Rolle im Zertifizierungsverfahren
Die Zertifizierungsstelle ist der Dritte im Verfahren: Sie hat das Managementsystem nicht aufgebaut, sie betreibt es nicht und sie berät nicht dazu. Ihre Aufgabe ist die Beurteilung. Sie plant das Audit, setzt ein Auditteam ein, bewertet die Feststellungen, trifft die Zertifizierungsentscheidung und führt anschließend die Überwachung durch.
Zwei Rollen werden im Alltag oft verwechselt: Der Auditor führt das Audit durch und empfiehlt. Die Zertifizierungsentscheidung trifft die Stelle in einem davon getrennten Schritt.
Akkreditierung
Eine Zertifizierungsstelle wird ihrerseits überwacht. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) die nationale Akkreditierungsstelle; sie akkreditiert unter anderem die Zertifizierungsstellen für ISO/IEC 27001 und bestätigt, dass eine Stelle für einen bestimmten Geltungsbereich fachlich und organisatorisch geeignet ist. Nicht jede Prüfung im Bereich der Informationssicherheit läuft allerdings über die DAkkS: § 1 Absatz 2 AkkStelleG lässt die in anderen Rechtsvorschriften geregelte Zuständigkeit anderer Behörden unberührt und nennt dabei ausdrücklich den Bereich der Sicherheit in der Informationstechnik, weshalb etwa ISO 27001 auf der Basis von IT-Grundschutz über das Verfahren des BSI und dessen Prüfstellen läuft.
Die maßgeblichen Anforderungen an solche Stellen stehen in ISO/IEC 17021-1, ergänzt für Informationssicherheits-Managementsysteme durch ISO/IEC 27006-1:2024. Sie regeln unter anderem Unparteilichkeit, Kompetenz der Auditoren, Auditplanung und Entscheidungsprozesse.
Praktisch relevant ist: Eine Akkreditierung gilt nicht pauschal, sondern für definierte Normen und Anwendungsbereiche. Prüfen Sie deshalb nicht nur, ob eine Stelle akkreditiert ist, sondern wofür.
Beraten und zertifizieren schließen sich aus
Eine Zertifizierungsstelle darf dasselbe Managementsystem nicht zugleich beraten und zertifizieren; sie würde sonst ihre eigene Arbeit prüfen. Der Grundsatz der Unparteilichkeit ist einer der Kernpunkte, an denen die Akkreditierung ansetzt.
Das schließt eine allgemeine Schulung zur Norm nicht aus. Die Grenze verläuft dort, wo konkrete Lösungen für Ihr System erarbeitet werden. Wenn eine Stelle Ihnen anbietet, das ISMS aufzubauen und anschließend zu zertifizieren, sollte das Angebot geprüft, nicht angenommen werden.
Auswahl
- Akkreditierung und deren Geltungsbereich, passend zu Ihrer Norm.
- Branchenerfahrung des Auditteams, nicht nur der Stelle.
- Auditsprache und Verfügbarkeit vor Ort an Ihren Standorten.
- Verfahren für Feststellungen, Fristen, Einspruch und Nachaudits.
- Umgang mit Ihrem Geltungsbereich, insbesondere bei Auslagerungen und Cloud-Anteilen.
- Angebot, das den Zyklus insgesamt abbildet, nicht nur das erste Audit.
Was die Stelle nicht leistet
Sie bestätigt die Konformität mit einer Norm zu einem Zeitpunkt und für einen definierten Geltungsbereich. Sie bescheinigt keine Sicherheit, keine Fehlerfreiheit und keine Erfüllung von Rechtsvorschriften. Ein Zertifikat ist deshalb ein Indiz in der Dienstleisterbeurteilung, aber kein Ersatz für eigene Prüfung, schon weil der Geltungsbereich einen anderen Zuschnitt haben kann als die Leistung, die Sie beziehen.
Geltungsbereich und Zertifikat
Das Zertifikat nennt die Norm, die zertifizierende Stelle, die Gültigkeitsdauer und – entscheidend – den Geltungsbereich. Dieser Zuschnitt bestimmt, worüber das Zertifikat überhaupt eine Aussage trifft: Standorte, Organisationseinheiten, Prozesse und einbezogene Dienstleistungen. Zwei Zertifikate derselben Norm können deshalb sehr unterschiedlich viel bedeuten.
Wenn Sie ein Zertifikat eines Dienstleisters bewerten, lesen Sie den Geltungsbereich vor dem Ausstellungsdatum. Eine Zertifizierung, die nur den Unternehmenssitz und die Verwaltung umfasst, sagt über den Betrieb der von Ihnen genutzten Plattform nichts aus.
Wechsel der Zertifizierungsstelle
Ein Wechsel ist möglich, auch innerhalb eines laufenden Zyklus. Er erfolgt üblicherweise als Transferverfahren, bei dem die aufnehmende Stelle das bestehende Zertifikat, die letzten Auditberichte und den Status offener Abweichungen prüft. Voraussetzung ist in der Regel ein gültiges, nicht ausgesetztes Zertifikat. Offene Hauptabweichungen sollten vor einem Wechsel geschlossen sein, sonst wird der Transfer zum zweiten Erstaudit.
Was der Auditor in Rizzqo vorfindet
Ein Zertifizierungsaudit prüft Stichproben, und der Aufwand entsteht dort, wo Nachweise erst zusammengetragen werden müssen. In Rizzqo liegt der Nachweis am Prüfgegenstand: Die Antwort auf eine Anforderung, ihre Begründung und die zugehörigen Dateien hängen an dem Asset, für das die Anforderung gilt. Abgeschlossene Antworten sind mit Name und Zeitstempel festgehalten und damit bestätigte Aussagen und keine Entwürfe.
Die Erklärung zur Anwendbarkeit bleibt ein eigenes Dokument, das im Zertifizierungsverfahren vorzulegen ist; Rizzqo erzeugt sie nicht auf Knopfdruck. Was die Plattform beisteuert, ist die Grundlage darunter: für jede zugeordnete Anforderung eine Aussage je Objekt, mit Verantwortlichem, Begründung und Beleg an derselben Stelle.