertifizierungsstelle, brauchen Sie den klassischen Weg mit Vor-Ort-Audit.
Wie schnell erhalte ich das Zertifikat bei Zertify?
Innerhalb von 4 Stunden, nachdem Sie die Selbstbeurteilung bestanden und die Zahlung abgeschlossen haben.
Gilt für die Selbstbeurteilung ein anderer Massstab als für ein Audit?
Nein. Massstab ist in beiden Fällen ISO 27001:2022 mit den Kapiteln 4 bis 10 und den Massnahmen aus Anhang A. Der Unterschied: Sie beurteilen selbst, statt dass eine externe Stelle prüft.
Wann sollte ich den klassischen Weg mit Vor-Ort-Audit wählen?
Wenn eine Ausschreibung, ein Kundenvertrag oder ein Regulator ausdrücklich ein Audit durch eine Zertifizierungsstelle verlangt. Im Zweifel fragen Sie schriftlich beim Kunden oder in den Ausschreibungsunterlagen nach.
