Internes Audit nach ISO 27001
ISO 27001 verlangt in Kapitel 9.2 ein internes Auditprogramm, das alle Normanforderungen und alle im Statement of Applicability als anwendbar erklärten Controls abdeckt.
Der Auditor muss unparteiisch sein — und damit fällt der interne Informationssicherheitsbeauftragte für seinen eigenen Bereich aus. Ich führe das Audit vollständig remote durch: Auditplan, Nachweisprüfung, Interviews per Videokonferenz, Bericht. Keine Reisekosten, kein Vor-Ort-Termin, der drei Wochen Vorlauf braucht.
Was Sie bekommen
- Risikobasierter Auditplan mit Scope, Nachweisliste und Auftaktgespräch
- Prüfung des Normteils: Kontext und Führung (Kap. 4–6), Ressourcen und Betrieb (Kap. 7–8), Bewertung und Verbesserung (Kap. 9–10)
- Prüfung des Annex A: organisatorische, personelle, physische und technologische Controls
- Auditbericht mit klassifizierten Feststellungen — Nichtkonformität major, minor, Verbesserungspotenzial — inklusive Nachweisdokumentation
- Abschlussgespräch, in dem die Feststellungen erklärt werden, statt sie nur zuzustellen
Leistungen im Einzelnen
- Vollaudit, bis 100 Mitarbeitende
- Vollaudit, bis 300 Mitarbeitende
- Vollaudit, bis 600 Mitarbeitende
- Vollaudit, bis 1.000 Mitarbeitende, im Zwei-Personen-Team
- Größere Organisationen und Konzernstrukturen — Scoping vorab
- Dreijahresvertrag mit jährlichem Vollaudit
- Programmmatrix als Einzelleistung, risikobasierte Mehrjahresplanung
- Teilaudit einzelner Kapitel oder Controlgruppen — etwa der Bereich, den Ihr ISB nicht selbst auditieren darf
Jede Leistung wird als Festpreis mit schriftlich definiertem Umfang und benanntem Lieferdatum angeboten. Den Preis nennen wir im Erstgespräch, sobald der Umfang feststeht.
Der Regelfall ist das jährliche Vollaudit
Ob der Vollumfang jedes Jahr geprüft sein muss oder über den dreijährigen Zertifizierungszyklus verteilt werden darf, wird uneinheitlich ausgelegt — gängige Leitfäden widersprechen sich hier offen, und welche Auffassung Ihr konkreter Zertifizierungsauditor vertritt, wissen Sie vorher meistens nicht. Deshalb biete ich die Verteilung über den Zyklus nicht von mir aus an: Das jährliche Vollaudit ist die Variante, die in jeder Auslegung trägt.
Vor der Erstzertifizierung gibt es ohnehin keinen Zyklus. Bis zum Stage 2 muss der gesamte Scope einmal vollständig intern auditiert worden sein. Wer erstmals zertifiziert, braucht das Vollaudit — ein Teilaudit hält der Prüfung nicht stand.
Teilaudits liefere ich, wenn Sie selbst verteilen. Wenn Sie ein eigenes dokumentiertes Mehrjahresprogramm haben, prüfe ich die beauftragte Scheibe und ordne sie im Bericht Ihrem Programm zu — mit der Angabe, welcher Teil offen ist und wann er geprüft wird. Ohne diesen Satz würde ein Umfang bescheinigt, den es nicht gibt.
Physische Controls im Remote-Audit
Prüfbar sind Zutrittskonzept, Berechtigungslisten, Zutrittsprotokolle sowie Wartungs- und Entsorgungsnachweise, ergänzt um eine geführte Videobegehung oder datierte Fotodokumentation. Die Einschränkung wird im Auditbericht dokumentiert — sonst fragt die Zertifizierungsstelle im Stage 2 danach.
Abgrenzung
Wenn ich Ihr Informationssicherheits-Managementsystem aufbaue, auditiere ich es nicht — dafür brauchen Sie dann einen anderen Auditor. Den Aufbau finden Sie unter Managementsystem aufbauen. Entscheiden Sie sich einmal, welche der beiden Leistungen Sie bei mir kaufen; beides gleichzeitig gibt es nicht, und wer Ihnen beides verkauft, produziert einen Befund für die Zertifizierungsstelle.