ISO 27001 Audit: Was Auditoren zuerst verlangen

Im Stage-2-Audit nach ISO 27001 prüft der Auditor, ob das ISMS in der Praxis lebt: Die Prüfung beginnt bei der Statement of Applicability und den Risikounterlagen und zieht dann Stichproben aus operativen Nachweisen wie den Screening-Unterlagen und Zugriffsberechtigungen der letzten Neueinstellungen. Die ersten Anforderungen folgen einer festen Logik: Scope, Risikomethodik und SoA kommen zuerst, weil jede spätere Antwort an ihnen gemessen wird. Dann beginnt das Sampling: internes Audit, Managementreview, Korrekturmaßnahmen, Personaldokumentation, Lieferanten, Vorfälle. Zehn Anforderungen decken nahezu jede Eröffnung ab, und jede hat eine erkennbar schwache Antwort.

Was verlangt ein Stage-1-Audit auf Papier?

Stage 1 ist die Dokumentationsprüfung, und sie kann das Projekt stoppen, bevor Stage 2 überhaupt gebucht ist. Die Zertifizierungsstelle prüft die ISMS-Dokumentation und die Reife: von der Plausibilität des Scopes über die ISMS-Policy, die Risikoanalyse, die Statement of Applicability und die Ergebnisse interner Audits bis zum Managementreview. Fehlt die Nachweisreife, bricht der Prozess dort ab. Vorbereitung bedeutet in dieser Phase, dass die Unterlagen lückenlos vorliegen, nicht dass Antworten für ein Gespräch einstudiert werden, das noch nicht terminiert ist. Wer früher im Prozess steht, findet den vollständigen Zertifizierungsweg in der ISO 27001 Übersicht für regulierte Unternehmen.

Welche Dokumente verlangt ein ISO 27001 Auditor zuerst?

Stage 2 wechselt vom Papier zur Praxis: Zufallsstichproben, Interviews mit Informationssicherheitsbeauftragten (ISB), der Geschäftsführung, IT-Administratoren und zufällig ausgewählten Mitarbeitern, dazu direkte Beobachtung. Die folgenden Anforderungen eröffnen die meisten Stage-2-Audits, ungefähr in dieser Reihenfolge. Jeder Punkt nennt, was der Auditor eigentlich prüft, und wie eine schwache Antwort klingt.

1. „Zeigen Sie mir Ihre ISMS-Scope-Erklärung.“ Der Scope (Kapitel 4.3) definiert, was das Zertifikat abdecken wird, und jede spätere Antwort wird an dieser Grenze gemessen. Auditoren beginnen damit, weil ein spät entdeckter Widerspruch alles Vorangegangene entwertet; das BSI warnt ausdrücklich vor zu eng geschnittenen Scopes bei regulierten Diensten. Schwach: ein vorgefertigter Satz mit Standorten und Abteilungen, den die dokumentierten Prozesse nicht abdecken.

2. „Führen Sie mich durch Ihre Risikomethodik.“ Bevor der Auditor eine einzelne Risikobewertung ansieht, prüft er, ob eine dokumentierte Methodik existiert: Kriterien, Skalierung, Verantwortliche, Prüfrhythmus. Die Methodik macht Bewertungen über Jahre vergleichbar, deshalb kommt sie vor dem Risikoregister selbst. Schwach: eine Tabelle, in der Scores ohne Kriterien oder Daten stehen, sodass der Auditor keine einzige Bewertung nachvollziehen kann.

3. „Geben Sie mir Ihre Statement of Applicability.“ Die SoA ist zwingend zu dokumentierende Information nach Kapitel 6.1.3 d und das Inhaltsverzeichnis des gesamten ISMS: welche der 93 Anhang-A-Kontrollen gelten, welche ausgeschlossen sind und warum. Auditoren beginnen damit, weil jede spätere Kontrolle an diesem Dokument hängt. Schwach: alle 93 Kontrollen als anwendbar markiert ohne Begründung, oder Ausschlüsse, die der Realität nicht mehr entsprechen.

4. „Zeigen Sie mir Ihr internes Auditprogramm und seine Ergebnisse.“ Ein ISMS, das sich nie selbst prüft, kann keine Verbesserung belegen, darum ist das laufende Programm nach Kapitel 9.2 eine Voraussetzungsfrage. Ein oberflächliches internes Audit, das nur Bestätigungen einsammelt, gegenseitiges Beklatschen, ist ein klassischer Stage-2-Befund. Schwach: eine einzige hastige Prüfung wenige Wochen vor Stage 2, eine leere Befundliste, kein Beleg, dass je etwas nachverfolgt wurde.

5. „Wann hat die Leitung das ISMS zuletzt reviewt, und was hat sie entschieden?“ Das Managementreview nach Kapitel 9.3 prüft, ob die Führung das System wirklich steuert. Der Auditor liest in den Protokollen nach Entscheidungen, nicht nach Statusprosa, denn datierte Entscheidungen zeigen, dass Sicherheit Gewicht hat. Schwach: Protokolle, die den Projektstatus wiederholen, keine Entscheidung nennen und keine Beteiligung der Leitung seit dem letzten Zyklus belegen.

6. „Zeigen Sie mir die Korrekturmaßnahmen aus Ihren letzten Befunden.“ An den Abweichungen und Korrekturmaßnahmen (Kapitel 10) zerbricht meist das Papier-ISMS. Der Auditor verfolgt einen Befund vom internen Audit bis zur dokumentierten Schließung und prüft, ob die Maßnahme wirkte. Schwach: Befunde, die seit Monaten ohne Verantwortlichen offen stehen, oder eine Schließung im Log ohne jeden Wirksamkeitsnachweis.

7. „Zeigen Sie mir die letzten Neueinstellungen, ihre Screening-Unterlagen und ihre Zugriffsberechtigungen.“ Dieses dokumentierte Stage-2-Beispiel prüft die People-Kontrollen an ihrem Eingangstor: Wurde jede Person vor der Zugriffserteilung geprüft, rollengerecht und mit einem Nachweis? Schwach: ein unterschriebener Lebenslauf als Screening, eine informelle „Ich kenne ihn, er ist verlässlich”-Antwort, oder keinerlei Unterlagen für Personen, die schon vor dem ISMS eingestellt wurden.

8. „Zeigen Sie mir Ihre Awareness- und Schulungsunterlagen.“ Kontrolle A.6.3 ist schnell gesampelt und entblößt zügig ein Programm ohne Substanz: Wer wurde geschult, wann, und erreichte der Inhalt alle im Scope? Schwach: eine Policy, die jährliche Schulung verspricht, Teilnehmerlisten von einer Session, und nichts, das belegt, dass seitdem jemand etwas gelernt hat.

9. „Wählen Sie einen kritischen Lieferanten und zeigen Sie mir dessen Sicherheitsarrangements.“ Lieferantensicherheit wird geprüft, indem eine Beziehung Ende-zu-Ende durchschritten wird: Vertragsklauseln, Sicherheitsanforderungen, Prüfnachweise und was geschieht, wenn der Lieferant versagt. Schwach: eine Lieferantenliste ohne Sicherheitsklauseln in den Verträgen, oder jährliche Lieferantenreviews, die als Vorlage existieren, aber nie mit Ergebnissen gefüllt wurden.

10. „Zeigen Sie mir Ihre Vorfall- und Ereignisunterlagen.“ Ein stilles Vorfalllog ist selbst ein Warnsignal: Ereignisse passieren in jeder Organisation, und die eigentliche Frage ist, ob sie gemeldet, bewertet und dokumentiert werden. Der Auditor greift einen Vorfall heraus und verfolgt ihn bis zu den Lessons Learned. Schwach: ein leeres Log mit der Erklärung „nichts passiert”, oder Vorfälle, die in einem Chatkanal gelöst wurden und nie in das ISMS eingingen.

Warum Auditoren früh Personaldokumentation prüfen

Auditoren erreichen die Personenstichprobe früh im Stage 2 aus einem praktischen Grund: Die Unterlagen sind schnell verifiziert und sagen ungewöhnlich viel über die ISMS-Reife. Screening-Unterlagen der letzten Neueinstellungen nach A.6.1, unterschriebene Arbeitsverträge und NDAs nach A.6.2 und A.6.6, Schulungsnachweise nach A.6.3, ein kommunizierter Disziplinarprozess nach A.6.4: jedes ist ein kurzes Dokument, das entweder existiert, datiert und nachvollziehbar, oder nicht existiert. Bei regulierten Firmen gehen die Fragen tiefer: Was wurde für wen geprüft, vor welcher Zugriffserteilung, und wie wird die Nachprüfung ausgelöst, wenn Rollen sich ändern.

Genau an dieser Naht wird Mitarbeiterüberprüfung zum ISMS-Nachweis. Strukturierte, dokumentierte, nachvollziehbare Überprüfung zentraler Personen, aus Registerdaten, Sanktions- und Adverse-Media-Prüfungen sowie der Beschäftigungshistorie und abgeschlossen mit menschlicher Endkontrolle, erzeugt Unterlagen mit den Eigenschaften, die Auditoren wie Datenschutzbeauftragte suchen: nachvollziehbare Quellen, Daten, eine dokumentierte Entscheidung, Aufbewahrung, die das BDSG respektiert. Der Indicium-Bericht ist für diese Klasse von Nachweisen gebaut. Die Kontrolle selbst, inklusive ihres exakten Wortlauts, behandelt der Artikel ISO 27001 A.6 Personalsicherheit.

Häufige Fragen

Was ist der Unterschied zwischen Stage 1 und Stage 2?

Stage 1 prüft die ISMS-Dokumentation und die Reife und kann den Prozess stoppen, wenn das System nicht bereit ist. Stage 2 ist das Vor-Ort-Wirksamkeitsaudit mit Dokumenten-Stichproben, Interviews und direkter Beobachtung. Die Zertifizierungsentscheidung folgt erst nach Stage 2 und nachdem alle Abweichungen bereinigt sind.

Brauche ich vor dem Zertifizierungsaudit ein internes Audit?

In der Praxis ja. Interne Audit-Ergebnisse und das Managementreview gehören zu den ersten Unterlagen, die ein Stage-1-Prüfer verlangt, weil sie belegen, dass das ISMS sich selbst bewertet. Ein Programm, das nur auf Papier existiert, wird in Stage 2 als Befund auftauchen.

Was passiert bei einer Abweichung?

Befunde werden nach Schwere klassifiziert. Eine wesentliche Abweichung blockiert das Zertifikat, bis ein Follow-up-Audit die Korrektur bestätigt; geringfügige Abweichungen erhalten eine Korrekturfrist, in der Praxis üblicherweise rund 90 Tage. Das Zertifikat wird erst ausgestellt, wenn jede Abweichung korrigiert oder akzeptiert ist, weshalb schwache Nachweise genau dort Zeit kosten, wo sie harmlos wirken.

Wie oft finden Überwachungsaudits statt?

Mindestens einmal pro Kalenderjahr während der dreijährigen Zertifikatsperiode, mit der ersten Überwachung spätestens zwölf Monate nach der Zertifizierung. Überwachungsaudits sind stichprobenbasiert und greifen frühere Befunde wieder auf, sodass ungelöste Schwächen zurückkehren. Buchen Sie Kapazität früh: Stage-2-Slots großer Zertifizierungsstellen waren durch NIS2- und DORA-Projekte Monate im Voraus belegt, und die Stelle sollte die DAkkS-Akkreditierung für ISO/IEC 27001 besitzen.

Dieser Artikel liefert allgemeine Informationen zu ISO 27001 Audits und Auditvorbereitung; er ersetzt keine Rechtsberatung.