Start/Zertifizierungsreife-Check
Zertifizierungsreife-Check
Bevor ihr Geld ausgebt: Wie weit seid ihr wirklich?
Zwischen „wir haben Richtlinien“ und „wir bestehen das Audit“ liegen meistens ein paar Monate Arbeit. Der Zertifizierungsreife-Check sagt euch vorher, wie viele — geprüft von jemandem, der aus der anderen Richtung kommt.
ab 2.400 € · je nach Größe und Geltungsbereich
Richtpreis · Endpreis, keine Umsatzsteuer (§ 19 UStG)
Wann das gebraucht wird
—Eine Beratung hat ein Angebot über 30.000 € gemacht, und niemand kann beurteilen, ob das nötig ist.
—Intern heißt es „wir sind fast fertig“ — aber keiner hat es je gegen die Norm gehalten.
—Der Kunde fragt nach einem Termin für das Zertifikat, und ihr müsst raten.
—Ein Vorgängerprojekt ist eingeschlafen, und niemand weiß, was davon noch gilt.
Abgleich gegen Norm und Anhang A
Alle Anforderungen der Kapitel 4 bis 10 und die Maßnahmen aus Anhang A, jeweils mit Befund: vorhanden, teilweise, fehlt.
Gespräche statt Fragebogen
Wir reden mit den Leuten, die die Arbeit machen. Ein ausgefüllter Fragebogen zeigt, was jemand glaubt — Gespräche zeigen, was passiert.
Lückenliste mit Aufwand
Jede Lücke mit geschätztem Aufwand und Reihenfolge. Damit könnt ihr entscheiden, was ihr selbst macht und was ihr einkauft — auch bei jemand anderem.
Belastbarer Zeitplan
Frühestmöglicher Audittermin, inklusive der Reifephase, die vorher laufen muss.
Bericht, den ihr weiterreichen könnt
Schriftlich, mit Begründung je Befund. Verwendbar gegenüber Geschäftsführung, Kunden und einer Zertifizierungsstelle.
Worauf wir bei KI-gestützter Dokumentation zuerst schauen
Passt die Risikoanalyse zu den Assets, die es tatsächlich gibt — oder zu einer generischen Liste?
Sind Ausschlüsse in der Anwendbarkeitserklärung begründet oder nur behauptet?
Verweisen Dokumente aufeinander, oder wiederholen sie sich mit abweichenden Aussagen?
Gibt es Nachweise für die Maßnahmen, oder nur ihre Beschreibung?
Sind Zuständigkeiten auf Personen zugeordnet, die es im Betrieb gibt?
Was wir sonst bauen, steht unter KI-Agenten — die beiden Themen haben denselben Ursprung, aber getrennte Angebote.
Ablauf
01
Unterlagen sichten
Was es an Richtlinien, Verträgen und Nachweisen gibt — vorab, ohne euren Betrieb aufzuhalten.
02
Gespräche
Ein Tag vor Ort oder remote, mit Leitung, IT und zwei, drei Leuten aus dem Tagesgeschäft.
03
Bericht
Befunde, Lücken, Aufwand, Reihenfolge, Zeitplan. Innerhalb von zwei Wochen nach den Gesprächen.
04
Besprechung
Wir gehen den Bericht mit euch durch und beantworten die Frage, die eigentlich dahintersteckt: Lohnt sich das?
Was wir ausdrücklich nicht sind
Drei Punkte, die im Verkaufsgespräch gern unter den Tisch fallen. Wer sie nicht sagt, verkauft leichter — und liefert später etwas anderes, als erwartet wurde.
Wir sind keine Zertifizierungsstelle
Das Zertifikat stellt eine akkreditierte Stelle aus — DEKRA, TÜV, DQS und andere. Wir bereiten darauf vor und begleiten, wir zertifizieren nicht.
Das ersetzt kein Audit
Was wir liefern, ist eine belastbare Selbsteinschätzung mit Belegen. Das Zertifizierungsaudit findet danach statt und kann trotzdem Abweichungen finden.
Unabhängigkeitsregel
Wer euer ISMS aufbaut, darf es nicht selbst zertifizieren — und auch nicht das interne Audit dazu führen, wenn es Grundlage der Zertifizierung ist. Wenn wir beim Aufbau geholfen haben, sagen wir euch vorher, welche Rolle wir danach nicht mehr übernehmen können.
Häufige Fragen
Ihr habt euer ISMS mit KI aufgebaut?
Gut — das spart Wochen. Ein Zertifizierungsauditor akzeptiert es trotzdem nur, wenn Risikoanalyse, Anwendbarkeitserklärung und Nachweisführung dieselbe Geschichte erzählen. Genau das prüfen wir.
Der typische Bruch sieht so aus: Die Richtlinien sind sauber formuliert und decken alles ab. Die Risikoanalyse nennt Risiken, die in den Richtlinien nicht vorkommen. Und die Anwendbarkeitserklärung schließt Maßnahmen aus, die an anderer Stelle als umgesetzt beschrieben sind. Jeder Teil für sich ist plausibel, zusammen ergibt es keinen Betrieb.
Wir kommen von beiden Seiten: Wir bauen selbst KI-Systeme — und wir wissen, woran ein Auditor zieht.
Ist das ein internes Audit?
Nein. Ein internes Audit setzt ein laufendes ISMS voraus und ist ein formaler Bestandteil davon. Der Zertifizierungsreife-Check schaut sich an, was es gibt, bevor es ein ISMS gibt — er ist die Entscheidungsgrundlage, nicht der Nachweis.
Was, wenn das Ergebnis lautet: viel zu weit weg?
Dann steht das im Bericht. Das ist die nützlichste Auskunft, die man vor einem sechsstelligen Vorhaben bekommen kann — und der Grund, warum diese Prüfung vor dem Angebot steht und nicht danach.
Müssen wir danach mit euch weiterarbeiten?
Nein. Der Bericht gehört euch und ist so geschrieben, dass eine andere Beratung damit arbeiten kann. Wenn ihr uns danach beauftragt, rechnen wir den Check auf den Aufbau an.
Wie viel Zeit kostet uns das?
Ein Tag Gespräche plus das Zusammensuchen der Unterlagen vorab. Mehr nicht — der Rest passiert bei uns.
Erstgespräch, bevor jemand ein Angebot schreibt.
Wir klären, wer das Zertifikat eigentlich verlangt, bis wann, und was ihr schon habt. Wenn der Termin nicht zu halten ist, erfahrt ihr das dort — nicht drei Monate später.
