ISO 27001

Nur wenn der Geltungsbereich auf dem Zertifikat das ganze Unternehmen nennt. Zertifiziert wird der selbst gewählte Anwendungsbereich des Managementsystems – zulässig ist auch ein einzelner Standort, ein Rechenzentrum oder allein die IT-Abteilung. Ein Zertifikat der Konzernmutter deckt Tochtergesellschaften nicht ab, solange sie nicht ausdrücklich genannt sind. Wer einen Dienstleister prüft, liest deshalb nicht das Deckblatt, sondern die Zeile zum Geltungsbereich: Fehlt der eigene Prozess darin, sagt das Zertifikat über ihn nichts.

Über die ausstellende Zertifizierungsstelle – und die muss selbst akkreditiert sein. Nach ISO 27001 zertifizieren darf nur, wen eine nationale Akkreditierungsstelle nach ISO/IEC 27006 dafür anerkannt hat; in Deutschland ist das die DAkkS. Die weltweite Datenbank IAF CertSearch trägt dabei nur begrenzt: Die DAkkS hat im November 2024 amtlich erklärt, dass sie eine Eintragung dort nicht verlangt. Deutsche Zertifikate fehlen in dieser Datenbank deshalb häufig, ohne falsch zu sein.

Jährlich. Ein ISO-27001-Zertifikat gilt drei Jahre; in den Jahren eins und zwei folgt je ein Überwachungsaudit, im dritten die Re-Zertifizierung über den vollen Umfang. Ein Überwachungsaudit prüft dabei nur einen Teil des Systems, sein Umfang liegt bei rund einem Drittel des Erstaudits. Ein zwei Jahre altes Ausstellungsdatum belegt also den damaligen Stand. Wer den heutigen wissen will, verlangt den Bericht des jüngsten Überwachungsaudits, nicht das Zertifikat.

Dass es nicht mehr gültig ist. Die Fassung 2022 ordnet 93 Maßnahmen in vier Kategorien – 37 organisatorische, 8 personelle, 14 physische, 34 technologische – statt 114 in 14 Kategorien, darunter 11 neue. Nach der Fassung 2013 wurde zuletzt im April 2024 auditiert, und die Übergangsfrist von 36 Monaten endete im Oktober 2025. Ein Nachweis, der die Fassung 2013 nennt, belegt seither nur einen historischen Stand.

Das Zertifikat fällt nicht sofort weg. Die Zertifizierungsstelle stuft die Feststellung ein und setzt eine Frist für wirksame Korrekturmaßnahmen – bei schwerwiegenden Abweichungen üblicherweise 90 Tage, bei leichteren 60 bis 90 Tage für den Nachweis. Erst wenn diese Frist ohne Wirksamkeitsnachweis verstreicht, wird das Zertifikat ausgesetzt oder zurückgezogen. Für Auftraggeber heißt das: Ein gültiges Zertifikat schließt nicht aus, dass gerade schwerwiegende Abweichungen abgearbeitet werden.