Bedingungen für Zertifizierungsleistungen

Gültig ab: 5. Oktober 2026

Diese Bedingungen gelten, wenn ein Kunde bei Caldermark P.S.A. ein Paket zur Vorbereitung und Koordination einer ISO-Zertifizierung erwirbt. Sie ergänzen das angenommene Angebot, die Auftragsbestätigung oder Rechnung für den jeweiligen Auftrag.

1. Rolle von Caldermark

Caldermark erbringt eine strukturierte Dienstleistung zur Vorbereitung und Koordination der Zertifizierung. Je nach erworbenem Paket kann dies die Prüfung des Geltungsbereichs, Managementsystem-Dokumentation, Risiko- und Kontrolldokumentation, interne Vorbereitung, Auditkoordination und die administrative Begleitung des Zertifizierungsprozesses umfassen.

Caldermark ist nicht die unabhängige Zertifizierungsstelle, sofern dies nicht ausdrücklich in den Auftragsunterlagen angegeben ist. Formelle Auditfeststellungen und die Zertifizierungsentscheidung werden von der unabhängigen Zertifizierungsstelle getroffen, die für den jeweiligen Zertifizierungsweg verantwortlich ist.

2. Standardpaket ISO/IEC 27001

Der Standardpreis des initialen ISO/IEC 27001:2022-Pakets beträgt 5.900 EUR zzgl. MwSt., sofern nicht in einem Angebot, einer Kampagne oder einer Auftragsbestätigung schriftlich ein anderer Paketpreis vereinbart wurde.

Das Standardpaket basiert auf einer juristischen Person, höchstens einem Standort und höchstens 50 Mitarbeitenden oder sonstigen Personen im Zertifizierungsumfang. Größere Organisationen, mehrere juristische Personen oder mehrere Standorte erhalten ein gesondertes Angebot.

Caldermark nimmt einen Auftrag zum festen Paketpreis erst verbindlich an, nachdem das initiale Intake und die Machbarkeitsprüfung abgeschlossen sind. Stellt Caldermark vor der Annahme fest, dass wesentliche technische oder organisatorische Nachbesserungen erforderlich sind, um eine realistische Zertifizierungschance zu schaffen, wird dies zunächst mit dem Kunden besprochen und ist nicht automatisch im Standardpaket enthalten.

Das Standardpaket umfasst:

• Prüfung und Formulierung des Zertifizierungsumfangs;
• Erstellung oder Vervollständigung der zentralen ISMS-Dokumentation nach ISO/IEC 27001:2022;
• Risikobewertung und Dokumentation der Risikobehandlung;
• Statement of Applicability;
• erforderliche Richtlinien, Verfahren und Register innerhalb des vereinbarten Paketumfangs;
• Vorbereitung/Dokumentation des internen Audits und der Managementbewertung;
• Koordination des Remote-Zertifizierungsaudits;
• Koordination der Auditunterlagen für Stufe 1 und Stufe 2;
• administrative Begleitung des Erstzertifizierungsprozesses und der digitalen Zertifizierungsakte, soweit ausgestellt.

Die im angenommenen Auftrag konkret vereinbarten Leistungen haben Vorrang vor dieser allgemeinen Beschreibung.

3. Nicht enthalten, sofern nicht ausdrücklich vereinbart

Sofern nicht ausdrücklich schriftlich eingeschlossen, umfasst das Paket nicht:

• umfangreiche Infrastruktur-Sanierung oder Engineering-Arbeiten;
• Implementierung neuer Sicherheitsprodukte oder Unternehmenssysteme;
• umfangreiche Penetrationstests, Quellcodeprüfungen oder forensische Untersuchungen;
• Reise- oder Vor-Ort-Auditkosten;
• Rechtsgutachten oder regulatorische Vertretung;
• jährliche Überwachungsaudits, Rezertifizierungsaudits oder künftige Gebühren des Zertifizierungszyklus;
• Arbeiten infolge einer wesentlichen Erweiterung des vereinbarten Umfangs, zusätzlicher Standorte oder erheblicher organisatorischer Änderungen nach Projektbeginn.

Kleinere Korrekturen an Dokumentation, Richtlinien, Registern oder Konfigurationen, die vernünftigerweise zur normalen Zertifizierungsvorbereitung gehören, können soweit praktikabel im Paket bearbeitet werden.

Optionales Wartungspaket. Caldermark bietet ein optionales Wartungspaket zum Preis von 1.490 EUR zzgl. MwSt. pro Jahr ab dem 2. Jahr an. Es umfasst die Vorbereitung und Koordination des jährlichen Überwachungsaudits einschließlich der regulären Gebühr für dieses Überwachungsaudit, das interne Audit, die Managementbewertung und die Aktualisierung der Managementsystem-Dokumentation. Rezertifizierungsaudits, zusätzliche Audittage, Vor-Ort- oder Reisekosten sowie Kosten infolge von Änderungen des Geltungsbereichs sind nicht enthalten, sofern nicht ausdrücklich schriftlich vereinbart. Das Paket wird jährlich vor dem Überwachungsaudit in Rechnung gestellt und kann jederzeit vor der nächsten Jahresrechnung für das Folgejahr gekündigt werden. Kunden sind nicht verpflichtet, es bei Caldermark zu beziehen.

4. Pflichten des Kunden

Der Kunde muss vollständige und im Wesentlichen richtige Informationen bereitstellen, relevante Mitarbeiter verfügbar machen, Dokumente innerhalb angemessener Frist prüfen, vereinbarte Maßnahmen umsetzen, die in seinem Verantwortungsbereich liegen, und mit dem unabhängigen Auditor beziehungsweise der Zertifizierungsstelle zusammenarbeiten.

Der Kunde bleibt dafür verantwortlich, sein Managementsystem tatsächlich zu betreiben. Dokumente müssen die reale Arbeitsweise der Organisation widerspiegeln und dürfen nicht als Ersatz für tatsächlich erforderliche Kontrollen angesehen werden.

5. Unabhängige Zertifizierungsentscheidung

Caldermark kann den Prozess vorbereiten und koordinieren, kann jedoch Auditfeststellungen oder die Zertifizierungsentscheidung der unabhängigen Zertifizierungsstelle nicht überstimmen. Eine Zertifizierung kann daher nicht garantiert werden, wenn der Kunde die geltenden Anforderungen nicht erfüllt, nicht kooperiert, seine Umsetzung wesentlich falsch darstellt oder erforderliche Nichtkonformitäten nicht behebt.

Stellt ein Audit angemessene Dokumentationskorrekturen oder kleinere Maßnahmen innerhalb des ursprünglichen Umfangs fest, unterstützt Caldermark deren Abschluss entsprechend dem erworbenen Paket. Wesentliche Sanierungsmaßnahmen oder Arbeiten außerhalb des Umfangs können ein separates Angebot erfordern.

Eine von der Zertifizierungsstelle festgestellte Hauptabweichung (Major Nonconformity), notwendige technische Nachbesserungen oder zusätzliche Audittätigkeiten können zu zusätzlichem Aufwand, Kosten und Verzögerungen führen und sind nicht automatisch vom festen Paketpreis umfasst.

6. Zertifizierungsstelle und Zertifizierungsweg

Die unabhängige Zertifizierungsstelle, der Akkreditierungsweg und der Verifizierungsmechanismus für den Auftrag werden im Angebot, in der Auftragsbestätigung oder in der Projektkommunikation mitgeteilt. Caldermark kann eine vorgeschlagene externe Zertifizierungsstelle oder einen Auditpartner vor der formellen Beauftragung wechseln, wenn dies betrieblich oder kommerziell erforderlich ist, sofern der Ersatzweg für das vereinbarte Zertifizierungsziel geeignet bleibt und vorab vereinbarte Akkreditierungs- oder Verifizierungsanforderungen eingehalten werden.

7. Remote-Prozess

Das Standardpaket ist für Remote-Vorbereitung und, soweit von der Zertifizierungsstelle für den jeweiligen Umfang akzeptiert, für Remote-Auditkoordination ausgelegt. Wird aufgrund des Umfangs, der Zertifizierungsregeln oder der Anforderungen des Auditors ein Vor-Ort-Termin erforderlich, können zusätzliche Reise- oder Vor-Ort-Kosten anfallen, sofern diese nicht im Auftrag enthalten waren.

8. Gebühren und Zahlung

Gebühren, steuerliche Behandlung und Zahlungstermine ergeben sich aus dem angenommenen Angebot, der Auftragsbestätigung oder der Rechnung. Die Arbeiten können ausgesetzt werden, wenn eine unbestrittene Rechnung überfällig ist.

Sofern das angenommene Angebot nichts anderes vorsieht, werden 50 % des Paketpreises bei Annahme des Auftrags in Rechnung gestellt, nachdem Caldermark das Intake geprüft und den Auftrag als machbar angenommen hat. Die restlichen 50 % werden nach einer positiven Zertifizierungsentscheidung und vor der Übergabe der endgültigen Zertifizierungsunterlagen oder des Zertifikats durch Caldermark in Rechnung gestellt, soweit diese über Caldermark erfolgt. Stellt die Zertifizierungsstelle das Zertifikat dem Kunden direkt zu, ist die zweite Rechnung fällig, sobald die Zertifizierung erteilt wurde.

Wird die Zertifizierung aufgrund unrichtiger oder unvollständiger Angaben des Kunden, der Nichtumsetzung vereinbarter Maßnahmen, des Nichtschließens festgestellter Abweichungen, unzureichender Mitwirkung, einer wesentlichen Änderung des Geltungsbereichs oder anderer Umstände im Einflussbereich des Kunden nicht erreicht, bleibt der Restbetrag geschuldet.

9. Änderungen des Umfangs

Eine Änderung liegt außerhalb des ursprünglichen Umfangs, wenn sie die Anzahl der juristischen Personen, Standorte, einbezogenen Mitarbeiter, Systeme, Produkte, Normen, Audittage oder den Dokumentationsaufwand wesentlich erhöht. Caldermark wird eine wesentliche Umfangsänderung benennen, bevor zusätzliche Gebühren erhoben werden.

10. Vertraulichkeit und Informationssicherheit

Caldermark behandelt nicht öffentliche Zertifizierungsinformationen vertraulich und verwendet sie nur für den Auftrag, interne Verwaltung, gesetzliche Compliance und Sicherheitszwecke. Informationen können mit der unabhängigen Zertifizierungsstelle, dem Auditor und erforderlichen Dienstleistern geteilt werden, soweit dies für den Zertifizierungsprozess notwendig ist.

Personenbezogene Daten werden gemäß der Caldermark-Datenschutzerklärung und einer gegebenenfalls anwendbaren Vereinbarung zur Auftragsverarbeitung verarbeitet.

11. Materialien des Kunden

Der Kunde bleibt für die Rechte an Informationen und Dokumenten verantwortlich, die er Caldermark zur Verfügung stellt. Der Kunde gestattet Caldermark, diese Materialien soweit erforderlich zur Durchführung des Auftrags zu verwenden und anzupassen.

12. Materialien von Caldermark

Caldermark behält das Eigentum an vorbestehenden Vorlagen, Methoden, Software, Know-how und wiederverwendbaren Dokumentstrukturen. Nach vollständiger Zahlung darf der Kunde die kundenspezifische endgültige Managementsystem-Dokumentation intern für seine eigene Zertifizierung und seinen Betrieb verwenden, sofern im Auftrag keine weitergehenden Rechte eingeräumt werden.

Ein Recht zum Weiterverkauf von Caldermark-Vorlagen, Ausgangsmaterialien oder Software wird nicht eingeräumt, sofern dies nicht ausdrücklich vereinbart ist.

13. Kündigung und Terminverschiebung

Jede Partei kann bei wesentlicher Vertragsverletzung kündigen, wenn diese nicht innerhalb einer angemessenen Frist nach schriftlicher Mitteilung behoben wird. Eine vom Kunden gewünschte Stornierung oder Verschiebung eines Audits kann zu Kosten führen, die bereits bei externen Auditoren oder Zertifizierungsanbietern angefallen sind, sowie zu Kosten für bereits erbrachte Leistungen.

14. Haftung

Die Haftung richtet sich nach der kommerziellen Vereinbarung für den Auftrag und nach zwingendem Recht. Caldermark haftet nicht für die fachliche Beurteilung einer unabhängigen Zertifizierungsstelle, für vom Kunden nicht offengelegte oder vernünftigerweise nicht erkennbare Nichtkonformität oder für Verzögerungen aufgrund fehlender Kundeninformationen oder externer Auditverfügbarkeit.

15. Rangfolge

Bei Widersprüchen gilt folgende Rangfolge: unterzeichnete Vereinbarung oder angenommenes Angebot; Auftragsbestätigung; diese Bedingungen für Zertifizierungsleistungen; allgemeine Bedingungen für Website und elektronische Dienste.

16. Kontakt

Vertragliche Fragen zur Zertifizierung können an info@caldermark.com gerichtet werden.

17. Anwendbares Recht und Gerichtsstand

Auf diese Bedingungen und den Auftrag findet polnisches Recht Anwendung, soweit zwingendes Recht nichts anderes bestimmt. Für Streitigkeiten ist das für den satzungsmäßigen Sitz der Caldermark P.S.A. zuständige Gericht zuständig, sofern die Parteien nicht schriftlich etwas anderes vereinbaren.