Nein. Abschnitt 9.2 verlangt regelmäßige interne Audits nach einem Zeitplan, den Sie selbst festlegen. Ihr Auditprogramm richtet sich danach, welche Prozesse besonders zählen und was bei früheren Audits herauskam. Eine Veränderung im Unternehmen löst für sich genommen kein zusätzliches Audit aus.
Für Änderungen sind andere Abschnitte zuständig. Abschnitt 6.3 sieht vor, dass Anpassungen am ISMS geplant werden; nach Abschnitt 8.1 führen Sie Neuerungen im Betrieb kontrolliert ein und prüfen bei ungewollten Änderungen, was sie bewirkt haben. Abschnitt 9.3 schließlich setzt Entwicklungen innerhalb und außerhalb des Unternehmens auf die Tagesordnung der Managementbewertung.
Ein zusätzliches Audit lohnt sich trotzdem oft. Typische Anlässe:
- ein Wechsel zu einem neuen Cloud-Anbieter oder ein tiefgreifender Umbau der Infrastruktur
- eine Übernahme oder Fusion, die weitere Mitarbeitende und Systeme in den Scope bringt
- ein zusätzliches Büro oder ein weiterer Standort
- ein neues Produkt, das personenbezogene Daten oder Kundendaten verarbeitet
- ein schwerer Sicherheitsvorfall
In diesen Fällen zeigt ein kurzes Audit des betroffenen Bereichs frühzeitig, ob die Maßnahmen noch greifen; alternativ ziehen Sie das nächste geplante Audit vor. Nach einer Migration von eigenen Servern zu AWS würde der Auditor zum Beispiel Berechtigungsmanagement, Logging, Backups und die Lieferantenbewertung für den neuen Anbieter prüfen. Halten Sie die Entscheidung im Auditprogramm fest, damit der Überwachungsauditor nachvollziehen kann, warum sich der Zeitplan geändert hat.
Ihre Zertifizierungsstelle ist ein eigenes Thema. Die meisten Zertifizierungsverträge verpflichten Sie, die Stelle über wesentliche Änderungen zu informieren, etwa einen geänderten Scope, einen neuen Standort oder einen Wechsel der Eigentümer. Sie kann daraufhin ein kurzes Audit ansetzen, das Ihr internes nicht ersetzt.