Das Stufe-1-Audit prüft, ob Ihr Managementsystem dokumentiert und zertifizierungsreif ist — meist remote anhand der Unterlagen. Das Stufe-2-Audit prüft vor Ort, ob das System im Alltag gelebt wird: durch Interviews, Begehung und Stichproben. Erst nach bestandener Stufe 2 wird das Zertifikat erteilt. Zwischen beiden Stufen liegen üblicherweise zwei bis sechs Wochen.
Vor der ersten ISO-Zertifizierung tauchen zwei Begriffe auf, die viele Geschäftsführer und QM-Verantwortliche zunächst verwechseln: das Stufe-1-Audit und das Stufe-2-Audit. Beide gehören zum Erstzertifizierungsverfahren, prüfen aber grundverschiedene Dinge. Wer den Unterschied nicht kennt, bereitet sich auf das Falsche vor — und riskiert vermeidbare Feststellungen oder einen verschobenen Zertifizierungstermin.
Dieser Artikel erklärt, was in welcher Stufe geprüft wird, welche Feststellungen typisch sind, wie viel Zeit zwischen den Stufen liegen sollte und wie Sie beide Termine gezielt vorbereiten. Eine Vergleichstabelle fasst die Unterschiede zusammen. Die Angaben gelten für alle gängigen Managementsystemnormen: ISO 9001, 14001, 45001, 27001 und 50001.
Warum die Zertifizierung in zwei Stufen abläuft
Das Zwei-Stufen-Modell ist keine Erfindung einzelner Zertifizierer, sondern in der ISO/IEC 17021-1 festgelegt — der Norm, die Anforderungen an Zertifizierungsstellen selbst definiert. Sie schreibt für die Erstzertifizierung ein Audit in zwei Stufen vor. Seriöse Zertifizierungsstellen arbeiten nach diesem Modell, unabhängig davon, ob sie akkreditiert sind oder nicht.
Der Grund für die Aufteilung ist praktisch: Das Vor-Ort-Audit ist der teuerste Teil der Zertifizierung. Es wäre für beide Seiten ärgerlich, wenn der Auditor anreist und nach zwei Stunden feststellt, dass zentrale Bestandteile des Managementsystems fehlen. Die Stufe 1 klärt deshalb vorab, ob das System bereit für die eigentliche Prüfung ist. Die Stufe 2 prüft anschließend, ob das dokumentierte System im Alltag tatsächlich gelebt wird.
Ein ehrlicher Hinweis an dieser Stelle: Bei DAkkS-akkreditierten Stellen überwacht die Akkreditierungsstelle die Einhaltung dieses Verfahrens. Bei nicht akkreditierten Stellen gibt es diese externe Kontrolle nicht — fragen Sie dort konkret nach, wie das Auditverfahren abläuft. Ein Anbieter, der ein Zertifikat ohne Stufe-2-Audit verspricht, verkauft ein Stück Papier, keinen belastbaren Nachweis.
Stufe-1-Audit: die Bereitschaftsprüfung Ihres Systems
Das Stufe-1-Audit ist eine Bereitschaftsbewertung. Der Auditor prüft, ob Ihr Managementsystem so weit aufgebaut ist, dass sich die Vor-Ort-Prüfung lohnt. Im Mittelpunkt stehen sechs Punkte:
- Geltungsbereich: Ist klar definiert, welche Standorte, Tätigkeiten und Prozesse das Zertifikat abdecken soll?
- Dokumentierte Information: Liegen Politik, messbare Ziele, Prozessbeschreibungen und die von der Norm geforderten Nachweise vor?
- Internes Audit und Managementbewertung: Wurden beide mindestens einmal vollständig durchgeführt? Ohne diesen Nachweis findet keine Stufe 2 statt.
- Risiko- und Kontextbetrachtung: Sind Chancen und Risiken bewertet und die interessierten Parteien bestimmt?
- Standortbedingungen: Gibt es Besonderheiten wie mehrere Standorte, Schichtbetrieb oder Baustellen, die die Planung der Stufe 2 beeinflussen?
- Normspezifische Pflichtdokumente: Bei ISO 27001 etwa das Statement of Applicability und der Risikobehandlungsplan, bei ISO 50001 die energetische Bewertung, bei ISO 14001 und 45001 das Rechtskataster.
Das Stufe-1-Audit findet heute überwiegend remote statt: Der Auditor sichtet die Unterlagen vorab und bespricht offene Punkte per Videokonferenz. Das ist normkonform und spart Reisekosten. Bei kleinen und mittleren Unternehmen dauert die Stufe 1 typischerweise einen halben bis einen Auditortag. Am Ende erhalten Sie einen Bericht mit allen Feststellungen — inklusive der Punkte, die bis zur Stufe 2 gelöst sein müssen.
Typische Feststellungen im Stufe-1-Audit
Ein wichtiges Missverständnis vorweg: Durch die Stufe 1 kann man nicht im klassischen Sinn „durchfallen". Sie ist eine Standortbestimmung. Der Auditor benennt Lücken, damit Sie sie vor der Stufe 2 schließen können. Diese Feststellungen tauchen in der Praxis am häufigsten auf:
- Das interne Audit wurde noch nicht oder nur für Teilbereiche durchgeführt.
- Die Managementbewertung fehlt oder behandelt nicht alle Pflichtinhalte.
- Ziele sind formuliert, aber nicht messbar — „Qualität verbessern" reicht nicht.
- Der Geltungsbereich ist unpräzise: Standorte oder ausgelagerte Prozesse fehlen.
- Das Rechtskataster ist unvollständig oder seit Jahren nicht aktualisiert.
- Bei ISO 27001: Das Statement of Applicability deckt nicht alle 93 Controls des Anhangs A ab oder begründet Ausschlüsse nicht.
- Dokumente sind nicht gelenkt: Es kursieren mehrere Versionen derselben Arbeitsanweisung.
Sind die Lücken gravierend — etwa ein komplett fehlendes internes Audit —, empfiehlt der Auditor, die Stufe 2 zu verschieben. Das ist kein Beinbruch, sondern schützt Sie vor einem gescheiterten und damit doppelt bezahlten Vor-Ort-Termin.
Stufe-2-Audit: die Prüfung der gelebten Praxis
Die Stufe 2 ist das eigentliche Zertifizierungsaudit. Jetzt geht es nicht mehr um Papier, sondern um Wirksamkeit: Wird das dokumentierte System im Tagesgeschäft angewendet? Das Audit findet in der Regel vor Ort statt und folgt einem festen Ablauf:
- Auftaktgespräch: Der Auditor stellt den Auditplan vor und klärt organisatorische Fragen. Dabei sind Geschäftsführung und Systemverantwortliche.
- Betriebsrundgang: Der Auditor verschafft sich ein Bild von Arbeitsumgebung, Ordnung, Kennzeichnungen und Sicherheitsvorkehrungen.
- Interviews und Stichproben: Der Kern des Audits. Der Auditor spricht mit Mitarbeitenden verschiedener Bereiche und lässt sich Nachweise zeigen: abgeschlossene Aufträge, Schulungsnachweise, Prüfprotokolle, Lieferantenbewertungen, Wartungspläne oder Berechtigungskonzepte.
- Auditorenbesprechung: Der Auditor ordnet seine Beobachtungen und formuliert Feststellungen.
- Abschlussgespräch: Sie erfahren das Ergebnis sofort — inklusive aller Abweichungen und der Empfehlung für oder gegen die Zertifikatserteilung.
Wichtig zu wissen: Auditoren erwarten keine fehlerfreie Organisation, sondern Konsistenz. Wenn die Prozessbeschreibung A sagt und alle Mitarbeitenden B tun, ist das eine Abweichung — selbst wenn B der bessere Weg ist. Dann gehört die Beschreibung angepasst, nicht die Praxis versteckt. Bei Unternehmen bis 25 Mitarbeitenden dauert die Stufe 2 je nach Norm meist ein bis zwei Auditortage; ISO 27001 liegt wegen der technischen Prüftiefe eher am oberen Ende.
Feststellungen in Stufe 2: Haupt- und Nebenabweichung
In der Stufe 2 werden Feststellungen klassifiziert — und die Kategorie entscheidet über die Folgen:
- Hauptabweichung (Major): Eine Normanforderung ist gar nicht oder so mangelhaft umgesetzt, dass das System an dieser Stelle versagt. Beispiel: Es existiert kein Prozess für den Umgang mit fehlerhaften Produkten. Das Zertifikat wird erst erteilt, wenn die Korrektur nachgewiesen ist — je nach Schwere durch Dokumentenprüfung oder ein Nachaudit.
- Nebenabweichung (Minor): Ein Einzelfall oder punktueller Fehler, der die Wirksamkeit des Systems nicht grundsätzlich infrage stellt. Beispiel: Ein einzelner Schulungsnachweis fehlt. Meist genügt ein Korrekturmaßnahmenplan; die Umsetzung wird im nächsten Audit geprüft.
- Hinweise und Verbesserungspotenziale: Keine Abweichungen, sondern Empfehlungen. Sie können sie umsetzen, müssen aber nicht.
Typische Stufe-2-Feststellungen aus der Praxis: Die gelebte Praxis weicht von der Dokumentation ab, Unterweisungsnachweise sind lückenhaft, Prüf- und Messmittel sind nicht kalibriert, Korrekturmaßnahmen wurden abgeschlossen, ohne die Wirksamkeit zu bewerten, oder das Backup-Konzept wurde noch nie durch eine echte Rücksicherung getestet. Für Korrekturmaßnahmen sind branchenüblich Fristen von rund 90 Tagen vorgesehen. Laufen sie ab, ohne dass die Abweichung geschlossen ist, muss die Stufe 2 ganz oder teilweise wiederholt werden.
Stufe 1 und Stufe 2 im direkten Vergleich
Die folgende Tabelle stellt beide Stufen gegenüber — als Orientierung für Ihre Vorbereitung:
| Merkmal | Stufe-1-Audit | Stufe-2-Audit |
|---|---|---|
| Zweck | Bereitschaft prüfen: Ist das System zertifizierungsreif? | Konformität prüfen: Wird das System gelebt und ist es wirksam? |
| Prüfgegenstand | Dokumentation, Geltungsbereich, internes Audit, Managementbewertung | Gelebte Praxis: Prozesse, Nachweise, Interviews, Begehung |
| Ort und Form | Meist remote (Dokumentenprüfung plus Videokonferenz) | In der Regel vor Ort, einzelne Teile remote möglich |
| Typische Dauer (bis 25 Mitarbeitende) | 0,5 bis 1 Auditortag | 1 bis 2 Auditortage, bei ISO 27001 eher mehr |
| Ergebnis | Bericht mit Feststellungen und Bestätigung der Stufe-2-Reife | Zertifizierungsempfehlung oder Abweichungen mit Korrekturfristen |
| Folge von Feststellungen | Nacharbeit bis zur Stufe 2, bei großen Lücken Verschiebung | Nebenabweichung: Maßnahmenplan. Hauptabweichung: Korrektur vor Zertifikatserteilung, ggf. Nachaudit |
Der wichtigste Unterschied in einem Satz: Die Stufe 1 fragt, ob Ihr System auf dem Papier vollständig ist — die Stufe 2 fragt, ob Ihre Mitarbeitenden es tatsächlich leben.
Der richtige Abstand zwischen den Stufen
Die ISO/IEC 17021-1 nennt keinen festen Abstand. Die Regel lautet: Der Abstand muss groß genug sein, um die Feststellungen aus der Stufe 1 zu beheben. In der Praxis haben sich bei kleinen und mittleren Unternehmen zwei bis sechs Wochen bewährt. Wer aus der Stufe 1 mit größeren Baustellen kommt, sollte eher zwei bis drei Monate einplanen.
Nach oben gibt es eine praktische Grenze: Liegen mehr als etwa sechs Monate zwischen den Stufen, wiederholen viele Zertifizierungsstellen die Stufe 1 ganz oder teilweise, weil deren Ergebnisse dann als veraltet gelten. Das kostet Geld und Zeit — planen Sie den Gesamtprozess deshalb als Einheit.
Zur Einordnung der Gesamtdauer: Bei gut vorbereiteten kleinen Unternehmen und einer schlanken Zertifizierungsstelle sind vier bis sechs Wochen vom Erstgespräch bis zum Zertifikat realistisch — KCERT arbeitet beispielsweise mit diesem Zeitrahmen, bei ISO 27001 mit sechs bis acht Wochen. Bei großen akkreditierten Stellen sind die Auditkalender oft Monate im Voraus gefüllt; drei bis sechs Monate Vorlauf sind dort keine Seltenheit. Wer das Zertifikat zu einem Stichtag braucht, etwa für eine Ausschreibung, sollte rückwärts planen und Termine früh sichern. Und wer für eine öffentliche Ausschreibung oder eine Konzern-Einkaufsrichtlinie ein akkreditiertes Zertifikat benötigt, muss diesen längeren Vorlauf von Anfang an einkalkulieren — ein nicht akkreditiertes Zertifikat wird dort in der Regel nicht anerkannt.
Häufige Fragen
Ja, und das ist inzwischen der Regelfall. Die Stufe 1 besteht überwiegend aus Dokumentenprüfung und Gesprächen mit den Systemverantwortlichen — beides funktioniert per Videokonferenz gut. Die ISO/IEC 17021-1 lässt das zu, solange die Zertifizierungsstelle die Standortbedingungen ausreichend bewerten kann. Die Stufe 2 findet dagegen in der Regel vor Ort statt, weil Begehung und Interviews im Betrieb kaum ersetzbar sind.
Ein formales Durchfallen gibt es nicht — die Stufe 1 endet nicht mit bestanden oder nicht bestanden, sondern mit einem Bericht über den Reifegrad. Sind die Lücken groß, etwa weil internes Audit oder Managementbewertung fehlen, empfiehlt der Auditor die Verschiebung der Stufe 2. Faktisch wirkt das wie ein Nichtbestehen, kostet aber nur Zeit, kein neues Verfahren.
Üblich sind zwei bis sechs Wochen. Der Abstand muss ausreichen, um die Feststellungen aus der Stufe 1 abzuarbeiten — bei größeren Lücken auch zwei bis drei Monate. Mehr als etwa sechs Monate sollten es nicht werden: Dann gelten die Stufe-1-Ergebnisse als veraltet und viele Zertifizierungsstellen wiederholen die Prüfung ganz oder teilweise.
Das ist der Normalfall, kein Drama. Nebenabweichungen erfordern einen Korrekturmaßnahmenplan, den die Zertifizierungsstelle prüft — das Zertifikat kann trotzdem erteilt werden. Bei Hauptabweichungen wird das Zertifikat erst nach nachgewiesener Korrektur erteilt, üblich sind Fristen von rund 90 Tagen. Nur wer die Fristen verstreichen lässt, muss Teile der Stufe 2 wiederholen.
Bei Unternehmen bis 25 Mitarbeitenden je nach Norm meist ein bis zwei Auditortage vor Ort. ISO 27001 liegt wegen der technischen Prüftiefe am oberen Ende, ISO 9001 bei kleinen Dienstleistern am unteren. Die genaue Auditdauer berechnet die Zertifizierungsstelle vorab aus Mitarbeiterzahl, Standorten und Komplexität — im akkreditierten Bereich nach den Vorgaben des Dokuments IAF MD 5.
Für alle zertifizierbaren Managementsystemnormen: ISO 9001, 14001, 45001, 27001 und 50001 laufen nach demselben Muster ab, weil das Verfahren aus der ISO/IEC 17021-1 stammt und nicht aus der jeweiligen Fachnorm. Auch bei einem Kombi-Audit über mehrere Normen gibt es eine gemeinsame Stufe 1 und eine gemeinsame Stufe 2 — das spart gegenüber getrennten Verfahren deutlich Auditzeit.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT