ISO-27001-Abweichungen: warum Stage 2 scheitert

Der Moment, in dem sich eine ISO-27001-Zertifizierung entscheidet, dauert weniger als eine Minute. Der Auditor öffnet die Anwendbarkeitserklärung (Statement of Applicability), wählt zufällig eine als „vollständig umgesetzt" markierte Maßnahme und verlangt den Nachweis, dass sie in den letzten drei Monaten funktioniert hat. Lautet die Antwort „so arbeiten wir, aber wir dokumentieren es nicht", haben Sie soeben eine Abweichung kassiert. Wiederholt sich das über mehrere Maßnahmen, ist es eine schwerwiegende — und das Zertifikat verschiebt sich.

Der Kontext macht die Lage unangenehmer. Zum 31. Dezember 2024 hielt Rumänien 792 gültige ISO/IEC-27001-Zertifikate gegenüber 12.065 ISO-9001-Zertifikaten (ISO Survey 2024) — die meisten Unternehmen starten den Prozess also ohne jede interne Routine, während über 6.000 Einrichtungen NIS2-Pflichten tragen und immer mehr Konzernkunden die Zertifizierung vertraglich fordern. Weltweit zählt die ISO Survey 2024 96.709 gültige Zertifikate. Die gute Nachricht: Die Gründe für ein Scheitern sind vorhersehbar und fast alle vor dem Audit behebbar.

Sie scheitern nicht am Nichtstun, sondern am fehlenden Nachweis

Der Unterschied zwischen einem Unternehmen, das auf Anhieb zertifiziert wird, und einem, das eine schwerwiegende Abweichung erhält, liegt selten im tatsächlichen Sicherheitsniveau. Beide haben in der Regel Firewall, Backup, Virenschutz und kompetente Leute. Der Unterschied: Das eine kann die Kette der Entscheidungen und die dazugehörigen Nachweise geordnet auf den Tisch legen, das andere nicht.

Die Unterscheidung lohnt sich, weil die Folgen sehr konkret sind. Eine geringfügige Abweichung ist eine isolierte Abweichung: Sie erhalten eine vereinbarte Frist zur Korrektur, reichen den Nachweis der Schließung ein, und der Zertifizierungsprozess läuft weiter. Eine schwerwiegende Abweichung bedeutet, dass eine Anforderung vollständig fehlt oder ein Prozess systematisch zusammengebrochen ist — und sie blockiert die Zertifizierung, bis sie behoben und verifiziert ist. Zertifizierungsstellen gewähren typischerweise 30 bis 90 Tage für Korrekturmaßnahmen und terminieren ein Nachaudit, meist innerhalb von 90 Tagen.

In die Sprache des Geschäfts übersetzt: Eine schwerwiegende Abweichung ist keine technische Anmerkung, sondern ein verlorenes Quartal. Meist genau das Quartal, in dem der Vertrag unterschrieben werden sollte, wegen dem Sie mit der Zertifizierung begonnen haben.

Die Bereiche, in denen Abweichungen auftreten, sind von Audit zu Audit bemerkenswert konstant:

• Keine klare Methodik zur Risikobewertung — Bewertungen „aus Erfahrung", ohne schriftliche Kriterien (Abschnitt 6.1.2).
• Risikobehandlung ohne Nachweise: Entscheidungen getroffen, aber keine Aufzeichnungen, dass die Maßnahmen tatsächlich umgesetzt wurden (Abschnitt 6.1.3).
• Internes Audit und Managementbewertung fehlen, sind unvollständig oder decken nicht alle ISMS-Prozesse ab (Abschnitte 9.2 und 9.3).
• Eine Anwendbarkeitserklärung, die unvollständig oder veraltet ist oder keine Begründung für Einschluss und Ausschluss von Maßnahmen enthält (Abschnitt 6.1.3 d).
• Keine Leistungskennzahlen für das System — niemand misst, ob Sicherheit wirkt (Abschnitt 9.1).
• Ein Prozess für das Vorfallsmanagement, der nur als Dokument existiert, ohne Aufzeichnungen behandelter Vorfälle (Maßnahme A.5.24).
• Zugriffssteuerung ohne regelmäßige Überprüfungen: Konten ehemaliger Mitarbeitender, über die Zeit angehäufte Rechte (Maßnahmen A.8.2 und A.8.3).
• Lieferantensicherheit unbehandelt — keine Klassifizierung, keine Sicherheitsanforderungen in Verträgen (Maßnahme A.5.19).
• Inkonsistente Schulung und Sensibilisierung, ohne Nachweis, wer wann teilgenommen hat (Maßnahme A.6.3).
• Unvollständiges Asset-Inventar oder eines ohne benannte Eigentümer (Maßnahme A.5.9).

Beachten Sie das Muster: Die meisten dieser Punkte sind nicht technischer Natur. Es sind Themen des Managementsystems. Sie werden mit Disziplin und Aufzeichnungen gelöst, nicht mit Hardware-Budget — weshalb Unternehmen mit exzellenter IT manchmal härter scheitern als Unternehmen mit bescheidener, aber gut dokumentierter IT.

Der Auditor bewertet nicht Ihre Sicherheit, sondern die Nachvollziehbarkeit

Das ist der Perspektivwechsel, der die gesamte weitere Vorbereitung verändert. ISO 27001 zertifiziert weder eine Firewall noch einen Cloud-Anbieter noch eine Konfiguration. Zertifiziert wird ein Managementsystem für Informationssicherheit. Die eigentliche Frage des Auditors lautet nicht „sind Sie sicher?", sondern „können Sie belegen, dass diese Entscheidung rational getroffen, in der Praxis angewendet und regelmäßig überprüft wurde?".

Praktisch muss jede Maßnahme in einer Kette mit fünf Gliedern stehen: ein identifiziertes Asset, ein dafür bewertetes Risiko, eine in der Anwendbarkeitserklärung festgehaltene Entscheidung, eine tatsächlich betriebene Maßnahme und ein datierter Nachweis, dass sie gewirkt hat — dazu eine Überprüfung, die bestätigt, dass die Kette weiterhin gültig ist. Bricht ein einziges Glied, verschwindet die Maßnahme aus Sicht des Auditors, so gut sie technisch auch konfiguriert sein mag.

Eine Maßnahme ohne datierten Nachweis ist keine Maßnahme. Sie ist eine Absicht.

Aus dieser Kette erklärt sich auch die häufigste Ursache schwerwiegender Abweichungen in Stage 2: eine Anwendbarkeitserklärung, die die Realität überzeichnet. Sie markieren eine Maßnahme als „vollständig umgesetzt", weil die Richtlinie existiert und die Absicht klar ist — und genau diese Aussagen prüft der Auditor stichprobenartig. Eine ehrliche Erklärung mit „teilweise umgesetzt, Frist nächstes Quartal" ist unendlich sicherer als eine optimistische: Die erste zeigt ein System, das sich selbst kennt, die zweite ein System, das nicht weiß, was es tut.

Die zweite Falle ist die fehlende Verbindung zum Risiko. Eine Tabelle mit 93 abgehakten Maßnahmen ohne jeden Bezug zum Risikoregister sagt dem Auditor, dass Sie eine Vorlage ausgefüllt haben. Er will den Weg rückwärts sehen: Diese Maßnahme existiert, weil dieses Risiko auf dieser Stufe bewertet wurde und die Minderungskosten begründet waren.

Was sich zuletzt geändert hat und Sie kalt erwischen kann

Die Fassung 2022 hat Anhang A in 93 Maßnahmen in vier Themen neu geordnet, gegenüber 114 in der alten Struktur, und 11 neue Maßnahmen eingeführt. Unternehmen, die von einer SoA-Vorlage aus der 2013er-Zeit ausgehen, lassen häufig genau diese neuen Maßnahmen aus. Alle 93 müssen ausdrücklich adressiert werden — auch die ausgeschlossenen, die eine schriftliche Begründung brauchen und keine leere Zelle.

Die Übergangsfrist endete am 31. Oktober 2025. Zertifikate nach ISO 27001:2013 sind zu diesem Datum ausgelaufen. Wer die Frist verpasst hat, macht keine „Aktualisierung" des Zertifikats mehr, sondern tritt als neue Organisation in den Prozess ein, mit vollständigem Erstaudit, Stage 1 und Stage 2. Es lohnt sich zu prüfen, auf welche Fassung Ihr Zertifikat ausgestellt ist, bevor Sie einem Kunden etwas zusagen.

Im Februar 2024 kam zudem Amendment 1, das die Abschnitte 4.1 und 4.2 berührt: Die Organisation muss bestimmen, ob der Klimawandel für sie ein relevantes Thema ist, und berücksichtigen, dass interessierte Parteien klimabezogene Anforderungen haben können. Die praktische Wirkung ist gering, wenn Sie ohnehin eine ernsthafte Kontextanalyse führen — aber das Fehlen einer dokumentierten Bestimmung ist genau die Lücke, die ein Auditor ohne Zögern festhält.

Die acht Dinge, die vor Stage 2 zu tun sind

Die Reihenfolge zählt: Die ersten vier Punkte schließen die meisten schwerwiegenden Abweichungen, die letzten vier verhindern, dass sich geringfügige anhäufen.

1. 1Lesen Sie die Anwendbarkeitserklärung Zeile für Zeile und stufen Sie jeden optimistischen Status herab. Jede als „vollständig umgesetzt" markierte Maßnahme, für die Sie nicht in 60 Sekunden einen Nachweis vorlegen können, wird „teilweise umgesetzt", mit Frist und Verantwortlichem.
2. 2Verknüpfen Sie jede eingeschlossene Maßnahme mit einem konkreten Risiko aus dem Register, bewertet nach Auswirkung, Eintrittswahrscheinlichkeit und Minderungskosten. Jede ausgeschlossene Maßnahme erhält eine schriftliche Begründung von zwei bis drei Zeilen.
3. 3Sammeln Sie datierte Nachweise der letzten drei Monate für die als betrieben erklärten Maßnahmen: Protokolle, Berichte, Sitzungsnotizen, Tickets, Teilnehmerlisten. Ein nach Maßnahmen geordnetes Nachweispaket verkürzt das Audit und ändert den Ton des Gesprächs.
4. 4Führen Sie ein echtes internes Audit über alle ISMS-Prozesse und eine Stichprobe von Maßnahmen durch, halten Sie anschließend die Managementbewertung mit allen von der Norm geforderten Eingaben ab und dokumentieren Sie die getroffenen Entscheidungen. Die Abschnitte 9.2 und 9.3 werden gerade deshalb am häufigsten verfehlt, weil sie nach Formalie aussehen.
5. 5Definieren Sie drei bis fünf Leistungskennzahlen für das System und messen Sie sie mindestens ein Quartal vor dem Audit. Ohne Historie bleibt Abschnitt 9.1 ein Versprechen.
6. 6Testen Sie die Prozesse, die nur auf dem Papier existieren: Simulieren Sie einen Vorfall und dokumentieren Sie die Behandlung, führen Sie eine vollständige Überprüfung der Zugriffsrechte durch, prüfen Sie den Kontinuitätsplan. Ungetestete Prozesse fallen bei Nachfragen zuerst.
7. 7Prüfen Sie die Lieferkette: Wer hat Zugriff auf Ihre Daten, welche Sicherheitsanforderungen stehen im Vertrag, wann wurde zuletzt bewertet.
8. 8Schließen Sie die Feststellungen aus dem internen Audit mit einer Ursachenanalyse ab, nicht mit einem Pflaster auf dem Symptom. Externe Auditoren prüfen häufig genau die Qualität früherer Korrekturmaßnahmen.

Wie die Vorbereitung in der Praxis aussieht

Unser Paket ISO 27001:2022 Implementation Kickstarter aus dem Paket-Shop ist genau um diese Nachweiskette herum gebaut: 14 priorisierte Anhang-A-Maßnahmen umgesetzt, ein Risikoregister bewertet nach Auswirkung × Wahrscheinlichkeit × Minderungskosten, eine zum Register passende Anwendbarkeitserklärung, mehr als 8 Richtlinien (Sicherheit, Zugriff, Vorfallsreaktion, Kontinuität) und ein simuliertes internes Audit. Die Dauer reicht von 3-4 Wochen für eine Umgebung unter 50 Geräten bis zu 8-12 Wochen für Organisationen über 100 Geräte.

Das Element mit der größten Wirkung ist das simulierte interne Audit, geführt wie ein Zertifizierungsaudit: dieselben Fragen, dieselben Nachweisforderungen, dieselbe Stichprobe. Es ist deutlich günstiger, „das kann ich nicht belegen" von uns zu hören als von der Zertifizierungsstelle. Der Rest der Vorbereitung stützt sich auf unsere Praxis in der Cybersicherheit, denn eine dokumentierte, aber schlecht betriebene Maßnahme bleibt eine Abweichung.

In den letzten 30 Tagen vor dem Audit sieht die Kurzliste so aus:

• Planen Sie genug Zeit zwischen Stage 1 und Stage 2 ein — üblich sind mindestens sechs Wochen, um zu schließen, was Stage 1 zutage gefördert hat.
• Bestätigen Sie, dass die freigegebene SoA-Version die aktuelle ist und Freigabedaten sichtbar sind.
• Benennen Sie für jeden großen Bereich eine verantwortliche Person, die Nachweise in Echtzeit öffnen kann.
• Prüfen Sie, ob alle 93 Maßnahmen einen Status und eine Begründung haben, ohne leere Zellen.
• Dokumentieren Sie Ihre Bestimmung zur Relevanz des Klimawandels gemäß Amendment 1.

Fazit

Eine ISO-27001-Zertifizierung gewinnt man nicht mit mehr Sicherheit, sondern mit belegbarer Sicherheit: jede Maßnahme an ein Risiko gebunden, real betrieben und durch einen datierten Nachweis gestützt. Wenn Sie ein Audit terminiert haben oder Ihr System gerade erst aufbauen und eine ehrliche Einschätzung wollen, lassen Sie uns 30 Minuten sprechen — Termin vereinbaren, und wir gehen Ihre Anwendbarkeitserklärung genau so durch, wie es der Auditor tun wird.