Ja. Der Bericht gehört Ihnen, und ISO 27001 schränkt seine Weitergabe in keiner Weise ein.
Klären Sie zuerst, was Ihr Gegenüber tatsächlich braucht. Das Sicherheitsteam eines Kunden, das eine Due-Diligence-Prüfung durchführt, will drei Dinge wissen: dass Ihr ISMS auditiert wird, dass Feststellungen bearbeitet werden und dass nichts Gravierendes offen ist. Eine einseitige Zusammenfassung deckt das ab: Datum des Audits und Name des Auditors, der Scope, die Zahl der Feststellungen je Einstufung und der Status jeder einzelnen.
Der vollständige Bericht ist eine detaillierte Aufstellung Ihrer Schwachstellen, mit Nachweisen, Systemnamen und manchmal den Namen von Mitarbeitenden. Besteht ein Kunde darauf, geben Sie ihn unter NDA heraus und legen den Korrekturmaßnahmen-Tracker bei, damit jede Feststellung zusammen mit ihrer Behebung gelesen wird. Manche Unternehmen zeigen ihn nur in einer Bildschirmfreigabe und verschicken die Datei nie.
Investoren brauchen meist weniger. Oft reicht ein Satz im Datenraum, der das Audit und sein Datum bestätigt und festhält, dass keine schwerwiegenden Abweichungen offen sind.
Sobald Sie zertifiziert sind, beantworten das Zertifikat und seine Scope-Beschreibung die meisten dieser Anfragen, und nach dem Bericht des internen Audits fragt kaum noch jemand.