Wie lange dauert ISO 27001? Projektplan in 8 Phasen für KMU
In einem Unternehmen mit 20 bis 100 Beschäftigten dauern Einführung eines ISMS nach ISO/IEC 27001:2022 und der Weg bis zum Zertifizierungsaudit in der Regel 4 bis 9 Monate. Der Referenzplan im NexoDocs-Kit erreicht das Zertifizierungsaudit Stufe 2 in Woche 30 (rund 7 Monate): 2 Wochen Vorbereitung, 2 Wochen Kontext und Anwendungsbereich, 6 Wochen Risiken, etwa 8 Wochen Umsetzung der Maßnahmen und etwa 12 Wochen Betrieb mit Nachweisen (teilweise parallel zur Umsetzung), danach internes Audit und Managementbewertung vor Stufe 1. Am längsten dauert nicht das Schreiben der Dokumente, sondern die Verfügbarkeit der Beteiligten und die Zeit, die Maßnahmen laufen müssen, bevor sie auditierbar sind.
Die 8 Phasen und ihre Dauer
Das sind die Phasen des Projektplans mit Gantt-Diagramm im deutschen ISO-27001-Kit von NexoDocs (ISMS-PRJ-01 ISMS-Projektplan, Blatt „Plan“). Die Wochen sind ein Richtwert für 20 bis 100 Beschäftigte und verschieben sich automatisch, sobald Sie das Projektstartdatum eintragen:
| Phase | Was passiert | Wochen im Plan |
|---|---|---|
| 1 · Vorbereitung | Lückenanalyse, Business Case und Unterstützung der Leitung, ISMS-Manager und Sicherheitsausschuss benennen | 1-2 |
| 2 · Kontext und Anwendungsbereich | Kontext (einschließlich Klimawandel aus der Änderung von 2024), interessierte Parteien, Anwendungsbereich und Prozesslandkarte | 3-4 |
| 3 · Politik und Ziele | Informationssicherheitspolitik und Ziele freigeben | 5 |
| 4 · Risiken | Inventar der Werte, Risikomethodik, Workshops zur Risikobeurteilung, Behandlungsplan und Erklärung zur Anwendbarkeit | 5-10 |
| 5 · Umsetzung | Richtlinien zu Anhang A, vorrangige technische Maßnahmen, Lieferanten und Cloud-Dienste, Sensibilisierung, Dokumentenlenkung | 10-17 |
| 6 · Betrieb und Messung | Maßnahmen betreiben, Nachweise und Vorfälle erfassen, Kennzahlen messen, Ausschuss alle zwei Monate | 14-25 |
| 7 · Internes Audit | Vollständiges internes Audit, Korrekturmaßnahmen und Managementbewertung | 24-27 |
| 8 · Zertifizierung | Akkreditierte Zertifizierungsstelle auswählen und beauftragen (ab Woche 20), Audit Stufe 1 und Stufe 2 | 20-30 |
Die Phasen 5 und 6 überschneiden sich bewusst: Jede Maßnahme erzeugt Nachweise, sobald sie eingeführt ist, statt auf alle anderen zu warten. Deshalb ist der Plan keine einfache Summe aufeinanderfolgender Phasen.
Warum es nicht in wenigen Wochen geht
Die Dokumente können in wenigen Wochen fertig sein, vor allem mit Vorlagen. Kaum beschleunigen lässt sich, was der Auditor in Betrieb sehen will:
- Betriebsnachweise: Belege, dass Maßnahmen angewendet werden (Überprüfung von Zugriffsrechten, getestete Datensicherungen, erfasste Vorfälle), nicht nur freigegebene Richtlinien.
- Überwachung und Messung (Abschnitt 9.1): Kennzahlen, die mindestens einige Zyklen lang gemessen wurden.
- Ein vollständiges internes Audit (9.2) und eine Managementbewertung (9.3) mit laufenden Korrekturmaßnahmen vor dem Zertifizierungsaudit.
- Sensibilisierung (7.3), die alle Personen im Anwendungsbereich erreicht, nicht nur die IT.
- Der Terminkalender der Zertifizierungsstelle, die man am besten Wochen im Voraus bucht.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)Was das Projekt verlängert oder verkürzt
| Faktor | Wirkung auf den Zeitplan |
|---|---|
| Großer Anwendungsbereich (mehrere Standorte, viele Systeme oder Dienste) | Verlängert Risikoarbeit, Umsetzung und Audits |
| Zeit, die der ISMS-Manager einbringen kann | Mit weniger als einem Tag pro Woche verlängert sich der Plan um mehrere Monate |
| Echte Unterstützung durch die oberste Leitung | Ohne sie stocken Freigaben, Budget und Prozessänderungen |
| Fehlende technische Maßnahmen (MFA, getestete Datensicherung, Protokollierung) | Meist der längste Abschnitt der Umsetzung |
| Bereits vorhandenes ISO-Managementsystem (zum Beispiel ISO 9001) | Verkürzt die Abschnitte 4 bis 10 (Dokumente, internes Audit, Managementbewertung) |
| Start mit Vorlagen und ausgefülltem Beispiel | Verkürzt das Schreiben; ersetzt weder Betrieb noch Nachweise |
Zertifizierung in Deutschland: was den Zeitplan beeinflusst
Für ein international anerkanntes Zertifikat wählen Sie eine Zertifizierungsstelle, die von der DAkkS (Deutsche Akkreditierungsstelle) für ISO/IEC 27001 akkreditiert ist; planen Sie Angebotsvergleich und Terminabstimmung ein, im Kit ab Woche 20. Wer eine Zertifizierung „ISO 27001 auf der Basis von IT-Grundschutz“ beim BSI anstrebt, folgt dem Verfahren des BSI mit eigenen Anforderungen an Modellierung und Dokumentation; rechnen Sie diese Arbeit zusätzlich in den Plan ein. Fällt Ihr Unternehmen unter NIS2, setzen die gesetzlichen Pflichten eigene Fristen, die nicht vom Projektplan abhängen.
So schätzen Sie Ihren eigenen Zeitplan
- Führen Sie eine Lückenanalyse durch: Der Prozentsatz je Abschnitt und je Thema in Anhang A zeigt, wie viel Arbeit wirklich ansteht.
- Stimmen Sie den Anwendungsbereich mit der obersten Leitung ab: Das ist die Entscheidung, die den Zeitplan am stärksten verändert.
- Tragen Sie das Startdatum in den Plan ein und passen Sie die Dauer der Aufgaben an, bei denen die Lückenanalyse rot ausfällt.
- Reservieren Sie den Betrieb mit Nachweisen und das interne Audit von Anfang an: Diese Abschnitte werden am häufigsten unterschätzt.
- Prüfen Sie den Fortschritt alle zwei Wochen und verschieben Sie Termine anhand von Daten, nicht aus Optimismus.
Vorlage: der Projektplan im ISO-27001-Kit
Das deutsche ISO-27001-Kit von NexoDocs enthält den ISMS-Projektplan ISMS-PRJ-01: eine Excel-Datei ohne Makros mit den 23 Aufgaben der 8 Phasen, vorgeschlagenen Verantwortlichen (aus dem Blatt „KONFIGURATION“), Startwoche und Dauer, einem Gantt-Diagramm, das sich aus dem Startdatum neu berechnet, einem automatischen Status je Aufgabe (Ausstehend, In Bearbeitung, Verzögert, Abgeschlossen) und dem nach Dauer gewichteten Gesamtfortschritt. Die erste Aufgabe ist die Lückenanalyse ISMS-GAP-01 desselben Kits, und jede Aufgabe nennt das Kit-Dokument, mit dem sie arbeitet.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Kann man ISO 27001 in 3 Monaten zertifizieren?
Das ist ungewöhnlich. Mit sehr engem Anwendungsbereich, bereits laufenden technischen Maßnahmen und hohem internem Einsatz kann man in die Nähe kommen, aber das Zertifizierungsaudit verlangt Nachweise aus dem Betrieb sowie ein abgeschlossenes internes Audit und eine Managementbewertung.
Wie viel Zeit liegt zwischen Stufe 1 und Stufe 2?
Das entscheidet die Zertifizierungsstelle. In der Praxis sind es meist einige Wochen, um die Feststellungen aus Stufe 1 zu beheben; der Referenzplan sieht zwei vor.
Wie viele interne Stunden braucht das Projekt?
Das hängt vom Anwendungsbereich ab. Als Richtwert braucht der ISMS-Manager während des Projekts einen erheblichen Teil seiner Woche, und Prozesseigentümer und IT nehmen an Workshops und an der Umsetzung der Maßnahmen teil.
Ändert die Ausgabe 2022 den Zeitplan?
Nicht grundlegend. Die Ausgabe 2022 hat Anhang A in 93 Maßnahmen neu gegliedert und einige neue ergänzt, die für Organisationen, die von der Ausgabe 2013 kommen, meist zusätzliche technische Arbeit bedeuten.
Heißt ein Vorlagenkit, dass wir rechtzeitig fertig werden?
Nein. Ein Kit verkürzt das Schreiben und ordnet die Arbeit, aber der Zeitplan hängt vom Anwendungsbereich, von der internen Zeit und davon ab, wie lange Maßnahmen Nachweise erzeugen müssen.
Verwandte Leitfäden
ISO 27001 Gap-Analyse: wie weit ist Ihr ISMS von der Norm entfernt?
Gap-Analyse nach ISO/IEC 27001:2022: 29 Prüffragen zu den Abschnitten 4 bis 10, 93 Maßnahmen aus Anhang A, Bewertung mit Ampel und nächste Schritte.
Leitfaden lesen →Was kostet ISO 27001? Vorlagen-Kit, Berater oder Software
Was ISO 27001 in einem KMU kostet: Zertifizierungsaudit, Berater, Compliance-Software oder Vorlagen-Kit im Vergleich, und wann sich welche Option lohnt.
Leitfaden lesen →Checkliste für das interne Audit nach ISO 27001: Aufbau, Bewertung, Vorlage
Checkliste für das interne Audit nach ISO/IEC 27001:2022: Abschnitte 4 bis 10 und 93 Maßnahmen aus Anhang A, Bewertung der Feststellungen und Nachweise.
Leitfaden lesen →Aktualisiert: 2026-10-29