Zurück zu Ask the AuditorDas interne ISO-27001-Audit,
Das interne ISO-27001-Audit,
erklärt
Was Unternehmen zum internen Audit wissen wollen, vom ersten vor der Zertifizierung bis zu den jährlichen danach.
Die Grundlagen
Für alle, die das interne Audit zum ersten Mal angehen: was es ist, wie es abläuft und was am Ende vorliegt.
- Was ist ein internes Audit, und wofür ist es da?Eine Prüfung durch eine unparteiische Person, ob Ihr ISMS die Anforderungen von ISO 27001 erfüllt und so funktioniert, wie Ihre Richtlinien es beschreiben. Abschnitt 9.2 schreibt sie vor, und Sie finden und beheben Lücken, bevor der Zertifizierungsauditor sie sieht.
- Was unterscheidet es vom Zertifizierungsaudit?Das interne Audit führen Sie selbst durch, mit einem Auditor Ihrer Wahl, und die Feststellungen bleiben bei Ihnen. Das Zertifizierungsaudit liegt bei einer akkreditierten Zertifizierungsstelle, und deren Feststellungen entscheiden, ob Sie das Zertifikat bekommen und behalten.
- Ist es für die Zertifizierung Pflicht?Ja. Abschnitt 9.2 schreibt es vor, und vor Stage 2 prüft die Zertifizierungsstelle, dass ein vollständiges internes Audit des gesamten ISMS stattgefunden hat.
- Wie oft brauchen wir eines?In der Praxis einmal im Jahr, sechs bis zehn Wochen vor jedem Zertifizierungsaudit, Überwachungsaudit oder jeder Rezertifizierung. Die Norm verlangt nur regelmäßige Audits nach einem selbst festgelegten Plan und überlässt den Rhythmus Ihrem Auditprogramm.
- Wie ist das interne Audit aufgebaut, und was erwartet uns?Vier Schritte über zwei bis drei Wochen: Planung von Scope und Terminen, Interviews und Prüfung der Nachweise, ein Abschlussgespräch zu den vorläufigen Feststellungen, dann der Bericht mit einem Maßnahmenplan. Rechnen Sie mit einer Handvoll Findings.
- Welche Dokumente sollte es uns hinterlassen?Fünf: das Auditprogramm, der Auditplan, der Auditbericht, ein Korrekturmaßnahmen-Tracker und ein Nachweis über Kompetenz und Unparteilichkeit des Auditors.
- Ist das interne Audit dasselbe wie die Managementbewertung?Nein. Das interne Audit (Abschnitt 9.2) prüft, ob das ISMS funktioniert, und liefert Feststellungen. In der Managementbewertung (Abschnitt 9.3) entscheidet die oberste Leitung auf Grundlage dieser Ergebnisse und weiterer Informationen, was sich ändert. Vor jedem externen Audit brauchen Sie beides.
- Kann unsere Zertifizierungsstelle es durchführen?Nein. Nach den Akkreditierungsregeln für Zertifizierungsstellen (ISO/IEC 17021-1 und ISO/IEC 27006-1) darf die Stelle, die Ihr ISMS zertifiziert, nicht zugleich Ihr internes Audit übernehmen. Es muss von eigenen geschulten Mitarbeitenden oder von einer unabhängigen Firma kommen.
Vor dem Audit
Für Teams auf dem Weg zur ersten Zertifizierung, die Zeitpunkt und Vorbereitung planen.
- Woran erkennen wir, dass wir für das erste interne Audit bereit sind?Wenn Scope, Risikobeurteilung, Risikobehandlungsplan, Statement of Applicability und Richtlinien freigegeben sind und die Maßnahmen schon einige Wochen laufen, sodass es Aufzeichnungen zum Prüfen gibt.
- Wie bereiten wir uns darauf vor?Beheben Sie bekannte Probleme, schicken Sie dem Auditor eine Woche vorher die zentralen Dokumente und Systemzugänge, planen Sie mit jedem Control Owner 30 bis 60 Minuten ein, klären Sie, wo Ihre Nachweise liegen, und ändern Sie nichts an bestehenden Aufzeichnungen.
- Können wir es durchführen, bevor alle Maßnahmen umgesetzt sind?Ja. Fehlende Maßnahmen tauchen als Feststellungen auf, und genau das ist nützlich. Vor Stage 2 muss trotzdem das gesamte ISMS auditiert und jede Lücke geschlossen sein, planen Sie also ein kurzes Nachaudit für die Nachzügler ein.
- Muss es vor Stage 1 oder vor Stage 2 stattfinden?Am besten findet es vor Stage 1 statt. Der Stage-1-Auditor prüft, ob ein internes Audit und eine Managementbewertung geplant und durchgeführt wurden, und beides muss vor Stage 2 abgeschlossen sein. Manche Zertifizierungsstellen akzeptieren das Audit auch zwischen den beiden Stufen, dann bleibt aber wenig Zeit, die Feststellungen zu schließen.
- Muss unser erstes internes Audit die ganze Norm abdecken, oder geht es in Etappen?Vor der Zertifizierung muss es alles abdecken: die Abschnitte 4 bis 10 und jede anwendbare Maßnahme aus Anhang A. Die Arbeit lässt sich auf mehrere Termine verteilen, solange alle vor Stage 2 abgeschlossen sind.
- Welche Dokumente braucht der Auditor von uns vor dem Start?Die Scope-Beschreibung, das Statement of Applicability, Risikobeurteilung und Risikobehandlungsplan, freigegebene Richtlinien und Verfahren, Feststellungen aus früheren Audits, Lesezugriff auf die Systeme mit den Nachweisen und eine Liste der Control Owner mit Interviewterminen.
- Wenn ein externer Auditor es durchführt, schreiben wir Auditprogramm und Auditverfahren trotzdem selbst?Ja. Auditprogramm und Verfahrensbeschreibung für interne Audits gehören zu Ihrem ISMS, deshalb liegen sie bei Ihnen. Der externe Auditor schreibt den Auditplan und den Bericht für die Prüfung, die er übernimmt.
- Unser Zertifizierungsaudit ist in sechs Wochen, und das interne Audit fehlt noch. Ist es zu spät?Nein, aber der Zeitplan ist eng: Audit in den ersten zwei Wochen, Bericht und Managementbewertung in Woche drei dann rund drei Wochen, um die schwerwiegenden Abweichungen zu schließen. Lassen sich mehrere davon nicht rechtzeitig beheben, verschieben Sie den Zertifizierungstermin.
Wer das Audit durchführt
Für die Entscheidung, wer es übernimmt: jemand aus dem eigenen Team, ein Berater oder ein externer Auditor.
- Wer in unserem Unternehmen darf interner Auditor sein?Jede Person, die die Norm kennt, das Auditieren beherrscht und gegenüber dem geprüften Bereich unparteiisch ist: sie hat die Maßnahmen, die sie prüft, weder aufgebaut noch betrieben noch verantwortet.
- Braucht der Auditor ein Zertifikat oder eine Qualifikation?Die Norm verlangt keinen bestimmten Abschluss, aber Sie müssen die Kompetenz des Auditors nachweisen. Üblicherweise geschieht das mit dem Zertifikat eines Kurses für interne ISO-27001-Auditoren oder Lead-Auditoren.
- Muss der Auditor technisch versiert sein?Technisches Verständnis hilft, wichtiger sind aber die Auditmethode und die Kenntnis der Norm. Für tiefe technische Themen wie die Cloud-Konfiguration kann der Auditor einen Fachexperten hinzuziehen.
- Darf der Berater, der unser ISMS aufgebaut hat, auch das interne Audit durchführen?Nein. Abschnitt 9.2 verlangt einen unparteiischen Auditor, und wer Ihr ISMS aufgebaut hat, würde seine eigene Arbeit prüfen. Die Zertifizierungsstelle hält das als Abweichung fest.
- Reicht eine Checkliste, um das Audit selbst durchzuführen?Nein. Eine Checkliste zeigt, dass Dokumente vorhanden sind. Ein Audit muss zusätzlich nachweisen, dass die Maßnahmen funktionieren, und dafür braucht es Stichproben aus den Aufzeichnungen und Interviews.
Während des Audits
Wie die Audittage für Ihr Team aussehen und worauf der Auditor schaut.
- Wie lange dauert das interne Audit, und wie viel Zeit kostet es unser Team?Bei 20 bis 50 Personen an einem Standort mit Cloud-Infrastruktur: zwei bis drei Audittage Feldarbeit über ein bis zwei Wochen, dazu der Bericht. Ihr ISMS-Verantwortlicher ist bei den meisten Terminen dabei, und sechs bis zehn Control Owner geben je 30 bis 60 Minuten.
- Wer wird interviewt, und sollten wir unsere Leute darauf vorbereiten?Der Control Owner jeder Maßnahme sowie einige am Audittag ausgewählte Mitarbeitende, etwa ein Engineer oder jemand, der gerade neu angefangen hat. Erklären Sie Ihrem Team, wozu das Audit dient und dass Feststellungen normal sind, und verzichten Sie darauf, Antworten einzustudieren.
- Was zählt als Nachweis?Aufzeichnungen, die ein Prozess während seines Ablaufs erzeugt, etwa genehmigte Tickets, datierte Berechtigungsprüfungen, Schulungsprotokolle, Wiederherstellungstests und unterschriebene Risikoakzeptanzen. Eine Richtlinie zeigt nur, was passieren sollte.
- Was sind die häufigsten Feststellungen im ersten internen Audit?Ein Risikobehandlungsplan, der nicht zur Risikobeurteilung passt, ausgelassene Berechtigungsprüfungen, Backups ohne getestete Wiederherstellung, wichtige Lieferanten ohne Bewertung und kein Nachweis einer Managementbewertung.
Nach dem Audit
Berichte, Feststellungen und was die Zertifizierungsstelle damit anfängt.
- Was muss der Bericht enthalten, damit die Zertifizierungsstelle ihn akzeptiert?Scope und Prüfmaßstab, wer wann auditiert hat, die angewandten Methoden und Stichproben, jede Feststellung mit Anforderung, Nachweis und Einstufung, was ohne Beanstandung blieb, sowie die Korrekturmaßnahmen mit Verantwortlichen und Terminen.
- Wie schließen wir Feststellungen so, dass sie beim nächsten externen Audit Bestand haben?Für jede Feststellung: das akute Problem beheben, die Ursache finden, den Auslöser ändern und nach der Änderung eine Aufzeichnung sichern, die die Wirkung zeigt. Alle vier Schritte gehören mit Verantwortlichem und Terminen in einen Korrekturmaßnahmen-Tracker.
- Dürfen wir den Bericht an Kunden oder Investoren weitergeben?Ja, die Norm steht dem nicht entgegen. Meist genügt eine einseitige Zusammenfassung mit Auditdatum, Scope und den Feststellungen nach Einstufung und Status; den vollständigen Bericht geben Sie nur unter NDA und zusammen mit dem Stand der Korrekturmaßnahmen heraus.
- Was kostet ein internes Audit?Bei 20 bis 50 Personen an einem Standort rechnen Sie mit zwei bis drei Auditorentagen Feldarbeit plus Bericht. Den Preis bestimmen vor allem die Mitarbeiterzahl, die Anzahl der Standorte, eigene Server im Haus und die Frage, ob remote oder vor Ort auditiert wird.
Überwachung und Rezertifizierung
Für zertifizierte Unternehmen im 2. und 3. Jahr des Zertifikatszyklus.
- Brauchen wir vor jedem Überwachungsaudit ein internes Audit?Ja. Der Überwachungsauditor erwartet ein internes Audit seit seinem letzten Besuch, meist sechs bis zehn Wochen vor dem Überwachungstermin, mit dokumentierten und bearbeiteten Feststellungen.
- Muss es im Überwachungsjahr die ganze Norm abdecken?Nein. Nach der Zertifizierung kann das Auditprogramm die Maßnahmen aus Anhang A über den dreijährigen Zyklus verteilen, gewichtet nach Risiko und jüngsten Änderungen. Bis zur Rezertifizierung muss jeder Abschnitt und jede anwendbare Maßnahme mindestens einmal auditiert worden sein.
- Brauchen wir eines im Rezertifizierungsjahr, und ist es anders?Ja. Die meisten Unternehmen machen daraus ein Audit des gesamten ISMS, weil das Rezertifizierungsaudit das ganze System betrachtet und nachsieht, ob das Programm im Lauf des Zyklus jede Maßnahme erfasst hat.
- Ist das Überwachungsaudit dasselbe wie das interne Audit, oder brauchen wir beides?Sie brauchen beides. Das Überwachungsaudit ist der jährliche Besuch der Zertifizierungsstelle, der Ihr Zertifikat gültig hält; das interne Audit ist Ihre eigene Prüfung vorher, die der Überwachungsauditor dann sichtet.
- Wir sind zertifiziert und haben das interne Audit dieses Jahr ausgelassen. Was passiert beim Überwachungsaudit?Der Auditor stellt eine Abweichung von Abschnitt 9.2 fest: meist geringfügig, wenn das Audit verspätet, aber geplant ist, schwerwiegend, wenn das Auditprogramm ganz zum Erliegen gekommen ist. Abhilfe schafft ein kurzes internes Audit vor dem Überwachungstermin, selbst zwei Wochen vorher.
- Was ändert sich beim zweiten Mal?Der Scope wird enger: die Teile, die das Programm für dieses Jahr vorsieht, dazu alles, was sich geändert hat, und die Feststellungen des Vorjahres. Die Methode bleibt gleich, und beide Auditoren vergleichen die aktuellen Ergebnisse mit den vorherigen.
- Brauchen wir nach einer größeren Änderung ein internes Audit?Nein, die Norm schreibt keines vor. Sie erwartet, dass Sie Änderungen planen (Abschnitt 6.3), kontrolliert umsetzen (Abschnitt 8.1) und in der Managementbewertung behandeln (Abschnitt 9.3); ein zusätzliches oder vorgezogenes Audit des betroffenen Bereichs lohnt sich nach tiefgreifenden Umstellungen wie einem neuen Cloud-Anbieter oder einer Übernahme trotzdem.
Wenn lieber ein Auditor übernehmen soll
- ISO 27001 Internal Audit
- Durchgeführt von aktiven Auditoren
- Feststellungen in 5 Werktagen
- Inklusive Maßnahmenplan
Keine passende Antwort gefunden?
Fragen Sie uns direkt. Wir antworten per E-Mail.