Für ein kleines oder mittelständisches Unternehmen dauert ein internes ISO-27001-Audit vom Kick-off bis zum Bericht zwei bis drei Wochen und läuft in vier Schritten ab.
- Planung. Der Auditor stimmt Scope, Prüfmaßstab und Zeitplan mit Ihrem ISMS-Verantwortlichen ab und liest vorab die Kerndokumente: Scope-Beschreibung, Risikobeurteilung, Statement of Applicability (SoA), Richtlinien.
- Feldarbeit. An einem oder mehreren Tagen interviewt der Auditor die Control Owner und prüft Nachweise in Ihren Systemen, remote per Bildschirmfreigabe oder vor Ort. Für das Berechtigungsmanagement nimmt er zum Beispiel fünf neue und fünf ausgeschiedene Mitarbeitende aus dem HR-Tool und gleicht jeden Fall mit dem Identity Provider ab.
- Abschlussgespräch. Hier stellt der Auditor die vorläufigen Feststellungen vor. Sie können Missverständnisse korrigieren und auf übersehene Nachweise hinweisen, damit der Bericht keine Überraschungen enthält.
- Bericht und Maßnahmenplan. Jede Feststellung wird der Anforderung gegenübergestellt, die nicht erfüllt ist, samt Nachweis und Einstufung. Der Maßnahmenplan hält fest, was zu beheben ist, wer verantwortlich ist und bis wann.
Ein erstes internes Audit bringt meist eine Handvoll geringfügiger Abweichungen und Hinweise hervor, und genau darum geht es. Ein Bericht ganz ohne Feststellungen wirft in Stage 1 eher Fragen auf, weil er vermuten lässt, dass der Auditor zu wenige Stichproben genommen hat.