Die Rezertifizierung verlängert ein ISO-Zertifikat um weitere drei Jahre. Das Rezertifizierungsaudit muss vor Ablauf der Gültigkeit vollständig abgeschlossen sein – inklusive geschlossener Abweichungen und Zertifizierungsentscheidung. Planen Sie deshalb ab Monat 33 des Zyklus: Audittermin spätestens zwei bis drei Monate vor dem Ablaufdatum, damit Puffer für Korrekturmaßnahmen bleibt.
Drei Jahre ist ein ISO-Zertifikat gültig – dann muss die Rezertifizierung her, sonst erlischt es. Klingt nach Routine, wird aber regelmäßig zum Stresstest: Der Termin wird zu spät angesetzt, Abweichungen aus den Überwachungsaudits sind noch offen, und plötzlich läuft das Zertifikat aus, während eine Ausschreibung den gültigen Nachweis verlangt.
Dieser Artikel erklärt, was im Rezertifizierungsaudit geprüft wird, wie sich die Zeitschiene ab Monat 33 des Zyklus planen lässt, was bei einem abgelaufenen Zertifikat passiert und warum die Rezertifizierung der beste Zeitpunkt ist, die eigene Zertifizierungsstelle auf den Prüfstand zu stellen.
Was die Rezertifizierung ist – und was nicht
Die Rezertifizierung (auch Wiederholungsaudit oder Re-Audit genannt) ist das Audit am Ende des dreijährigen Zertifizierungszyklus. Sie prüft das gesamte Managementsystem und verlängert das Zertifikat bei Erfolg um weitere drei Jahre – ein neuer Zyklus mit zwei Überwachungsaudits beginnt.
Sie ist damit mehr als ein Überwachungsaudit, aber weniger als eine Erstzertifizierung: Ein Stufe-1-Audit ist normalerweise nicht mehr nötig, weil die Zertifizierungsstelle das Unternehmen kennt – es sei denn, es gab wesentliche Änderungen an Standorten, Prozessen oder dem Geltungsbereich. Als Faustregel für den Umfang gilt: Das Rezertifizierungsaudit dauert etwa zwei Drittel der Auditzeit des Erstaudits, weil die Systemgrundlagen nicht neu bewertet werden müssen.
Der entscheidende formale Punkt, an dem die meisten Zeitpläne scheitern: Vor dem Ablaufdatum muss nicht nur das Audit stattgefunden haben – auch alle Abweichungen müssen behandelt und die Zertifizierungsentscheidung der Stelle muss gefallen sein. Wer das Audit in die letzten Wochen der Laufzeit legt, hat bei Feststellungen keinen Puffer mehr.
Der Drei-Jahres-Zyklus im Überblick
Zur Einordnung der Rezertifizierung lohnt der Blick auf den vollen Zyklus:
- Jahr 0: Erstzertifizierung mit Stufe-1-Audit (Dokumentation) und Stufe-2-Audit (gelebte Praxis). Mit der Zertifizierungsentscheidung beginnt die dreijährige Laufzeit.
- Jahr 1: erstes Überwachungsaudit – als Stichprobe, ob das System weiter funktioniert. Es muss innerhalb von zwölf Monaten nach der Zertifizierungsentscheidung stattfinden.
- Jahr 2: zweites Überwachungsaudit, wieder als Stichprobe mit wechselnden Schwerpunkten.
- Jahr 3: Rezertifizierungsaudit über das gesamte System – vollständig abgeschlossen vor dem Ablaufdatum.
Bei einem lückenlosen Übergang schließt das neue Zertifikat nahtlos an das Ablaufdatum des alten an – nach außen entsteht keine Unterbrechung, und die dokumentierte Zertifizierungshistorie läuft weiter. Viele Zertifizierungsstellen legen die Termine der Folgeaudits von Anfang an auf dieses Raster; trotzdem bleibt die Terminverantwortung praktisch beim Unternehmen: Wer nicht rechtzeitig plant, dem läuft die Uhr davon, nicht der Zertifizierungsstelle.
Die Zeitschiene: Was ab Monat 33 passieren muss
Rückwärts vom Ablaufdatum geplant, ergibt sich eine klare Zeitschiene für das letzte Zyklusjahr:
| Zeitpunkt im Zyklus | Aufgabe |
|---|---|
| Monat 30–32 | Audittermin mit der Zertifizierungsstelle abstimmen, internes Auditprogramm vervollständigen: alle Bereiche müssen im Zyklus auditiert sein |
| Monat 32–33 | Offene Maßnahmen aus Überwachungsaudits und internen Audits schließen, Managementbewertung durchführen oder aktualisieren |
| Monat 33–34 | Rezertifizierungsaudit durchführen – zwei bis drei Monate vor Ablauf, damit Puffer bleibt |
| Monat 34–35 | Festgestellte Abweichungen bearbeiten: Ursachenanalyse, Korrekturmaßnahmen, Nachweise an die Zertifizierungsstelle |
| Monat 35–36 | Zertifizierungsentscheidung der Stelle, Ausstellung des neuen Zertifikats nahtlos ab Ablaufdatum |
Der Puffer in Monat 34 bis 35 ist kein Luxus: Bei einer Hauptabweichung verlangt die Zertifizierungsstelle wirksame Korrekturmaßnahmen und gegebenenfalls ein Nachaudit, bevor sie entscheiden darf – das dauert schnell vier bis acht Wochen. Wer sein Rezertifizierungsaudit in Monat 35 legt, spielt mit dem Ablaufdatum. Die sichere Variante: Termin in Monat 33, spätestens 34.
Was im Rezertifizierungsaudit geprüft wird
Anders als die stichprobenartigen Überwachungsaudits nimmt die Rezertifizierung wieder das gesamte Managementsystem in den Blick – aber mit einer anderen Perspektive als das Erstaudit. Im Zentrum stehen Wirksamkeit und Entwicklung über den gesamten Zyklus:
- Gesamtleistung über drei Jahre: Wie haben sich Kennzahlen, Ziele und Ergebnisse entwickelt? Gibt es fortlaufende Verbesserung oder Stillstand?
- Umgang mit Feststellungen: Wurden Abweichungen und Hinweise aus den Überwachungsaudits nachhaltig abgestellt – oder tauchen dieselben Themen wieder auf?
- Veränderungen: neue Standorte, Prozesse, Produkte, Führungswechsel, gewachsene oder geschrumpfte Mitarbeiterzahl – und ob das System mitgewachsen ist.
- Pflichtelemente im Vollcheck: interne Audits über alle Bereiche, Managementbewertungen, Kompetenznachweise, Lenkung der dokumentierten Information.
- Fortbestehende Eignung: Passen Geltungsbereich, Politik und Ziele noch zur heutigen Organisation?
Erfahrene Auditoren prüfen bei der Rezertifizierung weniger das „Ob“ der Dokumente und mehr das „Wirkt es“: Ein Unternehmen, das drei Jahre lang nur den Ordner gepflegt hat, fällt hier deutlich eher auf als im jährlichen Überwachungsaudit. Umgekehrt ist die Rezertifizierung für gelebte Systeme der angenehmste Termin im Zyklus – die Abläufe sind eingespielt, und der Auditor kennt das Haus.
Zertifikat abgelaufen – was jetzt passiert
Läuft das Ablaufdatum ohne abgeschlossene Rezertifizierung ab, erlischt das Zertifikat. Ab diesem Tag dürfen Sie nicht mehr mit ihm werben, es verschwindet aus Zertifikatsdatenbanken, und in laufenden Ausschreibungen oder Lieferantenportalen fehlt der gültige Nachweis – im dümmsten Fall genau dann, wenn ein Kunde ihn prüft.
Ganz verloren ist der Zyklus damit nicht sofort. In der Zertifizierungspraxis gilt: Wird die Rezertifizierung innerhalb von etwa sechs Monaten nach Ablauf nachgeholt, kann das Zertifikat wiederhergestellt werden – mindestens ein Stufe-2-Audit ist dann erforderlich. Die Lücke bleibt allerdings bestehen: Das neue Zertifikat gilt erst ab der neuen Entscheidung, der Zeitraum dazwischen bleibt unzertifiziert und ist für aufmerksame Kunden in der Historie sichtbar. Verstreicht auch diese Frist, beginnt alles von vorn: komplette Neuzertifizierung mit Stufe 1 und Stufe 2.
Die geschäftlichen Folgen wiegen dabei oft schwerer als die formalen: Rahmenverträge mit Zertifizierungspflicht können verletzt sein, Präqualifikationen erlöschen, und die Erklärung gegenüber Kunden („Wir waren kurz nicht zertifiziert“) ist unangenehmer als jedes Audit. Deshalb die einfache Regel: Das Ablaufdatum gehört mit Vorwarnzeit von sechs Monaten in den Kalender der Geschäftsführung – nicht nur in den des QMB.
Vorbereitung: Die Checkliste für ein entspanntes Audit
Wer die Punkte dieser Liste zwei bis drei Monate vor dem Audit abhakt, geht ohne Bauchschmerzen in die Rezertifizierung:
- Internes Auditprogramm vollständig: Jeder Prozess und jedes Normkapitel wurde im Zyklus mindestens einmal intern auditiert, die Berichte liegen vor.
- Alle Maßnahmen aus den beiden Überwachungsaudits nachweislich umgesetzt und auf Wirksamkeit geprüft.
- Aktuelle Managementbewertung mit allen Pflichtinhalten – inklusive Bewertung der Zielerreichung über den Zyklus.
- Kennzahlen der letzten drei Jahre aufbereitet: Trends sichtbar, Ausreißer erklärbar.
- Änderungen dokumentiert und der Zertifizierungsstelle gemeldet: Standorte, Mitarbeiterzahl, Geltungsbereich, wesentliche Prozessänderungen.
- Dokumentation auf Stand: Organigramm, Prozesslandkarte, Verantwortlichkeiten, bei ISO 14001 das Rechtskataster, bei ISO 27001 das Statement of Applicability.
- Mitarbeitende informiert: Wer wird voraussichtlich befragt, worum geht es – ohne einstudierte Antworten, die erkennt jeder Auditor.
Der häufigste Vorbereitungsfehler ist Aktionismus in den letzten vier Wochen: hastig nachdokumentierte Prozesse und rückdatierte Nachweise fallen im Audit auf und beschädigen das Vertrauen nachhaltiger als eine ehrlich eingeräumte Lücke. Ein über drei Jahre normal gelebtes System braucht vor der Rezertifizierung keine Generalüberholung – nur einen geordneten Schreibtisch.
Guter Zeitpunkt für einen Wechsel der Zertifizierungsstelle?
Ja – der beste im ganzen Zyklus. Zum Zyklusende endet die Vertragsperiode ohnehin, und die neue Stelle startet mit einem regulären Rezertifizierungs- beziehungsweise Erstaudit in einen frischen Zyklus. Ein Wechsel mitten im Zyklus ist zwischen akkreditierten Stellen zwar über ein Transferverfahren möglich, aber aufwendiger und nicht in jeder Konstellation zulässig – etwa bei offenen Hauptabweichungen.
Anlass für den Vergleich gibt es genug: Tagessatz und Nebenkosten, Erreichbarkeit und Planungsqualität der Stelle, Branchenkenntnis der Auditoren und die Frage, ob die Audits Erkenntnisse liefern oder nur Formalien abarbeiten. Beachten Sie die Kündigungsfristen des laufenden Vertrags – üblich sind drei bis sechs Monate zum Zyklusende – und holen Sie Vergleichsangebote ein, sobald Monat 30 erreicht ist.
Ein ehrlicher Hinweis zum Schluss: Prüfen Sie beim Wechsel den Akkreditierungsstatus der neuen Stelle. Wer bisher ein DAkkS-akkreditiertes Zertifikat vorweisen musste – etwa für öffentliche Ausschreibungen oder Konzernkunden – darf nicht zu einer nicht akkreditierten Stelle wechseln, ohne diesen Nachweiswert zu verlieren. Umgekehrt kann ein Unternehmen ohne solche formalen Anforderungen beim Wechsel zu einem Festpreisanbieter im nicht akkreditierten Bereich spürbar Kosten senken. Entscheidend ist, dass die Wahl bewusst fällt – nicht über das Kleingedruckte.
Häufige Fragen
So rechtzeitig, dass vor dem Ablaufdatum auch die Bearbeitung von Abweichungen und die Zertifizierungsentscheidung abgeschlossen sind. In der Praxis heißt das: Audittermin spätestens zwei bis drei Monate vor Ablauf, also in Monat 33 bis 34 des Zyklus. Die Terminabstimmung mit der Zertifizierungsstelle sollte ab Monat 30 laufen, denn Auditorenkalender sind oft Monate im Voraus belegt.
Normalerweise nicht. Das Stufe-1-Audit prüft die grundsätzliche Zertifizierungsreife und ist bei einem bestehenden, der Stelle bekannten System überflüssig. Ausnahme: wesentliche Änderungen seit dem letzten Audit – etwa neue Standorte, ein deutlich erweiterter Geltungsbereich oder grundlegend umgebaute Prozesse. Dann kann die Zertifizierungsstelle eine erneute Dokumentations- und Reifeprüfung vorschalten.
Bei tagessatzbasierter Abrechnung gilt die Faustregel: etwa zwei Drittel der Auditzeit des Erstaudits, plus Zertifikatsgebühren – für ein kleines Unternehmen mit einer Norm häufig im niedrigen bis mittleren vierstelligen Bereich. Bei Festpreismodellen mit Jahresbeträgen ist die Rezertifizierung im fortlaufenden Vertrag enthalten; KCERT etwa rechnet 1.950 beziehungsweise 2.950 Euro netto pro Norm und Jahr, je nach Unternehmensgröße.
Ja. Hauptabweichungen ohne fristgerecht nachgewiesene Korrekturmaßnahmen verhindern die Zertifizierungsentscheidung – läuft währenddessen das Ablaufdatum ab, erlischt das Zertifikat. Häufigste Ursachen sind ein unvollständiges internes Auditprogramm, fehlende Managementbewertungen und über Jahre verschleppte Feststellungen aus Überwachungsaudits. Mit ausreichend Terminpuffer bleibt selbst bei Hauptabweichungen meist genug Zeit zur Nachbesserung.
Das jährliche Überwachungsaudit ist eine Stichprobe: Es prüft Kernelemente und wechselnde Schwerpunkte, dauert entsprechend kürzer und bestätigt die laufende Gültigkeit. Das Rezertifizierungsaudit am Zyklusende prüft das gesamte System einschließlich der Entwicklung über drei Jahre und führt zu einer neuen Zertifizierungsentscheidung mit neuer dreijähriger Laufzeit. Sein Umfang liegt zwischen Überwachungs- und Erstaudit.
Ja, bei nahtloser Rezertifizierung läuft die Historie weiter – viele Zertifikate weisen neben dem aktuellen Ausstellungsdatum auch das Datum der Erstzertifizierung aus, was gegenüber Kunden langjährige Systemreife belegt. Bei einem Wechsel der Zertifizierungsstelle kann die Historie im Transferverfahren übernommen werden; lief das Zertifikat dagegen ab, beginnt die Historie mit der Neuzertifizierung von vorn.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT