ISO 27001:2022
ISO 27001 Ablauf: von der Selbstbewertung zum Zertifikat
Der Weg besteht aus einer Online-Selbstbewertung mit 48 Ja/Nein-Fragen, der Prüfung durch SICE und der Ausstellung des Zertifikats. Einen Vor-Ort-Termin gibt es nicht. Zum Starten brauchen Sie weder Konto noch Offerte.
01: Überblick
ISO 27001 Ablauf in fünf Schritten
Vom ersten Aufruf bis zum Zertifikat läuft alles online. Die folgenden Schritte gelten für ISO 27001:2022, die aktuelle Ausgabe des Standards für Informationssicherheits-Managementsysteme.
Selbstbewertung öffnen
Sie starten die Bewertung ohne Konto und ohne Kosten. Sie umfasst 48 Ja/Nein-Fragen zu ISO 27001:2022.
Fragen beantworten
13 der Fragen sind Pflichtanforderungen des Standards und müssen alle mit Ja beantwortet werden. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten.
Zertifikat bestellen
Wer besteht, bestellt das Zertifikat. Es kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive der jährlichen Online-Re-Audits.
Prüfung und Ausstellung
SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Ausgestellt wird es von der G6 Agency AG unter Lizenz von SICE, innerhalb von 4 Stunden nach bestandener Bewertung und Zahlung.
Zertifikat einsetzen
Sie erhalten das Zertifikat als PDF mit Nummer und QR-Code. Ihr Kunde kann es auf der öffentlichen Verifikationsseite prüfen.
02: Vorbereitung
Was vor der Selbstbewertung vorliegen sollte
Die Bewertung ist schnell beantwortet, wenn das Managementsystem steht. Wer eine der 13 Pflichtanforderungen mit Nein beantwortet, besteht nicht, auch wenn alle übrigen Antworten Ja lauten. Die Tabelle zeigt die Themen, die Sie vorher klären sollten.
| Thema | Was vorliegen sollte |
|---|---|
| Risikobewertung | Eine dokumentierte Bewertung der Informationssicherheitsrisiken, aus der hervorgeht, welche Systeme und Daten betroffen sind. |
| Sicherheitspolitik und -ziele | Eine freigegebene Informationssicherheitspolitik und festgelegte Ziele. |
| Kontrollen aus Anhang A | Umgesetzte Kontrollen, die zu den bewerteten Risiken passen, etwa Zugriffsregelung, Backup und Steuerung von Lieferanten. |
| Erklärung zur Anwendbarkeit (SoA) | Eine Liste der Anhang-A-Kontrollen mit der Begründung, ob sie für Ihr Unternehmen gelten. |
| Sensibilisierung und Schulung | Ein Nachweis, dass Mitarbeitende zur Informationssicherheit geschult wurden, zum Beispiel eine Teilnahmeliste. |
| Vorfallmanagement | Ein festgelegter Weg, Sicherheitsvorfälle zu melden, auszuwerten und daraus Massnahmen abzuleiten. |
Fehlt eines dieser Elemente, schliessen Sie zuerst die Lücke im Unternehmen. Danach lohnt sich der Start der Bewertung.
03: Nach dem Bestehen
Was nach der Ausstellung des Zertifikats gilt
Das Zertifikat ist 3 Jahre gültig. Damit es in dieser Zeit gültig bleibt, gehören drei Dinge zum Ablauf.
- Verifikation
- Jedes Zertifikat lässt sich öffentlich über seine Nummer oder den QR-Code auf dem PDF prüfen. Die Einkaufsabteilung Ihres Kunden braucht dafür keinen Kontakt zu Ihnen.
- Jährliches Re-Audit
- Einmal pro Jahr bestätigen Sie Ihr System in einem kurzen Online-Re-Audit. Es ist in der jährlichen Gebühr enthalten.
- Laufzeit und Kündigung
- Die Gebühr wird automatisch jährlich abgerechnet. Sie können im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr.
04: Zertify
Wo Zertify im Ablauf ansetzt
Zertify ersetzt den Audit vor Ort durch eine Online-Selbstbewertung. Das passt, wenn ein Lieferantenfragebogen, eine Ausschreibung oder ein Kunde einen ISO-27001-Nachweis verlangt und Ihr Managementsystem bereits dokumentiert ist. Was der Standard inhaltlich verlangt, erklärt die Seite zu ISO 27001.
Gekauft wird ohne Konto. Für Kunden in der Schweiz und in Liechtenstein enthalten die Preise 8.1% Mehrwertsteuer. Wer mehrere Standards zertifiziert, erhält 20% Rabatt auf zwei und 30% auf drei oder mehr Standards, auch auf die jährliche Gebühr.
05: Vergleich
Zertify oder klassische Route mit Audit vor Ort
Die klassische Route läuft über eine Zertifizierungsstelle, die Ihr Unternehmen vor Ort prüft. Die Unterschiede liegen vor allem bei Aufwand und Termin. Die Angaben zur klassischen Route sind Richtwerte und hängen von Zertifizierungsstelle und Unternehmensgrösse ab.
| Kriterium | Zertify | Klassische Route |
|---|---|---|
| Prüfform | Online-Selbstbewertung, von SICE geprüft | Audit vor Ort durch eine Zertifizierungsstelle |
| Zeit bis zum Zertifikat | 4 Stunden nach bestandener Bewertung und Zahlung | Richtwert: mehrere Wochen bis Monate, inklusive Terminplanung |
| Kosten | Fester Preis, im ersten Jahr und danach jährlich bekannt | Richtwert: individuelle Offerte je nach Grösse und Umfang |
| Nachweis | Öffentliche Verifikation per Nummer und QR-Code | Zertifikat der Zertifizierungsstelle |
| Jährliche Bestätigung | Kurzes Online-Re-Audit | Überwachungsaudits nach Plan der Zertifizierungsstelle |
Fragen Sie vor der Entscheidung bei Ihrem Kunden nach, welchen Nachweis er verlangt. Dort entscheidet sich, welche Route für Sie passt.
06: FAQ
Fragen zum ISO 27001 Ablauf
07: Leitfaden
Weiterführende Seiten
ISO 27001 Selbstbewertung starten
Beantworten Sie die 48 Fragen und sehen Sie, ob Ihr Unternehmen die Anforderungen erfüllt.
Kostenlos und ohne Registrierung.