Zertifizierungsdauer
ISO 27018 Dauer: Wie lange die Zertifizierung wirklich dauert
Der klassische Weg mit Audit vor Ort dauert als Richtwert 4 bis 12 Monate. Mit dem Online-Assessment von Zertify beantworten Sie 32 Fragen in rund einer Stunde. Das Zertifikat liegt innert 4 Stunden nach Bestehen und Zahlung vor.
01: Überblick
Wie lange dauert eine ISO 27018 Zertifizierung?
Die Dauer hängt vom gewählten Weg ab. Bei der klassischen Route prüft eine Zertifizierungsstelle Ihr Unternehmen mit Audits vor Ort. Von der ersten Lückenanalyse bis zum Zertifikat vergehen dabei als Richtwert 4 bis 12 Monate.
ISO 27018:2019 richtet sich an Cloud-Anbieter, die als Auftragsverarbeiter personenbezogene Daten in der Public Cloud verarbeiten. Die Norm ergänzt ISO 27001 um Datenschutzkontrollen. Wer bereits ein dokumentiertes Informationssicherheits-Managementsystem betreibt, spart Zeit. Wer bei null beginnt, plant am oberen Ende der Spanne.
02: Klassischer Weg
Die Phasen der klassischen Zertifizierung
Alle Zeitangaben in dieser Liste sind Richtwerte. Sie hängen von Ihrer Ausgangslage und vom Terminkalender der Zertifizierungsstelle ab.
Vorbereitung und Lückenanalyse, 2 bis 6 Wochen
Sie vergleichen Ihre Cloud-Dienste mit den Anforderungen der Norm: Transparenz, Zweckbindung, Löschung und Rückgabe von personenbezogenen Daten, Unterauftragnehmer, Meldung von Datenpannen. Zuständigkeiten werden festgelegt.
Dokumentation und interne Prüfung, 4 bis 12 Wochen
Richtlinien, Löschverfahren, Vertragsklauseln für Unterauftragnehmer, der Ablauf bei Datenpannen und Datenschutz-Folgenabschätzungen werden geschrieben und eingeführt. Dazu kommen ein internes Audit und eine Managementbewertung.
Stufe-1-Audit, 1 bis 2 Tage
Der Auditor prüft vor Ort, ob Dokumentation und Planung ausreichen. Sein Bericht nennt Lücken. Bis zum zweiten Audit vergehen 2 bis 8 Wochen, in denen Sie diese Lücken schliessen.
Stufe-2-Audit, 1 bis 3 Tage
Jetzt prüft der Auditor die Umsetzung im Betrieb: Interviews, Stichproben, Nachweise. Festgestellte Abweichungen beheben Sie in 2 bis 6 Wochen.
Zertifikatsentscheid, 2 bis 4 Wochen
Die Zertifizierungsstelle bewertet Berichte und Korrekturen und stellt danach das Zertifikat aus.
03: Zeitplan
Zeitplan im Vergleich: klassisch und mit Zertify
Die Tabelle stellt beide Wege nebeneinander. Die Werte des klassischen Wegs sind indikative Spannen.
| Phase | Klassischer Weg (Richtwert) | Zertify |
|---|---|---|
| Vorbereitung und Lückenanalyse | 2 bis 6 Wochen | Entfällt als eigene Phase |
| Dokumentation und interne Prüfung | 4 bis 12 Wochen | Entfällt als eigene Phase |
| Stufe-1-Audit und Korrekturen | 3 bis 10 Wochen | Entfällt |
| Stufe-2-Audit und Korrekturen | 3 bis 9 Wochen | Entfällt |
| Self-Assessment | Entfällt | Rund 1 Stunde |
| Zertifikatsausstellung | 2 bis 4 Wochen | Innert 4 Stunden nach Bestehen und Zahlung |
| Gesamtdauer | Rund 4 bis 12 Monate | Rund 1 Stunde plus bis zu 4 Stunden |
04: Einflussfaktoren
Was die Dauer auf dem klassischen Weg verlängert
Vier Punkte entscheiden meist darüber, ob Sie am unteren oder am oberen Ende der Spanne landen.
- Bestehendes Managementsystem
- Mit dokumentierter Informationssicherheit entfällt ein Grossteil der Dokumentationsphase. Fehlt sie, müssen Sie Prozesse erst aufbauen.
- Anzahl Dienste und Unterauftragnehmer
- Jeder Unterauftragnehmer braucht passende Verträge und Nachweise. Je mehr Dienste und Rechenzentren im Spiel sind, desto länger dauert die Klärung.
- Termine der Zertifizierungsstelle
- Auditoren sind Wochen im Voraus ausgebucht. Die Wartezeit zwischen Stufe 1 und Stufe 2 ist oft länger als die Audits selbst.
- Abweichungen im Audit
- Jede Hauptabweichung muss behoben und nachgewiesen werden, bevor die Zertifizierungsstelle entscheidet.
05: Mit Zertify
ISO 27018 mit Zertify: Assessment am Vormittag, Zertifikat am Nachmittag
Zertify ersetzt die Audit-Phasen durch ein Online-Self-Assessment. Sie beantworten 32 Ja/Nein-Fragen zur ISO 27018. Elf davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet werden. Bei den übrigen 21 Fragen genügen mindestens 14 Ja-Antworten. Das Assessment dauert rund eine Stunde und erfordert kein Konto.
Nach dem Bestehen und der Zahlung prüft SICE, das Swiss Institute of Certification and Education, Ihr Assessment. Das Zertifikat wird von G6 Agency AG unter Lizenz von SICE ausgestellt und liegt innert 4 Stunden vor. Es kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF pro Jahr inklusive des jährlichen Online-Re-Audits.
06: Nach dem Zertifikat
Wie lange gilt das Zertifikat und was kommt danach?
Das Zertifikat ist 3 Jahre gültig. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit, ein Besuch vor Ort findet nicht statt. Das Abo verlängert sich automatisch jährlich. Sie können es jederzeit im Kundenkonto auf das Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr.
Ihre Kunden prüfen das Zertifikat öffentlich anhand der Nummer oder des QR-Codes auf dem PDF. Das ist praktisch, wenn ein Lieferantenfragebogen, eine Ausschreibung oder der Einkauf eines Kunden einen Nachweis verlangt. Wer zwei Normen zertifiziert, erhält 20 % Rabatt, ab drei Normen 30 %, auch auf die jährliche Gebühr.
07: FAQ
Häufige Fragen zur ISO 27018 Dauer
08: Leitfaden
Weiterführende Seiten
Wissen Sie, wo Sie bei ISO 27018 stehen?
Das Self-Assessment zeigt in rund einer Stunde, ob Sie die Anforderungen erfüllen.
Kostenlos und ohne Registrierung.