Wie bereiten Sie sich auf ein ISO 27001 Audit vor?
Bei der Vorbereitung eines ISO 27001 Audits geht es um Nachweisbarkeit. Sorgen Sie dafür, dass Geltungsbereich, Risikoanalyse und Statement of Applicability aktuell und konsistent sind, dass Richtlinien am Arbeitsplatz gelebt werden und dass internes Audit, Managementbewertung und Verbesserungsmaßnahmen durchgeführt und festgehalten wurden. Der folgende Schritt-für-Schritt-Plan bringt Sie Schritt für Schritt zur Audit-Readiness.
Der Schritt-für-Schritt-Plan
- Geltungsbereich festlegen — was fällt in das ISMS?
- Risikoanalyse aktualisieren — Risiken, Eigentümer, Behandlungsplan.
- Statement of Applicability — verknüpfen Sie Risiken mit Annex-A-Maßnahmen.
- Richtlinien & Sensibilisierung — sorgen Sie dafür, dass die Mitarbeitenden sie kennen und anwenden.
- Internes Audit — lassen Sie dieses unabhängig durchführen.
- Managementbewertung — die Geschäftsführung bewertet und steuert nach.
- Verbesserungsmaßnahmen — korrigieren Sie Abweichungen und halten Sie Nachweise fest.
Häufige Fehler
- SoA, das nicht zur Risikoanalyse passt.
- Richtlinien, die außerhalb des Ordners nicht gelebt werden.
- Managementbewertung, die nur auf dem Papier existiert.
- Verbesserungsmaßnahmen ohne Nachverfolgung.
Eine Gap-Analyse deckt diese Lücken frühzeitig auf.
ISO/IEC 27001 — offizielle Normseite (offizielle Quelle).
Häufig gestellte Fragen
Kurze, direkte Antworten — geschrieben für Menschen und für KI-Suchfunktionen.
Für eine Organisation, die bei null beginnt, dauert der Aufbau eines funktionierenden ISMS in der Regel 3 bis 9 Monate. Verfügen Sie bereits über viele Maßnahmen, kann die Vorbereitung auf das Audit innerhalb von einigen Wochen bis Monaten erfolgen. Eine Gap-Analyse gibt Ihnen eine realistische Planung.
Das Statement of Applicability (SoA), weil es Ihre Risiken mit den Maßnahmen verknüpft und den Kern des Audits bildet. Daneben sind die Risikobeurteilung, die Richtlinien und die Nachweise von internem Audit und Managementbewertung entscheidend.
Ja. ISO 27001 erfordert mindestens ein internes Audit und eine Managementbewertung, bevor Sie zur Zertifizierung gehen. Diese liefern außerdem den Nachweis, dass Ihr Verbesserungszyklus funktioniert — genau das, was der externe Auditor sehen will.
Ja. Sie können die Gap-Analyse, das interne Audit und das Pre-Audit von einer unabhängigen Partei durchführen lassen. Die Implementierung selbst und die Endverantwortung bleiben bei Ihrer Organisation.
Möchten Sie wissen, ob Sie audit-ready sind?
Vereinbaren Sie einen unverbindlichen Audit-Scan und wissen Sie innerhalb eines Gesprächs, wo Sie stehen und was der nächste Schritt ist.
