Nein. Sobald Sie zertifiziert sind, kann Ihr Auditprogramm die Norm auf die drei Jahre des Zertifikatszyklus aufteilen.
Bei kleinen Unternehmen sieht das häufig so aus:
- Jedes Jahr: die Abschnitte 4 bis 10, also die Anforderungen an das Managementsystem wie Risikobeurteilung, Ziele, internes Audit und Managementbewertung.
- Im Wechsel: jeweils ein Drittel der anwendbaren Maßnahmen aus Anhang A, zum Beispiel die organisatorischen im einen Jahr, die technologischen im nächsten und die personellen und physischen im dritten.
Gute Programme passen die Verteilung an Risiko und Veränderungen an. Ein Unternehmen, das in diesem Jahr zu einem neuen Cloud-Anbieter gewechselt ist, sollte seine Cloud- und Zugriffsmaßnahmen noch im selben Jahr auditieren, gleich was der ursprüngliche Plan vorsah. Die Feststellungen aus dem letzten Audit gehören in jedes Audit, um zu bestätigen, dass sie geschlossen geblieben sind.
Bis zur Rezertifizierung muss jeder Abschnitt und jede anwendbare Maßnahme mindestens einmal auditiert worden sein. Der Überwachungsauditor liest dazu das Auditprogramm, um zu prüfen, ob die Rechnung aufgeht. Halten Sie die Aufteilung deshalb dort schriftlich fest.