ISO 27001 Zertifizierungsstellen
Die Zertifizierung von Organisationen erfolgt weltweit über Zertifizierungsstellen. Diese zertifizierenden Organisationen werden von einer übergeordneten und unabhängigen Akkreditierungsstelle überwacht. Diese Akkreditierungsstelle (z.B. DAkkS) erteilt den ISO 27001 Zertifizierungsstellen die Erlaubnis zur Durchführung von Zertifizierungen. Somit führt die Akkreditierungsstelle (z.B. UKAS) zum Schutz der Standards jedes Jahr ein Audit bei den Zertifizierungsstellen durch. Dabei werden alle Dokumentationen und Abläufe überprüft. So soll sicher gestellt werden, dass die Auditoren und Verwaltungsmitarbeiter der Zertifizierungsstellen den Zertifizierungsprozess korrekt durchführen. Verwaltungspersonal die eingereichten Unterlagen im Rahmen einer Revisionsaudit sichten und normkonform archivieren.
Wie wählt man eine ISO 27001 akkreditierte Zertifizierungsstelle aus?
Für Unternehmen die sich nach ISO 27001 zertifizieren lassen wollen, ist es wichtig eine für sie geeignete Zertifizierungsstelle zu wählen. Je nachdem welche Ziele man mit der Zertifizierung verfolgt, muss man entsprechend selektiv vorgehen. Dabei spielen auch Kosten und vertriebliche Prioritäten neben regulatorischen vorgaben eine Rolle. Im folgenden Video (ca. 11 Minuten) erläutern wir, wie man sich für eine Zertifizierungsstelle entscheidet und welche Situationen eine alternative Zertifizierungsstelle erfordert. Dadurch bekommt man ein leichteres Verständnis worauf es für das eigene Unternehmen bei der Zertifizierung ankommt. Nicht jede Zertifizierungsstelle mit einer starken Markenbekanntheit im Inland hat in bestimmten ausländischen Zielmärkten eine positive Marketingwirkung.
Welche ISO 27001 Zertifizierungsstellen gibt es?
Folgende Zertifizierungsstellen können Unternehmen national bzw. international nach ISO/IEC 27001 zertifizieren:
Welche Zertifizierungsstelle ist für ISO 27001 geeignet?
Nicht jede Zertifizierungsstelle ist für die Norm ISO 27001 akkreditiert. Daher muss man genau schauen welche Fachstelle diese Norm auditieren und zertifizieren darf. Hinzu kommt auch in welchem Land sich Ihr Unternehmen befindet und welche Ziele Sie mit der Zertifizierung ihres Managementsystems verfolgen.
Bei manchen sehr bekannten Zertifizierungsstelle zahlt man für die Markenbekanntheit und muss trotzdem längere Wartezeiten in Kauf nehmen. Hinzu kommen auch eine regional unterschiedliche Akzeptanz bestimmter Zertifizierungsstellen wegen historischer Besonderheiten. Die fehlende Akzeptanz einiger bekannter deutscher Zertifizierungsstellen in manchen Ländern die Investition in ein Zertifikat komplett entwerten. Daher fragen unsere Berater immer ab, wo Sie das Zertifikat einsetzen wollen, denn viele Kunden nutzen ISO Zertifikate auch für werbliche Zwecke, um Ihre Kunden zum Kauf zu bewegen.
Wichtig zu beachten ist die Sprache in der ihr ISMS geschrieben wurde. Nicht jede ISO 27001 Fachstelle kann ein Management System in Polnisch, oder Spanisch oder Englisch oder Niederländisch prüfen. Hat das auditierende Unternehmen keinen Auditor mit den erforderlichen Fremdsprachenkenntnissen, so kann die Dokumentation in der Fremdsprache nicht auditiert werden. Egal ob es sich hier um Word Dateien oder eine Online Management Plattform handelt, wird der Auditor die Dokumente nicht prüfen dürfen! Daher muss man eine akkreditierte Stelle finden, die auch über die zugelassenen Auditoren mit der benötigten Fremdsprache verfügt.
Kann ich die gleiche Zertstelle für mehrere Normen nutzen?
- ISO 9001 – Qualitätsmanagement
- ISO/IEC 27001 – Informationssicherheitsmanagement
- ISO 14001 – Umweltmanagement
- ISO 45001 – Arbeits- und Gesundheitsschutzmanagement
- ISO/IEC 42001 – KI-Managementsystem
Welche Voraussetzungen gelten?
Entscheidend ist, dass die Zertifizierungsstelle für die jeweiligen Normen qualifiziert ist und über die erforderlichen Kompetenzen verfügt. Bei einer akkreditierten Zertifizierung muss außerdem sichergestellt sein, dass die betreffende Norm vom Akkreditierungsumfang der Zertifizierungsstelle abgedeckt wird. Eine Akkreditierung für ISO 9001 berechtigt beispielsweise nicht automatisch zur Ausstellung akkreditierter ISO/IEC-27001-Zertifikate.
Vorteile einer gemeinsamen Zertifizierungsstelle
Eine gemeinsame Zertifizierungsstelle bietet mehrere Vorteile: weniger administrativen Aufwand, abgestimmte Auditpläne, einen zentralen Ansprechpartner und potenziell geringere Auditkosten. Nach IAF MD 11:2023 können Audits verschiedener Managementsystemnormen kombiniert werden. Bei entsprechendem Integrationsgrad und vorhandener Auditorenkompetenz sind auch begründete Reduzierungen der Auditzeit möglich. Allerdings müssen sämtliche Normanforderungen vollständig geprüft werden. Wichtig: Bei kombinierten akkreditierten Audits müssen alle betreffenden Normen vom Akkreditierungsumfang erfasst sein, damit die Erleichterungen nach IAF MD 11 angewendet werden können.
Fazit: Wenn Sie beispielsweise ISO 9001, ISO 27001 und ISO 42001 zertifizieren lassen möchten, kann eine einzige Zertifizierungsstelle alle drei Zertifizierungen betreuen. Sie sollten lediglich vorab deren Akkreditierungsumfang, Fachkompetenz und Möglichkeiten zur kombinierten Auditierung prüfen.