Auf die Frage nach der ISO 27001 Dauer bekommst du Antworten zwischen drei und vierzehn Monaten. Diese Spanne ist selbst schon die Antwort.
Die Spanne stammt aus einer Übersicht von ISMS.online zur Zertifizierungsdauer, die für Unternehmen mit 50 bis 250 Mitarbeitenden 6 bis 9 Monate nennt. Elf Monate Unterschied zwischen dem schnellsten und dem langsamsten Fall, bei identischer Norm, identischem Zwei-Stufen-Audit und oft derselben Zertifizierungsstelle. Die Norm erklärt die Spanne also nicht. Was sie erklärt, sitzt in deinem Betrieb.
Und der Teil, der die Dauer bestimmt, steht in keinem Angebot. Du kannst Beratertage kaufen, Vorlagen kaufen und Software kaufen. Betriebslaufzeit kannst du nicht kaufen, und das Entscheidungstempo deiner eigenen Leute auch nicht.
Wie lange dauert eine ISO-27001-Zertifizierung?
Für ein KMU mit 50 bis 250 Mitarbeitenden nennen veröffentlichte Richtwerte 6 bis 9 Monate vom Projektstart bis zum Zertifikat, über alle Unternehmensgrössen hinweg 3 bis 14 Monate. Welches Ende der Spanne du triffst, entscheidet weniger die Norm als der Zuschnitt deines Geltungsbereichs, die Betriebslaufzeit deines ISMS und die Geschwindigkeit, in der bei euch Entscheidungen fallen.
Das ist die kurze Antwort. Die längere ist nützlicher, weil sie dir zeigt, an welcher Stelle dein eigener Zeitplan kippt.
Drei Posten, aus denen die Dauer besteht
Rechne die Dauer als drei Posten, die sich sehr unterschiedlich verhalten.
Der Aufbau. Geltungsbereich festlegen, Risiken erfassen und bewerten, Richtlinien und Verfahren schreiben, Massnahmen umsetzen, Nachweise organisieren. Das ist der Posten, den Beratung, Vorlagen und ISMS-Software verkürzen. Hier liegt der Hebel, den die Anbieter verkaufen, und er ist real. Wie sich das auf die Rechnung auswirkt, haben wir im Beitrag zu den Kosten einer ISO-27001-Zertifizierung aufgeschlüsselt.
Die Betriebslaufzeit. Das ISMS muss laufen, bevor es etwas zu prüfen gibt. Dieselbe Übersicht nennt als Faustregel, dass ein ISMS mindestens drei Monate vor dem Stufe-2-Audit betriebsbereit sein sollte. Dieser Posten reagiert nicht auf Budget. Er reagiert auf den Kalender.
Das Auditfenster. Stufe 1 prüft die Dokumentation, Stufe 2 die gelebte Umsetzung. Nach derselben Quelle liegen zwischen beiden üblicherweise vier bis acht Wochen, und die Lücke darf sechs Monate nicht überschreiten. Dazu kommt die Vorlaufzeit für den Termin selbst, denn Zertifizierungsstellen buchen Auditoren Monate im Voraus. Wie der Audittag abläuft und was eine Abweichung bedeutet, steht im Beitrag zum Ablauf der ISO-27001-Zertifizierung.
Die Verteilung ist die Pointe. Der Posten, für den du am meisten bezahlst, ist selten der Posten, der den Zeitplan bestimmt.
Der Posten, den du nicht abkürzen kannst
Die Betriebslaufzeit kommt nicht von der Zertifizierungsstelle. Sie steht in der Norm. ISO/IEC 27001 verlangt in Klausel 9.2 ein internes Audit und in Klausel 9.3 eine Managementbewertung. Beide müssen stattgefunden haben, bevor die Zertifizierungsstelle in Stufe 2 die Umsetzung prüft. Ein internes Audit über ein System, das noch niemand benutzt hat, findet nichts. Eine Managementbewertung ohne Betriebsdaten bewertet nichts.
Dazu kommt die Prüfpraxis. Der Auditor sieht sich nicht nur an, ob eine Richtlinie existiert, sondern ob sie im Alltag Spuren hinterlassen hat. Freigaben mit unterschiedlichen Daten, ein Ticket, in dem jemand eine Ausnahme beantragt und begründet hat, ein Protokoll, in dem ein Risiko bewusst akzeptiert wurde. Ein ISMS, dessen sämtliche Dokumente dasselbe Erstellungsdatum tragen, kann formal vollständig sein und belegt trotzdem nichts.
Das ist der Grund, warum die aggressivsten Zeitpläne nicht am Aufwand scheitern, sondern an der Physik des Kalenders. Du kannst zwei Beraterinnen zusätzlich einsetzen und die Dokumentation in der halben Zeit fertigstellen. Du kannst nicht drei Monate Betrieb in drei Wochen erledigen.
Entscheidungstempo schlägt Projektplan
Hier liegt der Teil, der die Spanne von elf Monaten in unserer Erfahrung am stärksten erklärt, und er taucht in keiner Projektplanung als eigene Zeile auf: die Geschwindigkeit, in der bei euch entschieden wird.
Vier Entscheidungen tauchen in fast jedem ISMS-Projekt auf, und jede einzelne kann Wochen kosten.
- Der Geltungsbereich: welche Standorte, welche Systeme, welche Dienstleistungen drin sind und was bewusst draussen bleibt. Das ist eine Entscheidung der Geschäftsleitung, keine Fleissarbeit des Projektteams. Wird sie dreimal vertagt, sind Wochen weg, bevor die erste Richtlinie geschrieben ist.
- Die Risikoeigentümer: Die Norm will für jedes wesentliche Risiko einen Eigentümer. Gemeint ist eine Person mit Namen. An dieser Stelle wird es in Sitzungen regelmässig still, weil ein Name Verantwortung bedeutet und Verantwortung selten freiwillig übernommen wird.
- Die akzeptierten Risiken: Nicht jedes Risiko wird behandelt. Wer ein Restrisiko akzeptiert, muss es unterschreiben. Auch das ist eine Führungsentscheidung mit Terminbedarf.
- Die Lieferantenseite: Nachweise von Dienstleistern einzuholen dauert so lange, wie diese Dienstleister brauchen. Auf dieses Tempo hast du keinen Zugriff, du kannst nur früh anfangen.
Nüchtern betrachtet ist die ISO 27001 Dauer damit zu einem guten Teil eine Führungskennzahl. Sie misst, wie schnell eine Organisation Verantwortung zuteilt und dazu steht. Das ist unbequem, weil es sich nicht delegieren lässt, und es erklärt, warum zwei gleich grosse Betriebe mit demselben Beratungsbudget am Ende Monate auseinanderliegen können.
Der einzige Hebel, der auf alle drei Posten gleichzeitig wirkt
Der Hebel heisst Geltungsbereich.
Ein enger Geltungsbereich bedeutet weniger zu dokumentieren, weniger Betrieb nachzuweisen und ein kleineres Audit. Deshalb zertifizieren viele Betriebe zuerst den Teil, nach dem ihre Kunden fragen, etwa die Plattform, den Rechenzentrumsbetrieb oder eine einzelne Geschäftseinheit, statt das ganze Unternehmen auf einmal. Das ist normkonform und in vielen Fällen die vernünftigere Reihenfolge.
Der Preis dafür steht allerdings im Zertifikat. Der Geltungsbereich ist Teil der Urkunde, und dein Kunde liest ihn. Wenn dort ein Standort steht und der Kunde nach dem Konzern fragt, hast du die Diskussion nur verschoben. Dazu kommt: Eine spätere Erweiterung bringt eigene Aufbau- und Auditarbeit mit sich.
Daraus folgt eine Regel, die den Zeitplan meistens rettet. Schneide den Geltungsbereich entlang dessen, was du deinen Kunden zusagen willst, nicht entlang eines Wunschtermins. Wer den Bereich verkleinert, um ein Datum zu halten, bezahlt beim nächsten Kundenfragebogen ein zweites Mal. Das ist dieselbe Logik, die auch bei der Wahl des Standards greift, etwa in der Frage ISO 27001 oder TISAX: Der Nachweis richtet sich danach, wer ihn sehen will.
Das Versprechen "ISO 27001 in drei Monaten"
Das Versprechen existiert, und es ist nicht einmal falsch. Es meint nur etwas anderes, als du beim Lesen annimmst.
Drei Monate beziehen sich in aller Regel auf die Audit-Bereitschaft der Dokumentation, also auf den Lieferumfang des Anbieters. ISMS-Werkzeuge komprimieren diesen Teil erheblich, weil Richtlinienvorlagen, Risikokataloge und Nachweisverwaltung nicht mehr von Hand gebaut werden müssen. Was sie nicht komprimieren: die Monate, in denen das System laufen muss, das interne Audit, die Managementbewertung und den Terminkalender der Zertifizierungsstelle.
Die brauchbare Gegenfrage im Verkaufsgespräch lautet deshalb nicht "wie schnell schafft ihr das", sondern: Welches Ereignis steht am Ende eurer drei Monate? Übergabe der Dokumentation, bestandenes Stufe-1-Audit oder Zertifikat in der Hand. Die drei Antworten liegen in der Realität Monate auseinander, und die Frage kostet dich zehn Sekunden.
Das gleiche Muster kennst du aus der Gegenrichtung. Wer den Zeitplan an einem Kundenwunsch aufhängt, baut oft mehr System, als der Betrieb tragen kann. Eine Standortbestimmung vor dem ISMS-Projekt sagt dir vorher, wie weit der Weg ist, statt es dich im vierten Monat herausfinden zu lassen.
Woran du erkennst, ob euer Zeitplan hält
Du brauchst dafür keinen Projektplan mit zweihundert Zeilen. Drei Prüfpunkte reichen, und sie funktionieren auch mitten im laufenden Projekt.
Erstens: Stehen Termine für das interne Audit und die Managementbewertung im Kalender, oder steht dort nur ein Datum für das Zertifizierungsaudit? Wenn die beiden Pflichttermine fehlen, ist der Plan noch nicht fertig gerechnet.
Zweitens: Hat der Geltungsbereich einen Namen als Besitzer und ein Beschlussdatum? Ein Geltungsbereich, über den noch diskutiert wird, ist ein offener Posten mit unbekannter Laufzeit.
Drittens: Wie viele Wochen liegen zwischen der Fertigstellung der letzten Richtlinie und dem Stufe-2-Termin? Sind es weniger als acht, plane den Puffer jetzt ein und nicht später unter Druck.
Ein Zögern bei einem dieser drei Punkte ist noch kein Problem. Es ist eine Information über den realistischen Termin, und die ist jetzt noch billig zu haben. Genau diese Standortbestimmung machen wir am Anfang unserer ISMS-Mandate nach ISO 27001, bevor irgendjemand ein Datum gegenüber einem Kunden zusagt. Wenn du wissen willst, wo ihr steht, ist ein unverbindliches Erstgespräch der kürzeste Weg dahin.
Ein Datum, das hält
Ein Zertifizierungstermin ist eine Zusage an einen Auditor, und im Hintergrund meistens auch an einen Kunden. Deshalb ist ein Datum, das du verteidigen kannst, mehr wert als ein Datum, das gut klingt. Der Unterschied zwischen beiden liegt nicht in der Anzahl der Beratertage, sondern darin, ob die Entscheidungen im Plan stehen oder nur die Dokumente.
Die Frage, die wir in Erstgesprächen am nützlichsten finden, ist deshalb nicht, wie lange ihr braucht. Sie lautet: Wer bei euch entscheidet über den Geltungsbereich, und wann hat diese Person das nächste Mal Zeit dafür?
Häufige Fragen
Wie lange dauert eine ISO-27001-Zertifizierung im KMU?
Veröffentlichte Richtwerte nennen für ein KMU mit 50 bis 250 Mitarbeitenden 6 bis 9 Monate vom Projektstart bis zum Zertifikat, über alle Unternehmensgrössen hinweg 3 bis 14 Monate. Wo du in dieser Spanne landest, hängt vom Zuschnitt des Geltungsbereichs, der Betriebslaufzeit deines ISMS und dem Entscheidungstempo in deinem Unternehmen ab.
Kann man ISO 27001 in drei Monaten schaffen?
Für die Dokumentation ja, für das Zertifikat selten. Drei-Monats-Versprechen beziehen sich meistens auf die Audit-Bereitschaft der Unterlagen. Dazu kommen die Betriebslaufzeit des ISMS, das interne Audit, die Managementbewertung und die Terminvorlaufzeit der Zertifizierungsstelle. Frag im Verkaufsgespräch nach, welches Ereignis am Ende der drei Monate steht.
Warum muss ein ISMS vor dem Audit schon laufen?
Weil es sonst nichts zu prüfen gibt. ISO/IEC 27001 verlangt ein internes Audit und eine Managementbewertung, bevor die Zertifizierungsstelle die Umsetzung prüft, und der Auditor will Nachweise aus dem Alltag sehen. Ein ISMS, dessen Dokumente alle dasselbe Erstellungsdatum tragen, kann formal vollständig sein und belegt trotzdem nichts.
