ISO 27001 Audit, IT-Audit und Lieferantenaudit

Ein ISO 27001-Audit prüft, ob das Informationssicherheits-Managementsystem (ISMS) die Anforderungen der Norm erfüllt und wirksam betrieben wird. Konkret werden die ISMS-Dokumentation (Richtlinien, Risikobeurteilung, Statement of Applicability), die Umsetzung der anwendbaren Annex-A-Controls, die Nachweise für Management-Reviews und interne Audits sowie die gelebte Praxis im Tagesgeschäft geprüft. Auditor:innen führen Interviews mit Mitarbeitenden, sichten Dokumente und verfolgen Prozesse stichprobenartig nach.

Ein IT-Audit ist eine systematische Prüfung der IT-Infrastruktur, IT-Prozesse und IT-Sicherheitsmaßnahmen eines Unternehmens. Dabei werden technische Konfigurationen, Zugriffskontrollen, Patch-Management, Backup-Strategien und die Einhaltung interner Richtlinien bewertet. Das Ergebnis ist ein Bericht mit identifizierten Schwachstellen, Risikobewertungen und konkreten Handlungsempfehlungen. IT-Audits können als eigenständige Prüfung oder als Teil eines umfassenderen Sicherheitsaudits durchgeführt werden.

Ein Sicherheitsaudit folgt einem strukturierten Ablauf in vier Phasen: In der Vorbereitung werden Scope, Ziele und Prüfkriterien festgelegt. Bei der Dokumentenprüfung werden bestehende Richtlinien, Prozessbeschreibungen und Nachweise gesichtet. In der Vor-Ort-Prüfung oder Remote-Session werden Systeme, Konfigurationen und Abläufe in der Praxis überprüft. Abschließend werden die Ergebnisse in einem Auditbericht dokumentiert, der Feststellungen, Risikobewertungen und einen Maßnahmenplan enthält.

ISO 27001 fordert regelmäßige interne Audits in geplanten Abständen. In der Praxis bedeutet das mindestens einmal jährlich ein vollständiges internes Audit des ISMS. Für zertifizierte Unternehmen kommen jährliche Überwachungsaudits durch den Zertifizierer hinzu. Nach drei Jahren steht ein Rezertifizierungsaudit an. Unabhängig von diesen Pflichten empfiehlt sich die Durchführung anlassbezogener Audits, etwa nach Sicherheitsvorfällen, organisatorischen Änderungen oder der Einführung neuer Systeme.

Die Dauer hängt vom Prüfumfang und der Größe des Geltungsbereichs ab. Ein internes ISMS-Audit mittlerer Größe umfasst in der Regel ein bis drei Tage Vor-Ort-Prüfung. Die eigentliche Dokumentenprüfung erfolgt vorab und bindet Ihr Team nur punktuell. Während der Prüfung führen wir stichprobenartig Interviews mit Verantwortlichen, meist 30 bis 60 Minuten pro Person. Der laufende Betrieb wird nicht unterbrochen. Nach Abschluss erhalten Sie einen strukturierten Auditbericht inklusive Maßnahmenplan.

Der Prüfumfang richtet sich nach der Kritikalität des Lieferanten, dem Zugriff auf sensible Daten oder Systeme und den regulatorischen Anforderungen an Ihre Branche. Remote-Audits eignen sich für standardisierte Prüfungen, Vor-Ort-Audits für sicherheitskritische Dienstleister. Im Erstgespräch klären wir gemeinsam den Scope, die Prüfkriterien und die Priorisierung. Das Ergebnis ist ein nachvollziehbarer Auditbericht, den Sie als Compliance-Nachweis gegenüber Kunden und Aufsichtsbehörden einsetzen können.