Vor der Erstzertifizierung erwarten Zertifizierungsstellen, dass das interne Audit das gesamte ISMS abgedeckt hat: jede Anforderung der Abschnitte 4 bis 10 und jede Maßnahme aus Anhang A, die im Statement of Applicability (SoA) als anwendbar markiert ist. Die Norm selbst überlässt den Umfang Ihrem Auditprogramm. Die Erwartung, dass alles geprüft wird, kommt von der Zertifizierungsstelle, die Nachweise dafür sehen muss, dass das ganze System funktioniert, bevor sie ein Zertifikat ausstellt.
Wie Sie diese Arbeit aufteilen, entscheiden Sie selbst. Mehrere Termine über einige Wochen sind in Ordnung, solange das Auditprogramm zeigt, dass sie zusammen den vollen Umfang ergeben und alle vor Stage 2 enden. Ein Softwareunternehmen mit 40 Beschäftigten könnte in Woche eins die Managementabschnitte und die Personalmaßnahmen auditieren, in Woche zwei IT-Betrieb und Zugriffe, in Woche drei Entwicklung und Lieferanten, mit einem gemeinsamen Bericht am Ende.
Teilaudits werden erst nach der Zertifizierung möglich. Ab dann kann das Programm die Maßnahmen aus Anhang A über den dreijährigen Zyklus verteilen, solange jede bis zur Rezertifizierung einmal auditiert wurde.
Der Zertifizierungsauditor prüft das in Stage 1, indem er den internen Auditbericht mit dem SoA vergleicht. Eine als anwendbar markierte Maßnahme, die im Audit nirgends vorkommt, ist eine Lücke, die er festhält.