ISO 27001 nennt keine Zahl. Abschnitt 9.2 verlangt regelmäßige interne Audits und überlässt die Häufigkeit Ihrem Auditprogramm. In der Praxis auditiert fast jedes zertifizierte Unternehmen einmal im Jahr, weil die Zertifizierungsstelle im selben Rhythmus kommt.
Das Zertifikat folgt einem Dreijahreszyklus: das Zertifizierungsaudit im 1. Jahr, je ein Überwachungsaudit im 2. und 3. Jahr, dann die Rezertifizierung. Zu jedem externen Termin wird ein internes Audit erwartet, das seit dem vorherigen Besuch stattgefunden hat. Sechs bis zehn Wochen vor dem Besuch der Zertifizierungsstelle haben sich bewährt: Die Nachweise sind aktuell, und dazwischen bleibt Zeit, Feststellungen zu schließen und die Managementbewertung abzuhalten.
Nach dem ersten Jahr muss nicht jedes Audit alles abdecken. Ihr Programm kann die Norm auf die drei Jahre verteilen, zum Beispiel jedes Jahr alle Abschnitte plus jeweils ein Drittel der Maßnahmen aus Anhang A. Bis zum Ende des Zyklus muss jede davon, sofern anwendbar, mindestens einmal geprüft worden sein.
Manche Ereignisse rechtfertigen ein zusätzliches Audit außerhalb des Jahresrhythmus: der Wechsel zu einem neuen Cloud-Anbieter, eine Übernahme, ein neues Produkt, das personenbezogene Daten verarbeitet, oder ein schwerer Sicherheitsvorfall. In solchen Fällen reicht ein kurzes Audit des geänderten Bereichs.