Nein. Internes Audit und Managementbewertung sind zwei getrennte Anforderungen, und Zertifizierungsstellen prüfen jede für sich.
Das interne Audit nach Abschnitt 9.2 ist eine Prüfung durch einen unparteiischen Auditor, und sein Ergebnis ist ein Bericht mit Feststellungen. Die Managementbewertung nach Abschnitt 9.3 ist eine Sitzung der obersten Leitung, in einem kleinen Unternehmen oft CEO, CTO und ISMS-Verantwortliche. Heraus kommen Entscheidungen: neue Ressourcen, geänderte Ziele, Risiken, die akzeptiert oder anders behandelt werden.
Beides hängt zusammen. Die Auditfeststellungen gehören zu den Themen, die nach Abschnitt 9.3 in die Bewertung einfließen sollen, neben dem Stand Ihrer Risiken, dem, was Ihre Sicherheitskennzahlen zeigen, wiederkehrenden Problemen und ihrer Behebung, Veränderungen im und um das Unternehmen und dem Fortschritt früherer Entscheidungen. Die natürliche Reihenfolge ist erst das Audit, dann die Managementbewertung. Ein Unternehmen, das im April auditiert und im Mai die Leitung zusammenruft, kann dort jede Feststellung besprechen und festhalten, was entschieden wurde.
Eine häufige Feststellung in Stage 1 ist eine Managementbewertung, deren Protokoll das interne Audit nie erwähnt. Listet es dagegen jede Feststellung mit ihrer Entscheidung auf, zum Beispiel „Feststellungen zur Berechtigungsprüfung: Budget für ein Tool zum Berechtigungsmanagement freigegeben, verantwortlich CTO, fällig Q3“, sieht der Auditor, dass die beiden Anforderungen ineinandergreifen.