ISO 27017 Cloud-Sicherheit
ISO 27017 Dauer: Wie lange die Zertifizierung wirklich braucht
Auf dem klassischen Weg mit Vor-Ort-Audit vergehen bis zum Zertifikat als Richtwert drei bis neun Monate. Bei Zertify dauert die Selbstbeurteilung rund eine Stunde, das Zertifikat liegt innerhalb von 4 Stunden nach Bestehen und Zahlung vor. Beide Wege im Zeitvergleich finden Sie auf dieser Seite.
01: Überblick
Wie lange dauert eine ISO 27017 Zertifizierung?
Die Antwort hängt vom Weg ab. Beim klassischen Vorgehen prüft eine Zertifizierungsstelle Ihr Unternehmen vor Ort. Das verlangt Vorarbeit, Dokumentation und Audittermine, die sich nach dem Kalender der Prüfer richten. Die Angaben in den Tabellen und Listen unten sind Richtwerte, keine Zusagen.
ISO 27017:2015 ist ein Leitfaden mit Sicherheitskontrollen für Cloud-Dienste. Er ergänzt ISO 27001 und ISO 27002. Wer klassisch zertifiziert, plant ihn deshalb meist zusammen mit einem Informationssicherheits-Managementsystem. Fehlt dieses noch, verlängert sich die Vorbereitung entsprechend.
Der Weg über Zertify kennt keine Audittermine. Sie beantworten 34 Fragen online, das Zertifikat folgt direkt nach dem Bestehen und der Zahlung.
02: Klassischer Weg
Die Phasen der klassischen Zertifizierung mit Richtwerten
Eine Zertifizierung mit Vor-Ort-Audit durchläuft vier Phasen. Die Zeiten addieren sich, weil jede Phase auf der vorherigen aufbaut.
Vorbereitung und Lückenanalyse
Sie prüfen, welche Kontrollen aus ISO 27017 bereits umgesetzt sind: Mandantentrennung, Administratorzugriff, Löschung von Kundendaten. Richtwert: ein bis drei Monate.
Dokumentation
Richtlinien, Rollenbeschreibungen und die Aufteilung der Verantwortung zwischen Anbieter und Kunde werden schriftlich festgehalten. Richtwert: ein bis drei Monate, oft parallel zur Umsetzung.
Stage-1-Audit
Die Zertifizierungsstelle prüft Dokumentation und Bereitschaft. Richtwert: ein bis zwei Audittage, dazu Wartezeit auf den Termin von zwei bis acht Wochen.
Stage-2-Audit
Die Prüfer kontrollieren vor Ort, ob die Kontrollen im Betrieb wirken. Richtwert: zwei bis fünf Audittage, danach Bericht und Zertifikatsentscheid in zwei bis sechs Wochen.
03: Zeitplan
Zeitplan im Vergleich: klassischer Weg und Zertify
Die Tabelle stellt beide Wege nebeneinander. Die Werte für den klassischen Weg sind indikative Richtwerte und schwanken je nach Zertifizierungsstelle, Unternehmensgrösse und Reifegrad Ihrer Sicherheitsorganisation.
| Phase | Klassischer Weg (Richtwert) | Zertify |
|---|---|---|
| Vorbereitung und Lückenanalyse | 1 bis 3 Monate | Sie beantworten die 34 Fragen zu den Anforderungen |
| Dokumentation | 1 bis 3 Monate | Keine separate Phase |
| Terminvergabe | 2 bis 8 Wochen | Keine Wartezeit |
| Stage-1-Audit | 1 bis 2 Audittage | Kein Vor-Ort-Audit |
| Stage-2-Audit | 2 bis 5 Audittage | Kein Vor-Ort-Audit, SICE prüft jede Beurteilung |
| Bericht und Zertifikatsentscheid | 2 bis 6 Wochen | Innerhalb von 4 Stunden nach Bestehen und Zahlung |
| Gesamt | 3 bis 9 Monate | Rund 1 Stunde Assessment, Zertifikat innerhalb von 4 Stunden |
04: Einflussfaktoren
Was die Dauer auf dem klassischen Weg verlängert
Wer zwei Quartale einplant, liegt manchmal richtig und manchmal deutlich daneben. Vier Faktoren entscheiden meist darüber.
- Bestehendes ISMS
- Verfügen Sie bereits über ein Managementsystem nach ISO 27001, entfällt ein Grossteil der Vorbereitung. Ohne ISMS beginnen Sie bei null.
- Cloud-Architektur
- Je mehr Mandanten, Standorte und Subunternehmer beteiligt sind, desto mehr Nachweise verlangt das Audit.
- Verfügbarkeit der Beteiligten
- Geschäftsleitung, IT-Leitung und Betrieb müssen für Interviews Zeit haben. Fällt der Termin in eine Ferienperiode, verschiebt er sich um Wochen.
- Nachbesserungen
- Stellen die Prüfer Abweichungen fest, müssen Sie diese beheben und nachweisen, bevor das Zertifikat ausgestellt wird.
05: Zertify
So kommen Sie mit Zertify in 4 Stunden zum Zertifikat
Das Assessment für ISO 27017 besteht aus 34 Ja/Nein-Fragen. 12 davon sind verbindliche Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 22 Fragen brauchen Sie mindestens 15 Ja-Antworten. Für das Ausfüllen rechnen Sie mit rund einer Stunde, ein Konto ist dafür nicht nötig.
Nach dem Bestehen und der Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es wird von der G6 Agency AG im Rahmen einer Lizenz von SICE ausgestellt, und SICE prüft jede Beurteilung vor der Ausstellung. Auf dem PDF steht ein QR-Code. Ihr Einkauf oder Ihr Kunde öffnet damit die öffentliche Prüfseite und sieht Nummer und Status.
Das Erstjahr kostet 799 CHF (799 €), danach 529 CHF (529 €) pro Jahr inklusive des jährlichen Online-Re-Audits. Das Zertifikat gilt 3 Jahre.
06: Entscheidung
Wann sich welcher Weg zeitlich lohnt
Eine Ausschreibung mit Frist oder ein Lieferantenfragebogen, der in zwei Wochen zurück muss, lässt keinen Raum für ein halbjähriges Projekt. Hier zählt, dass der Nachweis in Stunden vorliegt und der Kunde ihn selbst prüfen kann.
Verlangt ein Kunde ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, bleibt der klassische Weg die richtige Wahl. Planen Sie dann die Monate ein und starten Sie früh. Wie sich die Wege unterscheiden, vergleicht der Ratgeber zu den Zertifizierungswegen.
07: FAQ
Häufige Fragen zur Dauer von ISO 27017
08: Ratgeber
Verwandte Seiten
Wissen, wo Sie bei ISO 27017 stehen
Beantworten Sie die 34 Fragen und sehen Sie in rund einer Stunde, ob Sie bestehen.
Kostenlos und ohne Registrierung.