L-06 · Audit
IT Security Audit: wissen, wo Sie stehen
Ein IT Security Audit ist die strukturierte Prüfung von Systemen, Abläufen und Regeln gegen einen festgelegten Maßstab, etwa ISO/IEC 27001 oder § 32 NISG 2026. SecTec prüft herstellerunabhängig, ordnet die Funde nach Risiko und liefert einen Maßnahmenplan.
Anlässe
Prüfen, bevor andere prüfen.
Ein Audit lohnt sich vor einer Zertifizierung nach ISO 27001, vor der Selbstdeklaration nach dem NISG 2026, vor dem Antrag auf eine Cyberversicherung oder wenn ein Großkunde einen Nachweis verlangt. In jedem Fall wissen Sie danach, wo Ihr Risiko liegt und was zuerst zu tun ist.
Wir verkaufen keine Produkte. Deshalb steht im Bericht, was Ihr Risiko senkt, und nicht, welche Lizenz Sie kaufen sollen.
Prüfumfang
Was wir prüfen.
Umfang und Maßstab
Welche Bereiche geprüft werden und woran: Norm, Gesetz oder Kundenanforderung
Scope
Technik
Systeme, Updates, Zugänge, Sicherungen, Netzwerk und Cloud-Konfiguration
Technik
Organisation
Rollen, Richtlinien, Notfallplanung und Dienstleistersteuerung
Organisation
Menschen
Schulungsstand, Meldewege und Umgang mit Zugangsdaten
Awareness
Bewertung nach Risiko
Jeder Fund mit Einstufung, Begründung und Beleg
Risiko
Bericht und Maßnahmenplan
Zusammenfassung für die Leitung, Details für die IT, Prioritäten und Termine
Bericht
Ablauf
So läuft das Audit ab.
Umfang festlegen.
Maßstab, Bereiche, Ansprechpartner und Termine vereinbaren.
Prüfen.
Interviews, Dokumentensichtung und technische Stichproben vor Ort oder per Fernzugang.
Bewerten.
Funde nach Risiko einstufen und Maßnahmen ableiten.
Besprechen.
Ergebnisse mit Leitung und IT durchgehen, auf Wunsch die Umsetzung begleiten.
Audit, Schwachstellenanalyse oder Penetrationstest?
| Verfahren | Was es prüft | Wofür |
|---|---|---|
| Security Audit | Regeln, Abläufe und Konfiguration gegen einen Maßstab | Gesamtbild und Maßnahmenplan |
| Schwachstellenanalyse | bekannte Lücken, meist automatisiert und wiederkehrend | laufender Überblick |
| Penetrationstest | wie weit ein Angreifer tatsächlich kommt | belastbare Tiefe an ausgewählten Stellen |
Die Verfahren ergänzen sich. Mehr dazu in den Ratgebern Schwachstellenanalyse und Vulnerability Management sowie auf der Seite Penetration Testing.
Was das Audit nicht ist
Unser Audit ist kein Zertifizierungsaudit und keine Prüfung durch eine unabhängige Stelle nach § 33 Abs. 2 NISG 2026, deren Vorgaben die Cybersicherheitsbehörde festlegt.
Es bereitet auf beides vor: Sie kennen Ihre Lücken, bevor ein Auditor oder die Behörde sie findet.
Weiterlesen
Ratgeber und verwandte Leistungen.
Ablauf eines Sicherheitsaudits
Von der Vorbereitung bis zum Bericht
Ratgeber
Sicherheitslücke und Schwachstelle
Begriffe und Einstufung
Ratgeber
IT-Härtung
Maßnahmen, die nach dem Audit am meisten bringen
Ratgeber
Penetration Testing
Angriffe kontrolliert nachstellen, bevor es andere tun
Leistung · L-07
ISO 27001 Beratung
Managementsystem für Informationssicherheit aufbauen und zur Zertifizierung führen
Leistung · L-02
NIS2-Beratung
Betroffenheit klären, Pflichten umsetzen, Nachweis führen
Leistung · L-01
Häufige Fragen zum IT Security Audit
Was prüft ein IT Security Audit?
Technik, Organisation und Menschen: Systeme und Konfiguration, Regeln und Rollen, Schulungsstand und Meldewege. Woran gemessen wird, legen wir vorab fest, etwa ISO/IEC 27001, § 32 NISG 2026 oder die Anforderungen eines Kunden.
Wie lange dauert ein Audit?
Das hängt von Umfang und Maßstab ab. Nach dem Vorgespräch erhalten Sie einen Vorschlag mit Prüftagen und Terminen.
Hilft der Bericht bei der Cyberversicherung?
Versicherer fragen vor Vertragsabschluss Sicherheitsmaßnahmen ab. Der Bericht zeigt, was vorhanden ist und was fehlt, und erleichtert so die Antworten. Wie der Versicherer entscheidet, liegt bei ihm.
Ersetzt das Audit den Prüfnachweis nach dem NISG 2026?
Nein. Den Nachweis nach § 33 Abs. 2 NISG 2026 erbringt eine unabhängige Stelle nach den Vorgaben der Cybersicherheitsbehörde, frühestens ab Oktober 2028. Unser Audit bereitet darauf vor.
Was passiert nach dem Audit?
Sie erhalten Bericht und Maßnahmenplan und entscheiden, was Sie selbst umsetzen. Auf Wunsch begleiten wir die Umsetzung, etwa als Virtual CISO.
Klarheit über Ihre Sicherheit.
Wir sagen Ihnen, wo Sie stehen und was zuerst zu tun ist.
- Telefon
- +43 1 3058463
- kontakt@sectec.at