Ja, und für viele Unternehmen ist das sogar die sinnvollere Reihenfolge. Ein Audit, das stattfindet, während einige Maßnahmen noch im Aufbau sind, zeigt, welche Lücken am meisten zählen, solange noch genug Zeit bleibt, sie zu schließen.
Fehlende oder halb fertige Maßnahmen werden zu Feststellungen. Ist die Richtlinie zur Lieferantensicherheit freigegeben, aber noch kein Lieferant bewertet, hält der Bericht das fest, und die Behebung kommt in den Korrekturmaßnahmen-Tracker.
Dabei gelten zwei Bedingungen. Vor der Zertifizierung muss das Auditprogramm das gesamte ISMS abdecken: die Abschnitte 4 bis 10 und jede Maßnahme aus Anhang A, die in Ihrem Statement of Applicability (SoA) steht. Der Zertifizierungsauditor will außerdem sehen, dass die Lücken vor Stage 2 geschlossen wurden.
Bewährt hat sich, das Hauptaudit durchzuführen, sobald der Kern des ISMS steht und die übrigen Maßnahmen feste Termine haben. Wenige Wochen vor Stage 2 folgt dann ein kurzes Nachaudit genau dieser Nachzügler. Ein Beispiel: Ein Unternehmen, bei dem alles außer den Tests der Notfallplanung steht, nimmt im März das gesamte ISMS ins Audit, führt im April den ersten Notfalltest durch und lässt diesen einen Punkt im Mai auditieren.
Schlecht funktioniert ein einziges frühes Audit eines unfertigen Systems ohne Nachaudit. Der Zertifizierungsauditor sieht dann einen Bericht voller Lücken und kein Anzeichen dafür, dass jemand sie noch einmal geprüft hat.