ISO 27001 Audit: Arten, Ablauf und Checkliste für Unternehmen

Ein ISO 27001 Audit ist der zentrale Prüfmechanismus für jedes Informationssicherheits-Managementsystem (ISMS). Ob Sie sich erstmals zertifizieren lassen, ein internes Audit planen oder sich auf ein Überwachungsaudit vorbereiten: Der Ablauf, die Anforderungen und die typischen Stolpersteine sind bei jeder Audit-Art unterschiedlich. Dieser Artikel erklärt alle vier Audit-Typen, den konkreten Ablauf Schritt für Schritt und die zehn Punkte, die Ihre Checkliste abdecken sollte.

Was ist ein ISO 27001 Audit?

Ein ISO 27001 Audit ist die systematische Überprüfung eines ISMS gegen die Anforderungen der Norm ISO/IEC 27001:2022. Ziel ist es, festzustellen, ob die definierten Sicherheitsmaßnahmen tatsächlich umgesetzt werden, ob sie wirksam sind und wo Verbesserungsbedarf besteht. Die Norm fordert in Kapitel 9.2 ausdrücklich, dass Organisationen in geplanten Abständen interne Audits durchführen.

Im Kern verfolgt jedes ISO 27001 Audit drei Ziele: Erstens prüft es die Konformität, also ob das ISMS die Anforderungen der Norm und die eigenen Vorgaben erfüllt. Zweitens deckt es Lücken auf, etwa fehlende Dokumentation, nicht umgesetzte Controls oder Abweichungen zwischen Richtlinie und Praxis. Drittens identifiziert es Verbesserungspotenziale, die in den kontinuierlichen Verbesserungsprozess (PDCA-Zyklus) einfließen.

Konkret prüft ein Auditor dabei unter anderem, ob die Sicherheitsrichtlinien aktuell sind, ob die Controls aus Anhang A tatsächlich umgesetzt werden, ob Mitarbeiter ihre Verantwortlichkeiten kennen und ob Nachweise für Schulungen, Risikobehandlungen und Vorfallbearbeitungen vorliegen. Der Prüfungsumfang richtet sich nach dem definierten Geltungsbereich des ISMS und dem Auditprogramm, das die Organisation selbst festlegt.

Wichtig ist die Perspektive: Für den Auditierten ist das Audit eine Gelegenheit, Schwachstellen zu finden, bevor es ein externer Prüfer tut. Für den Auditor (ob intern oder extern) ist es ein strukturierter Prozess, der auf Nachweisen basiert, nicht auf Annahmen. Was zählt, ist dokumentiert und nachvollziehbar umgesetzt. Alles andere ist im Audit ein Finding.

Die Ergebnisse eines Audits fließen direkt in das Management Review nach Kapitel 9.3 ein. Die Geschäftsleitung bewertet dort, ob das ISMS weiterhin angemessen ist, und entscheidet über Ressourcen für Korrekturmaßnahmen. Audit und Management Review bilden zusammen das "Check" im PDCA-Zyklus. Ohne beides fehlt der Nachweis, dass das ISMS tatsächlich gesteuert wird.

ISO 27001 Audits lassen sich in vier Typen einteilen, die im folgenden Abschnitt einzeln erläutert werden. Jeder Typ hat einen anderen Zweck, einen anderen Umfang und eine andere Frequenz.

Audit-Arten im Überblick

Der Zertifizierungszyklus nach ISO 27001 umfasst vier Audit-Arten. Jede Art hat einen eigenen Zweck, einen eigenen Umfang und eine eigene Frequenz. Die folgende Übersicht zeigt, wann welcher Audit-Typ relevant wird und was ihn von den anderen unterscheidet.

Internes Audit (Kapitel 9.2)

Das interne Audit ist die einzige Audit-Art, die ISO 27001 direkt fordert. Kapitel 9.2 verlangt, dass Organisationen in geplanten Abständen prüfen, ob ihr ISMS den eigenen Vorgaben und den Normanforderungen entspricht. In der Praxis bedeutet das: mindestens einmal jährlich, häufig häufiger.

Durchgeführt wird das interne Audit entweder von geschulten internen Mitarbeitern oder von externen Auditoren, die im Auftrag der Organisation handeln. Die Unabhängigkeit des Auditors ist dabei Pflicht: Wer einen Prozess verantwortet, darf ihn nicht selbst auditieren. Für KMU ohne eigene Audit-Abteilung bedeutet das oft, dass ein externer Berater die internen Audits übernimmt.

Der größte Nutzen des internen Audits liegt in der Vorbereitung auf das externe Zertifizierungsaudit. Wer intern sauber auditiert, findet Abweichungen frühzeitig und kann sie korrigieren, bevor der Zertifizierer vor Ort ist.

Stage 1 und Stage 2 (Zertifizierungsaudit)

Das Zertifizierungsaudit besteht aus zwei Stufen, die eine akkreditierte Zertifizierungsstelle durchführt. Im Stage-1-Audit (Dokumentenaudit) prüft der Auditor die ISMS-Dokumentation: Sind die Sicherheitsrichtlinien vorhanden? Ist der Geltungsbereich des ISMS klar definiert? Gibt es ein Risikomanagement nach ISO 27001 mit Risikobehandlungsplan? Das Stage-1-Audit dauert in der Regel zwei bis fünf Tage und endet mit einer Readiness-Einschätzung.

Im Stage-2-Audit (Implementierungsaudit) geht es um die Realität: Der Auditor prüft vor Ort, ob die dokumentierten Prozesse tatsächlich gelebt werden. Dazu gehören Interviews mit Mitarbeitern, Begehungen und die Prüfung von Nachweisen. Das Stage-2-Audit dauert drei bis sieben Tage, je nach Unternehmensgröße und Scope. Wer die Details zum gesamten Zertifizierungsprozess braucht, findet sie im Artikel zur ISO 27001 Zertifizierung.

Überwachungsaudit

Nach der erfolgreichen Zertifizierung folgt in den Jahren zwei und drei je ein Überwachungsaudit. Zweck ist die Stichprobenprüfung: Der Zertifizierer prüft, ob das ISMS weiterhin konform betrieben wird, und konzentriert sich auf ausgewählte Bereiche. Der Umfang ist deutlich kleiner als beim Zertifizierungsaudit, die Dauer liegt typischerweise bei ein bis zwei Tagen. Die Kosten betragen etwa ein Drittel des Erstaudits.

Überwachungsaudits sind keine Formalität. Wenn der Auditor Hauptabweichungen feststellt, kann er die Zertifizierung aussetzen, bis die Korrekturmaßnahmen nachgewiesen sind.

Rezertifizierungsaudit

Das ISO 27001 Zertifikat ist drei Jahre gültig. Danach ist ein Rezertifizierungsaudit erforderlich, das im Umfang einer Kombination aus Stage 1 und Stage 2 entspricht. Der Auditor prüft erneut das gesamte ISMS, einschließlich aller Änderungen seit der Erstzertifizierung. Ohne bestandenes Rezertifizierungsaudit erlischt das Zertifikat.

Die Vorbereitung auf das Rezertifizierungsaudit sollte frühzeitig beginnen, idealerweise sechs Monate vor Ablauf. Unternehmen, die ihre internen Audits und Überwachungsaudits sauber dokumentiert haben, reduzieren den Aufwand erheblich.

Die vier Audit-Arten im ISO 27001 Zertifizierungszyklus über drei Jahre.

Ablauf eines ISO 27001 Audits Schritt für Schritt

Unabhängig von der Audit-Art folgt jedes ISO 27001 Audit einem dreiphasigen Ablauf: Vorbereitung, Durchführung und Nachbereitung. Die ISO 19011 (Leitfaden zur Auditierung von Managementsystemen) beschreibt diesen Ablauf im Detail. In der Praxis unterscheiden sich die Phasen je nach Audit-Art im Umfang, nicht in der Struktur.

Der Ablauf eines ISO 27001 Audits in drei Phasen mit typischen Zeitrahmen.

In KMU laufen interne Audits oft weniger formell ab als in Konzernen. Statt einer eigenen Audit-Abteilung übernimmt häufig ein externer Berater oder ein geschulter Mitarbeiter aus einer anderen Abteilung die Prüfung. Die Grundstruktur (Plan, Durchführung, Bericht) bleibt aber gleich. Wer sie einhält, hat beim externen Audit einen sauberen Nachweis, dass das interne Audit den Anforderungen von Kapitel 9.2 entspricht.

Ein häufiger Fehler: Unternehmen planen zwar die Durchführung sorgfältig, vernachlässigen aber die Nachbereitung. Der Auditbericht wird geschrieben, die Korrekturmaßnahmen werden jedoch nicht terminiert oder nicht nachverfolgt. Genau das prüft der Zertifizierer im nächsten externen Audit als erstes, weil es den PDCA-Zyklus betrifft.

Typische Findings und wie Sie sie vermeiden

Findings sind Abweichungen, die ein Auditor während des Audits feststellt. Manche kosten die Zertifizierung, andere sind Verbesserungshinweise. Die folgenden zehn Findings tauchen in der Praxis besonders häufig auf. Wer sie kennt, kann sie im Vorfeld abstellen.

"Die meisten Findings im Zertifizierungsaudit sind keine Überraschungen. Sie tauchen im internen Audit auf, werden dort notiert, aber nicht konsequent nachverfolgt. Wer den Korrekturmaßnahmenplan aus dem internen Audit sauber abarbeitet, hat im externen Audit selten Probleme."

Bettina Stearn, ISO/IEC 27001 Auditorin & QM-Fachexpertin bei SECJUR

Drei Monate vor einem externen Audit empfiehlt sich ein internes Pre-Audit, das gezielt die zehn häufigsten Findings abprüft. Sammeln Sie alle Nachweisdokumente an einem zentralen Ort, indexieren Sie sie und stellen Sie sicher, dass jede Korrekturmaßnahme aus früheren Audits einen dokumentierten Abschluss hat. Plattformen wie SECJUR unterstützen diesen Prozess, indem sie Korrekturmaßnahmen direkt mit den betroffenen Controls verknüpfen und den Umsetzungsstatus transparent machen.

Audit-Checkliste: Die 10 wichtigsten Prüfpunkte

Die folgende Checkliste deckt die zehn Punkte ab, die jedes interne ISO 27001 Audit adressieren sollte. Sie ersetzt kein vollständiges Auditprogramm, gibt aber eine Orientierung für die Vorbereitung und hilft, die häufigsten Lücken frühzeitig zu schließen.

Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr internes Audit. Gehen Sie jeden Punkt einzeln durch und prüfen Sie, ob die entsprechenden Nachweise vorliegen. Punkte ohne Nachweis gehören auf den Korrekturmaßnahmenplan, bevor ein externer Auditor sie findet.

Für eine ausführlichere Prüfung aller Normanforderungen empfiehlt sich ein vollständiger Fragenkatalog auf Basis der 93 Annex-A-Controls und der Kapitel 4 bis 10 der Norm. Die Checkliste oben deckt die Kernbereiche ab, in denen Auditoren erfahrungsgemäß die meisten Abweichungen finden. Wer diese zehn Punkte sauber abdeckt, besteht den Großteil eines Überwachungsaudits ohne Beanstandungen.

SECJUR: Audit-Vorbereitung automatisieren

Die Audit-Vorbereitung ist in vielen Unternehmen der zeitaufwendigste Teil des gesamten Zertifizierungsprozesses. Dokumente müssen zusammengetragen, Nachweise organisiert, Checklisten abgearbeitet und Korrekturmaßnahmen nachverfolgt werden. Fehler in der Vorbereitung führen direkt zu Findings im Audit.

ISMS-Plattformen wie das SECJUR Digital Compliance Office setzen an dieser Stelle an. Die Plattform bildet den gesamten ISMS-Betrieb ab: von der Risikoanalyse über das Asset-Inventar bis zur Nachweisführung für Audits. Korrekturmaßnahmen aus internen Audits lassen sich direkt tracken, statt in separaten Tabellen unterzugehen. Das Statement of Applicability wird automatisch generiert, und das Control Mapping über Standards hinweg (ISO 27001, TISAX, NIS2) spart die manuelle Zuordnung.

Erfahrungsgemäß verkürzen Unternehmen mit einer ISMS-Plattform ihre Vorbereitungszeit um bis zu 50 % gegenüber einem rein beratungsgestützten Ansatz. Der interne Aufwand sinkt, weil Vorlagen, Workflows und Mappings bereits in der Plattform hinterlegt sind, statt von Grund auf erstellt werden zu müssen. Besonders bei der Nachweisführung macht sich das bemerkbar: Statt vor jedem Audit Dokumente aus verschiedenen Ablageorten zusammenzusuchen, liegen alle Evidenzen bereits an einem Ort und sind dem jeweiligen Control zugeordnet.

Wenn Sie wissen möchten, mit welchen Kosten und Zeitrahmen bei der ISO 27001 Zertifizierung zu rechnen ist, finden Sie im verlinkten Artikel eine detaillierte Aufschlüsselung nach Unternehmensgröße.