ISO 27001 Audit – Ablauf, Zertifikat und Gültigkeit

Das Erstzertifizierungsaudit nach ISO/IEC 27001 besteht aus den beiden Auditstufen Stage 1 und Stage 2, die in der Regel an getrennten Terminen durchgeführt werden.

In Stage 1 prüft die Zertifizierungsstelle, ob die Organisation ausreichend auf das Zertifizierungsaudit vorbereitet ist und das ISMS grundsätzlich normgerecht aufgebaut wurde. Dabei betrachtet sie unter anderem den Geltungsbereich, die Informationssicherheitsleitlinie, die Risikobewertung und -behandlung, die Erklärung zur Anwendbarkeit sowie interne Audits und Managementbewertungen.

Stage 2 prüft anschließend anhand konkreter Nachweise, ob das ISMS im Arbeitsalltag umgesetzt wird und wirksam funktioniert. Dazu gehören beispielsweise Interviews mit Verantwortlichen und Mitarbeitenden, die Prüfung von Risikoanalysen und Berechtigungskonzepten, die Kontrolle von Schulungs- und Protokollierungsnachweisen sowie Stichproben zu Sicherheitsvorfällen, Notfallübungen und Korrekturmaßnahmen.

Zwischen beiden Stufen liegt üblicherweise ein Zeitraum von mehreren Wochen, damit die Organisation offene Punkte aus Stage 1 bearbeiten und erforderliche Nachweise vervollständigen kann. Den konkreten zeitlichen Abstand legt die Zertifizierungsstelle unter Berücksichtigung der Auditfeststellungen, der Komplexität des ISMS und der geltenden Anforderungen fest. Zusätzlich kann die Organisation ein Readiness-Audit zur Vorbereitung auf das Zertifizierungsaudit durchführen.

Nach dem Audit dokumentiert die Zertifizierungsstelle ihre Feststellungen. Nichtkonformitäten müssen entsprechend ihrer Bedeutung bearbeitet werden. Bei wesentlichen Abweichungen ist ein Nachweis über angemessene Korrekturen und Korrekturmaßnahmen erforderlich, bevor eine Zertifizierung erteilt werden kann. Über die Erteilung des Zertifikats entscheidet nicht allein der Auditor, sondern eine unabhängige Stelle der Zertifizierungsorganisation auf Grundlage des Auditberichts und der vorgelegten Nachweise.

Das ISO 27001 Zertifikat gilt immer für einen festgelegten Geltungsbereich. Dieser kann bestimmte Organisationseinheiten, Standorte, Prozesse, Dienstleistungen oder IT‑Systeme umfassen. Änderungen am Geltungsbereich sollten der Zertifizierungsstelle mitgeteilt werden und können ein zusätzliches Audit erforderlich machen.

Ein strategisch aufgebautes Informationssicherheits-Managementsystem nach ISO 27001 ist eine Nach der Erstzertifizierung beginnt ein dreijähriger Zertifizierungszyklus. Im ersten und zweiten Jahr führt die unabhängige Zertifizierungsstelle jeweils ein Überwachungsaudit durch. Dabei wird stichprobenartig geprüft, ob das ISMS weiterhin wirksam und normkonform ist. Für jedes dieser externen Audits erstellt die Zertifizierungsstelle einen Auditplan. Darin werden unter anderem der Auditumfang, die Prüfungsziele, Termine, beteiligte Auditoren, Ansprechpartner und Prüfungsschwerpunkte festgelegt.

Zusätzlich muss die Organisation ihr ISMS regelmäßig intern auditieren. Dafür entwickelt sie ein internes Auditprogramm und legt für jedes einzelne Audit einen internen Auditplan fest. Dieser enthält beispielsweise den Auditumfang, die Termine, Verantwortlichkeiten und Prüfungsschwerpunkte. Das interne Audit kann durch eigene Mitarbeitende oder ein geeignetes Beratungshaus durchgeführt werden.

Ein ISO 27001 Zertifikat ist drei Jahre gültig. Die Organisation sollte die Rezertifizierung daher mehrere Monate vor Ablauf des Zertifikats mit der Zertifizierungsstelle planen. Eine einheitliche gesetzliche oder normative Vorlauffrist – beispielsweise genau sechs Monate – gibt es jedoch nicht. Der erforderliche Zeitraum hängt unter anderem vom Zertifizierungsvertrag, dem Auditumfang, der Verfügbarkeit des Auditteams und den Abläufen der Zertifizierungsstelle ab.

Das Rezertifizierungsaudit muss so rechtzeitig abgeschlossen werden, dass die Zertifizierungsstelle vor Ablauf des bestehenden Zertifikats eine unabhängige Rezertifizierungsentscheidung treffen kann. Es reicht daher nicht aus, lediglich einen Audittermin vor Ablauf zu vereinbaren. Eine automatische Verlängerung des Zertifikats gibt es nicht.

Ein ISO 27001 Auditor benötigt allgemeine Auditkompetenz sowie fundierte Kenntnisse in Informationssicherheit, Risikomanagement und ISMS-Prozessen. Zusätzlich muss das Auditteam die Besonderheiten des jeweiligen Geltungsbereichs und der Branche verstehen. Auditoren bewerten objektive Nachweise, dokumentieren Feststellungen und arbeiten unparteiisch.

Die Zertifizierungsstelle muss nachweisen, dass das Auditteam insgesamt über die erforderliche Kompetenz verfügt. Ein Auditor darf kein ISMS zertifizieren, das er selbst aufgebaut oder maßgeblich beraten hat. Für Zertifizierungsstellen gelten hierfür unter anderem die Anforderungen der ISO/IEC 17021-1 sowie ergänzende ISMS-spezifische Anforderungen, insbesondere nach ISO/IEC 27006-1.

Ralf Lüneburg

Consultant Informationssicherheit

Ich berate Sie gerne

Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.

+49 40 790 235 0

sales@intersoft-consulting.de

Termin vereinbaren