.svg)
Im Kern beantwortet die ISO 27001-Zertifizierung eine Frage:
Wird die Informationssicherheit gut und gemäß dem Standard verwaltet?
Genauer gesagt:
- Kann ein externer Prüfer darauf vertrauen, dass die Informationssicherheit ordnungsgemäß verwaltet wird?
- Wird es unternehmensweit einheitlich gehandhabt?
- Sind Entscheidungen risikobasiert und werden sie konsequent umgesetzt?
- Funktioniert das Informationssicherheits-Managementsystem (ISMS) in der Praxis tatsächlich?
Bei der Zertifizierung geht es nicht um Perfektion. Es geht um ein systematisches, zuverlässiges Management von Informationssicherheitsrisiken. Lassen Sie uns gemeinsam einen Blick darauf werfen, worum es bei einem Audit geht (und worum nicht) und uns mit der Denkweise eines Auditors befassen. Damit möchten wir Ihnen die bevorstehenden Audits etwas erleichtern.
Was die ISO 27001-Zertifizierung ist und was sie nicht ist
Viele Organisationen haben vor der Durchführung des ISO 27001-Audits falsche Vorstellungen davon. Lassen Sie uns einige verbreitete Mythen aufklären.
Die ISO 27001-Zertifizierung ist nicht:
❌ Fehlerjagd-Mission
❌ Schönheitswettbewerb für Dokumentationen
❌ Technischer Penetrationstest
❌ Eine einmalige Sicherheitsüberprüfung
Auditoren sind keine ethischen Hacker, die versuchen, in Ihre Systeme einzudringen. Sie sind keine Berater, die Best Practices improvisieren oder Ihre Sicherheitseinstellungen neu gestalten. Sie arbeiten nach ISO-Richtlinien, die genau festlegen, wie Zertifizierungsaudits durchgeführt werden müssen. Das bedeutet, dass sie nur dann Nichtkonformitäten melden können, wenn eine klare Anforderung der ISO 27001 nicht erfüllt ist, und nicht direkt aufgrund ihrer persönlichen Meinung.
Die ISO 27001-Zertifizierung ist jedoch eine Sicherungsmaßnahme. Es handelt sich um eine strukturierte, risikobasierte Bewertung, ob Ihr Informationssicherheits-Managementsystem (ISMS) wie vorgesehen funktioniert.
In der Praxis bedeutet dies, dass der Prüfer bewertet, ob:
✅ Risiken werden systematisch identifiziert und bewertet.
✅ Auf der Grundlage dieser Risiken werden geeignete Schutzmaßnahmen ausgewählt.
✅ Die Verantwortlichkeiten sind klar definiert.
✅ Die Sicherheitsleistung wird überwacht.
✅ Probleme werden behoben und Verbesserungen werden umgesetzt.
Das Ziel ist nicht eine lückenlose Sicherheit. Das Ziel ist es, nachzuweisen , dass die Informationssicherheit gemäß dem Standard kontrolliert, verwaltet und kontinuierlich verbessert wird.
Was macht der Wirtschaftsprüfer eigentlich?
Ein ISO 27001-Audit lässt sich anhand von drei zentralen Überprüfungsschritten betrachten.
1. Existiert das ISMS?
Zunächst bestätigt der Auditor, dass Ihr ISMS tatsächlich vorhanden ist. Er überprüft wesentliche Elemente wie:
- Der definierte ISMS-Umfang
- Risikobewertung und Behandlungsergebnisse
- Die Erklärung zur Anwendbarkeit
- Erforderliche Richtlinien und dokumentierte Informationen
- Interne Audits und Managementbewertungen
- Wichtige Vermögenswerte und Kontrollunterlagen
Der Zweck ist hier einfach: Es soll festgestellt werden, ob ein strukturiertes, funktionierendes Managementsystem vorhanden ist.
2. Erfüllt es die Anforderungen der ISO 27001?
Als Nächstes vergleicht der Auditor Ihr ISMS direkt mit der Norm. Er bewertet, ob die erforderlichen Klauseln erfüllt sind, das Risikomanagement wie definiert durchgeführt wird und die Kontrollen angemessen ausgewählt und begründet sind.
Sie konzentrieren sich insbesondere auf objektive Nachweise. Fehlt eine klare Anforderung oder ist sie nur teilweise erfüllt, kann eine Nichtkonformität festgestellt werden. Das Ergebnis des Audits ist daher eindeutig: dokumentierte Lücken, die geschlossen werden müssen.
3. Entspricht die Realität dem ISMS?
Schließlich überprüft der Prüfer, ob die Praxis mit der Dokumentation übereinstimmt. Dazu gehören:
- Gespräche mit Mitarbeitern
- Überprüfung von Aufzeichnungen und Protokollen
- Folgende Fragen stellen
- Beobachten, wie Prozesse in der Praxis funktionieren
Sie prüfen die Konsistenz. Wenn Zugangsüberprüfungen vierteljährlich stattfinden sollen, sollte dies in den Aufzeichnungen bestätigt werden. Wenn Schulungen obligatorisch sind, sollten die Mitarbeiter darüber informiert sein.
Im Kern beantwortet der Wirtschaftsprüfer eine zentrale Frage:
Entspricht das Verhalten in der Praxis dem, was Ihr ISMS beschreibt?
Weitere Informationen zum Zertifizierungsaudit nach ISO 27001 finden Sie in unserem Blog-Artikel:ISO 27001-Zertifizierung: Was passiert beim Zertifizierungsaudit?
Die Denkweise des Wirtschaftsprüfers und wie man damit umgeht
Wenn man versteht, wie Auditoren denken, verläuft der Prozess wesentlich reibungsloser. Auditoren arbeiten evidenzbasiert, systematisch, neutral und sind an strenge Akkreditierungsregeln gebunden. Ihre Aufgabe besteht nicht darin, zu beraten, Ihr System neu zu gestalten oder subjektive Urteile zu fällen. Sie können keine Feststellungen treffen, ohne dass eine klare Anforderung nicht erfüllt ist, und sie akzeptieren keine vagen Erklärungen ohne objektive Beweise.
Sie stellen strukturierte Fragen, verlangen Nachweise und überprüfen die Übereinstimmung zwischen Dokumentation und Praxis. Wenn eine Anforderung eindeutig nicht erfüllt ist, melden sie eine Nichtkonformität. Ihre Aufgabe ist es nicht, Sie zuzulassen oder durchfallen zu lassen, sondern festzustellen, ob die Anforderungen der Norm erfüllt sind.
Für Organisationen sollte der Ansatz einfach sein: klar, sachlich und transparent sein. Geben Sie zeitnah Antworten, untermauern Sie Aussagen mit Belegen, geben Sie Probleme offen zu und zeigen Sie, wie Probleme behoben werden. Auditoren erwarten keine Perfektion, aber sie erwarten Ehrlichkeit und Struktur.
Was Audits erschwert, ist in der Regel vermeidbar: Fragen ausweichen, Informationen zurückhalten, der eigenen Dokumentation widersprechen oder ohne Beweise zu viele Erklärungen abgeben. Transparenz schafft Vertrauen, und Vertrauen ist letztendlich das, was die ISO 27001-Zertifizierung demonstrieren soll.
Letztendlich geht es nur um Vertrauen.
Bei der ISO 27001-Zertifizierung geht es nicht darum, zu beweisen, dass niemals etwas schiefgehen wird. Keine Organisation ist risikofrei.
Es geht darum, zu zeigen, dass Sie:
🔎 Verstehen Sie Ihre Risiken im Bereich der Informationssicherheit
🎯 Verwalten Sie sie systematisch
🗺️ Befolgen Sie Ihre festgelegten Prozesse
🏆 Probleme beheben und kontinuierlich verbessern
Wenn ein unabhängiger Prüfer darauf vertrauen kann, dass Ihre Informationssicherheit ordnungsgemäß und konsequent verwaltet wird, können dies auch Ihre Kunden, Partner und Aufsichtsbehörden.
