Für ein Unternehmen mit 20 bis 50 Mitarbeitenden, einem Büro und Infrastruktur in der Cloud sollten Sie zwei bis drei Tage Feldarbeit des Auditors einplanen, verteilt auf ein bis zwei Wochen. Der Bericht braucht noch einige Tage; bei uns kommt er innerhalb von 5 Werktagen nach dem Abschlussgespräch.
Auf Ihrer Seite verteilt sich der Aufwand so:
- ISMS-Verantwortlicher: bei den meisten Feldarbeitsterminen dabei, also etwa zwei bis drei Tage, plus einige Stunden Vorbereitung.
- Control Owner: je ein Interview von 30 bis 60 Minuten. Typisch sind sechs bis zehn Personen, zum Beispiel der CTO, die IT- oder DevOps-Leitung, HR, die für Lieferanten zuständige Person und ein oder zwei Engineers.
- Alle anderen: Einzelne bekommen am Audittag vielleicht eine kurze Frage gestellt, etwa wie sie einen verlorenen Laptop melden würden.
Die Dauer steigt mit mehr Personen im Scope, mehreren Standorten, eigenen Servern oder Hardware vor Ort oder vielen Dienstleistern, die Daten verarbeiten. Ein Unternehmen mit 150 Mitarbeitenden und zwei Büros braucht unter Umständen vier bis sechs Tage Feldarbeit.
Am meisten spart die Vorbereitung. Liegen Dokumente und Systemzugänge eine Woche vorher beim Auditor, verkürzt sich die Feldarbeit oft um einen ganzen Tag.