ISO 27001:2022 Informationssicherheitsmanagement
ISO 27001 Dauer: von mehreren Monaten bis zu wenigen Stunden
Auf der klassischen Route mit Audit vor Ort dauert eine ISO 27001 Zertifizierung für ein KMU als Richtwert sechs bis zwölf Monate. Mit Zertify beantworten Sie 48 Fragen in etwa einer Stunde. Das Zertifikat folgt innert 4 Stunden nach bestandenem Assessment und Zahlung.
01: Überblick
Wie lange dauert eine ISO 27001 Zertifizierung?
Die Dauer hängt davon ab, welchen Weg Sie wählen. Bei der klassischen Route mit Vor-Ort-Audit durch eine Zertifizierungsstelle liegen zwischen Projektstart und Zertifikat als Richtwert sechs bis zwölf Monate. Mehrere Standorte oder ein grosser Geltungsbereich verlängern das.
Den kleinsten Teil dieser Zeit nimmt das Audit selbst ein. Der Aufwand steckt in der Risikobewertung, in den Richtlinien und in den Nachweisen, die ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001:2022 verlangt. Dazu kommen Wartezeiten auf Audittermine und Berichte.
Bei Zertify entfallen Audittermin und Berichtsschlaufen. Die Vorbereitung auf die Anforderungen bleibt Ihre Aufgabe, das Assessment selbst dauert etwa eine Stunde.
02: Klassische Route
Die Phasen der klassischen Route mit Richtwerten
Die Zeitangaben sind Richtwerte für ein KMU mit einem Standort. Ihre Ausgangslage kann sie deutlich verschieben.
Vorbereitung und Risikobewertung
Sie legen den Geltungsbereich fest, erfassen Werte und Risiken und bestimmen, welche Kontrollen aus Anhang A Sie umsetzen. Richtwert: zwei bis vier Monate.
Dokumentation und Umsetzung
Sicherheitspolitik, Erklärung zur Anwendbarkeit (SoA), Verfahren, Schulungen und Vorfallmanagement müssen nicht nur geschrieben sein, sondern im Betrieb laufen. Vor dem zweiten Audit verlangt die Norm ein internes Audit und eine Managementbewertung (Kapitel 9). Richtwert: zwei bis vier Monate, teils parallel zur ersten Phase.
Stage-1-Audit
Die Zertifizierungsstelle prüft Dokumentation und Bereitschaft. Das sind ein bis zwei Auditorentage. Danach beheben Sie Beanstandungen, bis zum Stage 2 vergehen als Richtwert zwei bis acht Wochen.
Stage-2-Audit und Zertifizierungsentscheid
Vor Ort wird geprüft, ob das ISMS wirksam umgesetzt ist. Richtwert: zwei bis fünf Auditorentage. Bericht, Korrekturen und Entscheid brauchen weitere zwei bis sechs Wochen.
03: Zeitplan
Zeitplan im Vergleich: klassische Route und Zertify
Die Tabelle stellt die Phasen nebeneinander. Die Werte der klassischen Route sind indikative Bereiche.
| Phase | Klassische Route (Richtwert) | Zertify |
|---|---|---|
| Vorbereitung und Risikobewertung | 2 bis 4 Monate | Eigene Vorbereitung, Dauer je nach Ausgangslage |
| Dokumentation und Umsetzung | 2 bis 4 Monate | Teil der eigenen Vorbereitung |
| Stage-1-Audit | 1 bis 2 Auditorentage, danach 2 bis 8 Wochen | Kein Audit vor Ort |
| Stage-2-Audit | 2 bis 5 Auditorentage | Online-Assessment mit 48 Fragen, etwa 1 Stunde |
| Bericht und Zertifikat | 2 bis 6 Wochen | Innert 4 Stunden nach bestandenem Assessment und Zahlung |
| Gesamt ab Projektstart | 6 bis 12 Monate | Assessment plus 4 Stunden bis zum Zertifikat, zuzüglich eigener Vorbereitung |
Bei Zertify beginnt die Uhr mit dem Assessment, nicht mit dem Projektstart. Wer noch keine Risikobewertung und keine SoA hat, braucht auch hier Vorbereitungszeit.
04: Einflussfaktoren
Was die Dauer einer ISO 27001 Zertifizierung bestimmt
Zwei Unternehmen mit gleicher Mitarbeiterzahl können sehr unterschiedlich lange brauchen. Fünf Faktoren erklären den Unterschied.
- Ausgangslage
- Wer bereits Zugriffsregeln, Backup-Konzept und eine Vorfallmeldung dokumentiert hat, spart Monate. Wer bei null beginnt, muss alles erst aufbauen.
- Geltungsbereich
- Ein einzelner Dienst mit klaren Systemgrenzen ist schneller abgedeckt als das ganze Unternehmen mit mehreren Standorten und Cloud-Anbietern.
- Interne Ressourcen
- In einem KMU läuft das Projekt neben dem Tagesgeschäft. Fehlt eine Person, die es führt, verlängert sich jede Phase.
- Termine der Zertifizierungsstelle
- Auditorentage müssen geplant werden. Zwischen den Audits liegen Wartezeiten, auf die Sie wenig Einfluss haben.
- Beanstandungen
- Jede Abweichung aus Stage 1 oder Stage 2 muss behoben und nachgewiesen werden, bevor der Entscheid fällt.
05: Zertify
Wie Zertify die Dauer verkürzt
Beim Assessment beantworten Sie 48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Dafür rechnen Sie mit etwa einer Stunde.
Nach bestandenem Assessment und Zahlung erhalten Sie das Zertifikat innert 4 Stunden. Es wird von der G6 Agency AG unter Lizenz des SICE ausgestellt, das SICE prüft jedes Assessment vor der Ausstellung. Auf dem PDF stehen Zertifikatsnummer und QR-Code. Die Einkaufsabteilung eines Kunden prüft damit auf der Verifizierungsseite, ob das Zertifikat echt ist.
Der Preis beträgt 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive jährlichem Online-Re-Audit. Was die Zertifizierung auf den verschiedenen Wegen im Detail unterscheidet, vergleicht der Leitfaden zu den Zertifizierungswegen.
06: Nach dem Zertifikat
Wie lange gilt das Zertifikat und was kommt danach?
Das Zertifikat von Zertify gilt 3 Jahre. In jedem Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit. Ein Termin vor Ort ist dafür nicht nötig.
Bei der klassischen Route folgen auf das Zertifikat jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung. Auch das sind Auditorentage, die Sie einplanen müssen.
Die Zertify-Gebühr läuft als jährliches Abonnement mit automatischer Verlängerung. Sie kündigen es jederzeit im Kundenkonto auf das Ende des laufenden Jahres. Das Zertifikat endet dann mit dem bezahlten Jahr.
07: FAQ
Häufige Fragen zur ISO 27001 Dauer
08: Leitfaden
Weiterführende Seiten
Prüfen Sie Ihren Stand in etwa einer Stunde
Das Assessment zeigt Ihnen, ob Sie die 13 zwingenden Anforderungen von ISO 27001:2022 bereits erfüllen.
Kostenlos und ohne Registrierung