ISMS Auditor – interne Audits nach ISO 27001
Interne Audits sind nicht „Pflichtübung“, sondern dein stärkstes Werkzeug, um Schwachstellen zu finden, bevor es ein externes Audit oder ein Sicherheitsvorfall tut. Als ISMS Auditor führe ich interne Audits nach ISO 27001 strukturiert durch – mit klaren Findings, nachvollziehbaren Nachweisen und einer Maßnahmenlogik, die wirklich umgesetzt wird.
Was ein internes ISO-27001-Audit liefert
- Objektive Sicht: Was ist wirksam, was ist nur dokumentiert?
- Auditfeste Nachweise: Evidence-Lücken sichtbar machen
- Priorisierte Findings: Risiko statt Pingeligkeit
- Verbesserungsplan: konkrete Maßnahmen, Owner, Fristen, Wirksamkeitscheck
Leistungen
- Stichproben auf Scope, SoA, Risk Register, Evidence-Struktur
- Ergebnis: Gap-Liste + Quick-Wins + Empfehlungen zur Nachweisführung
- Auditplanung (Auditprogramm, Scope, Kriterien, Stichproben)
- Interviews + Dokumentenprüfung + Evidence-Prüfung
- Bewertung (Conformities / Nonconformities / Observations)
- Auditbericht inkl. Findings, Risiken, Empfehlungen
- Tracking der Korrekturmaßnahmen (Owner, Termine, Status)
- Follow-up-Audit / Wirksamkeitscheck
- Evidence-Map, Interview-Vorbereitung, „Audit-Storyline“
- Simulation kritischer Fragen / Trockenlauf
Typische Auditbereiche
- ISMS-Management: Kontext, Scope, Rollen, KPI/Reviews
- Risikomanagement: Methodik, Aktualität, Behandlung, Akzeptanzen
- SoA/Controls: Begründungen, Umsetzung, Wirksamkeit, Nachweise
- Asset- & Zugriffsmanagement (Identity, Berechtigungen, Joiner/Mover/Leaver)
- Incident Management & Lessons Learned
- Supplier/Cloud: Anforderungen, Kontrollen, Monitoring
- Awareness/Schulungen: Nachweise, Zielgruppen, Wirksamkeit
Deliverables
- Auditplan + Auditcheckliste (auf euren Scope angepasst)
- Auditbericht mit Findings (inkl. Klassifizierung)
- Maßnahmenliste (Owner/Fristen/Wirkung)
- Evidence-Gap-Übersicht („welcher Nachweis fehlt wo?“)
- Follow-up-Protokoll / Wirksamkeitscheck
Ablauf eines internen Audits
Vorbereitung: Scope, Kriterien, Zeitplan, Stichprobenplan
Durchführung: Interviews, Dokumente, Evidence-Prüfung
Bewertung: Findings, Ursachen, Risiken, Prioritäten
Abschlussgespräch: Klartext + nächste Schritte
Follow-up: Maßnahmenprüfung, Wirksamkeit, Abschluss
Für wen passt das?
- Unternehmen mit bestehendem ISMS, die auditfest werden wollen
- Teams, die wiederkehrende interne Audits strukturiert etablieren möchten
- Organisationen, die vor Zertifizierungs-/Überwachungsaudits Sicherheit brauchen
FAQ
Wie oft müssen interne Audits stattfinden?
ISO 27001 verlangt interne Audits in geplanten Intervallen. In der Praxis ist ein jährliches Auditprogramm üblich, mit Schwerpunkt-Audits je nach Risiko.
Sind interne Audits auch sinnvoll ohne Zertifizierungsabsicht?
Ja – weil du Wirksamkeit prüfst, Risiken reduzierst und Security-Reife aufbaust.
Wie neutral ist ein externer Auditor?
Sehr. Gerade wenn interne Ressourcen in Aufbau/Betrieb stecken, bringt externe Auditierung die gewünschte Unabhängigkeit.