Internes ISO-27001-Audit durchführen – Ablauf, Phasen und Checkliste

Inhalt in Kürze

• Das interne Audit nach ISO 27001 (Kapitel 9.2) ist Pflicht: Es prüft, ob Ihr ISMS die Norm- und die eigenen Anforderungen erfüllt – mindestens einmal jährlich.
• Der Ablauf hat drei Phasen: Vorbereitung (4–6 Wochen vorher), Durchführung (1–5 Tage) und Nachbereitung (2–4 Wochen).
• Unabhängigkeit ist Pflicht: Niemand darf die eigene Arbeit auditieren. Methodische Grundlage ist die ISO 19011.
• Ergebnis ist ein Auditbericht mit Abweichungen (Major/Minor) und Beobachtungen – Eingangsdaten für die Managementbewertung (Kapitel 9.3).

Ein internes Audit klingt nach Bürokratie. In Wahrheit ist es Ihr Frühwarnsystem: Es findet die Lücken in Ihrem ISMS, bevor der externe Zertifizierungsauditor sie findet. Wer es ernst nimmt, geht entspannt ins Zertifizierungsaudit. Diese Anleitung zeigt, wie ein internes Audit Schritt für Schritt abläuft.

Warum ein internes Audit Pflicht ist

Kapitel 9.2 der ISO 27001 verlangt, dass Organisationen “in geplanten Abständen interne Audits durchführen”, um festzustellen, ob das Informationssicherheits-Managementsystem (ISMS) den eigenen Anforderungen und denen der Norm entspricht. In der Praxis heißt das: mindestens einmal pro Jahr, vor jedem Überwachungs- oder Rezertifizierungsaudit.

Das interne Audit ist nicht dasselbe wie das externe Zertifizierungsaudit. Es ist Ihr Werkzeug zur Selbstkontrolle – und gleichzeitig der Beweis gegenüber dem Zertifizierer, dass Ihr ISMS gelebt wird.

Die drei Phasen eines internen Audits

Ein internes Audit folgt der Methodik der ISO 19011 (Leitfaden für die Auditierung von Managementsystemen) und läuft in drei Phasen ab. Den typischen Ablauf eines ISO-27001-Audits beschreiben auch Fachleitfäden entlang dieser drei Schritte.

Phase 1: Vorbereitung (4–6 Wochen vorher)

Der Auditprogrammleiter erstellt den Auditplan: Welche Bereiche, welche Controls, welcher Zeitrahmen, welcher Auditor? Der Plan muss die geprüften Abteilungen rechtzeitig erreichen – in der Regel mindestens vier Wochen vorher. Der Auditor entwickelt eine Checkliste, die sich am ISMS-Scope und den relevanten Annex-A-Controls orientiert.

Phase 2: Durchführung (1–5 Tage)

Ein Eröffnungsgespräch klärt Ziele und Ablauf. Dann sammelt der Auditor Nachweise: durch Dokumentenprüfung, Interviews mit Mitarbeitern, Vor-Ort-Begehungen und den Abgleich von Soll- und Ist-Prozessen. Ein Abschlussgespräch fasst die vorläufigen Feststellungen zusammen.

Phase 3: Nachbereitung (2–4 Wochen)

Der Auditor erstellt den formalen Auditbericht und klassifiziert die Feststellungen. Aus jeder Abweichung entsteht eine dokumentierte Korrekturmaßnahme mit Frist und Verantwortlichem.

Die Unabhängigkeit: der kritische Punkt

Die wichtigste Regel: Ein Auditor darf nicht seine eigene Arbeit prüfen. Wer das ISMS aufgebaut hat, kann es nicht objektiv auditieren. Diese Unabhängigkeit ist nach Kapitel 9.2 zwingend.

Für KMU ist das oft die größte Hürde – in kleinen Teams kennt jeder alles. Drei Lösungen:

• Abteilungs-Rotation. Ein Mitarbeiter aus einem anderen Bereich auditiert, der mit dem geprüften Prozess nichts zu tun hat.
• Externer Auditor. Ein unabhängiger Berater führt das interne Audit durch – häufigste Lösung im Mittelstand.
• Gegenseitige Audits. Zwei Kollegen auditieren wechselseitig die Bereiche des jeweils anderen.

Fünf Tage vor der Rezertifizierung kam die E-Mail: Können Sie uns helfen? Zum Glück lag das Wochenende dazwischen. Der Auditor war am Ende begeistert. Mit einem sauberen internen Audit wäre die Panik gar nicht erst entstanden.

Nils OehmichenDatenschutzberater bei frag.hugo

Major, Minor, Beobachtung: Wie Abweichungen bewertet werden

Im Auditbericht werden Feststellungen klassifiziert:

Eine Major-Abweichung im externen Audit kann die Zertifizierung blockieren. Genau deshalb ist das interne Audit so wertvoll: Es findet diese Lücken, solange noch Zeit zum Nachbessern ist. Wie ein vollständiger Auditbericht aufgebaut sein muss, zeigt das Auditierungsschema des BSI.

Ihr nächster Schritt

Ein internes Audit, das im KMU funktioniert, braucht einen unabhängigen Blick und eine klare Checkliste. Wir auditieren Ihr ISMS pragmatisch – und bereiten Sie damit sicher aufs Zertifizierungsaudit vor.

Welche Controls der Auditor prüft, lesen Sie in unserer Übersicht zu Annex A und den 93 Controls. Wie Sie das Audit dokumentieren, zeigt unser Beitrag zum Statement of Applicability. Den Aufbau des gesamten Systems unterstützt Hugo ISMS.

Häufige Fragen (FAQ)

Wie oft muss ein internes ISO-27001-Audit stattfinden?

Mindestens einmal jährlich. Kapitel 9.2 der ISO 27001 verlangt interne Audits “in geplanten Abständen”. In der Praxis findet das interne Audit vor jedem Überwachungs- oder Rezertifizierungsaudit statt.

Wer darf ein internes Audit durchführen?

Jeder, der unabhängig vom geprüften Bereich ist – niemand darf seine eigene Arbeit auditieren. Im Mittelstand übernehmen das oft externe Berater oder Mitarbeiter aus anderen Abteilungen. Methodische Grundlage ist die ISO 19011.

Wie lange dauert ein internes Audit?

Die reine Durchführung dauert je nach Unternehmensgröße ein bis fünf Tage. Hinzu kommen vier bis sechs Wochen Vorbereitung und zwei bis vier Wochen Nachbereitung mit Bericht und Korrekturmaßnahmen.

Was ist der Unterschied zwischen Major- und Minor-Abweichung?

Eine Major-Abweichung ist ein schwerer Verstoß, etwa ein komplett fehlendes Control – sie muss vor der Zertifizierung behoben werden. Eine Minor-Abweichung ist ein einzelner Mangel, der bis zum nächsten Audit behoben werden kann.

Was passiert mit den Audit-Ergebnissen?

Die Ergebnisse fließen als Eingangsdaten in die Managementbewertung nach Kapitel 9.3. Jede Abweichung erhält eine dokumentierte Korrekturmaßnahme mit Frist und Verantwortlichem. So schließt sich der PDCA-Verbesserungszyklus.