Vier bis sechs Wochen vor dem Stage-2-Audit hört die nützliche Frage auf, „Haben wir dafür eine Kontrolle?“ zu lauten, und wird zu „Können wir sie belegen — mit einer Stichprobe, die jemand anders ziehen könnte?“. Das People-Thema — die acht A.6-Kontrollen — ist die Stelle, an der diese Frage am härtesten trifft, weil die Nachweise in der HR liegen, nicht im ISMS-Tool. Dieser Selbstaudit geht alle acht Kontrollen als Nachweispaket durch: was beprobt wird, was „getestet” heißt und wie Sie Feststellungen beheben, bevor der Auditor sie schreibt.
Warum das People-Thema vor dem Auditor beprobt werden sollte
A.6-Nachweise lassen sich schnell beproben und sind ungewöhnlich aussagekräftig. Ein Auditor zieht drei junge Einstellungen und verfolgt sie vom Vertrag über die Screening-Akte bis zum Systemzugriff in unter einer Stunde — und was diese Spur zeigt, steht für die gesamte Kontrolle. Intern gilt dasselbe. Diese Spur einen Monat vor Stage 2 selbst zu ziehen, macht aus Überraschungen behebbare Feststellungen. Wer noch nicht weiß, was Auditoren in der ersten Stunde anfordern, beginnt mit den zehn Eröffnungsanfragen des Auditors; dieser Beitrag ist die Generalprobe dafür. Die zugrunde liegenden Kontrollerwartungen — was gute A.6.1-Nachweise ausmacht — stehen in den A.6.1-Nachweiserwartungen.
Die Methode des Selbstaudits
Wählen Sie drei bis fünf Nachweise je Kontrolle, aktuelle plus mindestens einen Sonderfall (Externer, Austritt, Rollenwechsel). Verfolgen Sie dann jeden Nachweis so, wie ein Auditor es täte: vom Ereignis (Einstellung, Schulung, Austritt) zum Beleg (Akte, Freigabe, Log) zur Konsequenz (Zugriff gewährt oder entzogen, Maßnahme ergriffen). Zwei Unterscheidungen zählen:
- Prüfen versus testen. Die ISO 19011 unterscheidet das Untersuchen von Nachweisen (prüfen) vom unabhängigen Verifizieren, dass etwas funktioniert (testen). Eine Akte sichten ist prüfen; die Akte gegen das Zugriffsprotokoll abgleichen ist testen. Stage 2 neigt zum Testen.
- Existenz versus Anwendung. Eine Richtlinie, die existiert, aber im letzten Quartal nicht in Aktion gezeigt werden kann, ist eine Dokumentationsfeststellung mit Ansage.
Feststellungen kommen in ein einfaches Protokoll: Kontrolle, Stichprobe, Beobachtung, Schwere, Behebung, Verantwortlicher, Datum. Dieses Protokoll wird die Eingangsgröße für Korrekturmaßnahmen.
A.6.1 Screening — der Gate-Nachweis
Die Screening-Kontrollen sind ausführlich in der Personalsicherheits-Checkliste behandelt; für den Selbstaudit laufen diese Zeilen gegen die letzten zehn Einstellungen:
- Matrix aktuell, jede junge Einstellung einer Stufe zugeordnet.
- Screening-Akte datiert vor dem ersten Zugriff, je beprobter Einstellung.
- Externe, Zeitarbeit und Agenturpersonal im Scope, mit Akten.
- Re-Screening-Auslöser dokumentiert und mindestens ein ausgelöster Fall bearbeitet.
- Pfad für unvollständige Prüfungen definiert und idealerweise ein Fall danach behandelt.
Die zwei Zeilen, die am häufigsten scheitern: Akte-vor-Zugriff (das Gate) und Externe-Abdeckung. Beide sind in Minuten sichtbar, wenn HR- und IT-Aufzeichnungen nebeneinanderliegen.
A.6.2 und A.6.6 — Vertrags- und NDA-Klauseln
Arbeitsverträge sollten die Sicherheitspflichten tragen, die das ISMS annimmt — akzeptable Nutzung, Richtlinienanerkennung, Meldepflichten — und NDAs/Vertraulichkeitsvereinbarungen müssen auf Externe und Dienstleister reichen, nicht nur auf Angestellte. Beproben Sie drei junge Verträge plus eine Dienstleistervereinbarung: schwache Fassungen sind generisches HR-Boilerplate ohne Bezug zur Informationssicherheitsrichtlinie, unterschrieben und nie wieder angesehen.
A.6.3 — Nachweise zu Awareness und Schulung
Nachweis heißt hier Reichweite, Inhalt und Daten: wer geschult wurde, wozu, wann — beim Onboarding und dann in einem definierten Rhythmus. Eine einzelne Onboarding-Session von vor zwei Jahren ist die Schwachstelle, die Auditoren aufspüren; eine aktuelle, datierte Aufzeichnung je Person ist die starke Form. Rollenspezifische Ergänzungen (Phishing für alle, sichere Entwicklung für Entwickler) bringen Glaubwürdigkeitspunkte zu fast null Kosten.
A.6.4 und A.6.5 — Disziplinarprozess und Austritt
Für A.6.4 ist das Artefakt ein dokumentierter Disziplinarprozess — und wenn kein Fall eingetreten ist, ist das in Ordnung, solange der Prozess existiert und kommuniziert ist. Existieren Fälle, werden sie beprobt. Für A.6.5 nehmen Sie zwei junge Austritte und zwei interne Rollenwechsel und verifizieren: Zugriff entzogen, Assets zurück, Vertraulichkeitspflichten nach Beendigung kommuniziert, Austritt dokumentiert. Die klassische Feststellung ist der Austritt, dessen Zugriff nie entfernt wurde — ein IT-Problem, das als HR-Nachweisproblem gelesen wird.
A.6.7 und A.6.8 — Mobiles Arbeiten und Meldewesen
Für A.6.7 ist der Nachweis, dass Regeln zum mobilen Arbeiten kommuniziert wurden und gelten — die Regeln selbst plus Bestätigung oder Anerkennung. Für A.6.8 muss der Meldekanal existieren, bekannt sein und mindestens etwas Nutzung zeigen; ein leeres Log wirft die Frage auf, ob überhaupt gemeldet wird. Ein oder zwei echte Einträge (auch kleinere Vorfälle) schlagen eine blütenreine Leere.
Das Nachweispaket: Was in 15 Minuten bereitliegen sollte
Legen Sie vor dem Auditfenster Ordner an, einen je Kontrolle, jeder mit vorgezogener Stichprobe: Screening-Akten mit Zugriffsgewährungen zu Einstellungen; Verträge mit Richtlinienanerkennung; Schulungsnachweise mit Daten; die Austrittscheckliste für Beendigungen; das Melde-Log; die Regeln zum mobilen Arbeiten. Das Ziel: Jede Anfrage aus der Eröffnungsliste des Auditors wird binnen fünfzehn Minuten beantwortet. Die Abrufgeschwindigkeit ist selbst ein Signal für eine funktionierende Kontrolle.
Selbstbewertung und Behebung vor Stage 2
Bewerten Sie jede Kontrolle rot / gelb / grün: rot = kein Nachweis vorhanden, gelb = Nachweise existieren, aber inkonsistent oder undatiert, grün = sauber durchgetestet. Beheben Sie nach Schwere: Zugriff-vor-Screening und fehlende Externe-Akten sind rote; undatierte Schulungsnachweise gelbe. Dokumentieren Sie die Behebungen als Korrekturmaßnahmen mit Verantwortlichen und Terminen; Auditoren akzeptieren eine frisch gefundene und behobene Lücke deutlich bereitwilliger als eine undokumentierte. Ist der Zeitplan eng, liefert wie lange die Behebung der Personal-Lücken realistisch dauert die Planungszahlen; KRITIS-Betreiber legen den sektorspezifischen Umsetzungsleitfaden für KRITIS darüber.
Häufige Fragen
Wie tief sollte ein internes Audit vor Stage 2 gehen?
Tief genug, um je Kontrolle eine echte Stichprobe gezogen und durchgetestet zu haben. Drei bis fünf Nachweise je Kontrolle, inklusive eines Sonderfalls, sind die praktische Basis — der Punkt ist, das schon gefunden zu haben, was der Auditor finden wird.
Wer sollte den Selbstaudit durchführen?
Jemand ohne Verantwortung für die beprobten Prozesse. In größeren Häusern ist das die interne Revision; in kleineren kann die ISMS-Leitung ihn führen, mit HR als Zulieferer — solange die Spur ehrlich gezogen wird statt defensiv.
Was, wenn wir zwei Wochen vor Stage 2 Lücken finden?
Als Korrekturmaßnahmen mit Verantwortlichen und Terminen dokumentieren, die roten sofort beheben (Zugriffs-Gates, Externe-Akten) und das Protokoll präsentabel halten. Auditoren unterscheiden zwischen Lücken, die aufgetaucht und gemanagt wurden, und solchen, die unbekannt waren.
Ist die Checkliste außerhalb von ISO 27001 relevant?
Das People-Thema bildet NIS2/BSIG- und KRITIS-Erwartungen eng ab — das Nachweispaket dient damit gleichzeitig der Vorbereitung auf diese Regime, nützlich bei mehr als einem Rahmenwerk.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.