Die Übergangsfrist ist der Zeitraum, in dem Zertifikate nach der alten Ausgabe einer Norm noch gültig sind. Sie wird nicht von der ISO festgelegt, die nur die Norm veröffentlicht, sondern vom International Accreditation Forum. Für Managementsystemnormen sind drei Jahre ab Veröffentlichung der übliche Rahmen.
Wer die Regeln setzt
Nach einer Revision beschließt das International Accreditation Forum ein Pflichtdokument mit den Umstellungsregeln. Die nationalen Akkreditierungsstellen — in Deutschland die DAkkS — setzen es gegenüber den Zertifizierungsstellen durch. Diese informieren ihre Kunden.
Für Betriebe folgt daraus ein praktischer Punkt: Die verbindliche Auskunft kommt von der eigenen Zertifizierungsstelle, nicht vom Normenverlag und nicht aus Fachbeiträgen. Sie kennt den eigenen Zertifikatszyklus und weiß, in welches Audit die Umstellung fällt.
Zwei Termine, nicht einer
Der Fehler beginnt damit, dass nur das Fristende wahrgenommen wird. Tatsächlich gibt es zwei Stichtage:
- Ende der Ausstellung nach alter Ausgabe. Ab diesem Datum dürfen keine Erst- und Rezertifizierungen nach der alten Fassung mehr durchgeführt werden. Dieser Termin liegt deutlich vor dem Fristende.
- Ende der Übergangsfrist. Alle Zertifikate nach der alten Ausgabe verlieren ihre Gültigkeit.
Bei der Umstellung auf ISO/IEC 27001:2022 lag der erste Termin auf dem 30. April 2024, das Fristende auf dem 31. Oktober 2025. Wer im Sommer 2024 eine Erstzertifizierung startete, konnte gar nicht mehr nach der Fassung 2013 zertifiziert werden — unabhängig davon, dass die Übergangsfrist noch über ein Jahr lief.
Der zweite Termin wirkt härter, als er aussieht. Ein Zertifikat verliert seine Gültigkeit mit dem Ende der Übergangsfrist, auch wenn auf dem Dokument ein späteres Ablaufdatum steht. Das gedruckte Datum ist kein Schutz.
Wann das Übergangsaudit stattfindet
In der Regel wird es mit einem ohnehin geplanten Überwachungsaudit oder mit der Rezertifizierung verbunden. Der Aufwand steigt dadurch nur um die zusätzliche Prüfzeit für die geänderten Anforderungen.
Entscheidend ist die Reihenfolge dahinter. Das Zertifikat entsteht nicht im Audit, sondern durch die Zertifizierungsentscheidung. Vorher müssen offene Abweichungen geschlossen und der Auditbericht unabhängig überprüft werden. Wird im letzten möglichen Audit eine Hauptabweichung festgestellt, folgen Ursachenanalyse, Korrekturmaßnahme, Wirksamkeitsnachweis und häufig ein Nachaudit. Diese Kette in wenige Wochen zu pressen, gelingt selten.
Woran die Umstellung in der Praxis scheitert
Der häufigste Grund ist der Kalender. Die Umstellung wird auf das letzte Audit im Zyklus gelegt, weil sie dann am wenigsten kostet. Verschiebt sich der Termin — durch Krankheit, Betriebsurlaub oder fehlende Auditorenkapazität in der Schlussphase, wenn alle Kunden gleichzeitig umstellen —, gibt es keinen Ausweichtermin mehr.
Der zweite Grund ist die Verwechslung von Umstellung und Anpassung. Die geänderten Anforderungen müssen nicht nur dokumentiert, sondern zum Auditzeitpunkt bereits gelebt und mit Nachweisen belegt sein. Eine im Vormonat freigegebene Verfahrensanweisung ohne einen einzigen Anwendungsnachweis erfüllt die Anforderung formal und nicht praktisch.