Schreibtisch mit Audit-Checkliste und Timer

Ein ISO 27001 internes Audit ist die formale Prüfung, die nachweist, dass Ihr ISMS tatsächlich so funktioniert, wie es Ihre Dokumentation beschreibt – und damit die Anforderung aus Kapitel 9.2 nach geplanten, evidenzbasierten Reviews erfüllt. Die wichtigste Maßnahme, um dauerhaft zertifizierungsbereit zu bleiben, ist der Aufbau eines risikobasierten Auditprogramms, das die Kapitel 4 bis 10 sowie die anwendbaren Annex-A-Maßnahmen nach einem rollierenden Zeitplan abdeckt – durchgeführt von Auditoren, die nicht ihre eigene Arbeit prüfen. Ohne diese Struktur kämpfen Sie sich durch jeden Zyklus, anstatt kontinuierliche Fortschritte zu verzeichnen.

Zusammenfassung:

Ein risikobasiertes Auditprogramm, das Hochrisikobereiche und frühere Feststellungen priorisiert, maximiert die Audit-Effizienz und reduziert unnötige Prüfungen in Niedrigrisikobereichen.

Auditoren müssen von den von ihnen geprüften Maßnahmen unabhängig sein, um Objektivität zu gewährleisten – Rotation und dokumentierte Unabhängigkeitserklärungen sind entscheidend.

Die Erstellung eines Auditplans rückwärts ausgehend vom Zertifizierungstermin stellt sicher, dass Feststellungen rechtzeitig geschlossen werden und kein Last-Minute-Stress entsteht.

Die Beweiserhebung muss Stichprobenentnahmen und Dokumentation umfassen, um Lücken korrekt zu identifizieren, ohne sich auf Annahmen oder unvollständige Aufzeichnungen zu stützen.

Strukturierte Werkzeuge wie Reifegradbeurteilungen und Gantt-Zeitpläne helfen, den Auditumfang zu priorisieren, den Fortschritt zu verfolgen und kontinuierliche Verbesserung nachzuweisen.

Inhaltsverzeichnis

Was fordert Kapitel 9.2 tatsächlich?
Wie erstellt man ein risikobasiertes Auditprogramm?
Wie sieht der interne Auditprozess Schritt für Schritt aus?
Was gehört auf eine ISO 27001 interne Audit-Checkliste?
Wie sollten Feststellungen berichtet und Korrekturmaßnahmen verfolgt werden?
Was sind die häufigsten Feststellungen und wie verhindert man sie?
Welche Werkzeuge beschleunigen die Auditvorbereitung?
Was machen Praktiker bei internen Audits falsch?
Auditbereit werden – ohne Rätselraten beim Zeitplan
Wo finden Sie die Norm und Vorlagen?
Quellen

Was fordert Kapitel 9.2 tatsächlich?

Kapitel 9.2 gliedert sich in zwei Teile, und die meisten Compliance-Verantwortlichen verinnerlichen nur einen davon vollständig. Kapitel 9.2.1 definiert das Ziel: Die Organisation muss interne Audits in geplanten Abständen (Häufigkeit durch die Organisation festzulegen) durchführen, um zu ermitteln, ob das ISMS den eigenen Anforderungen entspricht, der ISO/IEC 27001 konform ist sowie wirksam umgesetzt und aufrechterhalten wird. Kapitel 9.2.2 regelt die Methodik: Planung, Einrichtung, Umsetzung und Aufrechterhaltung eines Auditprogramms – einschließlich Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung.

Das Wort „wirksam" leistet mehr Arbeit, als die meisten Menschen ihm zuschreiben. Ein Auditor prüft nicht nur, ob ein Richtliniendokument vorhanden ist. Er prüft, ob jemand es befolgt, ob die Maßnahme das Risiko tatsächlich reduziert und ob Aufzeichnungen dies belegen.

Die Unabhängigkeit der Auditoren ist keine Empfehlung in einer Fußnote. Sie ist grundlegend für das gesamte Kapitel. Das Institute of Internal Auditors stellt klar, dass Auditoren nicht ihre eigene Arbeit prüfen dürfen, und Organisationen benötigen einen nachvollziehbaren Nachweis der Unabhängigkeit – sei es durch einen externen Auftragnehmer oder einen geschulten Mitarbeiter aus einer anderen Abteilung, der Maßnahmen überprüft, an deren Gestaltung er nicht beteiligt war.

Interne Audits zahlen sich über das Zertifikat hinaus aus: Sie sind der primäre Input für den Managementbewertungsprozess nach Kapitel 9.3 und die kontinuierliche Verbesserung nach Kapitel 10. Ohne fundierte Audit-Feststellungen wird die Managementbewertung zu einem Pro-forma-Termin ohne echten Inhalt, und Ihr Verbesserungszyklus entbehrt eines Evidenzpfads zur Begründung von Änderungen.

Was ein konformes Kapitel-9.2-Programm mindestens benötigt:

Ein von der Leitung genehmigtes, jährlich aktualisiertes dokumentiertes Auditprogramm
Festgelegter Umfang und Kriterien für jedes einzelne Audit
Auditoren, die gezielt zur Vermeidung von Interessenkonflikten ausgewählt werden
Berichtete Ergebnisse, die an die zuständige Führungsebene weitergeleitet – und nicht abgelegt und vergessen – werden
Aufbewahrte Auditnachweise und -ergebnisse als dokumentierte Information

Zertifizierungsstellen beanstanden eine schwache Umsetzung von Kapitel 9.2 regelmäßig – meist weil Organisationen das Auditprogramm als Pflichtübung behandeln statt als lebendiges Managementwerkzeug, das es sein soll.

Wie erstellt man ein risikobasiertes Auditprogramm?

Ein Programm nach dem Motto „alles einmal jährlich in beliebiger Reihenfolge auditieren" verschwendet Ihre besten Auditoren für risikoarmen Papierkram, während Hochrisikobereiche zwei Jahre zwischen echten Prüfungen vergehen sehen. Ein risikobasierter Jahresplan löst dieses Problem, indem er die Aufmerksamkeit dort konzentriert, wo Risikobeurteilung und frühere Feststellungen dies verlangen.

Sechs Elemente gehören in jedes Auditprogrammdokument:

Umfang — welche Standorte, Geschäftsbereiche, Systeme und Kapitel jedes Audit abdeckt
Häufigkeit — wie oft jeder Bereich geprüft wird, abhängig vom Risikoniveau statt eines festen Kalenders
Kriterien — welche Normkapitel, internen Richtlinien und gesetzlichen Anforderungen gelten
Methoden — Dokumentenprüfung, Interviews, Stichproben, technische Tests oder eine Kombination
Auditorzuweisung — wer jedes Audit durchführt, mit angehängter Unabhängigkeitsprüfung
Berichtsrhythmus — wann Feststellungen die Führungsebene erreichen und wie Korrekturmaßnahmen verfolgt werden

Die Priorisierung sollte zwei Signalen folgen: Risikoeinstufungen und Verlaufsdaten. Maßnahmen, die mit hochwirksamen Risiken verbunden sind (Verschlüsselung von Kundendaten, Management privilegierter Zugänge, Lieferantensicherheit), verdienen eine jährliche oder sogar halbjährliche Prüfung. Risikoärmere administrative Maßnahmen können in einem Zwei- oder Dreijahresrhythmus rotieren, ähnlich den rollierenden Mehrjahresplänen, die viele reife Programme verwenden. Jeder Bereich mit einer früheren Feststellung – ob schwerwiegend oder geringfügig – rückt automatisch in der Warteschlange nach vorn, bis er zwei aufeinanderfolgende saubere Audits abgeschlossen hat.

Ein praktischer 12-Monats-Rhythmus sieht folgendermaßen aus: vierteljährliche Mini-Audits, die jeweils zwei bis drei Hochrisikobereiche abdecken, ein umfassendes Jahresaudit für alle noch nicht geprüften Bereiche sowie ein Voraudit, das ausreichend vor dem externen Überwachungs- oder Rezertifizierungsbesuch geplant wird. Evidenzfristen sollten mindestens zwei Wochen vor Beginn der Prüfungstätigkeit liegen – nicht am Vorabend –, denn dieser Puffer ist es, der fehlende Nachweise aufdeckt, solange noch Zeit bleibt, sie zu beschaffen.

Weisen Sie jedem Bereich einen namentlich genannten Verantwortlichen zu – nicht nur einen Verantwortlichen für das Programm selbst. Die Person, die für die Zugriffskontroll-Evidenz zuständig ist, sollte nicht dieselbe Person sein, die dieses Audit durchführt.

Praxistipp: Erstellen Sie Ihren Auditkalender rückwärts ausgehend vom Besuchsdatum der Zertifizierungsstelle, nicht vorwärts ab dem 1. Januar. Das rückwärtige Vorgehen zwingt Sie dazu, die risikoreichsten internen Audits früh genug einzuplanen, sodass Sie tatsächlich Zeit haben, Feststellungen zu schließen, bevor der externe Auditor erscheint.

Wie sieht der interne Auditprozess Schritt für Schritt aus?

Jedes Audit, unabhängig vom Umfang, durchläuft dieselben Phasen. Was variiert, ist der Grad der Sorgfalt, den jede Phase je nach geprüftem Bereich erfordert.

1. Vorbereitung. Erstellen Sie die Informationsanforderungsliste (IRL) – die spezifischen Dokumente, Screenshots und Protokolle, die das Audit benötigt – und senden Sie diese mit einer verbindlichen Frist an die Maßnahmenverantwortlichen. Bestätigen Sie Umfang und Kriterien schriftlich. Erstellen Sie einen Stichprobenplan (wie viele Zugriffsüberprüfungen, Tickets oder Lieferantenverträge tatsächlich geprüft werden). Lassen Sie den zugewiesenen Auditor eine Unabhängigkeitserklärung unterzeichnen, die bestätigt, dass er keine operative Verantwortung für das trägt, was er prüfen wird.

2. Eröffnungsbesprechung. Fünfzehn bis dreißig Minuten, nicht länger. Bestätigen Sie Umfang, Kriterien, Zeitplan und Interviewpartner. Hier erinnern Sie auch alle Beteiligten daran, dass Feststellungen keine persönliche Kritik sind, sondern Beiträge zu einem besseren System.

3. Beweiserhebung. Dies ist der Großteil der Arbeit und folgt einer strukturierten Methodik: Dokumentenprüfung anhand der festgelegten Kriterien, Interviews mit Maßnahmenverantwortlichen, direkte Beobachtung wo praktikabel (z. B. die Beobachtung der Bearbeitung eines Offboarding-Tickets statt nur das Lesen der Richtlinie) und technische Tests wo relevant – etwa die Bestätigung, dass ein Konto tatsächlich am im Ticket angegebenen Datum deaktiviert wurde.

Stichproben sind hier wichtiger, als die meisten Teams wahrhaben.

4. Dokumentation der Feststellungen. Jede Feststellung benötigt drei Komponenten: die geprüfte Anforderung, die beobachtete Evidenz und die Abweichung zwischen beiden. „Kapitel 9.4 verlangt eine jährliche Managementbewertung; die letzte in den Akten ist 14 Monate alt" ist eine verwendbare Feststellung. „Der Managementbewertungsprozess muss verbessert werden" ist es nicht.

5. Abschlussbesprechung. Erläutern Sie den Maßnahmenverantwortlichen die vorläufigen Feststellungen, bevor etwas finalisiert wird. Das ist keine Höflichkeit – es ist Qualitätskontrolle. Verantwortliche verfügen manchmal über Kontext oder Evidenz, die während der Prüfung nicht aufgetaucht ist, und das hier zu klären ist besser als es erst bei einem formalen Einspruch zu erkennen.

6. Berichterstattung. Ein Berichtsentwurf geht in der Regel innerhalb von fünf Arbeitstagen nach der Abschlussbesprechung heraus, gefolgt von der finalen Version nach Freigabe durch die Leitung.

7. Nachverfolgung. Korrekturmaßnahmen erhalten Verantwortliche und Fälligkeitstermine, und jemand überprüft den Abschluss anhand tatsächlicher Evidenz – nicht anhand eines selbst gemeldeten „erledigt" in einer Tabellenkalkulation.

Vorbereitung: IRL versandt, Umfang bestätigt, Stichprobenplan erstellt, Unabhängigkeit erklärt
Prüfungstätigkeit: Dokumente geprüft, Interviews durchgeführt, Stichproben getestet
Berichterstattung: Feststellungen klassifiziert, Entwurf verteilt, Abschlussbericht erstellt
Nachverfolgung: Korrekturmaßnahmen bis zum verifizierten Abschluss verfolgt

Was gehört auf eine ISO 27001 interne Audit-Checkliste?

Eine kapitelweise Checkliste, verknüpft mit Ihrer IRL, ist das, was eine reibungslose Auditwoche von einer chaotischen trennt. Jeder Punkt auf der Checkliste sollte einem spezifischen Nachweis zugeordnet sein, den jemand vorlegen kann – nicht einem vagen Konzept, das jemand erläutern muss.

Für die Kapitel 4 bis 10 sollte die Checkliste Folgendes bestätigen: Die ISMS-Abgrenzungserklärung ist aktuell und entspricht dem tatsächlichen Betrieb (Kapitel 4); das Engagement der Führungsebene und die Informationssicherheitsrichtlinie sind dokumentiert und kommuniziert (Kapitel 5); Risikobeurteilung und Risikobehandlungspläne sind aktuell und die Anwendbarkeitserklärung spiegelt reale Maßnahmenentscheidungen wider (Kapitel 6); Kompetenz- und Bewusstseinsnachweise sowie Schulungsaufzeichnungen für relevante Mitarbeiter sind vorhanden (Kapitel 7); operative Planung und Risikobehandlung verfügen über Evidenzpfade (Kapitel 8); Leistungsüberwachung, interne Audit-Aufzeichnungen und Managementbewertungsprotokoll liegen vor (Kapitel 9); Korrekturmaßnahmenaufzeichnungen für frühere Abweichungen zeigen abgeschlossene Ursachenanalysen (Kapitel 10).

Annex-A-Evidenz wird schnell sehr spezifisch, und hier sparen vorgefertigte Checklisten-Vorlagen echte Zeit. Typische Punkte umfassen:

Zugangskontrolle: aktuelle Protokolle der Benutzerzugriffsüberprüfung, Offboarding-Tickets mit Deaktivierungs-Zeitstempeln, Inventare privilegierter Konten
Backup und Wiederherstellung: Backup-Protokolle, Aufzeichnungen von Wiederherstellungstests, Aufbewahrungsrichtlinie im Vergleich zur tatsächlichen Aufbewahrungspraxis
Lieferantenmanagement: unterzeichnete Datenverarbeitungsverträge, Lieferantenrisikobeurteilungen, Nachweise periodischer Lieferantenüberprüfungen
Incident-Management: Vorfallsprotokoll mit Klassifizierung, Reaktionszeiten und Nachbesprechungsvermerken
Asset-Management: ein aktuelles Asset-Inventar, abgeglichen mit der tatsächlichen Infrastruktur – eine Aufgabe, die eher automatisiert als jeden Zyklus manuell erledigt werden sollte

Ihre IRL sollte für jeden Punkt eine Vorlaufzeit angeben – in der Regel zwei Wochen für Routineprotokolle und bis zu vier Wochen für alles, was einen Sonderexport oder die Mitwirkung Dritter erfordert (z. B. eine unterzeichnete Bestätigung von einem Lieferanten). Eine Stichprobenführung gehört ebenfalls in die IRL: Geben Sie vorab an, dass Sie einen definierten Prozentsatz der Zugriffsanträge oder Tickets prüfen werden, damit die Maßnahmenverantwortlichen wissen, wie viel Evidenz sie vorbereiten müssen.

Wie sollten Feststellungen berichtet und Korrekturmaßnahmen verfolgt werden?

Feststellungen benötigen ein einheitliches Klassifizierungsschema, sonst wird Ihr Bericht zu einer undifferenzierten Textwand, die niemand priorisieren kann. Drei Stufen decken fast jede Situation ab:

Schwerwiegende Abweichung: ein systemisches Versagen oder eine fehlende, durch die Norm geforderte Maßnahme – z. B. fehlende aktuelle Risikobeurteilungen
Geringfügige Abweichung: ein isolierter Ausrutscher bei einer ansonsten funktionierenden Maßnahme – z. B. eine nicht termingerecht durchgeführte Zugriffsüberprüfung
Beobachtung: noch keine Abweichung, aber ein beobachtungswürdiges Muster – z. B. eine Maßnahme, die heute funktioniert, aber vollständig auf der manuellen Sorgfalt einer einzelnen Person beruht

Eine verwendbare Auditberichtsvorlage enthält: Auditumfang und -kriterien, Daten und Teilnehmer, Methodik und verwendete Stichprobengrößen, Feststellungen mit ihrer Klassifizierung und unterstützender Evidenz sowie eine zusammenfassende Schlussfolgerung zur Gesamtkonformität des ISMS. Der Entwurf erreicht die Maßnahmenverantwortlichen typischerweise innerhalb einer Woche nach der Abschlussbesprechung; die endgültige Version wird der Leitung vor der nächsten geplanten Managementbewertung zugeleitet.

Korrekturmaßnahmen folgen ihrem eigenen Lebenszyklus: zuerst Ursachenanalyse, nicht nur eine schnelle Symptombehandlung; ein zugewiesener Verantwortlicher mit realistischem Fälligkeitstermin; Umsetzung; dann ein Verifikationsschritt, bei dem jemand anderes als die Person, die die Maßnahme umgesetzt hat, bestätigt, dass sie tatsächlich greift. Einen Korrekturmaßnahmenabschluss ohne unabhängige Verifikation zu schließen, ist eine der häufigsten Abkürzungen, die Teams beim externen Audit auf die Füße fallen.

Praxistipp: Eskalieren Sie jede Feststellung, die zweimal wieder geöffnet wird, direkt in die Managementbewertung – unabhängig von ihrem ursprünglichen Schweregrad. Ein geringfügiges Problem, das immer wiederkehrt, ist eigentlich ein schwerwiegendes Problem im Gewand eines geringfügigen.

Was sind die häufigsten Feststellungen und wie verhindert man sie?

Eine Handvoll Feststellungen taucht in fast allen internen und externen Audits von Organisationen auf, und die meisten sind auf Prozesslücken statt auf echte Sicherheitsmängel zurückzuführen.

Anwendbarkeitserklärungen, die veralten, stehen ganz oben auf der Liste. Eine Maßnahme wird in der Praxis hinzugefügt oder gestrichen, aber das SoA-Dokument wird nie aktualisiert. Die Lösung ist eine vierteljährliche SoA-Überprüfung, die direkt an jede Änderung der Maßnahmenumgebung geknüpft ist – kein jährlicher Endspurt.

Als nächstes folgen fehlende wiederkehrende Nachweise – insbesondere bei Zugriffsüberprüfungen und Lieferantenbewertungen, die eigentlich quartalsweise stattfinden sollten, aber einmalig vor achtzehn Monaten durchgeführt wurden. Erstellen Sie ein Evidenz-Runbook, das jedem wiederkehrenden Vorgang eine Kalendererinnerung und einen namentlich genannten Verantwortlichen zuweist, und prüfen Sie die Einhaltung monatlich, anstatt die Lücke erst zum Auditzeitpunkt zu entdecken.

Unvollständige Zugriffsüberprüfungen und lückenhafte Vorfallsprotokolle runden die häufigste Feststellungsliste ab. Beide haben dieselbe Ursache: Die Maßnahme existiert auf dem Papier, aber niemand ist dafür zuständig, sie in der Praxis aktuell zu halten. Eine IRL-Probeübung Monate vor dem echten Audit deckt diese Lücken auf, solange noch Zeit zur Behebung bleibt – und nicht während des Audits, wenn es zu spät ist.

Veraltete Anwendbarkeitserklärung → vierteljährliche Überprüfung bei jeder Maßnahmenänderung
Fehlende wiederkehrende Evidenz → Runbooks mit Kalenderverantwortlichen, monatlich stichprobenartig geprüft
Unvollständige Zugriffsüberprüfungen → automatisierte Erinnerungen, verknüpft mit HR-Offboarding-Ereignissen
Lückenhafte Vorfallsprotokolle → verbindliche Protokollvorlage, die bei der Ticket-Erstellung eingefordert wird

Verfolgen Sie Feststellungstrends über Auditzyklen hinweg. Wenn derselbe Bereich in drei aufeinanderfolgenden Zyklen Feststellungen generiert, liegt das Problem nicht bei der Maßnahme selbst, sondern beim Prozess ihrer Pflege.

Welche Werkzeuge beschleunigen die Auditvorbereitung?

Tabellenkalkulationen können ein Auditprogramm technisch gesehen betreiben, scheitern aber in dem Moment, in dem Sie die diesjährige Bereitschaft mit der des Vorjahres vergleichen oder die Reife über mehr als ein paar Bereiche hinweg abbilden müssen. Hier verdient ein strukturiertes Toolkit seinen Platz im Prozess.

Hand justiert kabelloses Ladegerät in einem technischen Büro

ISMS Calculator nähert sich der Auditvorbereitung von der Bereitschaftsseite: Seine Reifegradbeurteilung bewertet Ihre Organisation über die vier Annex-A-Maßnahmenthemen hinweg und gibt Ihnen einen nachvollziehbaren Ausgangspunkt für die Entscheidung, welche Bereiche zuerst Aufmerksamkeit im Audit benötigen. Ein Bereich mit niedrigem Reifegrad ist ein Bereich, der in Ihrem risikobasierten Zeitplan nach vorn rücken sollte – nicht ans Ende der Warteschlange.

Die Gantt-artige Zeitplanung der Plattform lässt sich direkt auf die Auditprogrammplanung anwenden und ermöglicht es Ihnen, zu visualisieren, welche Kapitel in welchem Quartal geprüft werden. Da Schätzungen und Reifegradbewertungen gespeichert und über die Zeit verglichen werden können, erhalten Sie eine laufende Aufzeichnung darüber, ob Audit-Feststellungen tatsächlich Verbesserungen antreiben – genau das, was Kapitel 10 als dokumentiert sehen möchte.

Praktische Ergebnisse, die die Auditwoche verkürzen:

Reifegradbewertungen nach Bereichen zur Priorisierung von Umfang und Reihenfolge
Teilbare Bereitschaftsberichte, die gleichzeitig als Input für die Managementbewertung dienen
Gantt-Zeitpläne, die sich direkt in einen Auditkalender umwandeln lassen
Benchmarked Schätzungen zur Einschätzung, ob Ihr Auditaufwand den Branchennormen entspricht

Was machen Praktiker bei internen Audits falsch?

Die meisten Teams behandeln das interne Audit als Compliance-Formalität – als etwas, das man übersteht, statt etwas, das man nutzt. Das ist falsch gedacht. Das interne Audit ist der einzige Mechanismus im gesamten ISO 27001-Rahmenwerk, bei dem jemand gezielt dafür bezahlt wird, Schwachstellen zu finden, bevor ein Kunde, eine Aufsichtsbehörde oder ein Angreifer es tut. Es als Pflichtübung zu behandeln, verschwendet das nützlichste Werkzeug, das die Norm Ihnen gibt.

Die Unabhängigkeitsregel bringt mehr Organisationen zu Fall als jedes technische Kapitel. Sie benötigen kein externes Unternehmen für jedes interne Audit; ein gut geschulter Mitarbeiter aus einer anderen Abteilung mit einer dokumentierten Unabhängigkeitserklärung erfüllt den Standard des Institute of Internal Auditors vollauf. Was Sie nicht tun können, ist, jemanden eine Maßnahme prüfen zu lassen, die er selbst entworfen hat oder betreibt.

Drei Dos, drei Don'ts:

Tun Sie: Bauen Sie Ihr Programm risikobasiert auf, nicht in alphabetischer Kapitelreihenfolge. Tun Sie: Führen Sie eine IRL-Probeübung vor der echten durch. Tun Sie: Verifizieren Sie Korrekturmaßnahmen unabhängig, bevor Sie sie schließen.

Nicht tun: Lassen Sie niemanden seine eigene Arbeit prüfen, auch nicht unter Zeitdruck. Nicht tun: Lassen Sie Feststellungen unklassifiziert in einem gemeinsamen Dokument liegen. Nicht tun: Behandeln Sie den Jahresplan als unveränderlich. Eine Fusion, eine größere Cloud-Migration oder ein Sicherheitsvorfall sollte eine sofortige Programmaktualisierung auslösen – und nicht bis zum nächsten Planungszyklus warten.

— Martin

Auditbereit werden – ohne Rätselraten beim Zeitplan

Wenn Sie Auditumfang und -aufwand noch mit einer Tabellenkalkulation und einem Bauchgefühl schätzen, verbringen Sie Stunden damit, das nachzubauen, was ein geeignetes Bereitschaftswerkzeug in Minuten erstellt. ISMS Calculator liefert Ihnen eine Reifegradbeurteilung über alle vier ISO/IEC 27001:2022-Maßnahmenthemen hinweg – damit Sie genau wissen, welche Bereiche in diesem Quartal Aufmerksamkeit im Audit benötigen, statt zu raten, wer zuletzt am lautesten geklagt hat.

Ismscalculator

Der kostenlose 2-Minuten-Bereitschaftscheck wandelt Ihren aktuellen Stand in eine bereichsweise Reifegradkarte um, die Sie direkt an Ihren Auditprogrammverantwortlichen weitergeben können. Der anpassbare Gantt-Zeitplan konvertiert diese Karte in ein Planungswerkzeug für die nächsten zwölf Monate Audits. Speichern Sie mehrere Schätzungen während der ISMS-Reifung, vergleichen Sie sie nebeneinander und exportieren Sie einen teilbaren Bericht, den Ihre Managementbewertung als echten Input nutzen kann. Führen Sie den Bereitschaftscheck jetzt durch und gehen Sie in Ihr nächstes Auditplanungsgespräch mit einer Zahl statt einem Ratespiel.

Wo finden Sie die Norm und Vorlagen?

Beginnen Sie mit der ISO/IEC 27001-Norm selbst für den maßgeblichen Kapitel-9.2-Text. Für praxisnahe Vorlagen decken SecureSlates Checkliste mit IRL-Tracker und Bastions Prozessleitfaden die Prüfungsmechanik ausführlicher ab, während CISOSAFEs Compliance-Leitfaden die breitere Auditbereitschaftspraxis ergänzt.

Quellen

Empfohlen

Dieser Artikel wurde automatisch mit KI übersetzt. Das englische Original bleibt die verbindliche Fassung.

ISO 27001 Internes Audit: Das Playbook für die Zertifizierungsbereitschaft