ISO 27001 Internal Audit

Innerhalb von fünf Werktagen erhalten Sie einen Auditbericht, der jede Feststellung als Hauptabweichung, Nebenabweichung oder Beobachtung einstuft. Zu jeder Feststellung erklärt er die Ursache und wie sie sich beheben lässt, damit Sie wissen, wie schwer sie wiegt und was zu tun ist. Ein Korrekturmaßnahmen-Tracker gibt jeder Maßnahme einen Verantwortlichen und eine Frist, und eine einseitige Zusammenfassung zeigt Ihrer Geschäftsführung, wo Sie stehen. In einem Debriefing gehen wir die Feststellungen mit Ihrem Team durch. Außerdem erhalten Sie den Auditplan und die Qualifikationsnachweise des Lead Auditors, die Ihre Zertifizierungsstelle als Beleg dafür anfordern wird, dass das Audit ordnungsgemäß und unabhängig durchgeführt wurde.

Ja. Abschnitt 9.2 verlangt interne Audits in geplanten Abständen, und Ihre Zertifizierungsstelle prüft vor dem Zertifizierungsaudit (Stage 2), ob eines stattgefunden hat. Kein internes Audit, kein Zertifikat. Das gilt für Ihre Erstzertifizierung und für jedes Überwachungsaudit und jede Rezertifizierung danach.

6 bis 10 Wochen vor jedem externen Audit: Zertifizierung, Überwachungsaudit oder Rezertifizierung. So bleibt genug Zeit, die Feststellungen zu schließen und die Nachweise trotzdem bereitzuhaben. Zusätzliche Audits lohnen sich nach wesentlichen Änderungen oder Vorfällen.

Mindestens einmal im Jahr. ISO 27001 verlangt interne Audits „in geplanten Abständen“, und Ihre Zertifizierungsstelle erwartet vor jedem Überwachungsaudit ein aktuelles. Nicht jedes Audit muss alles abdecken, aber über den dreijährigen Zertifizierungszyklus müssen sie zusammen jede Anforderung und jede Sicherheitsmaßnahme abdecken, die für Sie gilt (Anhang A). Ihr Auditprogramm ist der Plan, der zeigt, wie. Falls Sie noch keines haben, schreiben wir es mit Ihnen.

Das interne Audit ist Ihr eigener Test, ob Ihr Sicherheits-Setup funktioniert, in Ihrem Zeitplan, mit Feststellungen, die Sie selbst beheben. Das externe Audit ist die Entscheidung Ihrer Zertifizierungsstelle, ob Sie den Standard erfüllen, in deren Zeitplan, mit Feststellungen in dem Bericht, der über Ihr Zertifikat entscheidet.

Nein. Das interne Audit (Abschnitt 9.2) prüft, ob Ihr Sicherheits-Setup funktioniert. In der Managementbewertung (Abschnitt 9.3) sieht sich die Führung die Ergebnisse an, auch die Feststellungen aus dem Audit, und entscheidet, was sich ändert. Das Audit fließt in die Managementbewertung ein, und vor jedem externen Audit brauchen Sie beides.

Ja, wenn der Auditor objektiv und unparteiisch ist, wie es Abschnitt 9.2 verlangt. Er darf die Sicherheitsmaßnahmen, die er prüft, nicht selbst entworfen, umgesetzt oder betrieben haben. Größere Organisationen mit eigener Compliance- oder Auditfunktion können das intern abdecken. Kleinere können es selten, und wenn dasselbe Team das Sicherheits-Setup aufbaut und auditiert, sind wohlwollende Feststellungen, vertraute blinde Flecken und Bestätigungsfehler das Ergebnis.

Nein. Die Akkreditierungsregeln (ISO/IEC 17021-1) verbieten einer Zertifizierungsstelle, interne Audits für die Unternehmen durchzuführen, die sie zertifiziert. Das interne Audit muss von Ihnen selbst oder von einem unabhängigen Dritten kommen. Genau dafür sind wir da.

Feststellungen werden nach Schweregrad eingestuft: Beobachtungen (Verbesserungspotenzial), Nebenabweichungen (Minor) und Hauptabweichungen (Major). Nebenabweichungen schließen typischerweise innerhalb von 30 bis 90 Tagen. Hauptabweichungen müssen vor Ihrem nächsten externen Audit behoben werden, aber eine Hauptabweichung heißt nicht „nicht lösbar“. Richtig behandelt werden selbst Hauptabweichungen zum Nachweis, dass Ihr Sicherheits-Setup funktioniert.

Ja. Der Bericht des internen Audits und die Korrekturmaßnahmen gehören zu dem, was Ihre Zertifizierungsstelle prüft. Feststellungen sind keine Warnsignale. Was Auditoren nicht sehen wollen, ist ein Audit, das nie etwas findet, oder Feststellungen, die nie geschlossen werden.

Nein. Plattformen wie Vanta, Drata oder Scytale sind hervorragend darin, Nachweise zu sammeln und Ihr Sicherheits-Setup zu überwachen, aber Abschnitt 9.2 verlangt ein unabhängiges Audit durch einen qualifizierten Auditor, keinen Dashboard-Check.

Ja. ISO 42001 und ISO 9001 haben dieselbe Anforderung an das interne Audit wie ISO 27001.