ISO 27001 Audit

Q: Was ist ein ISO-27001-Audit?

Ein ISO-27001-Audit ist die Prüfung eines Informationssicherheitsmanagementsystems anhand der Anforderungen aus ISO/IEC 27001. Dabei bewertet der Auditor, ob Regeln, Verantwortlichkeiten und Nachweise zusammenpassen und das ISMS im Betrieb belastbar funktioniert.

Q: Wann ist eine Re-Zertifizierung nach ISO 27001 nötig?

Die Re-Zertifizierung wird vor Ablauf des dreijährigen Zertifikats durchgeführt. Nach den jährlichen Überwachungsaudits ist sie der nächste große Schritt, um die Gültigkeit des Zertifikats für einen neuen Zyklus zu sichern.

Q: Was ist der Unterschied zwischen ISO-27001-Audit und ISMS-Audit?

Ein ISMS-Audit beschreibt allgemein die Prüfung eines Managementsystems für Informationssicherheitsmanagement. Das ISO-27001-Audit ist die konkrete Prüfung nach ISO/IEC 27001 und bildet die Grundlage für die ISO-Zertifizierung.

Das ISO-27001-Audit bewertet die tatsächliche Widerstandsfähigkeit der unternehmensweiten Sicherheitsstrukturen und -prozesse. Als interne oder externe Prüfung zeigt es, ob das ISMS im Alltag wirksam funktioniert und Informationssicherheit nachvollziehbar gesteuert wird.

ISO 27001 Audit – Auf einen Blick

Was wird in einem ISO-27001-Audit geprüft?

Geprüft wird, ob das ISMS die ISO-27001-Anforderungen erfüllt und Informationssicherheit im Unternehmen wirksam umgesetzt wird.

Wer führt ein ISO-27001-Audit durch?

Interne Audits übernehmen geschulte interne Auditoren oder externe Berater, während das Zertifizierungsaudit durch eine unabhängige Zertifizierungsstelle erfolgt.

Wie läuft ein ISO-27001-Audit ab?

Der Ablauf umfasst Vorbereitung, Durchführung und Nachbereitung mit Auditplan, Prüfung von Evidenzen, Auditbericht und Korrekturmaßnahmen.

Wie lange ist ein ISO-27001-Zertifikat gültig?

Die Gültigkeit eines ISO-27001-Zertifikats beträgt in der Regel drei Jahre und wird durch jährliche Überwachungsaudits sowie eine anschließende Re-Zertifizierung abgesichert.

Ziel und Zweck eines ISO-27001-Audits

Ein ISO-27001-Audit ist die systematische Prüfung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO/IEC 27001. Es zeigt, ob das ISMS die Anforderungen der Norm erfüllt und im Unternehmen wirksam angewendet wird.

Im Audit zählen belastbare Evidenzen. Der Auditor sichtet dafür Richtlinien und Protokolle, prüft Schulungsnachweise oder Systemauszüge und führt Interviews mit Verantwortlichen, um sich durch Stichproben ein echtes Bild der Lage zu machen.

Aussagen wie „Das machen wir so“ reichen nicht aus, wenn der passende Nachweis fehlt. Das Audit verdichtet diese Nachweise zu einem klaren Bild: Welche Anforderungen sind erfüllt? Wo bestehen Abweichungen? Und welche Maßnahmen braucht das ISMS, um stabiler zu werden?

Interne und externe ISO-27001-Audits

ISO-27001-Audits unterscheiden sich nach Anlass, Prüfer und Ziel. Zu den wichtigsten Audit-Typen und -Arten gehören interne Audits, externe Zertifizierungsaudits und Lieferantenaudits.

Interne Audits

Das interne Audit ist eine Pflichtanforderung nach ISO 27001, Kapitel 9.2. Es dient der Selbstprüfung des ISMS und zeigt, ob Prozesse, Maßnahmen und Nachweise mit den Anforderungen der Norm übereinstimmen. Im Idealfall findet das interne Audit früh genug statt, um Abweichungen vor dem Zertifizierungsaudit zu erkennen. Für die Auditierung solcher Managementsysteme bietet ISO 19011 eine wichtige methodische Orientierung.

Wichtig ist dabei eine unabhängige Perspektive. Auditoren sollten nicht den eigenen Arbeitsbereich prüfen. Interne Audits verifizieren Konformität, Wirksamkeit und mögliche Abweichungen. Ihre Ergebnisse fließen in die Managementbewertung ein und bilden die Grundlage für Korrekturmaßnahmen und Verbesserung.

Externes Zertifizierungsaudit

Das externe Zertifizierungsaudit wird durch eine unabhängige Zertifizierungsstelle durchgeführt. Es ist die Grundlage für ein offizielles ISO-27001-Zertifikat und prüft, ob das Unternehmen die Anforderungen der Norm nachweisbar erfüllt.

Beim Erstaudit erfolgt die Prüfung in zwei Phasen. Stage 1 bewertet Dokumentation, Scope und Auditbereitschaft. Stage 2 prüft die praktische Umsetzung im Betrieb durch Interviews, Stichproben, Nachweise und Einblick in relevante Prozesse.

Zu den Vorteilen eines bestandenen Zertifizierungsaudits zählt das gestärkte Vertrauen gegenüber Kunden, Partnern, Behörden und weiteren Stakeholdern. Es zeigt, dass Informationssicherheit intern geregelt und extern überprüft wurde.

Lieferantenaudit

Ein Lieferantenaudit prüft das Sicherheitsniveau externer Partner, etwa Cloud-Provider, Rechenzentren oder IT-Dienstleister mit Zugriff auf Daten, Systeme oder kritische Prozesse. Im Fokus stehen Schnittstellen, Datenflüsse, Risiken und Nachweise zur Umsetzung vereinbarter Sicherheitsanforderungen.

Beratung zur ISO 27001

Ein erfolgreiches ISO-27001-Audit braucht belastbare Nachweise, klare Verantwortlichkeiten und Prozesse, die im Alltag funktionieren. CSM-Consulting unterstützt Sie bei der gezielten Auditvorbereitung, prüft Ihr ISMS auf mögliche Lücken und bereitet Ihr Team gezielt auf die Anforderungen im Zertifizierungsaudit vor.

Auditprozess: Ablauf eines ISO-27001-Audits

Der Auditprozess folgt einem klaren Ablauf aus Vorbereitung, Durchführung und Nachbereitung. Diese Struktur führt das Audit von einzelnen Beobachtungen zu validen Ergebnissen, Abweichungen und Verbesserungen.

Vorbereitung des Audits

Ein gutes Audit beginnt mit einem klaren Auditprogramm, einem definierten Scope und einem stimmigen Auditplan als Leitfaden für die Prüfung. Vorab empfiehlt sich oft eine GAP-Analyse, um offene Lücken frühzeitig zu identifizieren und gezielt zu schließen.

Zur Vorbereitung gehören typischerweise:

relevante Dokumente sichten

Auditcheckliste erstellen

beteiligte Bereiche informieren

Ansprechpartner und Ressourcen klären

Zeitplan und Prüfbereiche abstimmen

Durchführung des Audits

Die Durchführung startet in der Regel mit einem kurzen Eröffnungsgespräch. Danach sammelt der Auditor Evidenzen, um die Umsetzung des Informationssicherheitsmanagementsystems zu bewerten.

Dazu gehören Interviews mit Verantwortlichen und Mitarbeitern, die Prüfung von Dokumenten und Nachweisen sowie gezielte Stichproben im Prozess. Je nach Umfang können auch Begehungen, Systemeinsichten oder Kontrollen einzelner Sicherheitsmaßnahmen dazukommen. Entscheidend ist, ob die Prozesse verstanden, angewendet und nachvollziehbar belegt werden.

Am Ende bewertet der Zertifizierer die Ergebnisse gegen ISO-Norm 27001 und die internen Vorgaben des Unternehmens.

Nachbereitung des Audits

Nach dem Audit werden die Ergebnisse in einem Auditbericht zusammengeführt. Er dokumentiert Konformität, Abweichungen, Sicherheitslücken und Verbesserungspotenziale.

Aus festgestellten Abweichungen entstehen Korrekturmaßnahmen mit Verantwortlichkeiten und Fristen. Damit schließt sich der Kreis zum PDCA-Zyklus (Planen, Umsetzen, Prüfen, Handeln). Die spätere Wirksamkeitskontrolle zeigt, ob eine Maßnahme die Ursache der Abweichung tatsächlich beseitigt hat.

Zertifizierungsaudit: Stage 1 und Stage 2

Das Zertifizierungsaudit für ISO 27001 läuft in zwei Stufen ab. Stage 1 prüft, ob das Informationssicherheitsmanagementsystem auditbereit ist. Stage 2 zeigt anschließend, ob die Vorgaben im Alltag der Organisation wirklich funktionieren.

Stage 1: Dokumentenprüfung und Auditbereitschaft

In Stage 1 steht das Fundament des ISMS im Mittelpunkt. Der Zertifizierer prüft, ob Umfang, Dokumentation und zentrale Nachweise zur Norm passen und ob das Unternehmen bereit für die eigentliche Systemprüfung ist. Typische Prüfpunkte in Stage 1 sind:

Scope und Kontext: Ist der Geltungsbereich des ISMS klar, plausibel und vollständig abgegrenzt?

ISMS-Leitlinie: Liegt eine freigegebene Informationssicherheitsleitlinie mit Rückhalt der Geschäftsleitung vor?

Risikomanagement: Sind ISO-27001-Risikoanalyse, -Risikobewertung und Risikobehandlungsplan nachvollziehbar aufgebaut?

Statement of Applicability: Sind die Controls aus ISO 27001 Annex A bewertet und Ausschlüsse begründet?

Interne Audits und Management-Review: Gibt es Nachweise, dass das Unternehmen sein ISMS bereits selbst geprüft und bewertet hat?

Besonders das Statement of Applicability (SoA) wird hier wichtig. Es zeigt, welche Controls aus dem Anhang A angewendet werden und warum bestimmte Maßnahmen ausgeschlossen wurden. Grundlage dafür ist eine nachvollziehbare Risikobewertung.

Stage 2: Systemprüfung in der Praxis

Stage 2 ist der Praxistest. Der Begutachter validiert, ob die beschriebenen Prozesse im Betrieb ankommen und ob Informationssicherheit auf dem gewünschten Niveau umgesetzt wird. Typische Prüfpunkte in Stage 2 sind:

Interviews mit Mitarbeitern: Kennen Mitarbeiter ihre Rolle im ISMS und verstehen sie sicherheitsrelevante Vorgaben?

Operative Nachweise: Funktionieren technische Prozesse wie Backups, Verschlüsselung und Zugriffsrechte wie vorgesehen?

Incident Management: Wie wurden Sicherheitsvorfälle behandelt und welche Verbesserungen wurden daraus abgeleitet?

Annex-A-Umsetzung: Stimmen die im SoA ausgewählten Sicherheitsmaßnahmen mit der tatsächlichen Umsetzung überein und wurden relevante Umsetzungshinweise aus ISO 27002 berücksichtigt?

Korrekturmaßnahmen: Wie geht das Unternehmen mit Abweichungen aus internen Audits oder früheren Prüfungen um?

Erst wenn Stage 2 belegt, dass das ISMS wirksam arbeitet, kann die Zertifizierungsstelle die Empfehlung für das ISO-27001-Zertifikat aussprechen.

Der 3-Jahres-Zyklus der ISO-27001-Zertifizierung

Ein ISO-27001-Zertifikat gilt in der Regel drei Jahre. Es bleibt jedoch nur belastbar, wenn das ISMS jährlich geprüft und fortlaufend weiterentwickelt wird. Der typische Weg durch den Zertifizierungszyklus sieht so aus:

Jahr 0 – Erstaudit: Das ISMS wird in Stage 1 und Stage 2 vollständig geprüft. Bei erfolgreichem Abschluss wird das Zertifikat ausgestellt.

Jahr 1 – erstes Überwachungsaudit: Der Auditor prüft ausgewählte Bereiche und bewertet, ob das System im Alltag weiterhin wirksam ist.

Jahr 2 – zweites Überwachungsaudit: Kritische Prozesse, interne Audits, Managementbewertungen und Verbesserungen werden erneut stichprobenartig geprüft.

Jahr 3 – Rezertifizierungsaudit: Vor Ablauf des Zertifikats erfolgt eine umfassendere Neuprüfung. Bei Erfolg beginnt der Zyklus von vorn.

Überwachungsaudits sind meist kürzer als das Erstaudit. Sie prüfen nicht jeden Punkt der Norm erneut, sondern konzentrieren sich auf ausgewählte Schwerpunkte wie Änderungen im Unternehmen, offene Maßnahmen und die fortlaufende Wirksamkeit des ISMS als Beitrag zur Sicherheit und zum PDCA-Zyklus.

Was prüft der Auditor im ISO-27001-Audit?

Ein Zertifizierer glaubt nur das, was belegbar ist. Im ISO-27001-Audit reicht es daher nicht, auf bestehende Prozesse zu verweisen. Entscheidend sind Audit-Evidenzen, die zeigen, dass Vorgaben, Verantwortlichkeiten und Sicherheitsmaßnahmen im Alltag tatsächlich funktionieren.

Dafür nutzt die Prüfinstanz meist mehrere Quellen:

Dokumente: Richtlinien, Scope, Risikoanalyse, Statement of Applicability und Auditberichte

Interviews: Gespräche mit Verantwortlichen und Mitarbeitern zur gelebten Informationssicherheit

System-Checks: Stichproben zu Zugriffsrechten, Backups, Protokollen oder technischen Kontrollen

Verbesserung: Nachweise zu internen Audits, Managementbewertung und Korrekturmaßnahmen

Ergebnisse eines ISO-27001-Audits

Am Ende des Audits fasst der Auditor seine Feststellungen im Auditbericht zusammen. Entscheidend ist die Einstufung der Ergebnisse, denn sie zeigt, ob das ISMS die Anforderungen erfüllt oder ob Korrekturmaßnahmen notwendig sind.

Typische Ergebnisse sind:

Konformität: Die Anforderungen der Norm sind erfüllt, Nachweise sind plausibel und die Prozesse werden wirksam angewendet.

Nebenabweichung: Eine Anforderung ist nicht vollständig erfüllt, etwa weil ein einzelner Nachweis fehlt oder eine Frist überschritten wurde. Das ISMS bleibt grundsätzlich wirksam, die Lücke muss jedoch geschlossen werden.

Hauptabweichung: Eine wesentliche Anforderung fehlt oder ein zentraler Prozess funktioniert nicht. Das Zertifikat kann erst erteilt oder aufrechterhalten werden, wenn die Abweichung wirksam korrigiert wurde.

Verbesserungspotenzial: Der Auditor erkennt mögliche Lösungen zur Verbesserung, ohne dass eine formale Abweichung vorliegt. Solche Hinweise sind besonders wertvoll für die Weiterentwicklung des ISMS.

ISO-27001-Audit-Checkliste für die Vorbereitung

Eine gute Auditvorbereitung entsteht aus gepflegten Dokumenten, gelebten Prozessen und klaren Verantwortlichkeiten.

Für den letzten Check hilft eine Checkliste:

Dokumentation und Strategie: Scope, Informationssicherheitsleitlinie und Statement of Applicability sind aktuell, freigegeben und nachvollziehbar.

Risikomanagement und Betrieb: Risikoanalyse, Risikobehandlungsplan und operative Nachweise liegen vor, etwa zu Backups, Zugriffsrechten oder technischen Kontrollen.

Kontrolle und Verbesserung: Internes Audit, Managementbewertung und Korrekturmaßnahmen sind dokumentiert und zeigen, dass das ISMS aktiv gesteuert wird.

Mensch und Organisation: Verantwortliche, etwa der Informationssicherheitsbeauftragte, kennen ihre Rolle im Audit, das Team ist sensibilisiert und wichtige Ansprechpartner sind am Audittag erreichbar.

Häufige Fragen und Antworten

Was ist ein ISO-27001-Audit?

Ein ISO-27001-Audit ist die Prüfung eines Informationssicherheitsmanagementsystems anhand der Anforderungen aus ISO/IEC 27001. Dabei bewertet der Auditor, ob Regeln, Verantwortlichkeiten und Nachweise zusammenpassen und das ISMS im Betrieb belastbar funktioniert.

Wann ist eine Re-Zertifizierung nach ISO 27001 nötig?

Die Re-Zertifizierung wird vor Ablauf des dreijährigen Zertifikats durchgeführt. Nach den jährlichen Überwachungsaudits ist sie der nächste große Schritt, um die Gültigkeit des Zertifikats für einen neuen Zyklus zu sichern.

Was ist der Unterschied zwischen ISO-27001-Audit und ISMS-Audit?

Ein ISMS-Audit beschreibt allgemein die Prüfung eines Managementsystems für Informationssicherheitsmanagement. Das ISO-27001-Audit ist die konkrete Prüfung nach ISO/IEC 27001 und bildet die Grundlage für die ISO-Zertifizierung.