Januar 7, 2025

ISO 27001 Audit Checkliste: So prüfen Sie Ihr ISMS richtig

Was ist ein internes ISO 27001 Audit?

Ein internes ISO 27001 Audit bewertet das Informationssicherheits-Managementsystem (ISMS) einer Organisation und prüft, ob es die Anforderungen der ISO 27001 erfüllt.
Im Gegensatz zum Zertifizierungsaudit wird es von eigenen, unabhängigen Mitarbeitenden durchgeführt. Ziel ist es, Schwachstellen und Verbesserungspotenziale aufzudecken und die Wirksamkeit des ISMS zu steigern.

Die Anforderungen an interne Audits sind in Kapitel 9.2 der ISO 27001 festgelegt.

Worum geht es in Kapitel 9.2 ISO 27001?

Kapitel 9.2 fordert, dass Organisationen regelmäßig interne Audits durchführen, um sicherzustellen, dass das ISMS:

  • den eigenen Richtlinien und Anforderungen entspricht,
  • die Normanforderungen der ISO 27001 erfüllt,
  • und ordnungsgemäß eingeführt und gepflegt wird.

Dazu müssen u. a. folgende Punkte erfüllt sein:

  • Ein Auditprogramm ist geplant, durchgeführt und aufrechterhalten.
  • Kriterien und Umfang jedes Audits sind definiert.
  • Auditoren werden nach Objektivität und Unabhängigkeit ausgewählt.
  • Audit-Ergebnisse werden dokumentiert und an das Management gemeldet.

Warum sind interne ISO 27001 Audits wichtig?

Interne Audits sind ein zentrales Element der kontinuierlichen Verbesserung. Sie bieten:

  • Früherkennung von Nichtkonformitäten, bevor sie Schaden anrichten.
  • Sicherstellung der Normkonformität und des internen Qualitätsniveaus.
  • Management-Transparenz über den Zustand des ISMS.
  • Sensibilisierung der Mitarbeitenden für Informationssicherheit.
  • Impulse zur Weiterentwicklung der Sicherheitskultur.

Kurz: Ein internes Audit stärkt die Informationssicherheit, die Compliance und das Vertrauen in Ihr ISMS.

Ablauf eines internen ISO 27001 Audits

Ein strukturiertes Vorgehen sorgt für Effizienz und Nachvollziehbarkeit. Folgende fünf Schritte haben sich bewährt:

1. Prüfung der Dokumentation

Überprüfen Sie ISMS-Dokumente, Richtlinien, Nachweise und Auditberichte. So erkennen Sie, ob Ihre Prozesse den definierten Anforderungen entsprechen und welche Stakeholder einbezogen werden müssen.

2. Review mit dem Management

Legen Sie Ziele, Zeitplan und Ressourcen für das Audit gemeinsam mit der Geschäftsführung fest. Frühzeitige Abstimmung vermeidet Konflikte und schafft Akzeptanz.

3. Überprüfung vor Ort

Führen Sie Gespräche mit Mitarbeitenden, prüfen Sie Nachweise, ISMS-Dokumente und Audit-Tests. Dokumentieren Sie die Ergebnisse in Auditberichten.

4. Analyse der Ergebnisse

Bewerten Sie alle Erkenntnisse systematisch im Kontext Ihres Risikobehandlungsplans und der Kontrollziele. So lassen sich Lücken oder Verbesserungsbedarfe erkennen.

5. Auditbericht

Fassen Sie alle Ergebnisse strukturiert zusammen:

  • Ziel, Umfang, Zeitrahmen
  • Management Summary
  • Detaillierte Ergebnisse und Verbesserungsvorschläge
  • Empfehlungen für Maßnahmen

Der Bericht bildet die Grundlage für den Aktionsplan der Geschäftsführung.

Wie oft sollte ein internes ISO 27001 Audit durchgeführt werden?

Die Norm gibt keine feste Frequenz vor.
Empfohlen wird jedoch, mindestens einmal jährlich ein internes Audit durchzuführen – oder häufiger bei wesentlichen Änderungen.

Da eine ISO 27001-Zertifizierung alle drei Jahre erneuert werden muss, sollte auch der Auditzyklus diesen Zeitraum vollständig abdecken.

Anforderungen an Auditoren

Die Norm schreibt vor, dass interne Audits unabhängig und objektiv durchgeführt werden müssen.
Auditoren dürfen nicht das auditieren, was sie selbst erstellt oder umgesetzt haben.

Optionen:

  • Interne Mitarbeitende mit entsprechender Schulung (z. B. ISO 27001 Internal Auditor).
  • Externe Fachkräfte, um Objektivität und Fachwissen zu erhöhen.

Grundprinzipien sind:

  • Sachkenntnis,
  • Objektivität,
  • Überparteilichkeit.

Wie läuft ein internes Audit praktisch ab?

Vor dem Audit sollte ein Zeitplan (z. B. Gantt-Diagramm) erstellt werden, um Konflikte mit Geschäftsaktivitäten zu vermeiden.
Auditiert werden bevorzugt risikorelevante Bereiche. Wichtig: Alle Ergebnisse müssen lückenlos protokolliert werden – inklusive:

  • Kontaktpersonen und befragte Abteilungen
  • Nachweise und Beobachtungen
  • Festgestellte Nichtkonformitäten
  • Verbesserungsvorschläge

Der Auditbericht wird anschließend dem Management präsentiert und bildet die Basis für Korrekturmaßnahmen und die Managementbewertung.

Fazit

Das interne Audit ist das Rückgrat eines funktionierenden ISMS.
Es belegt, dass:

  • ein ISMS etabliert und aktiv gepflegt wird,
  • die Führungsebene eingebunden ist,
  • und das Unternehmen kontinuierlich an seiner Informationssicherheit arbeitet.

Richtig umgesetzt, ist das interne ISO 27001 Audit nicht nur Pflicht, sondern ein wertvolles Steuerungsinstrument zur Stärkung der Sicherheits- und Compliance-Kultur im Unternehmen.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
ISO 27001 · Audit-Checkliste

Worauf es in der Praxis ankommt

Wie Sie Ihr ISMS selbst prüfen – und was dabei regelmäßig auffällt.

Prüfen Sie gegen Ihre eigenen Vorgaben, nicht nur gegen die Norm.
Die Norm verlangt beides. Die eigenen Regeln werden dabei häufiger verletzt als die Normanforderungen.
Nachweise schlagen Dokumente.
Eine Richtlinie belegt eine Absicht. Ein Protokoll mit Datum und Verantwortlichem belegt die Umsetzung.
Stichproben sind aussagekräftiger als Vollständigkeit.
Ein realer Austritt, eine reale Änderung, ein realer Vorfall zeigen mehr als jede Übersichtstabelle.
Wer prüft, darf nicht die eigene Arbeit prüfen.
Das gilt schon für die Selbstprüfung. Sonst entsteht ein Bild, das im externen Audit nicht standhält.
Ihr nächster Schritt

Die Prüfung ohne Vorbereitung

Der Readiness-Check geht die Normbereiche mit Ihnen durch und zeigt den Reifegrad je Bereich – mit den Punkten, die zuerst anzugehen sind.

Mehr zum Thema: Internes Audit · ISO 27001