Das ISO-27001-Zertifizierungsaudit läuft zweistufig: Im Stufe-1-Audit prüft der Auditor Dokumentation, Risikoanalyse und Statement of Applicability, meist remote. Im Stufe-2-Audit vor Ort prüft er die gelebte Praxis durch Interviews, Begehungen und technische Stichproben. Nach bestandener Prüfung gilt das Zertifikat drei Jahre mit jährlichen Überwachungsaudits. Das Verfahren dauert typischerweise sechs bis acht Wochen.
Vor dem ersten ISO-27001-Audit herrscht in vielen Unternehmen Nervosität: Werden die Auditoren die Firewall-Konfiguration zerlegen? Muss jeder Mitarbeitende die 93 Controls auswendig kennen? Die Realität ist unspektakulärer und zugleich anspruchsvoller. Ein ISMS-Audit ist keine technische Sicherheitsprüfung, sondern eine Systemprüfung: Es kontrolliert, ob Ihre Organisation Informationssicherheit systematisch steuert, Risiken kennt, Maßnahmen begründet auswählt und das Ganze nachweisbar lebt.
Dieser Artikel erklärt beide Auditstufen im Detail, zeigt welche Nachweise Auditoren typischerweise sehen wollen, wie Sie mit Abweichungen umgehen und wie Sie Ihr Team so vorbereiten, dass der Audittag keine Überraschungen bringt. Er gilt für Erstzertifizierungen ebenso wie als Auffrischung vor Überwachungsaudits.
Die zwei Stufen des Zertifizierungsaudits
Ein ISO-27001-Zertifizierungsaudit besteht immer aus zwei Stufen mit klar getrennten Aufgaben. Das Stufe-1-Audit ist die Bereitschaftsprüfung: Der Auditor sichtet die ISMS-Dokumentation und beurteilt, ob das Unternehmen reif für die Hauptprüfung ist. Es findet häufig remote statt. Das Stufe-2-Audit ist die Wirksamkeitsprüfung vor Ort: Interviews, Begehungen, technische Stichproben und der Abgleich zwischen Papier und Praxis.
Zwischen beiden Stufen liegen üblicherweise zwei bis sechs Wochen, in denen Sie die in Stufe 1 festgestellten Lücken schließen. Insgesamt dauert das Verfahren von der Beauftragung bis zum Zertifikat typischerweise sechs bis acht Wochen, also spürbar länger als bei ISO 9001. Der Grund ist der größere Prüfumfang: Neben den Managementkapiteln 4 bis 10 muss der Auditor die Behandlung der 93 Controls aus Anhang A nachvollziehen.
Wichtig für die Erwartungshaltung: Der Auditor prüft gegen drei Referenzen gleichzeitig. Erstens gegen die Norm selbst, zweitens gegen Ihre eigene Dokumentation, denn wer eigene Regeln aufstellt und bricht, kassiert eine Abweichung, und drittens gegen Ihr Statement of Applicability, das für jedes Control erklärt, ob und wie Sie es umsetzen. Diese Dreifachreferenz unterscheidet das ISMS-Audit von einfacheren Prüfungen und erklärt, warum eine saubere, widerspruchsfreie Dokumentation die halbe Miete ist.
Stufe 1: Dokumentationsprüfung mit Tiefgang
Im Stufe-1-Audit will der Auditor drei Dinge sehen: ein vollständiges Regelwerk, eine methodisch saubere Risikoarbeit und Belege, dass das System bereits lebt. Konkret geprüft werden unter anderem:
- Scope-Definition: Welche Bereiche, Standorte, Prozesse und Systeme deckt das ISMS ab? Ein unklarer oder künstlich kleiner Geltungsbereich ist ein klassischer Stolperstein.
- Risikoanalyse und Risikobehandlung: nachvollziehbare Methodik, identifizierte Risiken für Vertraulichkeit, Integrität und Verfügbarkeit, bewertete und behandelte Risiken mit Maßnahmenplan.
- Statement of Applicability: alle 93 Controls aus Anhang A adressiert, Ausschlüsse begründet, Umsetzungsstand dokumentiert. Das SoA ist das meistgeprüfte Einzeldokument des gesamten Audits.
- Pflichtdokumente und Richtlinien: Informationssicherheitspolitik, Ziele, Rollen, Lenkung dokumentierter Information sowie die themenspezifischen Richtlinien, etwa zu Zugriff, Kryptographie und Lieferanten.
- Nachweise des gelebten Systems: durchgeführtes internes Audit, Managementbewertung, Schulungs- und Awareness-Belege.
Ergebnis ist ein Bericht mit Feststellungen und gegebenenfalls der Empfehlung, den Stufe-2-Termin zu verschieben. Nehmen Sie diese Empfehlung ernst: Ein Stufe-2-Audit mit bekannten Lücken zu erzwingen kostet am Ende mehr Zeit und Geld als eine ehrliche Nachbesserungsphase.
Stufe 2: Die Prüfung der gelebten Praxis
Das Stufe-2-Audit findet im Unternehmen statt und folgt einem vorab übermittelten Auditplan. Nach dem Eröffnungsgespräch mit der Geschäftsführung arbeitet der Auditor die Themenblöcke ab: Führung und Risikomanagement mit der Leitung, danach Fachthemen mit den jeweils Verantwortlichen, dazwischen Begehungen und Stichproben an Arbeitsplätzen und in Serverräumen.
Die Prüfmethodik ist immer dieselbe: Behauptung gegen Beleg. Steht in Ihrer Richtlinie, dass Zugänge beim Austritt binnen 24 Stunden gesperrt werden, lässt sich der Auditor die letzten Austritte zeigen und prüft die Sperrdaten im System. Steht im SoA, dass Backups täglich laufen und quartalsweise Wiederherstellungstests stattfinden, will er Protokolle des letzten Tests sehen. Typische Interviewfragen an Mitarbeitende sind alltagsnah: Wie melden Sie einen Sicherheitsvorfall? Was tun Sie mit einer verdächtigen E-Mail? Dürfen Sie private Geräte nutzen, und woher wissen Sie das?
Technische Stichproben bleiben systemorientiert: Der Auditor führt keinen Penetrationstest durch, sondern prüft, ob Ihre eigenen Prozesse funktionieren, etwa ob das Patch-Management nachweislich läuft, Berechtigungen regelmäßig überprüft werden und Protokolle ausgewertet werden. Am Ende steht das Abschlussgespräch mit allen Feststellungen. Je nach Unternehmensgröße dauert das Stufe-2-Audit ein bis mehrere Tage.
Diese Nachweise fragen Auditoren typischerweise ab
Die folgende Übersicht zeigt je Prüfbereich die Nachweise, die in ISMS-Audits regelmäßig verlangt werden. Sie eignet sich als Checkliste für die letzte Woche vor dem Termin:
| Prüfbereich | Typische Nachweise |
|---|---|
| Führung und Planung | Sicherheitspolitik, messbare Sicherheitsziele, Managementbewertung mit Entscheidungen |
| Risikomanagement | Risikomethodik, aktuelle Risikoanalyse, Risikobehandlungsplan, SoA in aktueller Version |
| Personal | Vertraulichkeitsvereinbarungen, Schulungs- und Awareness-Nachweise, On- und Offboarding-Checklisten |
| Zugriff und Berechtigungen | Berechtigungskonzept, letzte Berechtigungsüberprüfung, Nachweis gesperrter Konten nach Austritt |
| Betrieb und Technik | Backup-Protokolle und Wiederherstellungstest, Patch-Nachweise, Umgang mit Schwachstellen, Protokollauswertung |
| Vorfälle und Kontinuität | Vorfallprozess, Vorfallregister (auch Beinahe-Vorfälle), Notfallkonzept mit Testnachweis |
| Lieferanten | Lieferantenliste mit Sicherheitsbewertung, Verträge mit Sicherheitsanforderungen, AV-Verträge |
| Internes Audit | Auditprogramm, Bericht des letzten internen Audits, abgearbeitete Feststellungen |
Ein leeres Vorfallregister ist übrigens kein gutes Zeichen, sondern ein Warnsignal: Es deutet darauf hin, dass Vorfälle nicht gemeldet oder nicht erfasst werden. Auditoren sehen lieber ein gepflegtes Register mit gezogenen Lehren als die Behauptung, es sei nie etwas passiert.
Abweichungen: Was passiert, wenn etwas nicht passt
Feststellungen gehören zu jedem Audit und werden in drei Kategorien eingeordnet:
- Hauptabweichung: Eine Normanforderung ist nicht oder so mangelhaft umgesetzt, dass die Wirksamkeit des ISMS infrage steht, etwa eine fehlende Risikoanalyse oder ein seit Jahren nicht durchgeführtes internes Audit. Das Zertifikat wird erst erteilt beziehungsweise bestätigt, wenn die Korrektur nachgewiesen ist, oft in einem Nachaudit.
- Nebenabweichung: eine punktuelle Lücke ohne Systemversagen, etwa einzelne fehlende Schulungsnachweise oder eine veraltete Richtlinienversion im Umlauf. Sie erfordert Ursachenanalyse und Korrekturmaßnahmen innerhalb einer Frist, üblich sind 90 Tage. Das Zertifikat wird trotzdem erteilt.
- Hinweis oder Verbesserungspotenzial: keine Normverletzung, sondern eine Beobachtung. Keine Pflicht zur Umsetzung, aber kluge Unternehmen nehmen diese Punkte in ihren Verbesserungsprozess auf.
Der professionelle Umgang mit Abweichungen ist selbst Prüfgegenstand: Erwartet wird keine Schnellreparatur, sondern eine Ursachenanalyse, warum konnte das passieren, und eine Korrekturmaßnahme, die die Ursache beseitigt. Wer auf eine fehlende Zugangssperrung nur mit „wurde nachgeholt" antwortet, hat das Prinzip nicht verstanden, die erwartete Antwort ist ein verbesserter Offboarding-Prozess mit klarer Verantwortlichkeit. Diskutieren Sie strittige Feststellungen ruhig im Abschlussgespräch, ein guter Auditor belegt jede Feststellung mit konkreten Beobachtungen.
Nach dem Zertifikat: Überwachungsaudits und Rezertifizierung
Mit der Zertifikatserteilung beginnt der Drei-Jahres-Zyklus. In Jahr 2 und 3 findet jeweils ein Überwachungsaudit statt, kürzer als das Erstaudit, aber mit festen Pflichtthemen: Wirksamkeit des internen Audits, Managementbewertung, Umgang mit Vorfällen und Beschwerden, Abarbeitung früherer Feststellungen und Änderungen im Unternehmen. Dazu rotieren Schwerpunktthemen, sodass über den Zyklus das gesamte ISMS erneut geprüft wird.
Ein Sonderthema bei ISO 27001 sind Änderungen: Neue Cloud-Dienste, neue Standorte, Zukäufe oder ausgelagerte IT verändern die Risikolage und müssen sich in aktualisierter Risikoanalyse und angepasstem SoA widerspiegeln. Ein SoA, das seit dem Erstaudit unverändert ist, obwohl sich die IT-Landschaft sichtbar gewandelt hat, ist eine der häufigsten Feststellungen in Überwachungsaudits.
Nach drei Jahren folgt das Rezertifizierungsaudit im vollen Umfang, danach beginnt der Zyklus neu. Für die Planung heißt das: Das ISMS braucht einen Jahresrhythmus mit interner Auditrunde, Managementbewertung, Risiko-Review und Awareness-Maßnahmen, idealerweise so getaktet, dass die Ergebnisse kurz vor dem externen Audittermin frisch vorliegen. Bei Festpreismodellen mit 3-Jahres-Vertrag, wie sie auch KCERT anbietet, sind die Überwachungsaudits im Jahrespreis enthalten, bei tagessatzbasierten Angeboten budgetieren Sie sie separat.
So bereiten Sie Ihr Team auf den Audittag vor
Die beste Auditvorbereitung ist ein gelebtes System, die zweitbeste eine gute Organisation des Termins. Bewährt haben sich diese Maßnahmen:
- Generalprobe internes Audit: Führen Sie das interne Audit ernsthaft und zeitnah vor dem Zertifizierungsaudit durch, mit denselben Methoden: Interviews, Stichproben, Belege. So finden Sie Lücken selbst statt im Ernstfall.
- Nachweise griffbereit: Legen Sie die Dokumente aus der Nachweistabelle strukturiert ab. Nichts verlängert Audits so sehr wie die Suche nach Belegen.
- Mitarbeitende briefen, nicht dressieren: Jeder sollte drei Dinge wissen: wo die Sicherheitsregeln stehen, wie man Vorfälle meldet und dass ehrliche Antworten erwünscht sind. Auswendig gelernte Normzitate wirken einstudiert und helfen niemandem.
- Verfügbarkeiten sichern: Geschäftsführung für Eröffnung, Führungsthemen und Abschluss, IT-Verantwortliche für die Technikblöcke, Prozessverantwortliche nach Auditplan. Klären Sie Vertretungen für den Krankheitsfall.
- Ehrlichkeit als Linie: Bekannte Schwächen offen ansprechen und den geplanten Umgang damit zeigen wirkt stärker als Vertuschen. Auditoren finden kaschierte Probleme meist trotzdem, und dann wiegt der Vertrauensverlust schwerer als die Lücke selbst.
Und zuletzt: Betrachten Sie das Audit als bezahlte Schwachstellenanalyse. Ein erfahrener Auditor sieht Dutzende Unternehmen pro Jahr, seine Feststellungen und Hinweise sind oft die günstigste Sicherheitsberatung, die Sie bekommen können, gerade weil er nicht beraten darf und nichts verkaufen will.
Häufige Fragen
Das Stufe-1-Audit dauert je nach Unternehmensgröße einen halben bis ganzen Tag und findet oft remote statt. Das Stufe-2-Audit vor Ort dauert bei kleinen Unternehmen ein bis zwei Tage, bei größeren entsprechend länger. Das Gesamtverfahren von der Beauftragung bis zum Zertifikat dauert typischerweise sechs bis acht Wochen, Überwachungsaudits sind mit meist einem Tag deutlich kürzer.
Er prüft die Technik systemorientiert, nicht als Penetrationstest. Der Auditor will sehen, dass Ihre Prozesse funktionieren: nachweisbares Patch-Management, getestete Backups, gepflegte Berechtigungen, ausgewertete Protokolle. Dazu nimmt er Stichproben in den Systemen und lässt sich Konfigurationen zeigen. Ein technischer Angriffstest gehört nicht zum Zertifizierungsaudit und wird gesondert beauftragt, falls gewünscht oder gefordert.
Klassiker sind: veraltete oder widersprüchliche Statements of Applicability, Risikoanalysen, die Änderungen der IT-Landschaft nicht abbilden, fehlende Wiederherstellungstests trotz vorhandener Backups, unvollständiges Offboarding mit aktiven Konten ehemaliger Mitarbeitender, lückenhafte Schulungsnachweise und interne Audits, die nur die Dokumentation, aber nicht die Praxis geprüft haben.
Nein. Anhang A ist ein Maßnahmenkatalog, kein Pflichtenheft. Sie müssen jedes Control im Statement of Applicability adressieren: umsetzen, alternativ behandeln oder mit nachvollziehbarer Begründung ausschließen, etwa weil kein eigener Softwareentwicklungsprozess existiert. Der Auditor prüft die Schlüssigkeit dieser Begründungen gegen Ihre Risikoanalyse, nicht die vollständige Umsetzung aller Controls.
Das Zertifikat wird zunächst nicht erteilt beziehungsweise nicht bestätigt. Sie erhalten die Feststellung schriftlich, analysieren die Ursache und setzen Korrekturmaßnahmen um. Den Nachweis prüft die Zertifizierungsstelle je nach Schwere per Dokumentenprüfung oder Nachaudit, dafür fallen zusätzliche Kosten an. Erst danach fällt die Zertifizierungsentscheidung. Bei gut vorbereiteten Unternehmen sind Hauptabweichungen die Ausnahme.
Die Geschäftsführung für Eröffnungs- und Abschlussgespräch sowie die Themen Führung, Risiko und Managementbewertung, die für Informationssicherheit verantwortliche Person durchgehend, IT-Verantwortliche für die technischen Blöcke und ausgewählte Mitarbeitende für Interviews an ihren Arbeitsplätzen. Der Auditplan wird vorab abgestimmt, sodass Sie Verfügbarkeiten gezielt organisieren können. Das Tagesgeschäft läuft währenddessen normal weiter.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT