ISO 27001 in 12 Wochen: Wann das realistisch ist

Warum ISO-27001-Projekte oft ein Jahr dauern

Wer heute nach der Dauer einer ISO-27001-Zertifizierung sucht, findet überall dieselbe Spanne: neun bis achtzehn Monate. Diese Zahl ist nicht falsch. Sie beschreibt nur einen bestimmten Weg: den, bei dem ein Unternehmen sein Informationssicherheits-Managementsystem von null aufbaut.

Und genau dort liegt der Zeitfresser. Nicht in der Norm, nicht im Audit, sondern davor: in der Frage, wie ein Dokument aussehen soll, welche Struktur die Richtlinien bekommen, wie tief eine Risikoanalyse gehen muss und wer eigentlich entscheidet. Ein internes Team, das ISO 27001 zum ersten Mal umsetzt, verbringt den grössten Teil der Zeit nicht mit Inhalten, sondern mit dem Erfinden von Form.

Dazu kommt ein zweiter Effekt: Ohne festen Fahrplan wächst der Umfang. Aus einer Richtlinie werden fünf, aus einer Massnahme ein Teilprojekt. Was als überschaubares Vorhaben begann, wird zu einem Dauerthema, das niemand mehr abschliessen kann.

Wer ISO 27001 verlangt und warum die Frage jetzt kommt

Kaum ein Unternehmen beginnt ein ISO-27001-Projekt aus eigenem Antrieb. Am Anfang steht fast immer eine Anforderung von aussen, und diese Anforderungen haben sich in den letzten Jahren gehäuft.

Ausschreibungen. Bei öffentlichen und grösseren privaten Ausschreibungen ist der Nachweis eines Managementsystems für Informationssicherheit inzwischen ein regelmässiges Kriterium. Verlangt eine Vergabestelle ein Zertifikat als Eignungskriterium, wird ein Anbieter ohne Nachweis nicht schlechter bewertet, sondern gar nicht erst berücksichtigt.

Lieferantenprüfungen von Konzernkunden. Ein Zertifikat kann den Sicherheitsfragebogen, den sonst jeder Kunde einzeln schickt und den intern jedes Mal jemand anders beantwortet, ersetzen oder deutlich verkürzen. Das ist der Nutzen, den Unternehmen nach der Zertifizierung am schnellsten bemerken.

Die europäische NIS2-Richtlinie. Direkt betrifft sie Schweizer Unternehmen nur bei EU-Bezug, etwa mit einer Niederlassung oder einer Tätigkeit in der EU in den erfassten Sektoren. Häufiger wirkt sie indirekt: Betroffene Unternehmen in der EU müssen die Sicherheit ihrer Lieferkette steuern und geben diese Anforderungen an ihre Schweizer Zulieferer weiter. Ein Zertifikat schreibt NIS2 selbst nicht vor.

Cyberversicherungen. Versicherer fragen im Antrag nach umgesetzten Massnahmen und knüpfen Prämien und Deckungssummen daran.

Und das Datenschutzgesetz. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Art. 1 bis 3 DSV nennen dafür Kriterien und Schutzziele, schreiben aber weder eine bestimmte Norm noch ein Zertifikat vor. Ein ISMS nach ISO 27001 ist ein verbreiteter Weg, die Angemessenheit nachvollziehbar zu belegen. Bestandsaufnahme, Zugriffskonzept und Dienstleisterprüfung brauchen beide Seiten ohnehin. Wie dieselbe Arbeit auf der Datenschutzseite aussieht, steht im Beitrag Bearbeitungsverzeichnis: Anleitung für Schweizer KMU.

Diesen Anforderungen ist eines gemeinsam: Sie kommen mit einer Frist. Der Kunde will den Nachweis zum Vertragsbeginn, die Ausschreibung hat ein Eingabedatum. Deshalb ist die Dauer eines ISO-27001-Projekts keine akademische Frage.

Wann zwölf Wochen realistisch sind

Zwölf Wochen sind kein Verkaufsversprechen, sondern das Ergebnis einer einfachen Verschiebung: Wenn Struktur, Vorlagen und Reihenfolge bereits feststehen, bleibt nur noch die Arbeit, die tatsächlich unternehmensspezifisch ist: Scope, Risiken, Verantwortlichkeiten, Nachweise.

Ein Ausgangsprofil aus einem unserer Projekte, bei dem dieser Takt realistisch war:

Die vierte Zeile beschleunigt zusätzlich: Ein Unternehmen mit gelebter ISO 9001 kennt Managementreview, interne Audits, Dokumentenlenkung und Korrekturmassnahmen bereits. Diese Verfahren müssen für ISO 27001 nicht neu erfunden, sondern nur erweitert werden. Voraussetzung ist das nicht, aber es spart Wochen.

Die fünf Voraussetzungen

Damit der Zeitrahmen hält, müssen fünf Dinge zusammenkommen. Fehlt eines davon, verschiebt sich der Termin, nicht dramatisch, aber vorhersehbar.

1. Ein klar begrenzter Scope. Welche Standorte, welche Prozesse, welche Systeme? Wer diese Frage erst in Woche sechs beantwortet, verliert die ersten fünf.
2. Ein vorbereitetes Managementsystem, das nur noch auf das Unternehmen angepasst werden muss. Dokumentenstruktur, Richtlinien, Asset Register und Risikomethodik existieren als auditerprobtes Gerüst. Angepasst wird, nicht geschrieben.
3. Vorhandene technische Basismassnahmen. Zugriffskontrolle, Datensicherung, Protokollierung, Patch-Management. ISO 27001 dokumentiert und steuert Sicherheit. Sie ersetzt sie nicht.
4. Entscheidungsfähige Verantwortliche. Die Geschäftsleitung muss Scope, Kriterien für die Risikoakzeptanz und Massnahmen zeitnah freigeben, die Risikoeigner die verbleibenden Risiken. Eine Freigabe, die drei Wochen liegen bleibt, kostet drei Wochen.
5. Eine straffe Taktung bis zum internen Audit. Risikoanalyse, Annex-A-Massnahmen, Awareness und internes Audit greifen ineinander. Wer sie nacheinander statt verzahnt plant, verliert die Zeit, die das Gerüst eingespart hat.

Das Vorgehen in drei Phasen

Die GAP-Analyse ist bewusst der erste Schritt und nicht Teil der Umsetzung. Sie kostet ein bis zwei Beratertage und beantwortet die Frage, ob zwölf Wochen für dieses Unternehmen überhaupt realistisch sind. Fällt die Antwort negativ aus, ist das eine gute Nachricht: Dann kennen Sie den tatsächlichen Aufwand, bevor Sie ein Budget binden.

Die Roadmap Woche für Woche

Vor dem Stage-2-Audit müssen ein internes Audit und eine Managementbewertung durchgeführt sein. Stage 1 prüft bereits, ob beide geplant und durchgeführt werden. Welche Nachweise sonst vorliegen müssen, zeigt unsere ISO-27001-Checkliste.

Das externe Zertifizierungsaudit schliesst sich an. Seinen Termin bestimmt die Zertifizierungsstelle, nicht das Projekt. Dieser Puffer gehört in jede realistische Planung.

Am Ende der zwölf Wochen liegen diese Artefakte vor: ISMS-Dokumentenstruktur nach ISO/IEC 27001:2022 mit Amd 1:2024, Richtlinien und Verfahren, Asset Register, Risikoanalyse, Risikobehandlungsplan, Anwendbarkeitserklärung mit der Übersicht der Annex-A-Massnahmen, Rollen- und Verantwortlichkeitsmatrix, Schulungs- und Awareness-Plan, BCM-Konzept, interner Auditbericht mit Korrekturmassnahmen, Protokoll der Managementbewertung und die Nachweise für die externe Zertifizierung.

Anhang A und die Anwendbarkeitserklärung

Zwei Begriffe tauchen in jedem ISO-27001-Projekt auf und werden regelmässig verwechselt.

Anhang A ist der Katalog möglicher Sicherheitsmassnahmen. Die Fassung von 2022 hat ihn neu geordnet: 93 Massnahmen in vier Themenbereichen: organisatorisch, personenbezogen, physisch und technologisch. Die ältere Gliederung in 14 Abschnitte mit 114 Massnahmen stammt aus der Fassung von 2013, deren Übergangsfrist am 31. Oktober 2025 abgelaufen ist. Zertifiziert wird heute ausschliesslich nach ISO/IEC 27001:2022 einschliesslich der Änderung Amd 1:2024, die in Ziff. 4.1 und 4.2 die Bewertung des Klimawandels ergänzt.

Die Anwendbarkeitserklärung, im Projektalltag meist SoA genannt, nach dem englischen Statement of Applicability, verbindet diesen Katalog mit Ihrem Unternehmen. Sie ist ein Pflichtdokument der Norm. Sie enthält die notwendigen Massnahmen mit der Begründung, warum sie aufgenommen wurden, und hält fest, ob sie umgesetzt sind. Für jede Massnahme aus Anhang A, die nicht zum Einsatz kommt, begründet sie den Ausschluss. In der Praxis hält eine gute Anwendbarkeitserklärung zusätzlich fest, wie eine Massnahme umgesetzt ist und wo der Nachweis liegt.

Der entscheidende Punkt wird im Projekt am häufigsten missverstanden: Die Anwendbarkeitserklärung verlangt nicht, dass alle 93 Massnahmen angewendet werden, sondern dass jede berücksichtigt und jeder Ausschluss begründet ist. Eine begründete Nichtanwendbarkeit ist ein gültiges Ergebnis. Eine Massnahme, über die niemand nachgedacht hat, ist es nicht.

Für die Auditseite ist die Anwendbarkeitserklärung deshalb der natürliche Einstieg: Sie zeigt in einem einzigen Dokument, welche Nachweise es geben muss und wo sie zu suchen sind.

Was intern an Aufwand entsteht

Die verbreitetste Fehleinschätzung ist, dass ein externer Berater das ISMS schreibt und das Unternehmen es entgegennimmt. So entsteht ein Dokumentenstapel, den im Audit niemand erklären kann.

Aus unseren Projekten gilt als Erfahrungswert: Auf jeden Beratertag kommen etwa 1,5 bis 2 Tage interner Aufwand. Je nach Ausgangslage kann es deutlich mehr sein. Dieser Aufwand verteilt sich auf Fachbereiche, IT und Geschäftsleitung. Er fällt nicht bei einer Person an, aber er fällt an. Wer ihn nicht einplant, verschiebt ihn nur nach hinten.

Was eine Zertifizierung in der Schweiz kostet

Die Kosten bestehen aus mehreren Blöcken: Gebühren der Zertifizierungsstelle, externe Beratung, interner Aufwand und je nach Ausgangslage Werkzeuge und zusätzliche Sicherheitsmassnahmen. Die grösste Stellschraube ist der Geltungsbereich, weil er die Zahl der Personen im Audit und damit die Auditortage der Zertifizierungsstelle bestimmt.

Ein enger Geltungsbereich ist verlockend, aber er muss halten. Wir leiten ihn deshalb immer aus dem Kontext der Organisation her: aus dem, was das Unternehmen tut, für wen, mit welchen Informationen und unter welchen Anforderungen. Ein Geltungsbereich, der nur zugeschnitten wurde, um Auditortage zu sparen, fällt spätestens dann auf, wenn Prozesse aus ihm heraus- und wieder hineinzeigen.

Die Akkreditierung der Zertifizierungsstelle ist ein eigener Kostenhebel. Jede Zertifizierungsstelle wird selbst überwacht. In der Schweiz akkreditiert die Schweizerische Akkreditierungsstelle SAS, die im Global ACI MRA mit dem Umfang ISO/IEC 27001 aufgeführt ist. Daneben gibt es Stellen mit anderer Akkreditierung, etwa durch die ASCB, die nach eigener Angabe nicht Mitglied von Global ACI ist. Geprüft wird in beiden Fällen gegen ISO/IEC 27001. Unterschiedlich sind die Akkreditierungsstelle, die Überwachung der Zertifizierungsstelle, die Reichweite der Anerkennung und die Gebühren.

Daraus folgt eine Entscheidung, die sich vorziehen lässt: Klären Sie beim Kunden, der den Nachweis verlangt, was er tatsächlich fordert. Verlangt dessen Beschaffungsrichtlinie ausdrücklich eine Akkreditierung, die im Global ACI MRA anerkannt ist, etwa über eine SAS-akkreditierte Stelle, dann zertifizieren Sie von Anfang an dort. Andernfalls nehmen Sie den wirtschaftlicheren Weg.

Das Risiko dieser Wahl ist geringer, als es aussieht, sofern das Managementsystem von Anfang an für beide Wege gebaut ist: Geprüft wird gegen dieselbe Norm, die Nachweise sind dieselben, das ISMS bleibt unverändert. Verlangt später doch jemand ein Zertifikat mit anderer Akkreditierung, kommt eine neue Erstzertifizierung mit Stage 1 und Stage 2 bei der anderen Stelle hinzu. Das ISMS bleibt dasselbe, ein neues Projekt ist es nicht.

Planungswerte, Marktangaben, den Ablauf über drei Jahre und die Unterschiede bei der Akkreditierung erklärt der Ratgeber Was kostet eine ISO-27001-Zertifizierung?

Wie PlanSec rechnet. Wir nennen keine Preise, bevor wir Ihre Ausgangslage kennen. Verbindlich ist die Struktur: Der Einstieg ist eine GAP-Analyse zum Festpreis. Danach folgt ein Festpreis für einen definierten Umfang von 12 Beratertagen statt offener Beratertage. Das PlanSec-Managementsystem ist enthalten und gehört Ihnen danach ohne laufende Lizenz. Zur Zertifizierungsgarantie: Wenn Sie umsetzen, was wir empfehlen, und das Zertifizierungsaudit trotzdem nicht bestehen, arbeiten wir kostenfrei nach, bis das Zertifikat vorliegt. Über die Zertifizierung entscheidet die unabhängige Zertifizierungsstelle. Ihre Gebühren kommen separat und gehen direkt an sie. Was Sie konkret zahlen, erfahren Sie im kostenlosen Erstgespräch.

Was nach der Zertifizierungsreife passiert

Zwölf Wochen führen zur Zertifizierungsreife. Das Zertifikat stellt danach eine akkreditierte Zertifizierungsstelle aus, und deren Ablauf ist genormt:

1. Stage-1-Audit: Prüfung der Dokumentation und der Auditbereitschaft. Findet oft remote statt und zeigt auf, was vor Stage 2 noch fehlt.
2. Stage-2-Audit: die eigentliche Zertifizierungsprüfung, in der Regel vor Ort: Wirksamkeit der Massnahmen, Nachweise, Interviews.
3. Zertifikat: gültig drei Jahre ab der Zertifizierungsentscheidung.
4. Überwachungsaudits: in Jahr 1 und Jahr 2, das erste spätestens 12 Monate nach der Zertifizierungsentscheidung.
5. Rezertifizierung: vor Ablauf der drei Jahre, danach beginnt der Zyklus von vorn.

Die Terminierung liegt bei der Zertifizierungsstelle, nicht bei uns. Je nach Auslastung ist mit einigen Wochen Vorlauf zu rechnen. Dieser Zeitraum kommt zu den zwölf Wochen hinzu und gehört in jede realistische Planung. Wir organisieren die Stelle auf Wunsch mit.

Der Zyklus ist auch der Grund, warum ein ISMS nicht nur auditfähig, sondern führbar sein muss. Ein System, das jemand von aussen geschrieben hat und das intern niemand versteht, scheitert nicht im ersten Audit, sondern im zweiten.

Was in der Praxis herausgekommen ist

An dieser Stelle wird es unbequem, und genau deshalb steht es hier: Nicht jedes Projekt schliesst nach exakt zwölf Wochen ab. Zwei abgeschlossene Zertifizierungen aus dem Jahr 2024:

Projekt A brauchte vom Start bis zum Zertifikat rund 14 Wochen, das Zertifizierungsaudit eingeschlossen. Projekt B brauchte deutlich länger, bei geringerem Beratungsaufwand. Das ist kein Widerspruch, sondern der übliche Zusammenhang: Wo weniger extern begleitet wird, entscheidet die interne Taktung über das Tempo. Die zwölf Wochen beschreiben den Beratungsteil, nicht die Geschwindigkeit, mit der ein Unternehmen intern Freigaben erteilt.

Aussagekräftiger als die Dauer ist die letzte Spalte: In beiden Audits gab es weder Haupt- noch Nebenabweichungen. Beide Unternehmen wurden auf Anhieb zertifiziert. Ein schnelles Projekt, das im Audit durchfällt, hätte nichts gewonnen.

Diese beiden Projekte stehen hier anonymisiert. Namentlich dokumentiert sind weitere Zertifizierungen, darunter die Neo One AG mit drei Monaten und rund zwölf Projekttagen sowie die Mobatime AG und 2sic, beide im Erstaudit ohne Abweichungen. Eine Übersicht aller Projekte steht unter Erfolgsgeschichten.

Typische Stolpersteine

• Der Scope bleibt offen. Solange unklar ist, welche Standorte und Systeme dazugehören, lässt sich weder das Asset Register befüllen noch die Risikoanalyse abschliessen.
• Freigaben bleiben liegen. Die Kriterien für die Risikoakzeptanz legt die Organisation fest, in KMU meist die Geschäftsleitung. Die verbleibenden Risiken und den Risikobehandlungsplan genehmigen die Risikoeigner. Beides lässt sich nicht an Berater auslagern, und ohne diese Freigaben ist die Risikobehandlung nicht abgeschlossen.
• Business Continuity wird unterschätzt. In unseren Projekten ist die Planung für Störungen und Notfälle die häufigste offene Lücke, auch bei Unternehmen, die technisch gut aufgestellt sind. Die Norm verlangt kein vollständiges Business Continuity Management, wohl aber, dass die Informationssicherheit bei Störungen geplant ist und die IT-Bereitschaft geplant, umgesetzt und getestet wird (Anhang A 5.29 und 5.30).
• Awareness wird ans Ende geschoben. Schulungen brauchen Vorlauf und Nachweise. Wer sie in Woche elf beginnt, hat sie in Woche zwölf nicht dokumentiert.
• Das ISMS wird für den Auditor gebaut. Ein System, das nur zum Audit existiert, fällt spätestens im ersten Überwachungsaudit auf.

Fazit: schnell ja, hastig nein

ISO 27001 in zwölf Wochen ist möglich, nicht durch Abkürzungen in der Norm, sondern indem der Teil entfällt, der ohnehin keinen Sicherheitsgewinn bringt: das Erfinden von Struktur. Was bleibt, ist die Arbeit, die tatsächlich zum Unternehmen gehört.

Ob dieser Takt für Ihr Unternehmen realistisch ist, beantwortet die GAP-Analyse in ein bis zwei Tagen. Sie ist der ehrlichste Einstieg: Sie liefert entweder einen belastbaren Fahrplan oder die begründete Auskunft, dass es länger dauert. Mit welchen Kosten Sie rechnen müssen, lesen Sie im Ratgeber Was kostet eine ISO-27001-Zertifizierung?, zum Selbstcheck dient unsere ISO-27001-Checkliste.