Erstes ISO 27001 Zertifizierungsaudit: 10 Dinge, die vorzubereiten sind, und 10, die nicht improvisiert werden dürfen

Das erste ISO/IEC 27001:2022 Zertifizierungsaudit gewinnt man nicht in der letzten Woche. Man gewinnt es in den Monaten, in denen das Managementsystem tatsächlich funktioniert hat, Spuren hinterlassen und eine Reihe von Nachweisen produziert hat, die niemand künstlich erstellen musste. Wer das Stage 2-Audit durchführt, sucht nicht nach Perfektion, sondern nach Kohärenz zwischen dem, was die Organisation erklärt und dem, was sie täglich tut.

Bei einem Audit wird schnell klar, ob ein ISMS lebendig ist oder für diesen Anlass wiederbelebt wurde. Das Anzeichen dafür ist nicht die Qualität der Grafik von Verfahren, sondern die Natürlichkeit, mit der die Menschen ihre Arbeit beschreiben. Ein IT-Verantwortlicher, der weiß, wo er den Erfolg eines Backups überprüfen kann, ist wertvoller als zwanzig Seiten Richtlinien. Und umgekehrt ist ein makelloses Handbuch, das niemand im Unternehmen jemals geöffnet hat, der erste Hinweis auf ein System, das für die Zertifizierungsstelle und nicht für die Organisation erstellt wurde.

Hier ist eine praktische Liste: Zehn Dinge, die Sie in Ruhe vorbereiten sollten, und zehn, die der Auditor sofort erkennt, wenn Sie sie improvisieren.

Die 10 Dinge, die zu tun sind

1. Sammeln Sie echte und nachvollziehbare Nachweise aus der Betriebszeit des ISMS, keine Schnappschüsse vom Vortag. Erforderlich sind konsistente Daten, identifizierbare Autoren, progressive Versionen: Protokolle, Tickets, Register mit einer glaubwürdigen Historie.
2. Machen Sie das Statement of Applicability mit der Realität vereinbar. Jede anwendbare Kontrolle aus Anhang A muss einen Implementierungsstatus und einen Verweis darauf haben, wo sie in der Praxis umgesetzt wird, nicht nur ein Häkchen bei „Ja“.
3. Legen Sie eine Risikoanalyse mit deklarierter Methodik vor (richten Sie sich nach ISO 27005 für Kriterien, Skalen und Akzeptanz) und einen Behandlungsplan mit Verantwortlichen, Fristen und aktuellem Fortschrittsstatus.
4. Führen Sie ein echtes internes Audit durch, mit einem kompetenten und von dem geprüften Bereich unabhängigen Auditor. Der Bericht muss Feststellungen enthalten, nicht nur Lob: Ein internes Audit ohne Beobachtungen weckt immer Misstrauen.
5. Führen Sie die Managementbewertung mit den Inputs aus Klausel 9.3 durch: Auditergebnisse, Risikostatus, Vorfälle, Ziele, Ressourcen. Protokollieren Sie Entscheidungen mit Verantwortlichen und Zeitrahmen, nicht nur gute Absichten.
6. Bereiten Sie die Schlüsselpersonen darauf vor, ihre Rolle im ISMS zu beschreiben. Der Sicherheitsbeauftragte, die IT-Abteilung, die HR-Abteilung und einige operative Mitarbeiter müssen erklären können, was sie tun, wenn etwas schiefgeht.
7. Halten Sie das Vorfallsregister bereit, auch für kleine Vorfälle. Ein ISMS, das in einem Jahr nichts registriert hat, ist nicht vorbildlich, sondern blind: Zeigen Sie Erkennung, Management und gelernte Lektionen.
8. Zeigen Sie, dass Sie die Ergebnisse überwachen, nicht nur, dass Sie die Werkzeuge haben. Backups mit dokumentierter Wiederherstellungsprüfung, Protokolle mit Nachweis, dass jemand sie liest, Alerts mit Empfänger und Reaktion.
9. Richten Sie Dokumente, Ziele und messbare KPIs aus. Wenn die Richtlinie besagt „wir reduzieren kritische Schwachstellen innerhalb von 30 Tagen“, legen Sie die Daten vor, die dies bestätigen, oder die Nichtkonformität, die dies managt.
10. Überprüfen Sie das Management von Lieferanten und Zugriffen: Verträge mit Sicherheitsklauseln, Benutzerverzeichnis mit regelmäßiger Überprüfung, Deprovisioning von ausgeschiedenen Mitarbeitern. Dies sind die ersten Punkte, an denen der Auditor ansetzt, denn ein aktiver Account einer Person, die das Unternehmen vor sechs Monaten verlassen hat, sagt mehr als tausend Worte über Ihre tatsächliche Reife. Bereiten Sie auch die Kohärenz zwischen dem erklärten Geltungsbereich und den Standorten oder Diensten vor, die darunterfallen: Die Kontrollen müssen überall dort existieren, wo der Geltungsbereich reicht, nicht nur dort, wo es bequem ist, sie zu zeigen.

Die 10 Fehler, die zu vermeiden sind

1. Verfahren in der letzten Woche erstellen und rückdatieren. Die Metadaten der Dateien, der Revisionsverlauf und die Unterschriften erzählen alles: Eine vor sechs Monaten „genehmigte“ Richtlinie mit Dateieigenschaften von vor drei Tagen ist eine Nichtkonformität und ein Vertrauensproblem.
2. Mitarbeiter, die nicht wissen, was ein ISMS ist. Wenn sie auf die Frage „Was ist das Sicherheitsmanagementsystem?“ mit „der Antivirus“ antworten, liegt das Problem nicht in der Antwort, sondern im fehlenden Bewusstsein (DSGVO Art. 32 und vorherige Schulung).
3. Niemals eine interne Nichtkonformität öffnen. Ein ISMS ohne NCs und ohne Korrekturmaßnahmen ist nicht ausgereift, es ist gefälscht: Der Verbesserungszyklus von Klausel 10 muss konkrete Spuren hinterlassen haben.
4. Backups und Protokolle, deren Ergebnis niemand überprüft. Einen geplanten Job zu haben, reicht nicht aus: Wenn es keinen Nachweis gibt, dass jemand Erfolge, Misserfolge und Wiederherstellungen überprüft, existiert die Kontrolle nur auf dem Papier.
5. SoA mit als „anwendbar und implementiert“ gekennzeichneten Kontrollen, die sich dann in der Praxis nicht wiederfinden. Der Abstand zwischen dem Dokument und dem Serverraum ist das Erste, was gemessen wird.
6. Ausschlüsse von Kontrollen aus Anhang A ohne Begründung, oder mit einem kopierten Satz begründet. „Nicht anwendbar“ erfordert eine Begründung, die mit dem realen Kontext der Organisation verbunden ist.
7. Managementbewertung auf eine E-Mail reduziert. Ohne die vorgesehenen Inputs, ohne nachvollziehbare Teilnehmer und ohne Entscheidungen bleibt Klausel 9.3 offen und führt zu einer sicheren Feststellung.
8. Dokumentenmenge und dokumentarische Substanz verwechseln. Dreihundert Seiten, die niemand nutzt, sind weniger wert als zehn gelebte Verfahren: Ein Übermaß an Papier verbirgt oft Prozesse, die nie stattgefunden haben.
9. Ein internes Audit präsentieren, das vom externen Berater durchgeführt wurde, der auch das System erstellt hat. Die Unabhängigkeit geht verloren und damit auch der Wert des Nachweises.
10. Antworten vor dem Auditor improvisieren. Besser ein ehrliches „das überprüfen wir so, und hier gibt es einen Punkt zu verbessern“ als eine theatralische Sicherheit, die vom ersten geöffneten Dokument widerlegt wird. Eine ehrliche Feststellung wird mit einer Korrekturmaßnahme abgeschlossen; eine aufgedeckte Lüge beeinträchtigt die Glaubwürdigkeit des gesamten restlichen Systems und verlängert das Audit unnötig.

Wenn Sie das Stage 2-Audit mit einem System erreichen, das bereits für Sie gearbeitet hat, wird das Audit zu einem Gespräch zwischen Fachleuten, nicht zu einer Prüfung. Wenn Sie eine unvoreingenommene Einschätzung Ihres Vorbereitungsgrades wünschen, macht ein externer Blick vor der Zertifizierungsprüfung oft den Unterschied zwischen einer kleineren Feststellung und einer Überraschung.