Sie sind bereit, sobald das ISMS dokumentiert ist und im Alltag erste Spuren hinterlässt.
Auf dem Papier sollten vier Dinge fertig und freigegeben sein: die Scope-Beschreibung, die Risikobeurteilung mit dem Risikobehandlungsplan, das Statement of Applicability (SoA) sowie die Richtlinien und Verfahren. Alles andere baut auf diesen Dokumenten auf. Ist die Risikobeurteilung noch ein Entwurf, fehlt dem Auditor die Grundlage, an der er die Maßnahmen messen kann.
Im Betrieb müssen die Maßnahmen lange genug gelaufen sein, um Aufzeichnungen zu erzeugen. Einige Wochen sind das Minimum, besser zwei bis drei Monate. Eine einmal durchgeführte Berechtigungsprüfung, drei Onboarding-Tickets mit abgeschlossener Sicherheitsschulung, ein Wiederherstellungstest des Backups mit Ergebnis, eine Lieferantenbewertung für Ihren Cloud-Anbieter: Aus solchen Unterlagen zieht ein Auditor seine Stichproben. Ein System, das vor zwei Wochen eingerichtet wurde, bietet dafür kaum Material, und das Audit wird zur reinen Dokumentenprüfung.
Auch Zertifizierungsstellen erwarten, dass das ISMS vor Stage 2 lange genug gelaufen ist, um Nachweise zu hinterlassen, und drei Monate gelten als übliche Faustregel. Das interne Audit und die Managementbewertung müssen beide in dieses Zeitfenster passen. Ein Unternehmen, das seine Dokumentation im Januar fertigstellt, könnte im März auditieren, im April die Managementbewertung abhalten und im Mai in Stage 1 gehen.
Wenn Sie unsicher sind, zeigt eine Gap Analysis vor dem internen Audit, was noch fehlt, ohne formale Feststellungen zu erzeugen.