Was ist eine Zertifizierungsstelle?
Eine Zertifizierungsstelle beurteilt als unabhängige Dritte, ob ein Managementsystem die Anforderungen einer Norm erfüllt, und bescheinigt das Ergebnis mit einem Zertifikat. Für ein akkreditiertes Zertifikat braucht sie selbst eine Akkreditierung. Das ist nach Art. 2 Nr. 10 der Verordnung (EG) Nr. 765/2008 die Bestätigung einer nationalen Akkreditierungsstelle, dass sie die Anforderungen für eine „spezielle Konformitätsbewertungstätigkeit“ erfüllt.
Den Ablauf aus Sicht des Unternehmens beschreibt der Leitfaden zur ISO-27001-Zertifizierung. Nicht gemeint ist die Zertifizierungsstelle einer Public-Key-Infrastruktur, die digitale Zertifikate für Signaturen ausgibt.
Drei Jahre, zwei Auditstufen, jährliche Überwachung
Eine Zertifizierungsstelle begleitet ein ISMS über einen Zertifizierungszyklus, der im Regelfall drei Jahre umfasst:
- Erstaudit in zwei Stufen. Stufe 1 und Stufe 2 bilden zusammen das Erstzertifizierungsaudit.
- Zertifizierungsentscheidung. Das Auditteam stellt fest, die Stelle entscheidet in einem eigenen Prozess.
- Überwachungsaudits. Sie finden mindestens einmal je Kalenderjahr statt, außer im Jahr der Rezertifizierung; das erste spätestens zwölf Monate nach der Zertifizierungsentscheidung.
- Rezertifizierung. Am Ende des Zyklus auditiert die Stelle das ISMS erneut für den nächsten Zyklus.
Was die Stelle in einem Audit als Feststellung festhält, erklärt der Eintrag zur Abweichung (Nonconformity).
Was unterscheidet Zertifizierungsstelle und Akkreditierungsstelle?
Die Akkreditierungsstelle akkreditiert und überwacht die Zertifizierungsstelle. In Deutschland folgt diese Zuständigkeit einer Kette aus drei Vorschriften:
- Art. 4 Abs. 1 der Verordnung (EG) Nr. 765/2008: Jeder Mitgliedstaat benennt eine einzige nationale Akkreditierungsstelle.
- § 1 Abs. 1 AkkStelleG: Die Akkreditierung ist eine hoheitliche Aufgabe des Bundes, durchgeführt von dieser nationalen Akkreditierungsstelle.
- § 1 Abs. 1 AkkStelleGBV: Die Deutsche Akkreditierungsstelle GmbH (DAkkS) wird mit diesen Aufgaben beliehen.
Im Vereinigten Königreich übernimmt UKAS dieselbe Rolle als staatlich benannte nationale Akkreditierungsstelle. Die Anforderungen an Zertifizierungsstellen stehen in ISO/IEC 17021-1, für Informationssicherheits-Managementsysteme ergänzt durch ISO/IEC 27006-1:2024.
| Rolle | Wer | Zuständig für |
|---|---|---|
| Akkreditierungsstelle | DAkkS in Deutschland, UKAS im Vereinigten Königreich | Akkreditierung und Überwachung der Zertifizierungsstellen |
| Zertifizierungsstelle | akkreditierte Stelle | Auditplanung, Zertifizierungsentscheidung, Ausstellung und Überwachung des Zertifikats |
| Auditteam | Personen im Auftrag der Stelle | Audit und Feststellungen, nicht die Entscheidung |
| BSI | Bundesamt für Sicherheit in der Informationstechnik | eigenes Verfahren für ISO 27001 auf der Basis von IT-Grundschutz |
Die letzte Zeile folgt aus § 1 Abs. 2 AkkStelleG: Er lässt die Zuständigkeit anderer Behörden unberührt und nennt dabei die Sicherheit in der Informationstechnik. Deshalb läuft die ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz über ein eigenes Verfahren des BSI. Ob eine Stelle akkreditiert ist und für welche Tätigkeit, zeigt die Suche nach akkreditierten Stellen der DAkkS.
Woran erkennen Sie eine geeignete Zertifizierungsstelle?
Eine geeignete Stelle ist für Ihre Norm akkreditiert, unparteiisch und in der Lage, Ihren Geltungsbereich zu auditieren. Prüfen Sie sieben Punkte:
- Akkreditierung und deren Umfang für Ihre Norm
- Unparteilichkeit: Nach Abschnitt 5.2.5 der ISO/IEC 17021-1 bietet die Stelle keine Managementsystemberatung an
- Branchenerfahrung des konkreten Auditteams
- Auditsprache und Verfügbarkeit an Ihren Standorten
- Verfahren für Feststellungen, Einspruch und Nachaudits
- Umgang mit ausgelagerten Leistungen und Cloud-Anteilen in Ihrem Geltungsbereich
- ein Angebot über den gesamten Zyklus mit Erstaudit, Überwachungsaudits und Rezertifizierung
Ein Zertifikat bestätigt die Konformität nur für seinen Geltungsbereich; wie Sie ihn bei einem Lieferanten prüfen, zeigt der Beitrag Zertifikate richtig lesen.
Ein Wechsel der Stelle läuft als Transfer
Ein Wechsel der Zertifizierungsstelle ist auch im laufenden Zyklus möglich. Die Regeln dafür hat das International Accreditation Forum (IAF) in IAF MD 2:2023 festgelegt. Das IAF hat seinen Betrieb zum 1. Januar 2026 eingestellt; an seine Stelle ist die Global Accreditation Cooperation Incorporated (Global ACI) getreten. Die aufnehmende Stelle prüft vorab unter anderem die letzten Auditberichte und den Status offener Abweichungen.
| Ausgangslage | Folge nach IAF MD 2:2023 |
|---|---|
| gültige, akkreditierte Zertifizierung | übertragbar (Abschnitt 2.1) |
| Zertifizierung bekanntermaßen ausgesetzt | wird nicht übernommen (Abschnitt 2.1.2) |
| Auditberichte fehlen oder Audits sind überfällig | Behandlung als Neukunde (Abschnitt 2.2.4) |
| offene Hauptabweichungen | Zertifikat erst nach verifizierter Korrektur (Abschnitt 2.3.1) |
| offene Nebenabweichungen | Zertifikat nach akzeptiertem Korrekturplan (Abschnitt 2.3.1) |
Schließen Sie Hauptabweichungen deshalb vor dem Wechsel; sonst wartet das neue Zertifikat auf die Verifizierung der Korrekturen.