Wer das lesen sollte: alle, die gefragt wurden, wie lange ISO 27001 dauert, und keine Antwort geben wollen, die sie im Februar zurücknehmen müssen.
Die Kurzfassung. Ein Unternehmen mit 20 bis 250 Personen, das aus einer normalen, ungesteuerten Lage startet und niemanden hat, dessen Job Sicherheit ist, sollte mit neun bis zwölf Monaten planen. Wer Ihnen drei nennt, schneidet entweder sehr eng zu oder plant, Nachweise zusammenzutragen statt sie zu erzeugen, und eines davon ist ein Problem, das Sie in Stufe 2 wiedersehen.
Hier steht, wohin die Monate tatsächlich gehen.
Die Phasen, mit ehrlichen Dauern
| Phase | Realistische Dauer |
|---|---|
| Anwendungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit | 4 bis 8 Wochen |
| Schließen der Lücken, die zählen | 2 bis 5 Monate |
| Das System betreiben, um Nachweise zu sammeln | mindestens 3 Monate, 6 sind komfortabel |
| Internes Audit und Managementbewertung | 2 bis 4 Wochen |
| Audit Stufe 1 | wenige Tage bis zwei Wochen |
| Abstand zwischen Stufe 1 und Stufe 2 | 4 bis 6 Wochen |
| Audit Stufe 2 | 1 bis 2 Wochen Kalenderzeit |
| Zertifizierungsentscheidung und Ausstellung | bis zu 3 Monate |
Die Addition sieht schlimmer aus als die Realität, weil sich mehrere Phasen überlappen. Entscheidend ist, welche sich überlappen können und welche nicht.
Das eine, was Sie nicht komprimieren können
Ihr Managementsystem muss vor Stufe 2 eine Mindestzeit in Betrieb gewesen sein, typischerweise drei Monate. Auditoren wollen eine Historie sehen: datierte Zugriffsüberprüfungen, Patch-Nachweise, Vorfallstickets, eine Managementbewertung, die wirklich stattgefunden hat, über die Zeit abgelegte Lieferantenbewertungen.
Das ist Kalenderzeit, nicht Aufwand. Sie können sie nicht kaufen, nicht parallelisieren und nicht durch Wochenendarbeit verkürzen. Alles andere in der Liste oben lässt sich mit Geld und Fokus komprimieren. Dies nicht.
Daraus folgt die nützlichste Planungserkenntnis überhaupt: die Uhr, die zählt, startet, wenn Ihre Nachweise starten, nicht wenn Ihre Dokumentation fertig ist. Die meisten Projekte laufen in der falschen Reihenfolge, verbringen drei Monate mit dem Feinschliff der Richtlinien und starten die Nachweisuhr im vierten Monat, was die Zertifizierung ohne jeden Gewinn um ein volles Quartal nach hinten schiebt.
Schalten Sie die langweiligen wiederkehrenden Dinge in Woche eins ein. Zugriffsüberprüfungen, Patch-Nachweise, Protokollaufbewahrung, die ersten Lieferantenbewertungen. Sie dürfen unvollkommen sein. Fehlen dürfen sie nicht.
Warum 40% der Stufe-2-Audits verschoben werden
Etwa vier von zehn Organisationen, die ohne gesteuertes Sicherheitsprogramm in Stufe 1 gehen, müssen ihre Stufe 2 verschieben, weil die Nachweise nicht da sind, wenn der Auditor kommt.
Das Muster ist immer dasselbe. Stufe 1 ist eine Dokumentenprüfung, und Dokumentation ist genau das, was Beratungen gut produzieren, also läuft Stufe 1 gut. Stufe 2 fragt, ob das dokumentierte System tatsächlich lief, und dort fällt ein Projekt um, das die Papierarbeit vorgezogen hat.
Die konkreten Ursachen, in der Reihenfolge, in der wir sie sehen:
- Risikobeurteilung oder Erklärung zur Anwendbarkeit sind in Stufe 1 unvollständig, sodass der Auditor nicht einmal feststellen kann, was er prüfen soll.
- Betriebsaufzeichnungen fehlen für das Drei-Monats-Fenster. Maßnahmen wurden entworfen, aber nichts hat ihren Betrieb festgehalten.
- Wesentliche Abweichungen in Stufe 2, die vor der Ausstellung behoben werden müssen, was Wochen und manchmal einen erneuten Besuch kostet.
- Der Anwendungsbereich wurde schlecht gezogen und muss neu gezogen werden, was Teile der bereits geleisteten Arbeit entwertet. Lesenswert, bevor Sie eine Grenze festlegen: Anwendungsbereich und Erklärung zur Anwendbarkeit.
Was wirklich verlangsamt, der Reihe nach
Verantwortung, die nicht echt ist. Der stärkste Vorhersagewert für ein driftendes Projekt ist, dass Sicherheit niemandes tatsächlicher Job ist. Das Projekt hat sechs Wochen Schwung, dann bekommt der CTO eine Produktfrist, und drei Monate verdampfen. Wenn Sie die Person nicht benennen und die Zeit in ihrem Kalender nicht zeigen können, rechnen Sie ein Quartal dazu.
Offen gelassene Entscheidungen. Anwendungsbereich, Risikoappetit, was Sie dieses Jahr nicht tun. Jede Woche, in der eine davon offen bleibt, ist eine Woche Arbeit, die möglicherweise wiederholt werden muss. Sie stehen in den Entscheidungen, die nur Sie treffen können.
Der lange Lieferantenschwanz. Inventarisieren, einstufen, Sicherheitsinformationen einholen, festhalten. Die Bremse sind die Antwortzeiten anderer, weshalb dies in Woche eins beginnen sollte und es nie tut.
Entwicklungsarbeit im Wettbewerb mit der Roadmap. Konfigurationsmanagement, Trennung der Umgebungen, sichere Entwicklung. Echte Entwicklungswochen, und die einzige Gruppe, bei der mehr Dokumentation nichts bewirkt.
Terminplanung der Zertifizierungsstelle. Buchen Sie früher, als es sich nötig anfühlt. Audit-Termine sind nicht immer dann frei, wenn Sie sie wollen, und der Abstand zwischen Stufe 1 und Stufe 2 beträgt ohnehin vier bis sechs Wochen.
Was es tatsächlich verkürzt
Nicht viel, und seien Sie skeptisch, wenn jemand anderes behauptet. Drei Hebel sind aber echt:
- Die Nachweisuhr in Woche eins starten. Bis zu ein ganzes Quartal wert, wie oben, und es kostet nichts.
- Bewusst statt breit zuschneiden. Ein Anwendungsbereich, der die tatsächliche Frage Ihres Kunden beantwortet, ist kleiner als das ganze Unternehmen, und kleiner heißt schneller. Es verkleinert auch die Zahl der Maßnahmen und damit die Gruppen 4 und 5 der Maßnahmenarbeit.
- Ihre Lücken kennen, bevor Sie anfangen. Der größte Teil der Streuung im Band von zwei bis fünf Monaten Remediation kommt schlicht daher, nicht zu wissen, was kaputt ist. Ein unabhängiges Audit vorab macht aus einer Unbekannten einen Plan, und das ist der Unterschied zwischen einem Projekt und einem Driften.
Wenn Sie NIS2 gleichzeitig machen, machen Sie die Arbeit einmal. Die Überschneidung ist groß und die Zuordnung gut dokumentiert, dargelegt in Zertifizierungsstandards und ISO 27001 unter NIS2. Für das Gesamtbild einer Erstzertifizierung ohne Sicherheitsteam beginnen Sie mit ISO 27001 für ein Unternehmen ohne Sicherheitsteam, und dazu, wohin das Geld geht, Sind 50.000 Euro für ISO 27001 das wert. Den Weg zeigt unsere ISO-27001-Lösungsseite.
Ein Zeitplan, den Sie Ihrem Beirat vorlegen können
Für ein Softwareunternehmen mit 40 Personen, cloudgehostet, zugeschnitten auf das Produkt und die Teams, die es bauen und betreiben:
- Monat 1: Entscheidungen, Anwendungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit. Nachweisquellen eingeschaltet. Lieferanteninventar gestartet.
- Monate 2 bis 4: Remediation. Entwicklungsarbeit läuft parallel zur Dokumentation. Nachweise sammeln sich an.
- Monat 5: internes Audit, dann Managementbewertung. Beheben, was das interne Audit findet, denn dafür macht man es.
- Monat 6: Stufe 1.
- Monat 7 oder 8: Stufe 2, vier bis sechs Wochen nach Stufe 1.
- Monate 8 bis 10: Zertifikat ausgestellt, inklusive Zertifizierungsentscheidung.
Das ist der gute Fall, mit echter Verantwortung und ohne Überraschungen. Zehn bis zwölf ist die sicherere Zahl, die man laut ausspricht.
Die technische Realität: ein komprimierter Zeitplan kauft ein Zertifikat, keine Sicherheit
Hier lohnt sich Deutlichkeit.
Jeder der kursierenden Kompressionstricks funktioniert tatsächlich. Schneiden Sie den Anwendungsbereich hart zu, kaufen Sie ein Richtlinienpaket, halten Sie den Nachweiszeitraum am Minimum, markieren Sie großzügig in der Erklärung zur Anwendbarkeit, und Sie halten in sechs Monaten ein gültiges Zertifikat. Die Norm erlaubt das alles.
Wissen sollten Sie, wo die Zeit eingespart wurde. Komprimiert wird nie bei der Dokumentation, denn die liest der Auditor zuerst und sie ist billig zu erzeugen. Komprimiert wird bei der Remediation. Die Lückenliste, die vier Monate gebraucht hätte, wird auf die Punkte eingedampft, die das Audit blockieren, und der Rest wandert in eine Roadmap, die still aufhört, gelesen zu werden.
Die ehrliche Formulierung auf die Frage, wie lange es dauert, lautet deshalb: die Zertifizierung dauert sechs bis zwölf Monate. Verteidigungsfähig zu werden dauert so lange, wie Ihre Lückenliste dauert, und das Zertifikat sagt nicht, welches von beidem Sie gekauft haben.
Wenn die Frist ein Kundenvertrag ist und das Zertifikat wirklich Umsatz freischaltet, komprimieren Sie, nehmen Sie das Zertifikat, und bewahren Sie die unbearbeitete Hälfte der Lückenliste dort auf, wo sie jedes Quartal gelesen wird. Das ist eine legitime unternehmerische Entscheidung. Der Fehler ist nicht, den Zeitplan zu komprimieren. Der Fehler ist, ihn zu komprimieren und dann zu glauben, das Zertifikat bedeute, man sei fertig.
