ISO 27001 internes Audit: Checkliste nach Kapitel 9.2
Eine praxisnahe Checkliste, um zu prüfen, ob Ihr ISMS umgesetzt, wirksam und dauerhaft aufrechterhalten wird.
Ein internes Audit nach ISO 27001 ist die strukturierte Eigenprüfung Ihres Informationssicherheits-Managementsystems. Es soll zeigen, ob Ihr ISMS der ISO/IEC 27001:2022, den eigenen Anforderungen und dem Statement of Applicability entspricht – und ob es in der Praxis wirksam funktioniert.
Dieser Beitrag ist bewusst etwas anderes als die Checkliste zur Vorbereitung auf Stage 1 und Stage 2. Dort geht es um das Zertifizierungsaudit durch die Zertifizierungsstelle. Hier geht es um wiederkehrende interne Audits vor und nach der Zertifizierung, um Überwachungsaudits vorzubereiten und die Konformität dauerhaft zu erhalten.
Eine Checkliste macht das Audit vollständig und wiederholbar. Sie ersetzt nicht die fachliche Bewertung, die Stichprobe echter Nachweise oder die Wirksamkeitsprüfung.
Was Kapitel 9.2 fordert
Kapitel 9.2 verlangt interne Audits in geplanten Abständen. Die Organisation muss ein oder mehrere Auditprogramme planen, einrichten, umsetzen und aufrechterhalten. Dabei sind unter anderem die Bedeutung der betroffenen Prozesse, Veränderungen in der Organisation und die Ergebnisse früherer Audits zu berücksichtigen. Methoden, Verantwortlichkeiten, Planung und Berichterstattung müssen festgelegt sein.
Audits müssen objektiv und unparteiisch durchgeführt werden. Niemand sollte die eigene Arbeit auditieren. In kleinen Unternehmen kommen dafür ein geschulter Kollege aus einem anderen Bereich, ein Audit-Tausch mit einem Partnerunternehmen oder ein unabhängiger externer Auditor infrage. Die offizielle ISO-Seite zur ISO/IEC 27001:2022 beschreibt die Norm als Anforderungsstandard für den Aufbau, die Aufrechterhaltung und die fortlaufende Verbesserung eines ISMS.
Internes Audit, Zertifizierungsaudit und Managementbewertung
| Aktivität | Zweck | Typisches Ergebnis |
|---|---|---|
| Internes Audit | Konformität und Wirksamkeit prüfen, bevor Kunden, Vorfälle oder die Zertifizierungsstelle Probleme feststellen. | Auditplan, Nachweise, Feststellungen, Bericht und Maßnahmen. |
| Stage 1 / Stage 2 | Unabhängige Bewertung durch die Zertifizierungsstelle für die Erstzertifizierung. | Feststellungen und Zertifizierungsentscheidung. |
| Überwachungsaudit | Prüfen, ob das zertifizierte ISMS zwischen Rezertifizierungsaudits weiter funktioniert. | Feststellungen und Aufrechterhaltung der Zertifizierung. |
| Managementbewertung | Die oberste Leitung bewertet Eignung, Angemessenheit, Wirksamkeit und Verbesserungsbedarf. | Entscheidungen, Ressourcen, Ziele und Verbesserungsmaßnahmen. |
Ein risikobasiertes Auditprogramm aufbauen
- Audituniversum definieren: Erfassen Sie Scope, Prozesse, Standorte, Systeme, Lieferanten, Rollen und die im SoA geltenden Annex-A-Controls.
- Häufigkeit und Tiefe festlegen: Auditeren Sie risikoreiche oder stark veränderte Bereiche häufiger. Decken Sie das gesamte ISMS über den Programmzyklus angemessen ab.
- Frühere Ergebnisse einbeziehen: Wiederholte Abweichungen, überfällige Maßnahmen, Vorfälle, wesentliche Änderungen und schwache Kennzahlen erhalten Priorität.
- Unparteiischen Auditor benennen: Kompetenz, Unabhängigkeit und eventuelle Schutzmaßnahmen dokumentieren.
- Programm freigeben: Zeitpunkt, Methode, Kriterien, Verantwortlichkeiten und Berichtsweg festhalten.
Checkliste für das interne ISO-27001-Audit
Halten Sie für jede Frage Auditkriterium, geprüften Nachweis, befragte Person oder geprüfte Systemprobe, Ergebnis, Feststellungsnummer und Folgemaßnahme fest. Ersetzen Sie allgemeine Fragen durch Ihre konkreten Risiken, Prozesse und SoA-Einträge.
| Bereich | Prüffragen | Nachweise zur Stichprobe |
|---|---|---|
| Scope und Kontext | Entspricht der ISMS-Scope noch Leistungen, Standorten, Schnittstellen, interessierten Parteien sowie rechtlichen und vertraglichen Anforderungen? | Scope, Kontextbewertung, Anforderungsregister, Organisationsänderungen. |
| Führung und Ziele | Gibt die oberste Leitung Richtung, Ressourcen und messbare Informationssicherheitsziele vor? | Freigegebene Leitlinie, Ziele, Kennzahlen, Managemententscheidungen und Ressourcen. |
| Risikobewertung | Werden Kriterien, Werte, Bedrohungen, Auswirkungen, Verantwortliche und Akzeptanzentscheidungen einheitlich angewendet? | Risikomethodik, aktuelles Risikoregister, Bewertungen und akzeptierte Restrisiken. |
| Risikobehandlung und SoA | Lässt sich jedes wesentliche Risiko zu Behandlung, Control, Verantwortlichem und Nachweis zurückverfolgen? | Risikobehandlungsplan, Statement of Applicability, Maßnahmenstatus und Control-Nachweise. |
| Unterstützung und Kompetenz | Kennen Mitarbeitende ihre Sicherheitsaufgaben und erhalten sie passende Schulungen und Awareness? | Rollenbeschreibungen, Unterweisungen, Onboarding, Awareness-Tests und Kommunikation. |
| Operative Steuerung | Werden Sicherheitsprozesse wie Änderungen, Vorfälle, Lieferanten und dokumentierte Informationen wie geplant durchgeführt? | Tickets, Vorfallberichte, Lieferantenbewertungen, Freigaben, Verfahren und Versionierung. |
| Wirksamkeit der Annex-A-Controls | Funktionieren die anwendbaren Controls wie im SoA beschrieben, und werden Ausnahmen und Restrisiken gesteuert? | Stichproben zu Zugriffsreviews, Offboarding, Backups, Logs, Schwachstellen, physischen Prüfungen und Tests. |
| Leistungsbewertung | Werden Überwachung, Messung, interne Audits und Managementbewertungen für Trends und Entscheidungen genutzt? | Kennzahlen, Auditprogramm, frühere Berichte, Managementbewertung und Maßnahmenverfolgung. |
| Verbesserung | Werden Nichtkonformitäten ursächlich behoben und wird die Wirksamkeit nach Abschluss geprüft? | Feststellungen, Ursachenanalyse, Maßnahmen, Fristen und Wirksamkeitsprüfung. |
Annex-A-Controls sinnvoll stichproben
Übertragen Sie nicht einfach alle 93 Annex-A-Controls in eine allgemeine Ja/Nein-Liste. Die Ausgabe 2022 enthält 93 Controls; welche davon gelten und wie sie umgesetzt werden, legt die Organisation in ihrem Statement of Applicability fest. Wählen Sie Stichproben nach Risiko, Scope, Veränderungen und früheren Feststellungen.
Eine belastbare Nachweiskette lautet: Risiko → Behandlungsentscheidung → SoA-Control → Verfahren oder technische Konfiguration → Betriebsnachweis → Wirksamkeitsergebnis. Bei Zugriffskontrollen kann die Stichprobe zum Beispiel einen Joiner, Mover und Leaver von der Genehmigung über die Einrichtung bis zur Überprüfung und zeitnahen Deaktivierung verfolgen.
Feststellungen und Korrekturmaßnahmen dokumentieren
Formulieren Sie Feststellungen so, dass Anforderung, objektiver Nachweis und Lücke ohne weiteres Auditgespräch verständlich sind. Unterscheiden Sie Korrektur und Korrekturmaßnahme: Einen fehlenden Zugriffsreview nachzuholen ist eine Korrektur; Ursachen, Verantwortlichkeit, Erinnerung und Kontrollmechanismus zu verbessern, ist die Korrekturmaßnahme.
- Anforderung oder internes Kriterium nennen.
- Geprüften Nachweis und sachliche Abweichung beschreiben.
- Risiko bewerten und Verantwortlichen sowie Frist vereinbaren.
- Ursache untersuchen, statt nur ein Dokument umzuschreiben.
- Umsetzung und spätere Wirksamkeit vor dem Abschluss prüfen.
Aufbau eines internen Auditberichts
Ein guter interner Auditbericht sollte auch für Personen verständlich sein, die nicht am Audit teilgenommen haben. Er muss zeigen, was geprüft wurde, wie die Schlussfolgerung zustande kam und was als Nächstes passiert. Der Bericht darf knapp sein, sollte aber die Auditspur nachvollziehbar dokumentieren. Mindestens enthalten sein sollten:
- Auditdefinition: Ziel, Scope, Kriterien, Termine sowie die einbezogenen Bereiche oder Prozesse.
- Beteiligte und Unabhängigkeit: Auditoren, Teilnehmende, Verantwortlichkeiten und eine Erklärung, wie die Unparteilichkeit sichergestellt wurde.
- Methode und Grenzen: Auditmethoden, Interviews, Dokumentenprüfungen, Stichproben, geprüfte Systeme oder Standorte und eventuelle Einschränkungen.
- Ergebnisse: konforme Praktiken, Verbesserungschancen und Nichtkonformitäten – jeweils mit objektivem Nachweis und Bezug zur relevanten Anforderung.
- Nachverfolgung: Verantwortliche, Fristen, Prioritäten, Eskalationsweg und Vorgehen zur Wirksamkeitsprüfung.
- Fazit und Dokumentenlenkung: Schlussfolgerung zu Konformität und Wirksamkeit, Verteilung, Freigabe und Aufbewahrungsreferenz.
Praktische Tipps für dauerhafte Konformität
- Auditieren Sie geänderte Bereiche nach wesentlichen System-, Lieferanten-, Organisations- oder Rechtsänderungen zeitnah.
- Lassen Sie Prozessverantwortliche einen echten aktuellen Vorgang zeigen, nicht nur eine Leitlinie öffnen.
- Verknüpfen Sie Feststellungen mit Vorfällen, Risiken, SoA-Einträgen und Entscheidungen der Managementbewertung.
- Behalten Sie die Programmebene im Blick, damit kein risikoreicher Prozess über längere Zeit ungeprüft bleibt.
- Nutzen Sie das interne Audit zur Verbesserung des ISMS und nicht nur als zeremonielle Generalprobe für den externen Auditor.
Häufige Fragen
Wie oft muss ein internes ISO-27001-Audit stattfinden?
ISO 27001 verlangt Audits in geplanten Abständen und ein Auditprogramm. Eine einheitliche Frequenz für jeden Prozess schreibt die Norm nicht vor. Legen Sie die Häufigkeit nach Risiko, Bedeutung, Veränderungen und früheren Ergebnissen fest und decken Sie das ISMS über den Programmzyklus angemessen ab.
Müssen alle 93 Annex-A-Controls auditiert werden?
Nein. Prüfen Sie die für Ihre Organisation geltenden und im Statement of Applicability dokumentierten Controls sowie die Managementsystemanforderungen und eigenen ISMS-Anforderungen.
Darf der ISMS-Verantwortliche seine eigene Arbeit auditieren?
Das birgt ein Objektivitätsrisiko. Benennen Sie einen unparteiischen Auditor oder schaffen Sie Schutzmaßnahmen wie Peer-Review oder ein unabhängiges externes Audit.
Ist ein internes Audit nach der ISO-27001-Zertifizierung erforderlich?
Ja. Für ein aufrechterhaltenes zertifiziertes ISMS sind Leistungsbewertung und interne Audits in geplanten Abständen erforderlich. Das Auditprogramm zeigt, dass das System weiter umgesetzt wird und wirksam ist.
Weiterführende ISO-27001-Beiträge
Für die Vorbereitung auf das externe Audit lesen Sie die Stage-1- und Stage-2-Checkliste. Als Grundlagen helfen die Beiträge zur ISO-27001-Risikobewertung, zum Risikobehandlungsplan und zum Statement of Applicability.
Wie Sternberg Consulting unterstützt
Wir unterstützen KMU beim Aufbau risikobasierter Auditprogramme, bei unparteiischen internen Audits und bei wirksamen Korrekturmaßnahmen. Unsere ISO-27001-Beratung begleitet den gesamten ISMS-Lebenszyklus.
ISO/IEC 27001:2022 ist eine Anforderungsnorm für Informationssicherheits-Managementsysteme. Dazu gehört, ein ISMS aufrechtzuerhalten und fortlaufend zu verbessern. Interne Auditnachweise sollten deshalb ein lebendes System zeigen – keine statische Dokumentensammlung. Überblick ISO/IEC 27001:2022.