Schnelle Implementierungen dauern 3 bis 4 Monate, typische Erstimplementierungen 6 bis 10 Monate, und komplexe oder standortübergreifende Einführungen laufen häufig 9 bis 18 Monate. Unabhängig davon, in welchem Bereich Sie sich befinden, hängt der Zeitplan von einer einzigen Regel ab: Legen Sie zuerst Ihren Stage-2-Auditdatum fest und arbeiten Sie sich dann rückwärts vor – buchen Sie Stage 1 vier bis sechs Wochen früher und schließen Sie internes Audit sowie Management-Review davor ab. Alles andere – Gap-Analyse, Risikobeurteilung, Kontrolleinführung – wird um diese beiden Ankerpunkte herum geplant.
TL;DR:
- Das zuerst festgelegte Stage-2-Auditdatum ermöglicht es, Stage 1 vier bis sechs Wochen früher einzuplanen und sicherzustellen, dass interne Audits vorher abgeschlossen sind.
- Risikobeurteilungen müssen abgeschlossen und die Erklärung zur Anwendbarkeit (Statement of Applicability) freigegeben sein, bevor Kontrollen dokumentiert und Nachweise gesammelt werden.
- Größere oder standortübergreifende Projekte verlängern die Zeitpläne auf bis zu 9 bis 18 Monate – hauptsächlich aufgrund von Umfang, Kontrollreife und Verfügbarkeit der Verantwortlichen.
- Schnelle Implementierungen mit einem dedizierten Vollzeit-Verantwortlichen und eng begrenztem Scope können in 3 bis 4 Monaten abgeschlossen werden; Erstimplementierungen dauern typischerweise 6 bis 10 Monate.
- Das Anlegen eines strukturierten Nachweisordners pro Kontrolle und ein frühzeitiger Beginn der Nachweissammlung reduzieren Last-Minute-Hektik und beschleunigen die Zertifizierung.
Inhaltsverzeichnis
- Was sind die wichtigsten ISO 27001-Projektmeilensteine und -phasen?
- ISO 27001-Meilenstein-Checkliste: Welche Nachweise erwarten Auditoren?
- Wie sollten Stage-1- und Stage-2-Audits geplant werden?
- Wie lange dauert eine ISO 27001-Zertifizierung tatsächlich?
- Beispiel-Zeitpläne für ISO 27001-Projekte zum Übernehmen
- Wie validieren Sie Ihren Zeitplan, bevor Sie sich festlegen?
- Was die meisten Teams bei der ISO 27001-Planung falsch machen
- Quellen
- FAQ
Was sind die wichtigsten ISO 27001-Projektmeilensteine und -phasen?
Jeder ISO 27001-Zertifizierungsprozess durchläuft dieselbe Abfolge – ob Sie in 12 Wochen oder in 18 Monaten fertig werden. Die Reihenfolge ändert sich nicht; lediglich die Zeit, die innerhalb jeder Phase verbracht wird, variiert.
1. Projektaufbau und Scoping. Sie benötigen eine Projektcharta, eine schriftliche Scope-Definition und einen benannten Projektverantwortlichen, bevor irgendetwas anderes beginnt. Überspringen Sie diesen Schritt, verschwenden Sie Monat drei damit, zu diskutieren, ob die Laptops des Vertriebsteams im Scope sind.
2. Gap-Analyse. Diese ermittelt Ihre Ausgangslage gegenüber den Abschnitten 4 bis 10 der ISO/IEC 27001:2022, die Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung abdecken. Das Ergebnis ist ein Gap-Bericht mit priorisierten Maßnahmen – kein vages Gefühl, „weitgehend auf Kurs" zu sein.
3. Risikobeurteilung und Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Sie erstellen ein Asset-Register, führen eine Risikobeurteilung nach Ihrer gewählten Methodik durch und erstellen anschließend die SoA, in der begründet wird, welche Annex-A-Kontrollen anwendbar sind und welche nicht. Dies ist ein Pflicht-Deliverable: Die SoA kann erst finalisiert werden, wenn das Risikoregister vollständig ist, und die Kontrollumsetzung kann erst abgeschlossen werden, wenn die SoA freigegeben ist.
4. Dokumentation und Kontrollumsetzung. Richtlinien, Verfahren und technische Kontrollen werden erstellt und direkt auf die SoA-Einträge abgebildet. Dies ist in der Regel die längste Phase, da sie tatsächliche operative Veränderungen erfordert – nicht nur Papierkram.
5. Betrieb und Nachweissammlung. Kontrollen müssen lange genug laufen, um echte Aufzeichnungen zu erzeugen: Zugriffsüberprüfungen, Vorfallsprotokolle, Änderungsprotokolle, Schulungsabschlüsse. Zertifizierungsstellen erwarten Stichproben dieser Nachweise, und dies ist die eine Phase, die Sie nicht durch mehr Personal beschleunigen können.
6. Internes Audit und Management-Review. Ein formales internes Audit gemäß Abschnitt 9.2 und ein dokumentiertes Management-Review gemäß Abschnitt 9.3 sind obligatorische Meilensteine. Auditoren möchten sehen, dass das ISMS als Verbesserungskreislauf funktioniert – nicht nur als Ordner voller Richtlinien –, bevor die Zertifizierung voranschreitet.
7. Stage-1- und Stage-2-Audits. Stage 1 ist im Wesentlichen eine Dokumentenprüfung, die überprüft, ob Ihr ISMS korrekt konzipiert und bereit zur Begutachtung ist. Stage 2 testet, ob es tatsächlich wie dokumentiert betrieben wird. Auditoren erwarten, dass Stage 2 innerhalb von sechs Monaten nach Stage 1 stattfindet.
ISO 27001-Meilenstein-Checkliste: Welche Nachweise erwarten Auditoren?
Auditoren bewerten keine Absichten. Sie bewerten Nachweise – und hinter jedem der oben genannten Meilensteine muss ein konkretes Artefakt stehen, bevor Sie ein Auditdatum buchen.
- Scope und Projektcharta: unterzeichnete Scope-Definition mit Benennung von Systemen, Standorten und Ausschlüssen
- Asset-Inventar: gepflegtes Register der Informationswerte mit zugewiesenen Verantwortlichen
- Risikoregister: dokumentierte Risiken, Behandlungsentscheidungen und Restrisikobewertungen
- Erklärung zur Anwendbarkeit (SoA): jede Annex-A-Kontrolle als anwendbar oder ausgeschlossen markiert, mit Begründung
- Richtlinienfreigabe: datierte Genehmigungsnachweise für die Informationssicherheitsrichtlinie und ergänzende Richtlinien
- Nachweise zur Kontrollimplementierung: Konfigurations-Screenshots, Zugriffsprotokolle, Firewall-Regeln, Verschlüsselungseinstellungen – verknüpft mit spezifischen SoA-Einträgen
- Schulungsnachweise: Abschlussprotokolle, die belegen, dass Mitarbeitersensibilisierungsschulungen stattgefunden haben – nicht nur geplant waren
- Bericht des internen Audits: Feststellungen, Nichtkonformitäten und Korrekturmaßnahmen aus dem Audit gemäß Abschnitt 9.2
- Protokoll des Management-Reviews: datierte Besprechungsprotokolle, die belegen, dass die Unternehmensleitung die ISMS-Leistung gemäß Abschnitt 9.3 bewertet hat
Die Reihenfolge ist ebenso wichtig wie die Liste selbst. Die Risikobeurteilung muss vor der SoA abgeschlossen sein, die SoA muss existieren, bevor Sie auf „implementierte" Kontrollen verweisen können, und das interne Audit sowie das Management-Review müssen beide vor Stage 1 stattfinden – nicht eingeklemmt zwischen Stage 1 und Stage 2. Auditoren haben jeden Abkürzungsversuch schon gesehen, und ein Management-Review, das drei Tage vor Stage 1 datiert ist, wird genau als das erkannt, was es ist.
Profi-Tipp: Legen Sie für jede SoA-Kontrolle einen eigenen Nachweisordner an, der nach der Kontrollnummer benannt ist, und fügen Sie alle zugehörigen Artefakte laufend ein. Wenn Stage 1 ansteht, übergeben Sie dem Auditor eine strukturierte Ordnerstruktur – anstatt die Nacht davor um 23 Uhr E-Mail-Verläufe zu durchsuchen. Eine vollständige Aufstellung aller Deliverables finden Sie in der ISO 27001-Zertifizierungscheckliste mit allen 80 Schritten in Reihenfolge.
Wie sollten Stage-1- und Stage-2-Audits geplant werden?
Arbeiten Sie vom Zertifizierungsziel rückwärts – nicht vorwärts vom Kickoff-Datum. Vorwärtsplanung ab Tag eins ist der Grund, warum Teams am Ende einen Stage-2-Termin haben, der stillschweigend dreimal verschoben wird.
- Legen Sie zuerst Ihren Stage-2-Termin fest. Dies ist das Datum, bis zu dem Sie das Zertifikat tatsächlich benötigen – getrieben durch einen Kundenvertrag, eine Ausschreibungsfrist oder eine Vorstandsverpflichtung.
- Planen Sie Stage 1 vier bis sechs Wochen früher ein. Dieser Puffer gibt Ihnen Zeit, Beobachtungen aus Stage 1 vor Stage 2 zu schließen.
- Platzieren Sie das interne Audit und das Management-Review vor Stage 1 – nicht unmittelbar davor gequetscht. Beide müssen vollständig abgeschlossen sein, mit unterzeichneten Protokollen und einem abgeschlossenen Auditbericht, bevor die Zertifizierungsstelle erscheint.
- Betrachten Sie Ihren Betriebs-/Nachweis-Zeitraum als feste Eingangsgröße, nicht als Variable. Sie können das Schreiben von Richtlinien beschleunigen. Sie können drei Monate Zugriffsprotokoll-Einträge, die noch nicht existieren, nicht beschleunigen.
- Planen Sie nach Stage 1 einen Korrekturpuffer ein. Stage 1 bringt in der Regel Hinweise statt wesentlicher Nichtkonformitäten, und Projekte, die ein 4- bis 6-wöchiges Fenster zum Schließen dieser Hinweise einplanen, bestehen Stage 2 fast immer im ersten Anlauf.
Diese Rückwärtsplanungsmethode hat einen nützlichen Nebeneffekt: Sie legt schlechte Annahmen sofort offen. Wenn das rückwärtige Rechnen von Ihrem Stage-2-Datum Ihren Kickoff in die Vergangenheit verlegt, ist Ihr Zieldatum falsch – nicht Ihr Plan. Das ist eine günstige Erkenntnis in Woche eins statt in Monat acht. Es lohnt sich auch, die Verfügbarkeit der Zertifizierungsstelle frühzeitig zu prüfen. Buchungsslots sind schnell belegt, und eine Stelle, die Stage 1 erst in zehn Wochen einplanen kann, ruiniert einen engen Zeitplan – unabhängig davon, wie diszipliniert Ihre interne Arbeit ist.
Wie lange dauert eine ISO 27001-Zertifizierung tatsächlich?
Drei Bereiche decken fast alle realen Projekte ab, und der Unterschied zwischen ihnen ist kein Zufall. Es sind Scope-Disziplin und Ressourceneinsatz.
- Schnell (3 bis 4 Monate): Kleine Organisation, eng begrenzter Scope, vorhandene Sicherheitsbasis und ein dedizierter Vollzeit-Verantwortlicher.
- Typisch (6 bis 10 Monate): Erstimplementierung, moderater Scope, ein Verantwortlicher, der seine Zeit mit anderen Aufgaben teilt, und Dokumentation, die größtenteils von Grund auf neu erstellt wird.
- Langsam (9 bis 18 Monate): Standortübergreifender oder konzernweiter Scope, geringe anfängliche Sicherheitsreife, geteilte Verantwortung über mehrere Personen oder ein stark reguliertes Umfeld, das tiefere Kontrollen erfordert.
Organisationen, die den Scope zu Beginn eng fassen, realistisch dedizierte Zeit einplanen und Scope-Creep während des Aufbaus vermeiden, weisen 30 bis 50 % schnellere Implementierungen auf als Teams, die den Scope treiben lassen.
Die Variablen, die Sie zwischen diesen Bereichen verschieben, sind vorhersehbar. Die Scope-Größe ist die bedeutendste: Die Zertifizierung einer Produktlinie ist ein anderes Projekt als die Zertifizierung von fünf Tochtergesellschaften. Die bestehende Kontrollreife ist fast ebenso entscheidend. Ein Unternehmen, das bereits ein ordentliches Zugriffsmanagement und Logging betreibt, ist vor Projektbeginn schon halb fertig. Die FTE-Zuweisung für den ISMS-Verantwortlichen ist der stille Killer. Ein ISMS-Verantwortlicher, der diese Aufgabe neben einer vollen IT-Auslastung bewältigt, dehnt ein 6-Monats-Projekt auf 12 Monate aus – ohne dass es jemandem auffällt, bis der Kalender es sagt.
Wenn Sie Ihren Zeitplan verkürzen möchten, sind die Stellschrauben konkret. Begrenzen Sie den Scope vor Projektbeginn – nicht mittendrin. Verwenden Sie Dokumentationsvorlagen statt jede Richtlinie auf der leeren Seite zu beginnen. Investieren Sie echte Stunden – keine „wenn ich dazu komme"-Stunden – in die ISMS-Verantwortlichen-Rolle. Und beginnen Sie früh mit dem Betrieb Ihrer Kontrollen, denn das Nachweis-Fenster ist die eine Phase, die Aufschub gnadenlos bestraft.
Beispiel-Zeitpläne für ISO 27001-Projekte zum Übernehmen
Zwei Zeitpläne decken die meisten Planungsanforderungen ab: ein aggressiver 12-Wochen-Sprint für kleine, gut vorbereitete Scopes und ein realistischer 6- bis 10-Monats-Plan für typische Erstimplementierungen.
Der beschleunigte 12-Wochen-Plan setzt einen kleinen Scope, eine vorhandene Sicherheitsbasis und einen dedizierten Verantwortlichen voraus:
- Wochen 1 bis 2: Scoping, Projektcharta und Gap-Analyse abgeschlossen
- Wochen 3 bis 4: Risikobeurteilung und Entwurf der SoA
- Wochen 5 bis 7: Richtlinien- und Kontrollumsetzung gemäß SoA-Einträgen
- Wochen 8 bis 9: Kontrollen betreiben, Nachweissammlung beginnen, Mitarbeiterschulungen durchführen
- Woche 10: Internes Audit und Management-Review, beide vollständig dokumentiert
- Woche 11: Stage-1-Audit
- Woche 12: Behebung etwaiger Beobachtungen, abschließende Nachweissammlung, Stage 2 für die folgenden Wochen gebucht
Der realistische 6- bis 10-Monats-Plan streckt dieselben Phasen mit einem längeren Nachweisfenster: Monate 1 bis 2 umfassen Scoping und Gap-Analyse, Monate 2 bis 4 Risikobeurteilung, SoA und Kontrollaufbau, Monate 4 bis 7 den Betrieb der Kontrollen und die Sammlung echter Nachweise, Monat 7 oder 8 internes Audit und Management-Review, und Stage 1 findet in Monat 8 oder 9 statt, gefolgt von Stage 2 vier bis sechs Wochen später.
Passen Sie jeden der beiden Pläne an Ihre Realität an. Verantwortliche in Teilzeit sollten den 12-Wochen-Plan ungefähr verdoppeln, anstatt einen Vollzeit-Zeitplan in weniger Stunden zu quetschen. Standortübergreifende Organisationen benötigen zusätzliche Wochen in der Risikobeurteilungs- und Nachweisphase, um standortspezifische Unterschiede zu berücksichtigen. Eine deliverable-genaue Version des schnellen Plans finden Sie im 12-Wochen-ISO-27001-Projektplan mit detaillierten wöchentlichen Ergebnissen.
Wie validieren Sie Ihren Zeitplan, bevor Sie sich festlegen?
Ein Beispielzeitplan ist ein Ausgangspunkt – keine Garantie, dass Ihre Organisation dazu passt. Der ISO 27001-Kostenrechner von Ismscalculator liefert eine organisationsspezifische Echtzeit-Schätzung basierend auf Ihrer Unternehmensgröße, Branche und aktuellen Sicherheitsreife – damit Sie prüfen können, ob „6 Monate" für Ihren tatsächlichen Scope realistisch ist, bevor Sie es der Unternehmensleitung versprechen.
- Führen Sie den kostenlosen 2-Minuten-Reife-Check durch, um schnell eine Reifegrad-Momentaufnahme zu erhalten – ohne vorherige Anmeldung.
- Vergleichen Sie Ihre Annahmen mit Referenzvergleichen über alle vier ISO/IEC 27001:2022-Kontrollthemen hinweg, um zu erkennen, wo Ihr Plan den Aufwand unterschätzt.
- Exportieren Sie ein anpassbares Gantt-Diagramm und legen Sie es über einen der obigen Beispielpläne, um zu sehen, wo Ihr Zeitplan tatsächlich abweicht.
- Speichern und vergleichen Sie mehrere Schätzungen, wenn Sie einen schlanken Scope gegen einen breiteren abwägen, bevor Sie Ihre Projektcharta festschreiben.
Die Kombination aus Projektwerkzeugen und Meetingdisziplin hilft hier ebenfalls. Plattformen wie Segua sind darauf ausgelegt, Projektanforderungen und regelmäßige Besprechungen miteinander zu verknüpfen – was wichtig ist, wenn der Meilenstein-Review-Rhythmus der einzige Faktor ist, der verhindert, dass ein 10-Monats-Plan auf 14 Monate abdriftet.
Was die meisten Teams bei der ISO 27001-Planung falsch machen
Die Fehler sind vorhersehbar: vage Scope-Definitionen, die kein Auditor akzeptiert, ISMS-Verantwortung auf drei Personen verteilt, sodass niemand wirklich zuständig ist, und Nachweis-Fenster, die als flexibel behandelt werden – obwohl sie der einzige unflexible Teil des Zeitplans sind. Das Mantra, das es wert ist, über Ihrem Schreibtisch zu hängen, ist einfach: Stage 2 festlegen, rückwärts arbeiten, das Betriebsfenster schützen. Alles andere im Projekt richtet sich nach diesen drei Schritten.
— Martin
FAQ
Was ist die ISO 27001-Checkliste?
Eine ISO 27001-Checkliste ist die Abfolge von Deliverables, die Auditoren erwarten: Scope-Dokumente, Gap-Analyse, Risikoregister, Erklärung zur Anwendbarkeit, implementierte Kontrollen mit Abbildung auf die SoA, Schulungsnachweise, ein interner Auditbericht und Protokoll des Management-Reviews. Die Zertifizierungscheckliste schlüsselt dies in einer vollständigen Schritt-für-Schritt-Liste auf.
Was sind die 10 Abschnitte der ISO 27001?
ISO/IEC 27001:2022 umfasst 10 Abschnitte, aber nur die Abschnitte 4 bis 10 enthalten verbindliche Anforderungen: Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Die Abschnitte 1 bis 3 decken Anwendungsbereich, Normative Verweisungen und Begriffe ab und begründen für sich genommen keine Verpflichtungen, gemäß dem ISO 27001-Standard.
Was sind Stage-1- und Stage-2-Audit bei ISO?
Stage 1 ist eine Dokumentenprüfung, die überprüft, ob Ihr ISMS korrekt konzipiert und bereit zur Begutachtung ist. Stage 2 testet, ob dieses ISMS tatsächlich wie dokumentiert betrieben wird – anhand von Nachweisen wie Protokollen, Aufzeichnungen und Interviews – und wird in der Regel innerhalb von sechs Monaten nach Stage 1 durchgeführt.
Was sind die wichtigsten Schritte bei der Implementierung von ISO 27001?
Die Kernschritte sind: Scoping und Gap-Analyse, Risikobeurteilung und Erklärung zur Anwendbarkeit, Dokumentation und Kontrollumsetzung, Betrieb dieser Kontrollen lange genug zur Nachweiserzeugung sowie abschließend internes Audit und Management-Review vor den Stage-1- und Stage-2-Audits. Jeder Schritt führt direkt in den nächsten, sodass das Überspringen von Schritten in der Regel bedeutet, Arbeit später zu wiederholen.
Wie lange dauert es, ISO 27001 zertifiziert zu werden?
Schnelle, gut vorbereitete Implementierungen dauern 3 bis 4 Monate, typische Erstprojekte 6 bis 10 Monate, und komplexe oder standortübergreifende Einführungen laufen häufig 9 bis 18 Monate. Der 12-Wochen-Projektplan zeigt, wie das schnelle Ende dieser Spanne tatsächlich Woche für Woche aussieht.