Nein. Zertifizierungsstellen arbeiten nach ISO/IEC 17021-1, und diese Norm sieht es als Gefahr für die Unparteilichkeit, wenn eine Stelle interne Audits für Unternehmen durchführt, die sie selbst zertifiziert: Wer Ihre internen Audits gemacht hat, darf dieses ISMS danach mindestens zwei Jahre lang nicht zertifizieren. Die ISMS-spezifischen Regeln in ISO/IEC 27006-1 gehen weiter und verlangen, ohne zeitliche Grenze, dass die Zertifizierungsstelle vom Anbieter Ihres internen ISMS-Audits unabhängig ist. Beim Zertifizierungsaudit würde sie sonst Arbeit beurteilen, die sie selbst erledigt hat.
Ihr Zertifizierungsauditor kann Ihnen sagen, dass das interne Audit fehlt oder zu dünn ist, und das als Feststellung aufnehmen. Die Lücke für Sie schließen darf er nicht.
Damit bleiben zwei Möglichkeiten. Die eine ist eine geschulte und unparteiische Person aus dem eigenen Unternehmen, also jemand außerhalb des ISMS-Teams, der die Maßnahmen weder aufgebaut noch betrieben hat. Die andere ist ein unabhängiger Auditor einer externen Firma.
Bei der Suche nach einer externen Firma lohnt es sich, Auditoren zu wählen, die auch im Auftrag von Zertifizierungsstellen prüfen. Sie wissen, welche Nachweise ein Stage-2-Auditor verlangt und wo Unternehmen meist Schwächen haben, sodass das interne Audit dasselbe testet wie später das Zertifizierungsaudit. Die einzige Einschränkung ist, dass die Person, die Ihr internes Audit durchführt, bei Ihrer Zertifizierung nicht zugleich im Team der Zertifizierungsstelle sein darf.