ISO 27001 Audit vorbereiten: Struktur statt Stress

ISO 27001 Audit: Was auf dich zukommt

Ein ISO 27001 Audit vorzubereiten heißt vor allem eins: Struktur statt Stress. Wer den Ablauf kennt und rechtzeitig anfängt, geht entspannt in den Termin. Wer erst zwei Wochen vorher merkt, dass die Hälfte der Richtlinien seit dem letzten Jahr nicht mehr aktuell ist, erlebt genau den Feuerwehreinsatz, den dieser Fahrplan verhindern soll.

Das Zertifizierungsaudit läuft in zwei Stufen. In Stufe 1 prüft der Auditor auf dem Papier, ob dein Informationssicherheits-Managementsystem grundsätzlich steht: Sind die Kerndokumente da, passt der Anwendungsbereich, gibt es eine Risikobewertung? In Stufe 2 geht es an die gelebte Praxis. Da wird geschaut, ob das, was in den Dokumenten steht, im Alltag auch tatsächlich funktioniert.

Gedacht ist dieser Leitfaden für alle, die eine Erstzertifizierung oder ein Überwachungsaudit im eigenen Unternehmen begleiten müssen, ohne täglich mit dem Thema zu tun zu haben. Die meisten Stressfaktoren lassen sich vorab entschärfen, wenn man sie kennt.

Anwendungsbereich (Scope) sauber abgrenzen

Der Scope entscheidet über den halben Erfolg. Er legt fest, welche Standorte, Prozesse, Systeme und Daten überhaupt Teil des ISMS sind und damit geprüft werden. Ziehst du die Grenze falsch, bezahlst du das später doppelt.

Ein zu breiter Scope bläht den Aufwand auf. Plötzlich musst du für eine Niederlassung Nachweise liefern, die mit deinem eigentlichen Sicherheitsziel wenig zu tun hat. Ein zu enger Scope wiederum wirkt schnell wie Etikettenschwindel: Wenn die Kundendaten in einem System liegen, das du bewusst ausgeklammert hast, fällt das dem Auditor auf.

Die einfachste Leitfrage zur Abgrenzung lautet: Welche Informationen und Prozesse muss ich schützen, damit mein Geschäft funktioniert? Alles, was diese Frage berührt, gehört in den Geltungsbereich. Halte fest, welche Schnittstellen zu ausgelagerten Bereichen bestehen, denn genau danach wird gefragt.

Ein sauber definierter und dokumentierter Scope spart dir im gesamten Audit Diskussionen.

Dokumentation und Nachweise vorab prüfen

Die Dokumente sind das Rückgrat der Prüfung. In Stufe 1 wird nichts anderes gemacht, als sie durchzugehen. Fehlt hier etwas Zentrales, kommst du gar nicht erst in Stufe 2.

Diese Kerndokumente will jeder Auditor sehen:

• die Informationssicherheitsleitlinie, unterschrieben von der Geschäftsführung
• das Statement of Applicability (SoA), in dem du für jede Maßnahme aus Anhang A begründest, ob und wie du sie anwendest
• den Risikobehandlungsplan mit den identifizierten Risiken, ihrer Bewertung und den beschlossenen Maßnahmen
• die konkreten Richtlinien und Verfahrensanweisungen, etwa zu Zugriffsrechten, Passwörtern, mobilem Arbeiten oder dem Umgang mit Sicherheitsvorfällen

Der praktische Fallstrick liegt fast nie bei fehlenden Dokumenten, sondern bei veralteten. Eine Richtlinie mit Freigabedatum von vor drei Jahren, die seither niemand angefasst hat, ist ein klassisches Finding.

Leg dir eine einfache Dokumentenmatrix an: eine Tabelle mit Dokumentname, Version, Freigabedatum, Verantwortlichem und nächstem Prüftermin. So siehst du auf einen Blick, wo etwas überfällig ist, und der Auditor sieht, dass du deine Unterlagen im Griff hast. Wer den Aufbau eines solchen ISMS von Grund auf lernen will, findet mit dem Kurs zum ISMS-Aufbau nach ISO/IEC 27001 und BSI IT-Grundschutz einen guten Einstieg.

Internes Audit und Managementbewertung durchführen

Internes Audit und Management Review sind keine Kür, sondern Pflichtnachweise der Norm. Fehlen sie, hast du automatisch eine Abweichung, egal wie gut der Rest aussieht. Das Schöne daran: Beide sind gleichzeitig deine Generalprobe.

Beim internen Audit prüfst du selbst, ob dein ISMS in der Praxis so läuft wie beschrieben. Findest du dabei eine Lücke, ist das kein Problem, sondern genau der Sinn der Übung. Jede Abweichung, die du selbst entdeckst und dokumentierst, kann der externe Auditor dir nicht mehr als Überraschung um die Ohren hauen.

Plane das interne Audit rund zwei bis drei Monate vor dem Zertifizierungstermin ein. Dann bleibt genug Zeit, gefundene Schwachstellen abzustellen, ohne in Hektik zu verfallen.

Die Managementbewertung ist der formale Termin, bei dem die Geschäftsführung auf das ISMS schaut: Wie haben sich die Risiken entwickelt, welche Vorfälle gab es, funktionieren die Maßnahmen? Wichtig ist, dass dieser Termin protokolliert wird. Ein Management Review, das nur mündlich stattgefunden hat, existiert für den Auditor nicht.

Mitarbeiter und Verantwortliche auf Interviews vorbereiten

In Stufe 2 spricht der Auditor mit Menschen, nicht nur mit Ordnern. Er will wissen, ob die Regeln im Kopf der Leute angekommen sind oder nur auf dem Server liegen.

Kläre vorab, wer für welchen Prozess geradesteht. Wenn der Auditor nach dem Umgang mit Sicherheitsvorfällen fragt und alle im Raum sich ansehen, ist das kein gutes Zeichen. Jeder Prozessverantwortliche sollte seinen Bereich in eigenen Worten erklären können.

Bei den Mitarbeitenden geht es meist um Alltägliches: Wie meldest du einen verdächtigen Anhang? Wo findest du die Passwortrichtlinie? Was machst du mit einem gefundenen USB-Stick? Solche Fragen zielen auf die gelebte Sensibilisierung, nicht auf Detailwissen zur Norm.

Geh die typischen Fragen im Team einmal durch. Niemand muss auswendig lernen, aber jeder sollte wissen, wo die Antwort steht. Und weise die Sensibilisierungsschulungen nach, denn danach wird gefragt. Wer sich selbst tiefer in die Rolle des Verantwortlichen einarbeiten möchte, findet unter den Schulungen zur IT-Sicherheit passende Formate.

Abweichungen und Korrekturmaßnahmen einplanen

Findings sind normal. Kaum ein Audit läuft ganz ohne, und das ist auch kein Beinbruch.

Unterschieden wird zwischen Major- und Minor-Nichtkonformitäten. Eine Minor ist eine kleinere Abweichung, die du innerhalb einer vereinbarten Frist beheben kannst, ohne dass die Zertifizierung wackelt. Eine Major dagegen bedeutet, dass ein grundlegender Teil deines ISMS nicht funktioniert. Die muss vor der Zertifikatserteilung ausgeräumt sein, oft mit einem Nachaudit.

Was viele unterschätzen: Der Prozess für Korrekturmaßnahmen ist selbst ein Prüfkriterium. Der Auditor will sehen, dass du eine Abweichung nicht nur oberflächlich flickst, sondern die Ursache analysierst und nachhaltig abstellst. Ein sauber dokumentierter Umgang mit einem Finding beeindruckt oft mehr als ein makelloses, aber unglaubwürdiges Audit.

Halte deshalb einen klaren Ablauf bereit: Abweichung erfassen, Ursache benennen, Maßnahme festlegen, Frist setzen, Wirksamkeit prüfen. Wer das im Griff hat, besteht auch mit ein paar Findings.

Checkliste für den Endspurt vor dem Audit-Termin

Die letzten Wochen entscheiden über den ersten Eindruck. Jetzt geht es nicht mehr um inhaltliche Grundsatzfragen, sondern um Organisation.

• Zugänge und Räume für den Auditor klären, inklusive Besuchsregelung und eventuell nötiger Sicherheitsunterweisung vor Ort
• einen zentralen Ansprechpartner benennen, der den Auditor begleitet und die richtigen Leute zusammenholt
• alle Nachweise so ablegen, dass du sie im Termin in Sekunden findest, nicht erst nach zehn Minuten Suchen im Netzlaufwerk
• die offenen Punkte aus dem internen Audit final abarbeiten oder zumindest mit dokumentiertem Maßnahmenplan versehen

Ein banaler, aber wirkungsvoller Punkt: Sorg dafür, dass die genannten Ansprechpartner am Audittag auch wirklich im Haus sind. Ein Prozessverantwortlicher im Urlaub kann den ganzen Zeitplan durcheinanderbringen.

Einordnung und Weiterbildung zum ISO 27001 Audit

Struktur schlägt Aktionismus, und zwar bei jedem einzelnen der bisherigen Punkte. Ein Audit scheitert selten an fehlendem Fachwissen, sondern an fehlender Vorbereitung und unklaren Zuständigkeiten. Wer den Scope kennt, seine Dokumente aktuell hält und ein internes Audit als Generalprobe nutzt, hat den Großteil geschafft.

Ob sich externe Beratung lohnt, hängt von deiner Ausgangslage ab. Bei einer Erstzertifizierung ohne jede Erfahrung im Haus spart ein Berater oft Wochen. Steht das ISMS bereits und geht es nur ums Überwachungsaudit, reicht meist internes Know-how. Sinnvoller als dauerhafte Beratung ist häufig, eine eigene Person als internen Auditor oder Information Security Officer zu qualifizieren.

Auf kursmap sind derzeit zehn Kurse rund um ISO 27001 gelistet, mit Preisen zwischen 762 und 3.390 Euro und einer typischen Dauer von einem bis fünf Tagen. Acht davon lassen sich online buchen, sieben vor Ort, und acht schließen mit einem Zertifikat ab. Willst du selbst Audits durchführen, ist die Ausbildung zum ISO 27001 ISMS Auditor der passende Einstieg. Übernimmst du dagegen die operative Verantwortung fürs ISMS, führt der Intensivkurs zum ISO 27001 Security Officer kompakt an die Rolle heran. Einen Vergleich aller Angebote findest du unter den ISO 27001 Weiterbildungen.