Internes Audit nach ISO 27001: Ablauf und Checkliste

Viele Betriebe stellen sich dieselbe Frage. Nämlich: Was genau steckt hinter dem internen Audit? Ein internes Audit nach ISO 27001 prüft Ihr Managementsystem für Informationssicherheit. Und zwar durch eigene Leute, nicht durch die Zertifizierungsstelle. Die Norm schreibt es in Kapitel 9.2 verbindlich vor. Deshalb kommt kein zertifiziertes Unternehmen daran vorbei.

Dieser Beitrag zeigt den Weg von der Planung bis zum Bericht. Zunächst geht es um Zweck und Unabhängigkeit. Danach um den Ablauf in klaren Phasen. Zum Schluss um eine Checkliste und den Weg für kleine Betriebe. Das Ziel ist ein Audit, das mehr bringt als ein Häkchen. Also eines, das echte Schwachstellen findet, bevor es der Prüfer tut.

Was ein internes Audit nach ISO 27001 ist

Ein internes Audit ist eine systematische Prüfung des eigenen ISMS. Dabei vergleicht ein Auditor die Praxis mit den Vorgaben. Die Vorgaben stammen dabei aus der Norm und aus Ihren Richtlinien. Somit beantwortet das Audit zwei Fragen. Erstens: Erfüllen wir die Anforderungen der ISO 27001? Zweitens: Wirkt unser System auch im Alltag?

Der Begriff internes Audit grenzt sich zudem klar vom externen Audit ab. Ein internes Audit führen Sie nämlich selbst durch, im eigenen Auftrag. Ein externes Audit übernimmt hingegen eine unabhängige Zertifizierungsstelle. Beide prüfen dabei dasselbe System. Doch der Zweck unterscheidet sich. Zunächst dient das interne Audit der Selbstkontrolle. Danach führt das externe Audit zum Zertifikat.

Wer darf das Audit durchführen?

Die Norm verlangt zunächst Objektivität und Unparteilichkeit. Deshalb gilt eine klare Regel. Nämlich: Niemand darf die eigene Arbeit auditieren. Wer eine Richtlinie geschrieben hat, prüft sie folglich nicht selbst. Wer den Serverraum betreut, bewertet dessen Sicherheit ebenso wenig allein. Andernfalls fehlt der neutrale Blick. Genau diese Unabhängigkeit macht das internes Audit erst glaubwürdig.

In der Praxis lösen das viele Betriebe intern. Beispielsweise prüft ein Kollege aus der Buchhaltung die IT. Ebenso prüft ein IT-Mitarbeiter das Personalwesen. Somit bleibt der Prüfer unabhängig vom geprüften Bereich. Kleine Betriebe stoßen hier jedoch an Grenzen. Denn oft macht eine Person fast alles. Für diese Fälle gibt es deshalb einen eigenen Weg, den wir später zeigen.

Was das Audit konkret anschaut

Ein internes Audit prüft nicht nur Papier. Vielmehr schaut es auf drei Dinge. Zunächst auf die Dokumente, also Richtlinien und Nachweise. Danach auf die Umsetzung, etwa gesetzte Berechtigungen. Zuletzt auf die Wirksamkeit, also ob die Maßnahme wirklich schützt. Diese drei Ebenen sind somit der Kern. Ein solides ISMS nach ISO 27001 liefert dafür die Grundlage.

Warum Kapitel 9.2 das interne Audit verlangt

Kapitel 9.2 der ISO 27001 macht das interne Audit zur Pflicht. Der Wortlaut ist eindeutig. Die Organisation muss in geplanten Abständen interne Audits durchführen. Ziel ist der Nachweis, dass das ISMS zwei Dinge erfüllt. Erstens die eigenen Anforderungen und die der Norm. Zweitens eine wirksame Umsetzung und Aufrechterhaltung. Deshalb ist das interne Audit kein freiwilliges Extra. Den genauen Wortlaut finden Sie in der ISO/IEC 27001 selbst.

Der Gesetzgeber steht hinter dieser Logik. Ein System, das niemand prüft, verfällt mit der Zeit. Richtlinien veralten, Zuständigkeiten verschwimmen, Nachweise fehlen. Das interne Audit wirkt dem entgegen. Es zwingt den Betrieb zur regelmäßigen Selbstprüfung. Somit bleibt das ISMS lebendig statt zur Ablage zu verkommen. Genau das will Kapitel 9.2 sicherstellen.

Das Auditprogramm als Rahmen

Die Norm verlangt zunächst ein Auditprogramm. Es legt den Rahmen über einen Zeitraum fest, meist über drei Jahre. Dabei bestimmt es Häufigkeit, Methoden und Verantwortliche. Zudem berücksichtigt es die Wichtigkeit der Prozesse. Bereiche mit hohem Risiko prüfen Sie folglich öfter. Ebenso fließen die Ergebnisse früherer Audits ein. Wo es zuletzt Probleme gab, schaut das nächste Audit genauer hin.

Vom Programm leiten Sie danach den einzelnen Auditplan ab. Der Plan gilt für ein konkretes Audit. Insbesondere nennt er Umfang, Kriterien und Termine. Somit weiß jeder Beteiligte, was geprüft wird. Und wann. Ein guter Plan spart zudem am Audittag viel Zeit. Denn die Beteiligten bereiten die richtigen Nachweise vor.

Wie oft ein Audit fällig ist

Die Norm nennt zunächst keine feste Frequenz. Sie fordert nur geplante Abstände. In der Praxis hat sich hingegen der Jahreszyklus durchgesetzt. Über drei Jahre deckt das Programm somit alle Bereiche des ISMS ab. Wichtige Bereiche prüfen Sie dabei häufiger. Ein Betrieb kann also nicht einmal auditieren und dann Ruhe geben. Vielmehr ist es eine laufende Aufgabe. Das NIST Computer Security Resource Center liefert dazu ergänzende Methoden.

Ein internes Audit gehört zudem fest in den PDCA-Zyklus. Nämlich als Check-Phase des Systems. Ohne diese Prüfung fehlt folglich die Rückmeldung. Deshalb deckt das Audit Lücken auf. Und zwar bevor ein Angreifer sie nutzt. Zudem liefert es Input für die Managementbewertung. Wer sein ISMS aufbauen will, plant es deshalb früh mit ein. Denn es ist keine Kür, sondern Teil des Betriebs.

Der Ablauf in fünf Phasen

Ein internes Audit folgt einer festen Reihenfolge. Nämlich fünf Phasen von der Vorbereitung bis zur Korrektur. Zudem sorgt diese Struktur für ein wiederholbares Ergebnis. Wer die Phasen kennt, verliert somit keine Zeit. Und keinen Prüfpunkt.

Phase 1: Vorbereitung und Auditplan

Zuerst legen Sie den Umfang fest. Also welche Bereiche, welche Standorte, welche Prozesse? Danach benennen Sie die Auditkriterien. Nämlich die Norm, Ihre Richtlinien und das Statement of Applicability. Zudem sichtet der Auditor vorab die Dokumente. Somit erkennt er schon vor dem Termin erste Lücken. Am Ende der Phase steht folglich ein abgestimmter Auditplan mit Terminen.

Phase 2: Durchführung vor Ort

Die Durchführung beginnt zunächst mit einem kurzen Eröffnungsgespräch. Danach sammelt der Auditor Nachweise. Insbesondere führt er Interviews, sichtet Aufzeichnungen und beobachtet Abläufe. Dabei stellt er offene Fragen. Zum Beispiel: Zeigen Sie mir, wie ein neuer Mitarbeiter Zugänge erhält. Somit prüft er die gelebte Praxis, nicht nur das Papier. Jede Feststellung hält er zudem mit Beleg fest.

Ein guter Auditor arbeitet zudem mit der Stichprobe. Er prüft nicht jeden Vorgang, sondern ausgewählte Fälle. Zieht er beispielsweise drei neue Mitarbeiter heran, sieht er das Muster. Fehlt bei allen dreien ein Schritt, liegt folglich ein systematisches Problem vor. Fehlt er hingegen nur bei einem, ist es ein Einzelfall. Diese Methode spart Zeit und liefert dennoch ein belastbares Bild. Zudem bleibt das Audit für alle Beteiligten überschaubar.

Phase 3: Feststellungen und Nichtkonformitäten

Nun bewertet der Auditor seine Funde. Insbesondere unterscheidet er zwischen Konformität und Abweichung. Eine Abweichung heißt Nichtkonformität. Dabei trennt er zwei Schweregrade. Zunächst zeigt eine schwere Nichtkonformität eine echte Lücke im System. Eine leichte deutet hingegen auf einen Einzelfall. Zusätzlich notiert er Verbesserungspotenziale. Diese sind somit keine Fehler, sondern Hinweise.

Phase 4: Auditbericht

Der Bericht fasst danach alles zusammen. Insbesondere nennt er Umfang, Kriterien und die Feststellungen. Jede Nichtkonformität steht zudem mit Beleg und Bezug zur Norm darin. Ebenso enthält er eine klare Bewertung des ISMS. Der Bericht geht folglich an die Leitung. Denn sie trägt die Verantwortung für das System. Ein guter Bericht ist zudem sachlich und konkret. Er benennt das Problem, ohne Schuldige zu suchen.

Phase 5: Korrekturmaßnahmen

Zuletzt folgt die Korrektur. Für jede Nichtkonformität legt der Bereich eine Maßnahme fest. Dabei zählt die Ursache, nicht nur das Symptom. Ein Beispiel macht das klar. Zunächst ist ein fehlendes Backup das Symptom. Die fehlende Zuständigkeit ist hingegen die Ursache. Erst wenn die Ursache behoben ist, gilt die Nichtkonformität als geschlossen. Danach prüft ein Folgetermin die Wirksamkeit. Somit schließt sich der Kreis.

Internes Audit und Zertifizierungsaudit im Vergleich

Ein internes Audit und ein Zertifizierungsaudit prüfen dasselbe ISMS. Doch Zweck, Prüfer und Folgen unterscheiden sich deutlich. Zunächst dient das interne Audit der eigenen Kontrolle. Das Zertifizierungsaudit führt hingegen zum offiziellen Zertifikat. Wer den Unterschied kennt, bereitet somit beide richtig vor.

Die Zertifizierung läuft in zwei Stufen

Das externe Audit einer Zertifizierungsstelle hat zwei Stufen. Zunächst prüft Stufe 1 die Dokumentation und die Reife des Systems. Sie fragt: Haben Sie das Nötige beisammen? Danach prüft Stufe 2 die Umsetzung vor Ort. Sie fragt: Tun Sie, was Sie aufgeschrieben haben? Zwischen beiden Stufen liegen meist einige Wochen. Anschließend folgen jährliche Überwachungsaudits. Den vollständigen Weg zeigt zudem unser Beitrag zum Ablauf der ISO-27001-Zertifizierung.

Die Unterschiede auf einen Blick

Das interne Audit ist somit die Generalprobe für das externe. Wer intern sauber prüft, geht folglich ruhiger in die Zertifizierung. Denn die groben Lücken sind dann schon geschlossen. Ein gutes internes Audit senkt somit das Risiko einer bösen Überraschung. Ergänzend hilft zudem ein IT-Security-Audit, technische Schwachstellen aufzudecken. Wer vor der Umstellung steht, findet zudem Hilfe im Beitrag zur Umstellung auf ISO 27001:2022.

Die Checkliste für Ihr internes Audit

Eine Checkliste gibt dem internen Audit Struktur. Zunächst führt sie durch alle Bereiche des ISMS. Zudem sorgt sie dafür, dass kein Punkt untergeht. Die folgende Liste dient somit als Startpunkt. Passen Sie sie danach an Ihr System an.

Vor dem Audit

• Umfang festgelegt: Bereiche, Standorte und Prozesse sind klar benannt.
• Kriterien bereit: Norm, Richtlinien und Statement of Applicability liegen vor.
• Auditor benannt: die Person ist unabhängig vom geprüften Bereich.
• Auditplan verschickt: alle Beteiligten kennen Termin und Themen.
• Vorunterlagen gesichtet: erste Lücken sind vorab notiert.

Während des Audits

• Zugriffskontrolle geprüft: Berechtigungen passen zu den Rollen.
• Risikobehandlung belegt: Risiken und Maßnahmen sind dokumentiert.
• Schulung nachgewiesen: die Security-Awareness ist gelebt, nicht nur geplant.
• Vorfälle behandelt: Meldungen und Reaktionen sind nachvollziehbar.
• Lieferanten geprüft: Verträge und Kontrollen der Dienstleister liegen vor.
• Notfallvorsorge da: ein Notfallmanagement und BCM deckt Ausfälle ab.

Nach dem Audit

• Bericht erstellt: Feststellungen sind mit Beleg dokumentiert.
• Maßnahmen zugeordnet: jede Nichtkonformität hat einen Verantwortlichen und eine Frist.
• Wirksamkeit geprüft: ein Folgetermin bestätigt die Behebung.
• Leitung informiert: die Geschäftsführung kennt das Ergebnis.

Die Checkliste ist zudem kein starres Werkzeug. Vielmehr wächst sie mit Ihrem System. Nach jedem internes Audit ergänzen Sie deshalb neue Punkte. Somit wird die Liste mit der Zeit genauer. Externe Rahmenwerke helfen außerdem bei der Auswahl der Prüfpunkte. Beispielsweise stellen die ENISA und das BSI dazu praxisnahe Leitfäden bereit.

Wie KMU ohne eigene Auditoren vorgehen

Viele kleine Betriebe haben kein eigenes Auditteam. Das ist zunächst normal. Denn die Norm verlangt keine feste Stelle für das interne Audit. Vielmehr verlangt sie nur Unabhängigkeit und Kompetenz. Somit gibt es für KMU zwei gangbare Wege. Beide erfüllen folglich die Anforderung aus Kapitel 9.2.

Weg eins: intern rotieren

Der erste Weg nutzt eigene Leute über Kreuz. Beispielsweise prüft ein Mitarbeiter einen Bereich, den er nicht selbst verantwortet. Somit bleibt die Unabhängigkeit gewahrt. Dieser Weg spart zudem Geld. Doch er hat Grenzen. Denn dem internen Prüfer fehlt oft die Auditerfahrung. Zudem sieht er das eigene System mit betriebsblinden Augen. Für den ersten Durchlauf reicht das folglich selten.

Weg zwei: externe interne Auditoren

Der zweite Weg holt hingegen einen externen Auditor ins Haus. Das klingt zunächst widersprüchlich. Doch es bleibt ein internes Audit, denn Sie beauftragen es selbst. Der externe Prüfer ist nämlich kein Mann der Prüfstelle. Zudem bringt er Erfahrung und einen frischen Blick mit. Deshalb findet er Lücken, die intern niemand sieht. Für viele KMU ist das somit der pragmatische Standardweg. Wir übernehmen diese Rolle im Rahmen unserer Beratung zur Informationssicherheit.

Ein externer interner Auditor hat zudem mehrere Vorteile. Zunächst kennt er viele Systeme aus der Praxis. Somit erkennt er typische Schwachstellen sofort. Zudem ist seine Unabhängigkeit unstrittig. Denn er hat das System nicht selbst gebaut. Das erleichtert später ebenso das Gespräch mit der Prüfstelle. Ein weiterer Punkt zählt außerdem für kleine Teams. Nämlich: Der externe Auditor entlastet die eigenen Leute. Sie müssen sich folglich nicht selbst in die Auditmethodik einarbeiten.

Die Rolle des externen CISO

Manche KMU gehen zudem einen Schritt weiter. Nämlich indem sie dauerhaft externe Kompetenz ins Haus holen. Ein externer CISO steuert dann das ganze ISMS. Insbesondere plant er das Auditprogramm und begleitet die Prüfung. Das interne Audit selbst führt hingegen eine andere unabhängige Person durch. Somit bleibt die Trennung sauber. Für kleine Teams ist das folglich oft der beste Weg. Ob sich das lohnt, klären wir gern in einem unverbindlichen Erstgespräch.

Wichtig ist zudem die klare Trennung der Rollen. Wer das ISMS aufbaut, prüft es nicht selbst. Wer es prüft, hat es hingegen nicht selbst gebaut. Diese Regel gilt ebenso bei externer Hilfe. Denn sonst verliert das interne Audit seinen Wert. Ein sauberer Aufbau schafft hier folglich von Anfang an Ordnung. Genau darauf achten wir bei jedem Projekt. Somit steht die Unabhängigkeit nie in Frage.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Wie oft muss ein internes Audit nach ISO 27001 stattfinden?

Die Norm nennt keine feste Frequenz, sondern fordert geplante Abstände. In der Praxis hat sich der Jahreszyklus durchgesetzt. Über drei Jahre deckt das Auditprogramm alle Bereiche ab. Wichtige Bereiche prüfen Sie dabei häufiger.

Wer darf ein internes Audit durchführen?

Jeder mit ausreichender Kompetenz, solange er unabhängig vom geprüften Bereich ist. Niemand darf die eigene Arbeit auditieren. Deshalb prüfen Betriebe oft über Kreuz. Alternativ beauftragen KMU einen externen internen Auditor.

Was ist der Unterschied zum Zertifizierungsaudit?

Das interne Audit dient der eigenen Kontrolle und prüft die Wirksamkeit. Das Zertifizierungsaudit führt eine unabhängige Stelle durch und mündet im Zertifikat. Beide prüfen dasselbe ISMS. Doch Zweck und Folgen unterscheiden sich.

Was passiert bei einer Nichtkonformität im internen Audit?

Für jede Nichtkonformität legen Sie eine Korrekturmaßnahme fest. Dabei zählt die Ursache, nicht nur das Symptom. Ein Folgetermin prüft die Wirksamkeit. Erst dann gilt die Abweichung als geschlossen.

Kann ein KMU ein internes Audit ohne eigene Auditoren erfüllen?

Ja. Die Norm verlangt keine feste Stelle, nur Unabhängigkeit und Kompetenz. Kleine Betriebe rotieren intern über Kreuz oder beauftragen einen externen internen Auditor. Beide Wege erfüllen Kapitel 9.2.

Welche Dokumente braucht ein internes Audit?

Zentral sind die Norm, Ihre Richtlinien und das Statement of Applicability. Dazu kommen Nachweise wie Berechtigungen, Schulungen und Vorfallmeldungen. Am Ende steht ein Auditbericht. Er hält alle Feststellungen mit Beleg fest.

Was gehört in den Auditbericht?

Der Bericht nennt Umfang, Kriterien und alle Feststellungen. Jede Nichtkonformität steht mit Beleg und Normbezug darin. Zudem enthält er eine Bewertung des ISMS. Der Bericht geht an die Leitung, denn sie trägt die Verantwortung.

Fazit: Aus der Pflicht einen Nutzen machen

Ein internes Audit nach ISO 27001 ist mehr als eine Pflichtübung. Kapitel 9.2 verlangt es, doch der wahre Wert liegt woanders. Es findet Lücken, bevor ein Angreifer oder die Zertifizierungsstelle sie findet. Zunächst planen Sie das Auditprogramm, danach führen Sie in fünf Phasen durch. Zum Schluss beheben Sie die Ursachen der Feststellungen. So wird aus der Prüfung ein echtes Werkzeug.

Für KMU ist der Weg gut machbar. Wer keine eigenen Auditoren hat, rotiert intern. Oder er holt einen externen internen Auditor. Wichtig bleibt allein die Unabhängigkeit. Ein sauber geplantes internes Audit senkt zudem das Risiko. Somit stärkt es das ganze ISMS. Der beste Zeitpunkt für den ersten Durchlauf ist lange vor der Zertifizierung.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren