ISO 27001 Checkliste für das interne Audit
ISO 27001 Checkliste für das interne Audit des ISMS: Umfang, Auditprogramm, Stichproben, Abweichungen, Korrekturmaßnahmen und ein sauberer Auditbericht.
- Typischer Rhythmus jährlich
- Die Checkliste 5 Abschnitte, 26 Punkte
- Variablen
{{audit_period}}
Mit dieser Checkliste ein internes Audit des Informationssicherheits-Managementsystems (ISMS) planen und durchführen. ISO/IEC 27001 verlangt interne Audits in geplanten Abständen, und Zertifizierungsstellen prüfen, ob diese wirklich stattfinden. Die meisten kleinen Unternehmen führen einmal pro Jahr ein vollständiges Audit durch, oft einige Monate vor dem Überwachungs- oder Rezertifizierungsaudit. So bleibt Zeit, die Feststellungen zu beheben.
Wer verantwortlich ist
Die ISMS-Verantwortliche oder der ISMS-Verantwortliche plant das Auditprogramm. Die auditierende Person muss aber unabhängig vom geprüften Bereich sein. In einem kleinen Unternehmen kann das eine Kollegin aus einem anderen Team sein, ein Partnerunternehmen oder eine externe Beratung.
Typische Fehler
- Die eigene Arbeit auditieren. Wer die Richtlinien geschrieben hat, sollte sie nicht selbst prüfen. Bereiche mit Kolleginnen und Kollegen tauschen oder externe Hilfe holen.
- Dokumente prüfen statt Praxis. Eine Richtlinie mit "quartalsweisen Zugriffsprüfungen" ist nur der halbe Nachweis. Die letzten zwei Prüfungen zeigen lassen.
- Nur einfache Stichproben ziehen. Stichproben selbst auswählen, auch Austritte, Notfall-Changes und neue Lieferanten.
- Feststellungen ohne Verantwortliche. Jede Abweichung braucht Ursache, Verantwortliche und Termin, sonst taucht sie im nächsten Jahr wieder auf.
- Die Normkapitel auslassen. Kontext, Risikobeurteilung und Managementbewertung werden ebenso auditiert wie die Maßnahmen aus Anhang A.
Passen Sie die Checkliste an Ihre Rechtsordnung und Ihren Zertifizierungsumfang an; sie ist keine Rechtsberatung.
Die Checkliste: Internes ISO-27001-Audit {{audit_period}}
Audit planen
-
ISMS-Geltungsbereich und aktuelle Erklärung zur Anwendbarkeit (SoA) bestätigt
-
Auditprogramm aktualisiert, sodass alle Kapitel und anwendbaren Maßnahmen im Zyklus abgedeckt sind
Den Plan nach Risiko und nach Feststellungen früherer Audits gewichten.
-
Auditorin oder Auditor bestimmt, die oder der unabhängig vom geprüften Bereich ist
-
Termine, Gesprächspartner und angeforderte Nachweise mit den Bereichsverantwortlichen abgestimmt
-
Feststellungen und Korrekturmaßnahmen der letzten Periode vor Beginn geprüft
Normkapitel des Managementsystems auditieren
-
Kontext, interessierte Parteien und Geltungsbereich dokumentiert und aktuell
-
Risikobeurteilung in
{{audit_period}}aktualisiert und mit dem Risikobehandlungsplan abgeglichen -
Informationssicherheitsziele vorhanden, gemessen und berichtet
-
Letzte Managementbewertung durchgeführt, Eingaben und Entscheidungen dokumentiert
-
Lenkung dokumentierter Informationen geprüft: Versionen, Freigaben und Überprüfungsdaten
-
Nachweise zu Kompetenz und Sensibilisierung für Personen mit Sicherheitsrollen vorhanden
Maßnahmen aus Anhang A prüfen
-
Stichprobe von Eintritten, Wechseln und Austritten gezogen und Zugriffsänderungen bis zur Genehmigung verfolgt
-
Zugriffsprüfungen termingerecht durchgeführt, mit Nachweis entfernter Rechte
-
Stichprobe von Produktionsänderungen gezogen und Einhaltung des Change-Prozesses bestätigt
-
Backups gelaufen und Wiederherstellung im vorgegebenen Intervall getestet
-
Sicherheitsvorfälle geprüft: erfasst, bearbeitet und mit Lessons Learned abgeschlossen
-
Stichprobe von Lieferanten mit Zugriff auf sensible Daten gezogen, Bewertungen und Verträge geprüft
-
Schwachstellenmanagement geprüft: Scan-Ergebnisse, Patch-Fristen und akzeptierte Risiken
-
Physische Sicherheit und Maßnahmen für mobiles Arbeiten im Geltungsbereich begangen optional
Feststellungen berichten
-
Jede Feststellung als Hauptabweichung, Nebenabweichung oder Verbesserungspotenzial eingestuft
-
Nachweis zu jeder Feststellung dokumentiert, nicht nur die Schlussfolgerung
-
Abschlussbesprechung mit ISMS-Verantwortlichen und Bereichsverantwortlichen durchgeführt
-
Schriftlicher Auditbericht erstellt und als ISMS-Nachweis abgelegt
Korrekturmaßnahmen
-
Für jede Abweichung Ursache, Verantwortliche und Termin festgelegt
-
Auditergebnisse als Eingabe für die nächste Managementbewertung vorgemerkt
-
Wirksamkeitsprüfung der Korrekturmaßnahmen terminiert
Checkliste als Markdown
Häufige Fragen
Wie oft verlangt ISO 27001 ein internes Audit?
Die Norm verlangt interne Audits in geplanten Abständen, ohne eine feste Zahl vorzugeben. Die meisten Organisationen decken das gesamte ISMS mindestens einmal pro Zertifizierungsjahr ab, entweder in einem Audit oder verteilt auf mehrere kleinere. Zertifizierungsstellen erwarten, dass der ganze Geltungsbereich im dreijährigen Zyklus auditiert wird.
Kann ein kleines Unternehmen das interne Audit selbst durchführen?
Ja, solange die auditierende Person objektiv und unparteiisch ist. In der Praxis heißt das: Niemand prüft die eigene Arbeit. Kleine Teams tauschen deshalb Bereiche untereinander oder holen sich für einige Tage eine externe Auditorin oder einen externen Auditor.
Was ist der Unterschied zwischen Haupt- und Nebenabweichung?
Eine Hauptabweichung liegt vor, wenn eine Anforderung gar nicht erfüllt ist oder ein Mangel das ISMS ernsthaft gefährdet. Eine Nebenabweichung ist ein einzelner Fehler in einem sonst funktionierenden Prozess. Die genauen Definitionen unterscheiden sich je nach Zertifizierungsstelle, deshalb die interne Einstufung daran ausrichten.
Aktualisiert