ISO 27001-Audit: Ein umfassender Leitfaden für 2025

SaaS-Unternehmen müssen Vertrauen in ihre Datensicherheitsmaßnahmen schaffen, um weiterhin wachsen zu können. Der beste Weg, dieses Vertrauen aufzubauen, ist die Erlangung unabhängiger und international anerkannter Zertifizierungen für Ihre Sicherheitsvorkehrungen.

Die ISO-2700-Zertifizierung zählt zu den international anerkanntesten Sicherheitsstandards. Sie belegt Ihr Engagement für die Einhaltung globaler Best Practices im Bereich Informationssicherheit und stärkt Ihre Wettbewerbsfähigkeit.

Das ISO 27001-Audit ist daher entscheidend, um festzustellen, ob Ihre Organisation die Anforderungen der ISO 27001 erfüllt. Doch was genau beinhaltet das Audit? ISO 27001 Audit-Checkliste Was genau beinhaltet das? Und wonach suchen die Prüfer? Wie können Sie feststellen, ob Sie auf die Prüfung vorbereitet sind?

Lesen Sie weiter, um mehr über den ISO 27001-Auditprozess, seine Arten und die Vorbereitung darauf zu erfahren.

Was ist ein ISO 27001-Audit?

Ein ISO-27001-Audit unterstützt Organisationen bei der Bewertung ihres Informationssicherheits-Managementsystems (ISMS). Ziel ist es festzustellen, ob das ISMS alle im Standard festgelegten Anforderungen erfüllt.

Ein Audit analysiert die Wirksamkeit von Sicherheitskontrollen, Risikomanagementprozessen und der allgemeinen Informationssicherheit. Hauptziel ist es, sicherzustellen, dass das Informationssicherheitsmanagementsystem (ISMS) sensible Informationen schützt, die Vertraulichkeit und Integrität von Daten und Systemen wahrt und deren Verfügbarkeit gewährleistet.

Welche Anforderungen stellt ein ISO 27001-Audit?

Die Anforderungen an ein ISO 27001-Audit (internes Audit) sind in den Normendokumenten beschrieben. Alle Anforderungen sind in Abschnitt 9.2 der Norm enthalten. ISO 27001 StandardSchauen wir uns die Unterklauseln an, um jede einzelne Anforderung zu verstehen.

• Klausel 9.2a – Diese Klausel besagt, dass Sie in regelmäßigen und geplanten Abständen interne Audits durchführen müssen, um Informationen darüber zu erhalten, ob Ihr ISMS den Anforderungen an ein ISMS entspricht.
• Klausel 9.2b – Diese Klausel besagt, dass Ihre interne Revision den folgenden Anforderungen entsprechen muss: Anforderungen der Norm ISO 27001.
• Klausel 9.2c Diese Klausel besagt, dass das Auditprogramm geplant, eingerichtet, umgesetzt und aufrechterhalten werden muss. Dies umfasst Häufigkeit, Verfahren, Rollen und Berichtspflichten.
• Klausel 9.2d Diese Klausel verpflichtet Sie, die Prüfkriterien und den Prüfumfang für jede Prüfung festzulegen. Dies sollte dokumentiert werden, um sicherzustellen, dass die Prüfungsziele erreicht werden.
• Klausel 9.2e – Diese Klausel verpflichtet Sie, das Team der Prüfer so auszuwählen, dass ein unparteiischer Prüfprozess gewährleistet ist.
• Klausel 9.2f – Diese Klausel schreibt vor, dass die Ergebnisse des Audits nach dessen erfolgreichem Abschluss der zuständigen Geschäftsleitung mitgeteilt werden müssen.
• Klausel 9.2g Diese Klausel verpflichtet Sie, alle Informationen zum Auditprozess und dessen Ergebnissen aufzubewahren und zu dokumentieren. Dies ist auch eine Anforderung für ISMS-Verantwortliche gemäß Klausel 7.5.3.

Nachdem wir nun die Auditanforderungen verstanden haben, sehen wir uns die verschiedenen Arten von ISO 27001-Audits an.

Welche Arten von ISO 27001-Audits gibt es?

ISO 27001-Audits lassen sich grob in folgende Kategorien unterteilen: intern und extern Audits. Interne Audits helfen Ihnen zu beurteilen, ob Ihr ISMS effektiv implementiert ist und wie erwartet funktioniert, während externe Audits, die in definierten Phasen durchgeführt werden, die Einhaltung der Vorschriften durch Ihre Organisation bestätigen. 

Die externen Phasen umfassen die Erstzertifizierungsprüfung (Phase 1 und Phase 2), regelmäßige Überwachungsaudits zur Sicherstellung der fortlaufenden Einhaltung der Vorschriften sowie ein vollständiges Rezertifizierungsaudit alle paar Jahre. Im Folgenden erläutern wir die einzelnen Auditarten und was Sie in jedem Schritt erwartet.

Internes Audit nach ISO 27001

Interne Audits nach ISO 27001 werden intern durchgeführt, um zu bewerten, ob das Informationssicherheitsmanagementsystem (ISMS) die Anforderungen der Norm erfüllt. Das Management kann ein internes Team (bekannt als interner ISO-27001-Auditor) damit beauftragen oder die Audits an externe Auditoren vergeben.

Das interne Audit nach ISO 27001 ist vergleichbar mit einer Aufklärungsmission. Es geht darum, Lücken zu finden., Abweichungen und Schwachstellen im ISMS vor dem externen Audit.

Wie beginne ich mit einem internen Audit nach ISO 27001?

Hier sind die Schritte, die Sie befolgen sollten, um mit dem internen Prüfungsprozess zu beginnen.

• Geschäfts- und Sicherheitsziele identifizieren: Fragen Sie sich, welche Dienstleistung, welches Produkt oder welche Plattform in den Anwendungsbereich der ISO 27001 fallen und welche geschäftskritischen Auditprozesse und -produkte Sie haben.
• Definieren Sie den Umfang des AuditsWählen Sie in der Geltungsbereichsbeschreibung aus, welche Informationsressourcen und Systeme in das ISMS aufgenommen werden sollen, und bereiten Sie sich vor. die Anwendbarkeitserklärung (SOA) durch detaillierte Angabe, welche Anhang A-Kontrollen Bewerben Sie sich bei Ihrer Organisation.

• Risikobewertung und Behandlungsplan: Führen Sie eine interne Risikoanalyse Ihrer Anlagen und Systeme durch, identifizieren Sie die Risiken, die die Vertraulichkeit, Integrität und Verfügbarkeit der Daten beeinträchtigen könnten, weisen Sie ihnen eine Eintrittswahrscheinlichkeit zu und ordnen Sie die Auswirkungsgrade (von hoch bis niedrig) ein. Die Risikobehandlung umfasst Maßnahmen zur Reduzierung der identifizierten Risiken auf ein akzeptables Niveau.

• Beauftragen Sie einen kompetenten und unparteiischen PrüferWählen Sie einen Auditor, der die Anforderungen und Auditmethoden der ISO 27001 versteht. Er muss unabhängig sein – er darf keinerlei Verbindung oder Interessenkonflikt mit dem zu auditierenden Prozess haben. Viele Organisationen setzen geschulte interne Mitarbeiter oder externe Berater ein, um Neutralität zu gewährleisten.
• ISMS-Dokumentation und -Nachweise sammelnSammeln Sie vor Beginn des Audits alle wichtigen Dokumente, wie z. B. Ihre Risikobewertung, die Anwendbarkeitserklärung (SoA), Richtlinien, Verfahren, Kontrollnachweise, Vorfallprotokolle und frühere Auditberichte. Dies ermöglicht dem Auditor einen umfassenden Überblick über die Konzeption und Implementierung Ihres ISMS.

Wie sieht eine Checkliste für ein internes Audit nach ISO 27001 aus?

Wie Sie bei ISO-27001-Audits feststellen werden, liegt der Teufel im Detail – meist in der Dokumentation. Hier ein Überblick über die Checkliste für interne ISO-27001-Audits:

1. Überprüfung der Dokumentation

Der interne Auditor wird die gesamte Dokumentation prüfen, sicherstellen, dass der Auditumfang das ISMS angemessen abdeckt, und die Kontrollen hinsichtlich der Konformität mit der ISO-Norm bewerten. 

2. Feldprüfung

Der interne Revisor wird das ISMS überprüfen, Tests durchführen und Nachweise sammeln, um aufzuzeigen, was funktioniert und was nicht. Er wird außerdem mit verschiedenen Teams sprechen und deren Einhaltung des ISMS verstehen.

3. Interner Prüfbericht

Auf Grundlage ihrer Feststellungen und Analysen erstellt der Prüfer einen internen Prüfungsbericht für die Geschäftsleitung. Dieser Bericht enthält Angaben zu Umfang, Ziel und Art der Prüfung. Er beschreibt außerdem detailliert, welche Richtlinien, Verfahren und Kontrollen funktionieren und welche nicht, und belegt dies mit entsprechenden Nachweisen.

4. Managementbewertung

Das Management prüft den internen Prüfbericht. Der Prüfer und das Management können die Liste der wesentlichen und weniger wesentlichen Abweichungen sowie die Maßnahmenpläne besprechen und prüfen, ob das Unternehmen für das externe Audit und die ISO-Zertifizierung bereit ist. 

Externes Audit nach ISO 27001

Sobald die interne Prüfung genehmigt ist, können sich Organisationen einer externen Prüfung unterziehen. Der Ablauf der externen Prüfung entspricht dem der internen Prüfung; der Unterschied besteht darin, dass sie zu einer Zertifizierung (bzw. Rezertifizierung) führt.

Der externe Prüfungsprozess gliedert sich typischerweise in drei Hauptprüfungsarten: Erstzertifizierung, Überwachungsaudits und Rezertifizierungsaudits.

1. Erstzertifizierungsaudit (Stufe 1 + Stufe 2)

Der anfängliche Zertifizierungsprozess erfolgt in zwei Phasen. Beide müssen abgeschlossen sein, üblicherweise innerhalb von sechs Monaten, um die ISO 27001-Zertifizierung zu erhalten.

Phase 1: Dokumentenprüfung (ISMS-Designprüfung)

In Phase 1, der Auditor untersucht Ihre ISMS-Dokumentation um zu beurteilen, ob es den Anforderungen der ISO 27001 entspricht. Dies beinhaltet die Überprüfung, ob alle obligatorischen Dokumente (Risikobewertung, Handlungsanweisungen, Richtlinien, Verfahren usw.) vorhanden sind und den definierten Geltungsbereich Ihres ISMS korrekt widerspiegeln.

Wichtigste Ergebnisse von Phase 1:

• Bestätigung, dass Ihr ISMS für Stufe 2 ausreichend ausgelegt ist
• Identifizierung von Lücken, Verbesserungspotenzialen oder fehlenden Dokumenten
• Eine formelle Prüfbericht Phase 1 Zusammenfassung der Bereitschaft und Empfehlungen

Organisationen, insbesondere kleinere, beschränken sich aus Gründen der Einfachheit und Übersichtlichkeit oft auf das gesamte Unternehmen im Geltungsbereich des ISMS.

Phase 2: Externes Zertifizierungsaudit (Überprüfung der operativen Effektivität)

Stufe 2 ist eine ausführliche evidenzbasierte Überprüfung wobei externe Prüfer überprüfen, ob Ihr ISMS effektiv umgesetzt und in Betrieb genommenDies umfasst Interviews, die Überprüfung von Dokumenten und die Stichprobenentnahme von operativen Beweismitteln.

Die Prüfer werden Folgendes überprüfen:

• Wenn die im SoA identifizierten Kontrollen wie beschrieben funktionieren
• Ob die Verfahren konsequent eingehalten werden
• Protokolle und tatsächliche Betriebsnachweise (Screenshots werden nicht akzeptiert)
• Ob frühere Verbesserungsanträge berücksichtigt wurden

Beispiele für Beweisprüfungen:

• Wenn Ihre Richtlinie tägliche Datensicherungen vorschreibt, werden die Prüfer die Sicherungsprotokolle einsehen.
  • Ein paar fehlende Einträge = geringfügig Nichtübereinstimmung
  • Keine Backups oder lange Lücken = erhebliche Abweichung

Am Ende von Phase 2 erstellen die Prüfer einen Bericht, der Folgendes beinhaltet:

• Wesentliche Abweichungen (muss vor der Zertifizierung korrigiert werden)
• Geringfügige Abweichungen (Zertifizierung nicht blockieren, aber Korrekturen fordern)
• Verbesserungsmöglichkeiten (OFIs)

Korrekturmaßnahmen für schwerwiegende Abweichungen werden durchgeführt kein Frontalunterricht. Die vollständige Prüfung muss wiederholt werden; es müssen lediglich Nachweise über die durchgeführten Abhilfemaßnahmen eingereicht werden.

Nach erfolgreichem Abschluss von Phase 2 wird Ihre ISO 27001-Zertifizierung ausgestellt und bleibt gültig für 3 Jahre, unterliegen jährlichen Überwachungsprüfungen.

2. Überwachungsprüfungen (Jahre 1 und 2)

Überwachungsaudits Die Prüfungen finden typischerweise im ersten und zweiten Jahr nach der Zertifizierung statt. Sie sind weniger streng als in Stufe 2, aber dennoch gründlich genug, um die fortlaufende Einhaltung der Vorschriften zu bestätigen.

Die Wirtschaftsprüfer werden:

• Überprüfen Sie, wie Abweichungen aus früheren Audits behoben wurden.
• Prüfen Sie, ob Dokumente, Prozesse und Kontrollen aktualisiert wurden.
• Bewertung der ISMS-Leistung und Nachweise für kontinuierliche Verbesserung
• Nehmen Sie jedes Jahr verschiedene Teile des ISMS als Stichprobe.

Ergebnisse der Überwachungsprüfung:

• Die Ergebnisse und Abweichungen werden in einem Bericht dokumentiert.
• Schwerwiegende Abweichungen erfordern Korrekturmaßnahmen mit entsprechenden Nachweisen innerhalb von drei Monate
• Die Nichtbeachtung wichtiger Probleme kann die Zertifizierung gefährden.

Auch kleinere Abweichungen müssen korrigiert werden, haben aber in der Regel keinen Einfluss auf den Zertifizierungsstatus.

3. Rezertifizierungsaudit (alle 3 Jahre)

Am Ende des dreijährigen Zyklus wird ein Rezertifizierungsaudit durchgeführt. Dieses Audit ist ähnlich detailliert wie das Audit der Stufe 2 und bewertet die Gesamtwirksamkeit und anhaltende Relevanz Ihrer ISMS.

Die Prüfer werden Folgendes überprüfen:

• Ob der Anwendungsbereich des ISMS noch angemessen ist
• Richtlinien, Verfahren und Kontrollen
• Nachweis der operativen Effektivität
• Korrigierende und vorbeugende Maßnahmen
• Interne Audits und Management-Reviews
• Offene Abweichungen und OFIs aus früheren Audits

Am besten ist es, den Termin festzulegen Rezertifizierungsaudit 3–6 Monate vor Ablauf Ihrer ZertifizierungDadurch bleibt genügend Zeit, um gegebenenfalls auftretende größere Abweichungen zu beheben. Eine erfolgreiche Rezertifizierung setzt den Dreijahreszyklus zurück und führt die jährliche Überwachung fort.

ISO 27001 Auditphasen

Die Vorbereitung auf die ISO 27001-Zertifizierung umfasst zwei wesentliche Phasen, darunter das initiale Zertifizierungsaudit. Das Verständnis dieser Phasen ist entscheidend, da sie die Auditkriterien für ISO 27001 festlegen und die Zertifizierungsberechtigung bestimmen.

Phase 1 – Überprüfung des ISMS-Designs

Diese Phase erfordert eine sorgfältige Vorbereitung, einschließlich der Definition der Risikotoleranz, der Sicherstellung, dass die Sicherheitsstandards den Erwartungen der Partner und den rechtlichen Verpflichtungen entsprechen, sowie der Dokumentation von Prozessen und Kontrollen gemäß den ISO-Normen. Ein Auditor prüft diese Dokumentation auf Konformität und schlägt Verbesserungen vor.

Phase 2 – Zertifizierungsaudit

Nach einer positiven Empfehlung in Phase 1 führt ein Auditor einer Zertifizierungsstelle eine Vor-Ort-Prüfung durch. Er bestätigt die Übereinstimmung der dokumentierten Verfahren aus Phase 1 mit den tatsächlichen Geschäftsprozessen und Kontrollen des Informationssicherheits-Managementsystems (ISMS). Die Auditoren bewerten verschiedene Daten und Assets, um die effektive Funktionsweise des ISMS zu überprüfen, und befragen wichtige Akteure, die an der Verwaltung der Sicherheitsmaßnahmen beteiligt sind.

Der erfolgreiche Abschluss des Stufe-2-Audits führt zur ISO-27001-Zertifizierung mit einer Gültigkeit von drei Jahren. Anschließend sind jährliche Überwachungsaudits erforderlich, um die fortlaufende Konformität sicherzustellen. Diese Audits belegen, dass die Kontrollen wie vorgesehen funktionieren und dem der Zertifizierungsstelle vorgelegten internen Auditplan entsprechen.

Wer führt das ISO 27001-Audit durch?

Im Allgemeinen führt ein externer Auditor mit entsprechender Erfahrung und Zertifizierung das ISO-27001-Audit durch, um die Einhaltung der festgelegten Normen und Anforderungen durch die Organisation anhand des Informationssicherheitsmanagementsystems (ISMS) zu bewerten. Der externe Auditor kann entweder eine Einzelperson oder ein auf ISO-27001-Audits spezialisiertes Drittunternehmen sein.

Ein interner Auditor kann das ISO-27001-Audit ebenfalls durchführen. Voraussetzung dafür ist der Nachweis einer bestimmten Anzahl an Audits und Schulungsstunden. Die endgültige ISO-Zertifizierung wird jedoch von der Zertifizierungsstelle selbst ausgestellt.

Wie lange dauert ein ISO 27001-Audit?

Das ISO 27001-Audit besteht aus zwei Phasen und kann bis zu sechs Monate dauern. Nach der ersten Phase, der Vor-Ort-Prüfung und der Dokumentenprüfung, muss das Unternehmen die festgestellten Abweichungen beheben, um sich auf die zweite Phase vorzubereiten. Die Dauer des Phase-2-Audits hängt von der Unternehmensgröße und der Anzahl der schwerwiegenden Abweichungen ab.

Wenn Sie also die Abweichungen durch die effiziente und auf Compliance ausgerichtete Implementierung Ihres ISMS beheben, wird der Auditprozess weniger als 5-6 Monate dauern.

Was passiert, wenn man ein ISO 27001-Audit nicht besteht?

Das Nichtbestehen eines ISO 27001-Audits birgt das Risiko des Entzugs der Zertifizierung, bis die Organisation die festgestellten Mängel behoben hat. Ein externes Audit deckt häufig Verbesserungspotenziale und Probleme im Informationssicherheitsmanagementsystem (ISMS) auf, die Aufmerksamkeit erfordern.

Nach dem Scheitern bei einem ISO-Audit können Sie dann die Sicherheitslage analysieren und Ihr ISMS, um die Einhaltung der Vorschriften zu verbessern und die erforderlichen Maßnahmen umzusetzen, um wieder auf Kurs zu kommen. Die Zertifizierungsstelle gibt Ihnen ausreichend Zeit, die im Audit festgestellten Mängel zu beheben.

Im Allgemeinen führen Unternehmen nach einem fehlgeschlagenen Audit eine interne Bewertung durch, um ihre Systeme zu überprüfen. Dies ermöglicht es, etwaige Abweichungen effektiv zu identifizieren und zu beheben.

Optimieren Sie Ihre ISO 27001-Audits mit Sprinto

Sprintos Die Compliance-Automatisierungsplattform Sprinto unterstützt SaaS-Unternehmen dabei, ihre Sicherheitsstrategie erfolgreich umzusetzen. Von der intelligenten Risikoanalyse und -minimierung bis hin zur Aufteilung des gesamten Prozesses in logische, taktische Schritte – mit Sprinto ist Ihre Compliance-Erfahrung einfach, fehlerfrei und schnell. 

Von der Definition des Geltungsbereichs Ihres ISMS über die Einrichtung robuster Informationssicherheitsrichtlinien, die Durchführung von Prüfungen auf Unternehmensebene bis hin zur Implementierung von Informationssicherheitsschulungsprogrammen für Mitarbeiter – Sprinto erledigt alles für Sie. 

Häufig gestellte Fragen