120 CPE in drei Jahren: wie die Rezertifizierung des CISSP funktioniert

Erforderlich sind 120 CPE pro Dreijahreszyklus — mehr nicht: Das Jahresminimum von 40 gibt es für zertifizierte Mitglieder seit 2022 nicht mehr. Die Frage taucht dennoch unablässig auf, in kaum unterschiedlichen Varianten: 40 pro Jahr oder 120 in drei Jahren? Wann startet der Zähler? Zählt ein Podcast? Die Antworten der Community sind weitgehend deckungsgleich, sie koexistieren jedoch mit Erinnerungen an alte Regeln, die nicht mehr gelten. Dieser Artikel gibt wieder, was die Zertifizierten darunter verstehen; das von ISC2 auf isc2.org veröffentlichte CPE Handbook bleibt im Streit- oder Auditfall das maßgebliche Dokument.

Wie viele CPE sind erforderlich, und über welchen Zeitraum?

Die durchgängige Antwort der Erfahrungsberichte: 120 CPE pro Dreijahreszyklus. Der Zyklus verhält sich wie ein Block und nicht wie drei Jahresabschnitte, die einzeln zu erfüllen wären.

Die Zähleinheit ist einfach und wird jedes Mal wiederholt, wenn ein Mitglied danebenliegt: eine Stunde Aktivität entspricht einem Punkt. Ein Thread aus dem Jahr 2025 ist in diesem Punkt eindeutig, nachdem ein Mitglied 30 bis 40 CPE für eine elfstündige Schulung angekündigt hatte:

„1 hour = 1 CPE so not entirely sure where the 30-40 comes from“

Übersetzung: „1 Stunde = 1 CPE, also ist mir nicht ganz klar, woher die 30 bis 40 kommen.“

Der Verfasser des ursprünglichen Beitrags räumte ein, dass seine Schätzung von einem Chat-Assistenten stammte, und korrigierte seine Meldung. Das ist ein nützlicher Hinweis: Die kursierenden Größenordnungen müssen auf die tatsächlich aufgewendete Zeit zurückgeführt werden.

Das Volumen wirkt einschüchternd, doch die Erfahrungsberichte beschreiben es nicht als Hürde: Mehrere Mitglieder weisen ohne besonderen Aufwand Zählerstände von 250, 400, 467 oder sogar 490 Punkten aus, und eines von ihnen fasst die erfolgreiche Mechanik in einem Satz zusammen:

„I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor.“

Übersetzung: „Ich schaue mir an den meisten Freitagen ein einstündiges Webinar auf meinem zweiten Bildschirm an, während ich auf dem Hauptbildschirm meine Arbeitswoche abschließe.“

Ein Hinweis, der für deutschsprachige Leser von Bedeutung ist: alle in den Erfahrungsberichten erfassten CPE-Quellen sind englischsprachig. Webinare, Podcasts, Konferenzen, Lernplattformen — in drei Jahren Archiv wird keine deutschsprachige Quelle genannt. Die Aufrechterhaltung der Zertifizierung setzt in der Praxis also voraus, dass man Englisch mühelos liest und hört.

Gibt es das Minimum von 40 CPE pro Jahr noch?

Nein, für zertifizierte Mitglieder nicht — und das ist wahrscheinlich die verbreitetste Verwechslung in den Erfahrungsberichten. Ein Kommentar entscheidet die Debatte mit einem Zitat aus dem Handbook:

„ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status.“

Übersetzung: „ISC2 empfiehlt ein jährliches Minimum, um den Aufwand für die Aufrechterhaltung der Zertifizierung zu verteilen, es besteht jedoch keine jährliche Pflicht, außer Sie haben den Associate-Status.“

Die Entstehungsgeschichte dieser Regel schildert ein Mitglied, das sich als seit dreizehn Jahren tätiger Prüfungsautor für ISC2 und CISSP vorstellt:

Zeitraum	Regel laut Bericht
Vor 2020	40 CPE pro Jahr verpflichtend, 120 pro Dreijahreszyklus
2020	Jahresminimum auf 20 CPE gesenkt
Seit 2022	Jahresminimum abgeschafft — es bleiben nur die 120 pro Zyklus

„Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together.“

Übersetzung: „Vor 2020 musste man 40 pro Jahr machen, bei 120 pro Dreijahreszyklus. 2020 haben sie es auf 20 pro Jahr gesenkt und 2022 dann ganz abgeschafft.“

Dieselbe Person sieht darin eher ein Risiko als ein Geschenk und sagt voraus, dass der Wegfall des jährlichen Sicherheitsnetzes die Zertifizierten nachlässig machen wird, bis „eine erste Charge“ ihre Zertifizierung verliert. Die Verwirrung hält sich derweil im Feld: Noch im Mai 2026 schrieb ein frisch Zertifizierter, er suche nach einem Weg, seine Zertifizierung „mit 40 CPE pro Jahr ODER 120 über drei Jahre“ aufrechtzuerhalten.

Worin besteht der Unterschied zwischen Gruppe A und Gruppe B?

Die Aufteilung ist einfach: Gruppe A umfasst Aktivitäten, die unmittelbar mit den Domänen der Informationssicherheit zusammenhängen, Gruppe B die allgemeinere berufliche Weiterentwicklung. Die typische Strategie, wie sie in einem Thread über schnelles Punktesammeln geschildert wird:

„Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings“

Übersetzung: „Kategorie A: eine Mischung aus Podcasts, Online-Schulungen und der Lektüre von Whitepapers oder Artikeln. […] Kategorie B: überwiegend Arbeitsbezogenes wie Führungsbesprechungen.“

Die Einordnung ist damit aber nicht endgültig. Ein Fall vom Januar 2026 berichtet von einer Umklassifizierung von 20 Stunden aus Gruppe A in Gruppe B, die ISC2 ohne Vorwarnung vorgenommen habe — darunter zwei Stunden Webinare, die ISC2 dem Mitglied selbst per E-Mail geschickt hatte. Ein anderes Mitglied schildert, wie es die Rücknahme einer Ablehnung erreichte, indem es die Beschreibung seiner Aktivität umschrieb und ausdrücklich auf die Sicherheit bezog. Der Rat, der sich aus diesen Threads ergibt: widersprechen, aber mit einer Begründung.

„If you can show why they should count they will likely accept them.“

Übersetzung: „Wenn Sie darlegen können, warum sie zählen sollten, werden sie sie wahrscheinlich anerkennen.“

Praktische Folge: Formulieren Sie Ihre Aktivitätsbeschreibungen mit Blick auf jemanden, der später und ohne Kontext beurteilen muss, ob die gemeldete Stunde tatsächlich in den Bereich Sicherheit fällt.

Ab wann kann man beginnen, Punkte zu sammeln?

Erst ab dem Zertifizierungsdatum, also sobald das Endorsement genehmigt und die Jahresgebühr bezahlt ist.

„You can't collect CPE until after your certification date which is when it is fully endorsed“

Übersetzung: „Sie können keine CPE sammeln, bevor Ihr Zertifizierungsdatum erreicht ist, also der Zeitpunkt, zu dem das Endorsement vollständig bestätigt ist.“

Die Falle ist real. Ein Kandidat schildert, wie er eine RSA-Konferenz und drei Zertifizierungen „verlor“, die er während der Wartezeit auf sein Endorsement absolviert hatte: Nichts davon konnte gemeldet werden. Da die berichteten Endorsement-Fristen zwischen drei und sechseinhalb Wochen nach Einreichung der Unterlagen liegen — und länger, wenn die Berufserfahrung vertieft geprüft wird —, entsteht ein Zeitfenster, in dem der Weiterbildungsaufwand nicht zählt. Da die Zahlung der Gebühr Teil des Auslösers ist, bestimmt die Funktionsweise der AMF unmittelbar den Start des Zählers.

Für Personen mit mehreren ISC2-Zertifizierungen beschreiben die Erfahrungsberichte getrennte Zähler, wobei dasselbe CPE auf beiden gemeldet werden kann, sofern das Thema beide Referenzrahmen abdeckt; von ISC2 veranstaltete Events sollen automatisch für beide gelten.

Können überschüssige CPE in den nächsten Zyklus übertragen werden?

Teilweise. Die von der Community beschriebene Übertragung betrifft nur Punkte, die in den letzten sechs Monaten des Zyklus erworben wurden, mit einer genannten Obergrenze von 40 — eine Zahl, die im CPE Handbook zu prüfen ist, bevor man einen Plan darauf aufbaut.

Über die praktische Konsequenz herrscht Einigkeit: Hören Sie nicht auf, Ihre Aktivitäten zu melden, sobald die 120 erreicht sind, wenn sich das Ende des Zyklus nähert. Was in diesem letzten Zeitfenster erworben wird, ist nicht verloren.

Wie läuft ein Audit ab und welche Nachweise werden akzeptiert?

CPE-Audits werden als zufällig und formal wenig anspruchsvoll beschrieben. Ein Mitglied berichtet, es sei wegen eines halben Punktes für einen Online-Kurs zum ersten Mal seit mehreren Jahren geprüft worden, und schließt daraus, dass die Auswahl keineswegs gezielt erfolgt.

In den Erfahrungsberichten genannter Nachweis	Beschriebenes Ergebnis
Screenshot einer Podcast-App	Akzeptiert
Während einer Konferenz aufgenommene Screenshots von Beiträgen	Akzeptiert, 35 Punkte anerkannt
Teilnahmebescheinigungen, Belege	Akzeptiert
Bloße Angabe dessen, was getan wurde	Mitunter ausreichend

„'proof' doesn't have to be formal… sometimes (gasp) they'll take whatever you tell them you did“

Übersetzung: „Der ‚Nachweis‘ muss nicht formal sein … manchmal, so überraschend das klingt, nehmen sie einfach das hin, was Sie angeben, getan zu haben.“

Die beschriebene bewährte Praxis ist durchgängig dieselbe: eine Tabelle mit Datum, Titel, Stundenzahl und Link führen; Bescheinigungen herunterladen, wenn die Plattform sie anbietet; zwei oder drei Zeilen Zusammenfassung für Podcasts und Lektüre schreiben. „Detaillierter muss es nicht sein, es sei denn, Ihre Meldung wird geprüft.“ Dieses Audit ist nicht mit dem Endorsement-Audit zu verwechseln, das sich zum Zeitpunkt der Bewerbung auf die Berufserfahrung bezieht.

Was riskiert man, wenn man einen Zyklus verstreichen lässt?

Die Aussetzung und anschließend den Verlust der Zertifizierung. Und die Erfahrungsberichte sind über die Folgen eindeutig: Von den Mitgliedern, die ihren CISSP verloren haben und ihn erneut benötigten, mussten alle die vollständige Prüfung noch einmal ablegen. Vier Erfahrungsberichte belegen das, darunter ein seit 2002 Zertifizierter, der 2020 den Anschluss verlor, und ein 2014 Zertifizierter, der nach der Covid-Zeit das Tempo nicht halten konnte. Die Prüfung erneut abzulegen bedeutet, einen weiteren Versuch zu bezahlen: Die gemeldeten Beträge finden sich auf der Seite zum Preis der CISSP-Prüfung, und die Gründe, aus denen erfahrene Fachleute daran scheitern, in warum man am CISSP scheitert.

Die beiden häufigsten Aufholsituationen der Erfahrungsberichte — „ich bin im dritten Jahr mit 0 CPE und habe noch zehn Monate“ und „ich habe 1 Punkt von 120“ — enden gut: Die Antworten führen schnelle Aufholmöglichkeiten im Detail auf, im Wesentlichen Webinare in Serie und Konferenzen. Die von der Community erfassten kostenlosen Quellen reichen im Übrigen für sich genommen aus, um einen ganzen Zyklus abzudecken. Der am häufigsten wiederholte Rat bleibt allerdings der einfachste: früh anfangen, notfalls die 120 Punkte in acht Monaten abschließen und den Rest des Zyklus in Ruhe verbringen.