ISO 27001 Audit Vorbereitung: Nachweise und Teams vorbereiten
Unterlagen und Ansprechpartner für das Audit vorbereiten
Eine gute Auditvorbereitung macht vorhandene Abläufe und Nachweise auffindbar. Das Team sollte erklären können, wie eine Sicherheitsregel im eigenen Verantwortungsbereich angewendet wird und an welchen Beispielen sich das zeigen lässt. Auswendig gelernte Normformulierungen sind dafür weniger hilfreich als nachvollziehbare Vorgänge.
Prüfumfang, benötigte Unterlagen und zeitlicher Ablauf werden anhand des Auditplans mit der Zertifizierungsstelle abgestimmt. Die Vorbereitung darf dabei keine Lücken durch nachträglich erfundene Freigaben oder rückdatierte Nachweise verdecken.
Die Nachweiskette an Stichproben prüfen
Für ausgewählte Vorgänge wird nachvollzogen, ob die einzelnen Schritte zusammenpassen:
- Welche Regel oder Anforderung gilt?
- Wer hat die Tätigkeit ausgeführt oder freigegeben?
- Welche Aufzeichnung belegt die Umsetzung?
- Wie wurde eine Abweichung behandelt?
Beispiel: Bei einem ausgeschiedenen Mitarbeiter werden die Austrittsmeldung, der Entzug seiner Rechte und die zugehörige Kontrolle gemeinsam betrachtet. Fehlt ein Schritt, wird die Lücke offen dokumentiert und bearbeitet.
Dokumentenstand und Zugriff klären
Die freigegebene Fassung einer Richtlinie muss von älteren Entwürfen unterscheidbar sein. Verantwortliche sollten die relevanten Unterlagen finden können, ohne unnötig weitreichende Zugriffsrechte zu vergeben. Bei vertraulichen Kundeninformationen ist vorab zu klären, wie die erforderliche Einsicht ermöglicht wird.
Offene Punkte vor dem Termin einordnen
Eine Liste offener Punkte sollte Inhalt, Verantwortlichen, Bearbeitungsstand und geplanten Abschluss enthalten. Dabei sind umgesetzte Maßnahmen von erst geplanten Maßnahmen zu unterscheiden. Ein vorbereitendes Gespräch kann helfen, die Darstellung zu üben; es ersetzt keine fehlende Umsetzung.
Die unabhängige Bewertung bleibt Aufgabe der Zertifizierungsstelle. Ziel der Vorbereitung ist ein ehrliches, geordnetes Bild des vorhandenen Managementsystems.
Die ISO-27001-Dokumentation liefert die Grundlage für auffindbare Belege. Mit internen Audits lässt sich vorab prüfen, ob festgelegte Abläufe in den betrachteten Stichproben tatsächlich angewendet werden.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- Zertifizierungsstellen für Managementsysteme – Deutsche Akkreditierungsstelle (DAkkS)