Was die Norm verlangt
Nach Kapitel 9.2 der ISO/IEC 27001 führt die Organisation interne Audits in geplanten Abständen durch. Dazu gehört ein Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichtswegen; je Audit werden Kriterien und Umfang festgelegt. Die Auditoren müssen objektiv und unparteiisch arbeiten, die Ergebnisse gehen an die zuständige Leitung und werden dokumentiert. Die Ergebnisse fließen in die Managementbewertung (Kapitel 9.3); Abweichungen werden nach Kapitel 10.2 mit Korrekturmaßnahmen behoben. Praktische Leitlinien für das Auditieren gibt die ISO 19011.
Ein Auditprogramm, das trägt
Bewährt hat sich ein Programm, das innerhalb eines Zertifizierungszyklus alle Kapitel der Norm und die angewendeten Maßnahmen aus Anhang A abdeckt – mit Schwerpunkten dort, wo die Risiken liegen oder sich etwas geändert hat. Geprüft wird mit Interviews, Stichproben und Nachweisen aus dem Betrieb: Protokolle der Datensicherung, Berechtigungsprüfungen, Schulungsnachweise, Lieferantenbewertungen.
Unabhängigkeit ohne eigene Auditabteilung
Wer eine Maßnahme selbst umgesetzt hat, sollte sie nicht selbst auditieren. In kleinen und mittleren Unternehmen ist das kaum zu trennen. Deshalb übernehmen wir interne Audits häufig als externe interne Auditoren: mit dem Blick von außen, aber mit dem Wissen eines IT-Systemhauses, das die technische Umsetzung aus dem eigenen Betrieb kennt.
Feststellungen und Maßnahmen
Wir unterscheiden klar zwischen Abweichungen von Norm oder eigenen Vorgaben, Beobachtungen und Verbesserungspotenzialen. Zu jeder Abweichung gehören eine Ursachenanalyse, eine Korrekturmaßnahme mit Verantwortlichem und Frist sowie die spätere Prüfung, ob sie gewirkt hat. So wird aus dem Audit kein Bericht für die Schublade, sondern ein Arbeitsplan.
Nachweise für NIS2
§ 30 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen, die Einhaltung ihrer Risikomanagementmaßnahmen zu dokumentieren, und nennt als Mindestmaßnahme Konzepte und Verfahren zur Bewertung ihrer Wirksamkeit (§ 30 Abs. 2 Nr. 6). Die Geschäftsleitung muss die Umsetzung überwachen (§ 38 BSIG). Regelmäßige interne Audits mit dokumentierten Ergebnissen liefern dafür eine belastbare Grundlage.
Mit MGMSYS dokumentiert
Das Auditmanagement in MGMSYS, unserer eigenen Plattform, führt Auditprogramme, Einzelaudits, Feststellungen und Korrekturmaßnahmen an einem Ort – mit Fristen, Verantwortlichen und Status. Dr. Stefan Spörrer lehrt Informationssicherheit und ISO/IEC 27001 an Hochschulen; die Erfahrung aus Lehre, eigener Zertifizierung in der Unternehmensgruppe und Kundenprojekten fließt in jedes Audit ein.
Häufige Fragen
Wie oft muss intern auditiert werden?
Die Norm verlangt interne Audits in geplanten Abständen. Üblich ist ein Programm, das innerhalb des Zertifizierungszyklus alle Kapitel und angewendeten Maßnahmen abdeckt, mit mindestens einem Audit pro Jahr; Schwerpunkte richten sich nach Risiken und Änderungen.
Darf ein externer Dienstleister das interne Audit durchführen?
Ja. Gerade in kleineren Unternehmen ist das verbreitet, weil es die geforderte Objektivität und Unparteilichkeit sicherstellt. Die Verantwortung für das Auditprogramm bleibt beim Unternehmen.
Was unterscheidet das interne Audit vom Zertifizierungsaudit?
Das interne Audit veranlasst das Unternehmen selbst, um sein ISMS zu prüfen und zu verbessern. Das Zertifizierungsaudit führt eine akkreditierte Zertifizierungsstelle durch; sie prüft dabei auch, ob die internen Audits wirksam stattfinden.
Helfen interne Audits bei NIS2?
Ja. § 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen und eine Dokumentation ihrer Einhaltung. Dokumentierte interne Audits sind dafür ein naheliegender Nachweis.
Rechtsgrundlagen und Quellen
abgerufen am 10.11.2026