Nach einer erfolgreichen ISO 27001-Zertifizierung ist der Prozess nicht abgeschlossen, sondern es beginnt eine neue Phase: die laufende Aufrechterhaltung des Zertifikats. Das Zertifikat gilt f\u00fcr drei Jahre, ist aber an regelm\u00e4\u00dfige \u00dcberwachungsaudits und kontinuierliche Verbesserung gebunden. Im Folgenden beantworten wir die wichtigsten Fragen rund um G\u00fcltigkeit, Pflichten und Rezertifizierung.<\/p>\n
Ein ISO 27001-Zertifikat ist drei Jahre g\u00fcltig. Nach Ablauf dieser Frist muss eine vollst\u00e4ndige Rezertifizierung durchgef\u00fchrt werden, damit das Zertifikat weiterhin Bestand hat. Die G\u00fcltigkeit beginnt mit dem Ausstellungsdatum und ist an zwei Zwischenaudits gebunden, die die Kontinuit\u00e4t best\u00e4tigen.<\/p>\n
Wichtig zu wissen: Das Zertifikat bleibt nur dann g\u00fcltig, wenn die \u00dcberwachungsaudits im ersten und zweiten Jahr erfolgreich absolviert werden. Fehlen diese, verliert das Zertifikat seine G\u00fcltigkeit, auch wenn der Dreijahreszeitraum noch nicht abgelaufen ist. Wer also 2026 zertifiziert wird, muss sp\u00e4testens bis 2028 zwei \u00dcberwachungsaudits nachweisen und anschlie\u00dfend die Rezertifizierung einleiten.<\/p>\n
\u00dcberwachungsaudits sind j\u00e4hrliche Zwischenpr\u00fcfungen, die sicherstellen, dass das Informationssicherheitsmanagementsystem (ISMS) weiterhin den Anforderungen der ISO 27001 entspricht. Sie finden in der Regel einmal pro Jahr statt, also im ersten und zweiten Jahr nach der Erstzertifizierung.<\/p>\n
Im Gegensatz zum vollst\u00e4ndigen Zertifizierungsaudit decken \u00dcberwachungsaudits nicht das gesamte ISMS ab. Stattdessen konzentrieren sie sich auf ausgew\u00e4hlte Bereiche: interne Audits, Managementbewertungen, Korrekturma\u00dfnahmen aus fr\u00fcheren Audits sowie Ver\u00e4nderungen im Unternehmen, die sich auf die Informationssicherheit auswirken k\u00f6nnten. Das Ziel ist es, zu pr\u00fcfen, ob das System aktiv gelebt und weiterentwickelt wird und nicht nur auf dem Papier existiert.<\/p>\n
Die genauen Termine werden gemeinsam mit der Zertifizierungsstelle vereinbart. Bei digitalen Zertifizierungsstellen wie uns laufen diese Audits vollst\u00e4ndig online ab, was den Aufwand f\u00fcr kleine Unternehmen deutlich reduziert.<\/p>\n
Nach der ISO 27001-Zertifizierung sind Unternehmen verpflichtet, ihr ISMS aktiv zu betreiben, zu \u00fcberwachen und kontinuierlich zu verbessern. Das bedeutet konkret: interne Audits durchf\u00fchren, Risikobewertungen aktualisieren, Vorf\u00e4lle dokumentieren und Managementbewertungen abhalten.<\/p>\n
Die laufenden Pflichten lassen sich in folgende Kernbereiche unterteilen:<\/p>\n
Diese Pflichten klingen nach viel Aufwand, lassen sich aber mit einer strukturierten Vorgehensweise gut in den Arbeitsalltag integrieren. Wer von Anfang an ein lebendiges Managementsystem aufbaut, hat hier einen klaren Vorteil.<\/p>\n
Wenn im \u00dcberwachungsaudit Nichtkonformit\u00e4ten festgestellt werden, muss das Unternehmen Korrekturma\u00dfnahmen einleiten und diese innerhalb einer festgelegten Frist nachweisen. Das Zertifikat wird dabei nicht sofort entzogen, solange die M\u00e4ngel behoben werden.<\/p>\n
Nichtkonformit\u00e4ten werden in zwei Kategorien eingeteilt:<\/p>\n
Entscheidend ist eine offene Kommunikation mit der Zertifizierungsstelle. Wer M\u00e4ngel proaktiv anspricht und einen klaren Korrekturplan vorlegt, zeigt, dass das Unternehmen die Anforderungen ernst nimmt. Das wirkt sich positiv auf den weiteren Verlauf aus.<\/p>\n
Die ISO 27001-Rezertifizierung findet nach drei Jahren statt und entspricht in ihrem Umfang weitgehend dem urspr\u00fcnglichen Zertifizierungsaudit. Das gesamte ISMS wird erneut vollst\u00e4ndig gepr\u00fcft, einschlie\u00dflich Dokumentation, Prozesse und der Ergebnisse der internen Audits und Managementbewertungen.<\/p>\n
Der Ablauf gliedert sich typischerweise in folgende Schritte:<\/p>\n
Wer die laufenden Pflichten konsequent erf\u00fcllt hat, ist f\u00fcr die Rezertifizierung gut vorbereitet. Unternehmen, die ihr ISMS aktiv betreiben, erleben die Rezertifizierung meist als deutlich weniger aufwendig als die Erstzertifizierung. Mehr \u00fcber den Gesamtprozess und die Kosten der ISO 27001-Zertifizierung<\/a> finden Sie auf unserer \u00dcbersichtsseite.<\/p>\n Ja, ein ISO 27001-Zertifikat kann entzogen werden. Das geschieht, wenn schwerwiegende Nichtkonformit\u00e4ten nicht behoben werden, \u00dcberwachungsaudits nicht stattfinden oder das Unternehmen grundlegende Anforderungen der Norm dauerhaft nicht erf\u00fcllt.<\/p>\n Konkrete Gr\u00fcnde f\u00fcr einen Entzug sind unter anderem:<\/p>\n Vor einem endg\u00fcltigen Entzug wird das Zertifikat in der Regel zun\u00e4chst ausgesetzt. Das Unternehmen erh\u00e4lt damit eine letzte M\u00f6glichkeit, die M\u00e4ngel zu beheben. Ein Entzug ist also kein automatischer erster Schritt, sondern das Ergebnis eines Prozesses, in dem das Unternehmen mehrfach die M\u00f6glichkeit zur Korrektur hatte.<\/p>\nKann ein ISO 27001-Zertifikat entzogen werden?<\/h2>\n
\n
So hilft DICIS AG bei der ISO 27001-Zertifizierung und Aufrechterhaltung<\/h2>\n