«Bestehen wir das Audit?» Die Frage kommt in jedem unserer ISMS-Projekte, meist etwa drei Monate vor dem Termin, und fast immer mit einem Unterton von Prüfungsangst. Verständlich. Für die meisten im Raum liegt die letzte externe Prüfung Jahrzehnte zurück, und jetzt kommt jemand Fremdes und beurteilt die eigene Arbeit.
Die kurze Antwort: Wenn dein ISMS im Alltag läuft, ist das Zertifizierungsaudit der am wenigsten riskante Teil der ganzen ISO 27001 Zertifizierung. Die lange Antwort lohnt sich trotzdem. Denn die Angst vor dem Audit richtet in der Praxis mehr Schaden an als das Audit selbst, weil sie Firmen dazu verleitet, für den Auditor zu bauen statt für sich.
Zwei Stufen, wenig Überraschung
Der Ablauf ist bei allen akkreditierten Zertifizierungsstellen gleich aufgebaut, er ist in der Norm für die Zertifizierer selbst festgelegt (ISO/IEC 17021-1). Das ist eine gute Nachricht: Es gibt keine Geheimrituale und keine Zertifizierungsstelle, die «härter prüft» als die Norm es vorgibt. Das Erstaudit läuft in zwei Stufen.
Stufe 1 ist die Dokumentations- und Bereitschaftsprüfung. Der Auditor schaut, ob dein ISMS auf dem Papier vollständig ist: Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, interne Audits, Management-Review. Und er beurteilt, ob ein Antritt zur Stufe 2 realistisch ist. Das Ergebnis ist eine Liste offener Punkte, und diese Liste ist der Zweck der Übung: Lücken finden, solange sie günstig zu schliessen sind.
Stufe 2 folgt einige Wochen später und prüft die Wirksamkeit. Jetzt schaut der Auditor nicht mehr, ob Dokumente existieren, sondern ob das System gelebt wird. Er spricht mit Mitarbeitenden, lässt sich Nachweise zeigen (Zugriffsvergaben, behandelte Vorfälle, Schulungen, Lieferantenbewertungen) und vergleicht das, was bei euch tatsächlich passiert, mit dem, was ihr festgelegt habt.
Der letzte Halbsatz ist der wichtigste im ganzen Ablauf. Der Massstab ist nicht eine Ideal-Sicherheit, die irgendwo definiert wäre. Der Auditor prüft gegen die Norm und gegen euer eigenes System. Wer in seine Prozesse schreibt, was er im Alltag tut, hat es darum deutlich leichter als wer die schönste Vorlage kopiert und dann hoffen muss, dass niemand nachfragt.
Auch der Umfang ist keine Verhandlungssache und keine Überraschung: Wie viele Audittage deine Zertifizierung braucht, leitet die Zertifizierungsstelle nach festen Vorgaben aus der Grösse deiner Organisation und dem Geltungsbereich ab (geregelt in ISO/IEC 27006). Du bekommst den Auditplan vor dem Termin, mit Themen, Gesprächspartnern und Zeiten. Wer am Audittag überrascht wird, hat den Plan nicht gelesen.
Wie der Audittag selbst aussieht
Ein Zertifizierungsaudit beginnt mit einem Eröffnungsgespräch, in dem der Auditor den Ablauf bestätigt, und endet mit einem Abschlussgespräch, in dem er alle Feststellungen offenlegt. Dazwischen arbeitet er den Plan ab: Interviews mit den Verantwortlichen, Stichproben in Systemen, Nachweise zu einzelnen Massnahmen. Es gibt keinen Brief, der Wochen später mit unangekündigten Befunden eintrifft. Was im Bericht steht, hast du im Abschlussgespräch bereits gehört und meist auch diskutiert.
Eine Eigenheit des Verfahrens verwirrt viele beim ersten Mal: Der Auditor darf dich nicht beraten. Die Trennung von Beratung und Zertifizierung ist Teil seiner Akkreditierung. Auf die Frage «Und wie sollen wir das lösen?» bekommst du darum keine Antwort, so gern er sie vielleicht geben würde. Er stellt fest, du entscheidest. Das fühlt sich im Moment unbefriedigend an, schützt aber genau das, was das Zertifikat für deine Kunden wert macht: dass niemand seine eigene Arbeit prüft.
Abweichungen sind der Normalfall
Kaum ein Audit endet ohne Feststellungen, und das ist so vorgesehen. Es gibt zwei Kategorien, und der Unterschied entscheidet über deine Nerven.
Eine Nebenabweichung heisst: An einem einzelnen Punkt weicht die Praxis vom System ab, das System als Ganzes funktioniert. Ein Wiederherstellungstest wurde später durchgeführt als geplant, ein Austrittsprozess wurde in einem Fall nicht sauber dokumentiert. Davon bekommst du im Normalfall einige. Du beantwortest sie mit einem Massnahmenplan, und die Zertifizierungsstelle stellt das Zertifikat trotzdem aus.
Eine Hauptabweichung heisst: Das System versagt an einer Stelle grundsätzlich. Interne Audits haben nie stattgefunden, die Risikobeurteilung existiert nur als leere Vorlage, ein ganzer Bereich des Geltungsbereichs wurde nie betrachtet. Dann musst du nachbessern und die Korrektur nachweisen, bevor das Zertifikat kommt. Auch das beendet das Projekt nicht, es verzögert es. Ärgerlich, aber vermeidbar.
In unserer Erfahrung verdient ein Audit ganz ohne Abweichungen übrigens eine Rückfrage. Entweder ist das ISMS aussergewöhnlich reif, oder das Audit war oberflächlich. Ein guter Auditor findet etwas, und ein gutes Unternehmen will, dass er etwas findet. Ihr bezahlt ihn genau dafür.
Woran KMU bei der ISO 27001 Zertifizierung scheitern
Nicht an Fangfragen. In den Projekten, die wir begleiten oder übernehmen, sind es drei Muster, alle vermeidbar und alle lange vor dem Termin sichtbar.
Erstens: kein Betrieb vor dem Audit. Ein Managementsystem braucht Laufzeit, bevor es etwas zu prüfen gibt. Interne Audits und ein Management-Review müssen vor der Stufe 2 mindestens einmal stattgefunden haben, und der Auditor will Nachweise aus dem Alltag sehen, keine frisch erstellten Dokumente mit demselben Erstellungsdatum. Ein ISMS, das drei Wochen alt ist, kann formal vollständig sein und trotzdem nichts belegen. Plane einige Monate gelebten Betrieb zwischen Fertigstellung und Stufe 2 ein.
Zweitens: für den Auditor gebaut. Der 200-Seiten-Ordner aus der gekauften Vorlage, den ausser dem Projektleiter niemand je geöffnet hat. Im Interview merkt der Auditor innert Minuten, ob die Person am Empfang, in der IT oder im HR die Prozesse kennt, die sie angeblich lebt. Das ist der Moment, in dem Papier-Sicherheit auffliegt. Die Ironie: Ein schlankeres System, das die Leute kennen, besteht das Audit besser als das dicke, das beeindrucken soll.
Drittens: der Geltungsbereich ist falsch geschnitten. Wer aus Ehrgeiz die ganze Firma in den Geltungsbereich nimmt, obwohl der Kunde nur die Zertifizierung eines Bereichs verlangt, prüft und pflegt künftig das Doppelte. Wer ihn zu klein schneidet, bekommt ein Zertifikat, das dem Kunden nichts nützt. Der Zuschnitt ist eine Geschäftsentscheidung, keine technische, und er gehört an den Anfang des Projekts, nicht ans Ende.
Alle drei Muster haben dieselbe Wurzel: Das Audit wird als Prüfung verstanden, auf die man sich kurz vor dem Termin vorbereitet. Sinnvoller ist die umgekehrte Blickrichtung. Erst messen, wo ihr steht, dann bauen, was fehlt, dann zertifizieren, was läuft. Warum diese Reihenfolge Geld spart, haben wir im Beitrag Security Assessment vor ISO 27001 beschrieben. Und was das Ganze kostet, steht ehrlich aufgeschlüsselt in Was kostet ISO 27001?
Nach dem Zertifikat fängt der Zyklus an
Das Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen kommt der Auditor je einmal zum Überwachungsaudit, kürzer als die Stufe 2, aber mit echtem Blick auf den laufenden Betrieb. Nach drei Jahren steht die Rezertifizierung an.
Das ist der Teil, den viele Projektpläne unterschlagen. Die Zertifizierung ist kein Gipfel, den man einmal besteigt, sondern ein Rhythmus, in den man eintritt: interne Audits, Management-Reviews, Massnahmen nachverfolgen, jedes Jahr Besuch. Ein ISMS, das nur für den einen Stichtag gebaut wurde, wird ab dem ersten Überwachungsaudit zur Belastung, weil dieselbe Kraftanstrengung jetzt jährlich fällig ist. Ein ISMS, das in den Alltag eingebaut ist, produziert die Nachweise nebenbei.
Zum Zyklus gehört auch die Wahl der Zertifizierungsstelle, und hier ein nüchterner Hinweis: Achte darauf, dass sie für ISO 27001 akkreditiert ist, in der Schweiz typischerweise durch die Schweizerische Akkreditierungsstelle SAS. Ein Zertifikat einer nicht akkreditierten Stelle ist auf dem Papier billiger und im Kundenaudit wertlos, weil genau die Enterprise-Einkäufer, für die du das Zertifikat holst, die Akkreditierung prüfen. Frag auch, ob die Stelle deine Branche kennt. Ein tieferer Tagessatz nützt wenig, wenn ihr dafür drei Jahre mit einem Auditor verbringt, der euer Geschäft nicht versteht.
Für Betreiber kritischer Infrastrukturen, die wegen der ISG-Frist Ende 2026 gerade ein ISMS aufbauen, gilt dasselbe in verschärfter Form: Ein System, das nur einen Stichtag erfüllen soll, ist doppelt bezahlt und einmal genutzt.
Genau an dieser Stelle setzen wir an, wenn Firmen uns für den Aufbau und die Zertifizierungsbegleitung ihres ISMS holen: ein System bauen, das den Betrieb aushält, nicht eines, das ein Audit übersteht. Wenn du wissen willst, wo ihr auf diesem Weg steht, ist ein Erstgespräch unverbindlich.
Die bessere Frage vor der Anmeldung
Nicht «Bestehen wir das Audit?». Sondern: «Würde unser ISMS weiterlaufen, wenn es das Audit nicht gäbe?»
Wenn die Antwort ja ist, könnt ihr den Termin gelassen buchen. Der Auditor wird Abweichungen finden, ihr werdet sie beheben, das Zertifikat kommt, und ihr habt nebenbei einen bezahlten Blick von aussen bekommen. Wenn die Antwort nein ist, habt ihr kein Audit-Problem, sondern ein Betriebsproblem, und das löst kein noch so guter Vorbereitungssprint in den letzten drei Wochen.
Eine Beobachtung aus den eigenen Mandaten zum Schluss: Die Firmen mit der grössten Angst vor dem Audit sind selten die mit dem schwächsten ISMS. Es sind die, die nicht wissen, was sie erwartet. Wie ist das bei euch: Steht das interne Audit auch dann im Kalender, wenn kein Zertifikat daran hängt?
