ISO 27001 Zertifizierung: externe Begleitung durch das Verfahren

Begleitung und unabhängige Zertifizierung unterscheiden

Eine Zertifizierungsbegleitung unterstützt ein Unternehmen dabei, den eigenen Stand nachvollziehbar darzustellen und offene Punkte rechtzeitig zu bearbeiten. Das Zertifikat selbst wird von einer unabhängigen Zertifizierungsstelle erteilt. Die DAkkS beschreibt deren Aufgabe als unabhängige Prüfung standardisierter Managementsystemanforderungen.

Vor der Beauftragung sollten Geltungsbereich, Dienstleistungen, Standorte und organisatorische Grenzen eindeutig beschrieben sein. Nur dann lässt sich klären, was die Zertifizierung abdecken soll und welche Informationen die Zertifizierungsstelle für ihr Angebot benötigt.

Das Verfahren gemeinsam vorbereiten

Praktisch sind die folgenden Aufgaben voneinander zu trennen:

• Das Unternehmen benennt Verantwortliche, setzt Maßnahmen um und stellt belastbare Nachweise bereit.
• Die Begleitung unterstützt bei Planung, Einordnung und Aufbereitung offener Punkte.
• Die Zertifizierungsstelle plant ihre Prüfung und bewertet die vorgelegten Nachweise unabhängig.

Fristen und Anforderungen an die Bearbeitung von Feststellungen werden mit der Zertifizierungsstelle abgestimmt. Eine Beratung sollte weder ein positives Ergebnis garantieren noch ungeklärte Punkte als erledigt darstellen.

Mit Feststellungen sachlich umgehen

Beispiel: Im Audit fehlt bei einer Stichprobe der Nachweis, dass ein ausgeschiedenes Teammitglied seinen Zugang verloren hat. Zunächst ist der konkrete Zugang zu prüfen. Anschließend wird untersucht, warum der Nachweis fehlte und ob weitere Fälle betroffen sind. Eine neue Vorlage allein behebt einen unzuverlässigen Prozess nicht.

Für die Bearbeitung werden Ursache, Korrektur, weitergehende Maßnahme und deren Wirksamkeitsprüfung festgehalten. Welche Unterlagen zur Bewertung benötigt werden, ergibt sich aus dem jeweiligen Verfahren.

Nach dem Zertifikat weiterarbeiten

Die Aussage eines Zertifikats ist auf seinen Geltungsbereich bezogen. Veränderungen am Unternehmen oder an seinen Diensten müssen deshalb im ISMS berücksichtigt werden. Wiederkehrende Bewertungen und Prüfungen gehören in die weitere Planung; Zertifizierungsbegleitung ersetzt den dauerhaften Betrieb des Managementsystems nicht.

Vor einer externen Prüfung hilft eine geordnete ISO-27001-Auditvorbereitung, Ansprechpartner und Nachweise zusammenzubringen. Die internen Audits haben daneben eine eigene Funktion im Managementsystem und ersetzen das unabhängige Zertifizierungsverfahren nicht.

Quellen und fachliche Grundlagen

• Zertifizierungsstellen für Managementsysteme – Deutsche Akkreditierungsstelle (DAkkS)
• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO