Viele Unternehmen investieren erhebliche Ressourcen in den Aufbau eines Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001: Richtlinien werden entwickelt, Risiken bewertet, Verantwortlichkeiten festgelegt, technische und organisatorische Maßnahmen umgesetzt. Das Ziel ist klar: die ISO-27001-Zertifizierung.
Doch wie lässt sich vor dem Zertifizierungsaudit objektiv feststellen, ob das ISMS den Anforderungen entspricht – und ob die dokumentierten Prozesse im Alltag tatsächlich funktionieren?
Genau hier setzt das interne Audit an.
Was ist ein internes Audit nach ISO 27001?
Ein internes Audit nach ISO 27001 ist eine systematische, unabhängige und dokumentierte Prüfung, ob das ISMS die Anforderungen der Norm und die eigenen Vorgaben der Organisation erfüllt und wirksam umgesetzt und aufrechterhalten wird. Es wird von der Organisation selbst veranlasst – durchgeführt von qualifizierten eigenen Mitarbeitenden oder einem beauftragten externen Auditor – und ist Voraussetzung für Zertifizierung, Überwachungsaudits und Rezertifizierung.
Ein professionelles internes Audit betrachtet nicht nur Dokumente, sondern hinterfragt deren praktische Umsetzung. Existiert eine Richtlinie zur Vergabe von Benutzerberechtigungen, reicht ihre Existenz nicht aus. Entscheidend ist, ob Berechtigungen tatsächlich nach dem definierten Prozess beantragt, genehmigt, vergeben und regelmäßig überprüft werden.
Ein dokumentierter Prozess ist noch kein wirksamer Prozess.
Diese Unterscheidung ist das wichtigste Grundprinzip eines aussagekräftigen internen Audits.
Was fordert die ISO 27001 in Kapitel 9.2?
Die Anforderungen an interne Audits stehen in Kapitel 9.2 der ISO/IEC 27001:2022. Die Norm verlangt, dass Organisationen in geplanten Abständen interne Audits durchführen, um festzustellen, ob das ISMS den eigenen Vorgaben und den Normanforderungen entspricht und wirksam umgesetzt und aufrechterhalten wird. Dafür muss ein Auditprogramm geplant, eingeführt, umgesetzt und aufrechterhalten werden.
Die wesentlichen Anforderungen im Überblick:
- Auditprogramm: Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung – unter Berücksichtigung der Bedeutung der betroffenen Prozesse und der Ergebnisse vorheriger Audits.
- Auditkriterien und -umfang: Für jedes Audit ist festzulegen, welche Bereiche und Prozesse gegen welche Anforderungen geprüft werden.
- Objektivität und Unparteilichkeit: Auditoren sind so auszuwählen und Audits so durchzuführen, dass eine unabhängige Bewertung gewährleistet ist.
- Berichterstattung: Die Ergebnisse gehen an das zuständige Management und fließen in die Managementbewertung (Kapitel 9.3) ein.
- Dokumentierte Information: Auditprogramm und Auditergebnisse sind als Nachweis aufzubewahren.
Die Norm schreibt weder eine jährliche Vollauditierung aller Prozesse noch die Beauftragung eines externen Auditors vor. Entscheidend ist ein angemessenes, risikoorientiertes Auditprogramm – und die Forderung nach Objektivität, die in der Praxis am häufigsten unterschätzt wird.
Warum interne Audits vor der Erstzertifizierung entscheidend sind
Eine ISO-27001-Erstzertifizierung erfolgt in zwei Stufen. Im Stage-1-Audit prüft die Zertifizierungsstelle Vorbereitung und grundlegende Ausgestaltung des ISMS – einschließlich der Frage, ob internes Audit und Managementbewertung geplant oder bereits durchgeführt sind. Das Stage-2-Audit untersucht, ob das Managementsystem implementiert ist und im operativen Betrieb wirksam funktioniert.
Das interne Audit sollte deshalb nicht erst unmittelbar vor Stage 2 als formaler Nachweis stattfinden, sondern mit ausreichend Abstand, damit Nichtkonformitäten analysiert und Korrekturmaßnahmen wirksam umgesetzt werden können – in der Praxis acht bis zwölf Wochen vor dem Zertifizierungsaudit.
Typische Lücken, die ein internes Audit vor der Zertifizierung findet
- Sicherheitsrichtlinien sind vorhanden, wurden aber nicht wirksam kommuniziert.
- Risikobewertungen wurden durchgeführt, aber nicht konsequent in Maßnahmen überführt.
- Definierte Kontrollen werden im Tagesgeschäft nicht regelmäßig angewendet.
- Zuständigkeiten sind dokumentiert, werden aber anders gelebt.
- Nachweise für durchgeführte Maßnahmen fehlen oder sind unvollständig.
- Das Statement of Applicability (SoA) passt nicht mehr zur aktuellen Risikobehandlung.
Jede dieser Abweichungen wird im Zertifizierungsaudit zur Feststellung. Im internen Audit ist sie eine Aufgabe mit Frist.
Vorbereitung der Fachbereiche – ohne Antworten einzuüben
Ein zweiter Vorteil: Prozessverantwortliche lernen vor der Zertifizierung, wie ein Audit abläuft – Anforderungen erläutern, Prozesse darstellen, Nachweise bereitstellen. Dabei geht es ausdrücklich nicht darum, Antworten zu trainieren, sondern darum, dass Mitarbeitende ihre tatsächlichen Verantwortlichkeiten verstehen und die Prozesse belastbar funktionieren.
Grundlage für die Managementbewertung
Die Ergebnisse interner Audits sind Pflichtinput der Managementbewertung nach Kapitel 9.3. Die Geschäftsleitung braucht belastbare Informationen, ob das ISMS seine Ziele erreicht, welche Schwachstellen bestehen und wo Handlungsbedarf entsteht. Ein qualifiziertes internes Audit liefert diese Entscheidungsgrundlage.
Warum interne Audits auch nach der Zertifizierung unverzichtbar bleiben
Mit der Erstzertifizierung endet die Verantwortung für das ISMS nicht. Das Zertifikat gilt für einen dreijährigen Zyklus mit jährlichen Überwachungsaudits und anschließender Rezertifizierung. Während der gesamten Zeit muss das ISMS wirksam betrieben, überwacht und verbessert werden – und die Zertifizierungsstelle erwartet in jedem Überwachungsaudit den Nachweis des laufenden internen Auditprogramms.
Die Rahmenbedingungen ändern sich fortlaufend: Neue IT-Systeme werden eingeführt, Anwendungen abgelöst, Geschäftsprozesse angepasst, Dienstleister eingebunden. Bedrohungslage und regulatorische Anforderungen – etwa durch NIS-2 – entwickeln sich weiter. Was zur Erstzertifizierung angemessen war, muss es zwölf oder 24 Monate später nicht mehr sein.
Ein Zertifikat bestätigt nicht, dass ein ISMS dauerhaft ohne Veränderung funktioniert.
Im Zertifizierungszyklus prüft das interne Audit deshalb vor allem drei Dinge: die Wirksamkeit bestehender Maßnahmen, die Nachverfolgung früherer Feststellungen und die Bewertung organisatorischer Veränderungen. Es wird vom Nachweis zum Steuerungsinstrument.
Das Unabhängigkeitsproblem: Wer prüft die Arbeit des ISMS-Teams?
Die größte praktische Herausforderung interner Audits ist die Unabhängigkeit der prüfenden Personen. In vielen Unternehmen wird das ISMS von einem überschaubaren Team aufgebaut und betrieben: Der Informationssicherheitsbeauftragte koordiniert, Fachbereiche definieren Maßnahmen, die IT setzt um. Diese Personen kennen das System am besten – und genau darin liegt der Interessenkonflikt.
Wer ein System konzipiert, implementiert und betreut hat, ist nicht die geeignete Person, um dessen Wirksamkeit unabhängig zu beurteilen.
Das bedeutet nicht, dass interne Verantwortliche Fehler bewusst übersehen. Durch die ständige Beschäftigung mit den eigenen Prozessen entsteht Betriebsblindheit: Vorgehensweisen gelten als selbstverständlich, informelle Abläufe werden nicht mehr hinterfragt, bekannte Schwachstellen anders bewertet als durch Dritte. Ein Auditor muss genau diese Annahmen prüfen können.
Objektivität ist keine Frage der Stellenbezeichnung
Unabhängigkeit bemisst sich nicht an der Organisationsposition, sondern daran, ob jemand den Prüfgegenstand objektiv bewerten kann. Ein Mitarbeiter aus einer anderen Abteilung kann als interner Auditor geeignet sein, wenn Fachkompetenz vorhanden ist und keine Interessenkonflikte bestehen. Problematisch wird es, wenn Personen ihre eigenen Tätigkeiten, Entscheidungen oder Verantwortungsbereiche auditieren – besonders, wenn der ISB oder das ISMS-Team faktisch das gesamte Managementsystem selbst bewertet.
Ein Audit darf keine Selbstbestätigung der eigenen Arbeit sein. Zertifizierungsauditoren kennen dieses Muster und fragen gezielt danach.
Warum ein externer Auditor häufig die bessere Wahl ist
Die ISO 27001 verlangt keinen externen Dienstleister für interne Audits. Dennoch bietet die Beauftragung eines unabhängigen Dritten – gerade für Organisationen mit kleinem ISMS-Team – vier konkrete Vorteile:
1. Unabhängige Bewertung ohne interne Interessenkonflikte
Ein externer Auditor ist weder für Konzeption noch für Betrieb des ISMS verantwortlich und betrachtet Prozesse mit organisatorischer Distanz – unbeeinflusst von Gewohnheiten, historischen Entscheidungen und informellen Absprachen. Das erhöht die Aussagekraft der Feststellungen.
Wichtig: Auch bei externen Auditoren ist auf Interessenkonflikte zu achten. Hat ein Dienstleister wesentliche Teile des ISMS selbst aufgebaut, ist die anschließende Prüfung derselben Leistung problematisch. Nicht angestellt zu sein, garantiert noch keine Unparteilichkeit – deshalb trennen wir bei Cognic Beratungs- und Auditmandate.
2. Erfahrung aus vielen ISMS
Qualifizierte externe Auditoren – etwa mit Lead-Auditor-Ausbildung – bringen Erfahrung aus unterschiedlichen Unternehmen, Branchen und Zertifizierungsstellen mit. Sie beurteilen nicht nur anhand der Norm, sondern erkennen typische Implementierungsprobleme und wissen, an welchen Stellen dokumentiertes ISMS und gelebter Betrieb regelmäßig auseinanderfallen.
3. Fragen, die intern nicht gestellt werden
Warum wurde diese Maßnahme gewählt? Ist sie geeignet, das Risiko zu behandeln? Wie wird ihre Wirksamkeit gemessen? Welche Nachweise belegen die dauerhafte Umsetzung? Solche Fragen stellen Routinen infrage und machen Verbesserungspotenziale sichtbar, die intern nicht mehr auffallen.
4. Entlastung des ISMS-Teams
Vorbereitung und Durchführung eines Audits erfordern Zeit, Methodik und Personal. Kleine ISMS-Teams können neben dem Tagesgeschäft kaum eine unabhängige Auditfunktion sicherstellen. Ein externer Auditor entlastet gezielt, ohne dass die Verantwortung für das ISMS die Organisation verlässt: Das Team betreibt und entwickelt das System, die unabhängige Prüfung erfolgt durch eine separate Instanz.
Interner oder externer Auditor: Vergleich
| Kriterium | Interner Auditor | Externer Auditor |
|---|---|---|
| Kenntnis interner Abläufe | Sehr hoch | Wird in der Vorbereitung aufgebaut |
| Organisatorische Distanz | Abhängig von der Rollenverteilung | Bei geeigneter Beauftragung hoch |
| Interessenkonflikte | Bei kleinen Teams kaum vermeidbar | Zu prüfen, insbesondere bei vorherigen Beratungsmandaten |
| Erfahrung mit anderen ISMS | Meist auf eigene Organisation beschränkt | Breit, aus vielen Zertifizierungen |
| Interner Ressourcenbedarf | Eigene Auditkapazität und Qualifikation nötig | Gering |
| Akzeptanz bei der Zertifizierungsstelle | Gut, wenn Unabhängigkeit belegbar | Gut, Unabhängigkeit leicht nachweisbar |
Für größere Organisationen mit etablierter, unabhängiger interner Auditfunktion ist die interne Durchführung eine gute Lösung. Kleinere und mittlere Organisationen profitieren meist von externen Auditoren, weil die personellen und organisatorischen Voraussetzungen für eine unabhängige Prüfung intern nicht vorhanden sind.
Ablauf eines internen ISO-27001-Audits in fünf Phasen
Ein professionelles internes Audit folgt einem strukturierten Vorgehen – und beschränkt sich nicht auf das Abarbeiten einer Normcheckliste.
- Auditplanung und Vorbereitung. Auditziele, Umfang und Kriterien werden festgelegt: Geltungsbereich des ISMS, relevante Normanforderungen, interne Richtlinien, Ergebnisse vorheriger Audits. Prozessverantwortliche und Auditmethoden werden bestimmt, der Auditplan mit Terminen abgestimmt.
- Dokumentenprüfung. Risikomanagement, Informationssicherheitsziele, Statement of Applicability, Richtlinien und dokumentierte Verfahren werden auf Vollständigkeit, Konsistenz und Normkonformität geprüft.
- Prüfung der praktischen Umsetzung. Der entscheidende Teil: Durch Interviews, Stichproben und Einsicht in operative Nachweise wird geprüft, ob die Prozesse tatsächlich angewendet werden – wurden Berechtigungen genehmigt, Sicherheitsereignisse nach Verfahren bearbeitet, Überprüfungen dokumentiert?
- Bewertung und Auditbericht. Die Erkenntnisse werden gegen die Auditkriterien bewertet: Nichtkonformitäten (Haupt- und Nebenabweichungen), Beobachtungen, Verbesserungspotenziale, positive Feststellungen. Ein aussagekräftiger Bericht nennt zu jeder Feststellung Nachweis und betroffene Anforderung.
- Maßnahmen und Wirksamkeitskontrolle. Festgestellte Nichtkonformitäten werden mit Ursachenanalyse und Korrekturmaßnahmen behandelt; deren Wirksamkeit wird nachgeprüft. Erst damit entfaltet das Audit seinen Nutzen für die kontinuierliche Verbesserung.
Wann sollte ein internes Audit stattfinden?
Der richtige Zeitpunkt hängt vom Reifegrad des ISMS und der Phase im Zertifizierungszyklus ab:
- Vor der Erstzertifizierung: acht bis zwölf Wochen vor dem Stage-2-Audit, damit Abweichungen behoben und die Managementbewertung mit den Auditergebnissen durchgeführt werden kann.
- Im laufenden Zyklus: ein risikoorientiertes Auditprogramm, das alle Bestandteile des ISMS in angemessenen Abständen abdeckt – kritische oder veränderungsintensive Prozesse häufiger, stabile Bereiche seltener. Das interne Audit sollte jeweils vor dem Überwachungsaudit abgeschlossen sein.
- Anlassbezogen: nach wesentlichen organisatorischen Änderungen, größeren IT-Migrationen, Erweiterung des Geltungsbereichs oder erheblichen Sicherheitsvorfällen.
Entscheidend ist nicht die Anzahl der Audits, sondern ihre fachliche Tiefe, ihre Objektivität und die konsequente Umsetzung der abgeleiteten Maßnahmen.
Fazit: Ein unabhängiges Audit ist eine Investition in die Wirksamkeit des ISMS
Ein internes Audit nach ISO 27001 ist kein Nachweis für die Zertifizierungsstelle, sondern das Instrument, mit dem eine Organisation ihr eigenes ISMS ehrlich beurteilt. Dafür braucht es Fachkompetenz, eine geeignete Methodik und vor allem Objektivität. Wo dieselben Personen das ISMS konzipieren, betreiben und prüfen, fehlt Letztere strukturell – und ein externer Auditor ist der einfachste Weg, sie herzustellen.
Das Ziel eines internen Audits ist nicht, möglichst wenige Nichtkonformitäten festzustellen. Das Ziel ist, Schwachstellen zu erkennen, bevor daraus Probleme entstehen.
Interne ISO-27001-Audits durch Cognic
Cognic führt interne Audits nach ISO/IEC 27001:2022 als unabhängiger Auditor durch – vor der Erstzertifizierung, im Zertifizierungszyklus und anlassbezogen. Unser Sitz ist in Bayern; wir auditieren Organisationen in ganz Deutschland, Österreich und der Schweiz, vor Ort, remote oder kombiniert.
Was Sie erhalten:
- Auditplan und Auditprogramm nach Kapitel 9.2, abgestimmt auf Geltungsbereich und Zertifizierungstermin.
- Durchführung durch einen ISO 27001 Lead Auditor (IRCA) mit Erfahrung aus Zertifizierungsprojekten unterschiedlicher Branchen.
- Auditbericht mit Feststellungen, Nachweisen und Normbezug, der im Zertifizierungsaudit als Nachweis bestehen kann.
- Maßnahmenliste mit Priorisierung – und auf Wunsch die Wirksamkeitsprüfung nach Umsetzung.
- Strikte Trennung von Beratung und Audit: Wo wir ein ISMS aufgebaut haben, auditieren wir es nicht selbst.
Auch kurzfristig: Wenn der Audittermin näher rückt als geplant, übernehmen wir interne Audits in der Regel innerhalb weniger Tage.
