ISO 27001 Auditnachweise sind datierte Aufzeichnungen, die entstanden sind, als die Arbeit erledigt wurde: die dokumentierte Information, die die Abschnitte 4 bis 10 verlangen, dazu die Tickets, Protokolle und Überprüfungen, die zeigen, dass die Controls aus Anhang A angewendet wurden. Zertifizierungsauditoren ziehen daraus Stichproben über den gesamten auditierten Zeitraum. Ein Ordner, der im Vormonat zusammengestellt wurde, zeigt den aktuellen Stand und wirft Fragen zu jedem anderen Monat auf.
Dieser Leitfaden behandelt, was Auditoren verlangen, die geforderte dokumentierte Information, was Auditoren akzeptieren, automatisches Sammeln, fehlende Nachweise, Tools für Nachweise, was Automatisierung nicht belegt, und eine Checkliste.
| Bereich | Typische Nachweise | Wo sie liegen | Wann sie veralten |
|---|---|---|---|
| ISMS-Kern (4.3, 5.2, 6.1, 6.2) | Anwendungsbereich, Politik, Risikoregister, SoA, Behandlungsplan, Ziele | Dokumentenablage oder GRC-Tool | Wenn sich das Geschäft ändert; Überprüfung mindestens jährlich |
| Werte (A.5.9) | Inventar mit Eigentümern, abgeglichen mit dem, was tatsächlich läuft | Geräteverwaltung, Cloud-Konten | Mit jedem neuen Gerät und jeder neuen Cloud-Ressource |
| Zugangsrechte (A.5.18) | Tickets zu Eintritt und Austritt, Nachweise über entzogene Zugänge, unterschriebene Zugriffsüberprüfungen | HR-System, Identitätsanbieter, Ticketsystem | Mit jeder Einstellung und jedem Austritt; Überprüfungen oft quartalsweise |
| Authentifizierung und Konfiguration (A.8.5, A.8.9) | Abdeckung der Multi-Faktor-Authentifizierung (MFA) je Konto, Konfigurations-Baselines, Abweichungsberichte | Identitätsanbieter, Cloud-Posture-Tools | Laufend: ein einziges neues Admin-Konto ändert sie |
| Schwachstellen (A.8.8) | Scan-Ergebnisse, Tickets, die Behebungen innerhalb Ihrer Frist zeigen | Scanner, Ticketsystem | Wöchentlich bis monatlich |
| Datensicherung (A.8.13) | Job-Berichte und datierte Ergebnisse von Wiederherstellungstests | Backup-Tool, Testprotokoll | Jobs täglich; Wiederherstellungstests im Intervall Ihrer Richtlinie |
| Protokollierung und Überwachung (A.8.15, A.8.16) | Aufbewahrungseinstellungen, Alarm-Tickets, Nachweise der Auswertung | Log-Plattform, Ticketsystem | Laufend |
| Änderungen (A.8.32) | Änderungstickets oder Pull Requests mit Freigabe | Ticketsystem, Versionsverwaltung | Mit jeder Änderung |
| Lieferanten (A.5.19 bis A.5.22) | Register, Bewertungen, Vertragsklauseln, Nachweise der Überprüfung | Vertragsablage, Einkauf | Mit jedem neuen Lieferanten; Überprüfungen oft jährlich |
| Sicherheitsvorfälle (A.5.24 bis A.5.27) | Vorfallprotokoll, Nachweise der Reaktion, umgesetzte Erkenntnisse | Ticketsystem | Mit jedem Vorfall |
| Schulung (A.6.3, 7.2) | Teilnahmenachweise je Person | Schulungsplattform, HR | Mit jedem Neuzugang; Zyklen oft jährlich |
| Audit und Bewertung (9.2, 9.3, 10.2) | Auditprogramm und Auditberichte, Protokolle der Managementbewertung, Liste der Korrekturmaßnahmen | Dokumentenablage, Ticketsystem | In den geplanten Abständen |
Die letzte Spalte beschreibt die Praxis, keine Anforderung. ISO 27001 spricht meist von „in geplanten Abständen“ oder „regelmäßig“ und überlässt Ihnen die Häufigkeit. Der Auditor prüft Sie dann an Ihren eigenen Intervallen.
Welche Nachweise verlangen Auditoren bei ISO 27001?
Zertifizierungsstellen werden nach ISO/IEC 17021-1 akkreditiert. Die Norm verlangt, dass Auditoren Informationen durch geeignete Stichproben gewinnen und verifizieren, damit sie zu Auditnachweisen werden (9.4.4.1), und zwar durch Interviews, Beobachtung sowie Prüfung von Dokumentation und Aufzeichnungen (9.4.4.2). Das Interview prüft, ob die Menschen tun, was in der Aufzeichnung steht. Jeder Auditbericht hält fest, dass das Audit auf einem Stichprobenverfahren beruht (9.4.8.2).
Sie prüfen Stichproben über einen Zeitraum, nicht einen Moment. Nicht eine Zugriffsüberprüfung, sondern eine Reihe davon mit Datum. Stufe 2 dient dazu, die Umsetzung einschließlich der Wirksamkeit des Managementsystems zu bewerten (9.3.1.3), und das braucht Historie. In der Praxis erwarten Zertifizierungsstellen vorher etwa drei Monate Betrieb. Bei der Überwachung ist das Fenster der Zeitraum seit dem letzten Besuch. Das erste Audit beschreibt der Beitrag Stufe-1- und Stufe-2-Audits.
Manche Aufzeichnungen werden bei jedem Besuch geprüft. Jedes Überwachungsaudit muss unter anderem interne Audits, die Managementbewertung und Maßnahmen zu früheren Abweichungen abdecken (9.6.2.2). Nichts davon lässt sich im Nachhinein glaubwürdig erstellen. Die Jahre zwei und drei behandelt der Beitrag über Überwachungsaudits.
Welche dokumentierte Information verlangt ISO 27001?
Abschnitt 7.5.1 teilt sie in zwei Teile: die dokumentierte Information, die die Norm verlangt, und alles, was Sie für die Wirksamkeit des ISMS für notwendig halten. Die zugehörige Anmerkung sagt, dass der Umfang je nach Größe, Komplexität und Kompetenz der Personen unterschiedlich ausfällt. Ein Unternehmen mit 30 Personen braucht kein Handbuch mit 200 Seiten.
Der geforderte Teil, Abschnitt für Abschnitt, in ISO/IEC 27001:2022:
| Abschnitt | Dokumentierte Information |
|---|---|
| 4.3 | Anwendungsbereich des ISMS |
| 5.2 | Informationssicherheitspolitik |
| 6.1.2 | Prozess der Risikobeurteilung |
| 6.1.3 | Prozess der Risikobehandlung, Erklärung zur Anwendbarkeit |
| 6.2 | Informationssicherheitsziele |
| 7.2 | Nachweis der Kompetenz |
| 8.1 | Genug, um darauf vertrauen zu können, dass die Prozesse wie geplant durchgeführt wurden |
| 8.2, 8.3 | Ergebnisse der Risikobeurteilung und der Risikobehandlung |
| 9.1 | Ergebnisse von Überwachung und Messung |
| 9.2.2 | Auditprogramm und Auditergebnisse |
| 9.3.3 | Ergebnisse der Managementbewertungen |
| 10.2 | Abweichungen, ergriffene Maßnahmen, Ergebnisse der Korrekturmaßnahmen |
Abschnitt 8.1 ist derjenige, der bis in Anhang A reicht. Aufzeichnungen müssen in dem Umfang vorliegen, der nötig ist, um darauf vertrauen zu können, dass die Prozesse wie geplant durchgeführt wurden. Daher stammt der Großteil der operativen Nachweise. Control 5.28 aus Anhang A, „Sammeln von Beweismaterial“, ist etwas anderes: Es betrifft Beweismaterial im Zusammenhang mit Informationssicherheitsereignissen, also Vorfälle und Forensik.
Abschnitt 7.5.3 gilt dann für die Nachweise selbst. Sie müssen bei Bedarf verfügbar sein, geschützt vor Verlust der Vertraulichkeit, unsachgemäßem Gebrauch oder Verlust der Integrität, unter Versionskontrolle stehen und bewusst aufbewahrt oder entsorgt werden. Ein geteilter Ordner mit Screenshots, den jeder bearbeiten kann, lässt sich an diesem Abschnitt gemessen kaum verteidigen.
Welche Nachweise akzeptieren Auditoren bei ISO 27001?
Die Annahme, Nachweise müssten hübsch aussehen, verursacht viel unnötige Arbeit. Auditoren akzeptieren Aufzeichnungen, die als Nebenprodukt der Arbeit entstehen. Ein Ticket mit Datum. Ein Logeintrag. Eine Freigabe in dem Tool, in dem Freigaben stattfinden. Eine abgezeichnete Überprüfung mit dem Namen der prüfenden Person und dem Datum.
Nachweise, die für sie angefertigt wurden, bemerken sie, denn das ist leicht zu erkennen. Dokumente mit dicht beieinanderliegenden Zeitstempeln. Eine Ordnung, die der echte Betrieb nicht hat. Ein Screenshot einer Einstellung statt der Aufzeichnung der Änderung, mit der sie gesetzt wurde.
Lücken, die erklärt sind, akzeptieren sie. Ein Patch-Verlauf mit einer Lücke und einer Notiz, warum, zeigt ein funktionierendes System mit einem bekannten Problem. Ein Patch-Verlauf ganz ohne Lücke, bei einem Unternehmen mit vierzig Personen, ist eine Behauptung, die niemand glaubt.
Der Maßstab ist nicht Perfektion. Er ist Zeitnähe: Wurde es festgehalten, als es geschah?
Welche ISO 27001 Nachweise lassen sich automatisch sammeln?
- Konfigurationszustand. Durchsetzung der MFA, Verschlüsselung, Zugriffsrichtlinien, Cloud-Posture. Direkt aus den Systemen lesbar, laufend. Wenn Sie noch Screenshots von Einstellungen machen, beheben Sie das zuerst.
- Ereignisaufzeichnungen. Anmeldungen, Änderungen, Patches, Alarme, Vorfälle. Die Systeme erzeugen sie ohnehin. Die Arbeit besteht darin, sie über das Auditfenster hinweg aufzubewahren.
- Menschliche Entscheidungen. Risikoakzeptanzen, Freigaben, Ausnahmen, Lieferantenbewertungen, Entscheidungen der Managementbewertung. Sie können sich nicht selbst erzeugen, weil die Entscheidung der Nachweis ist. Sie brauchen einen festen Ort mit einem Verantwortlichen und einem Datum.
- Periodische Tätigkeiten. Zugriffsüberprüfungen, Schulungen, Wiederherstellungstests, Kontinuitätsübungen, interne Audits. Sie brauchen einen Zeitplan, der einen datierten Nachweis erzeugt, ob jemand an das Audit denkt oder nicht.
Die ersten beiden sollten automatisch laufen. Entscheidungen brauchen ein führendes System. Periodische Tätigkeiten brauchen einen Kalender mit Biss. Der meiste Ärger bei der Auditvorbereitung entsteht, weil alle vier wie Entscheidungen behandelt und von Hand erledigt werden.
Was tun, wenn vor dem ISO 27001 Audit Nachweise fehlen?
Vier bis sechs Wochen vor dem Audit öffnet jemand die Liste der Controls und beginnt zu sammeln. Ein Screenshot der MFA-Einstellungen. Eine Lieferantenliste, zusammengetragen aus dem Gedächtnis von drei Personen. Ein Backup-Bericht für diesen Monat, weil niemand die früheren aufbewahrt hat. Das Audit wird bestanden, und im nächsten Jahr passiert dasselbe, denn geändert hat sich nur die Frist.
Das kostet mehr als die Stunden. Zusammengestellte Nachweise zeigen den aktuellen Stand, und das wirft die Frage nach den anderen elf Monaten auf. Die Arbeit landet bei dem Engineer, der gerade mit etwas anderem beschäftigt war. Es entsteht eine Akte, keine Aufzeichnung: Ein im März angelegter Ordner beschreibt den März und trägt nichts zum nächsten Audit bei.
Wenn Sie jetzt an diesem Punkt sind:
- Datieren Sie keine Aufzeichnungen zurück und erstellen Sie sie nicht neu. Dateimetadaten sind nicht subtil, und eine einzige fabrizierte Aufzeichnung entwertet die echten.
- Listen Sie die anwendbaren Controls aus Ihrer Erklärung zur Anwendbarkeit auf und markieren Sie jedes: Aufzeichnung vorhanden, teilweise, keine.
- Starten Sie die fehlenden wiederkehrenden Tätigkeiten diese Woche, auch unvollkommen. Eine unvollkommene Zugriffsüberprüfung mit Datum schlägt eine perfekte, die nicht stattgefunden hat.
- Erfassen Sie jede Lücke als Abweichung mit ihrer Ursache und einer Korrekturmaßnahme, entsprechend Abschnitt 10.2. Eine Lücke, die Ihr eigenes System gefunden hat und gerade schließt, ist ein Nachweis dafür, dass das System funktioniert.
- Prüfen Sie zuerst die Kernaufzeichnungen: internes Audit, Managementbewertung, Risikobeurteilung. Sie werden bei jedem Besuch angesehen.
- Steht Stufe 2 kurz bevor und fehlen Kernaufzeichnungen, verschieben Sie den Termin. Ein Überwachungsaudit kann nicht warten: Das erste muss innerhalb von 12 Monaten nach der Zertifizierungsentscheidung stattfinden (ISO/IEC 17021-1, 9.1.3.3).
Was sollte ein Tool für ISO 27001 Nachweise können?
Die Norm verlangt keines. Abschnitt 7.5.2 fordert nur ein geeignetes Format und Medium, Papier eingeschlossen. In der Praxis kommen eine Tabellenkalkulation und ein gemeinsames Laufwerk ab einer Handvoll Quellsystemen nicht mehr mit. Welches Tool Sie auch nutzen, prüfen Sie, ob es Folgendes kann:
- Nachweise aus den Quellsystemen lesen, statt Uploads anzufordern.
- Eine datierte Historie aufbewahren, nicht nur den aktuellen Stand, damit es für den gesamten Zeitraum Auskunft geben kann.
- Jedes Element einem Control zuordnen, sodass eine Aufzeichnung mehreren Frameworks und Kundenfragebögen dienen kann.
- Controls, Lücken und Aufgaben zusammenführen, jeweils mit einem Verantwortlichen und einem Fälligkeitsdatum.
- Ausnahmen an eine Person melden, nicht nur an ein Dashboard.
- Die Nachweise so lenken, wie Abschnitt 7.5.3 es verlangt: Zugriff, Integrität, Versionen, Aufbewahrung.
- Das exportieren, was der Auditor als Stichprobe zieht, ohne eine Woche Formatierungsarbeit.
Ein Control trägt dann vier Dinge: einen Verantwortlichen, einen Status, seine Nachweise und ein Datum. Wenn ein Auditor oder ein Kunde fragt, liegt die Antwort schon vor, wie der Beitrag So beantworten Sie einen Sicherheitsfragebogen zeigt.
Die technische Realität: Automatisierte Nachweise belegen, dass ein Control gelaufen ist, nicht dass es gewirkt hat
Nachweise, die sich selbst zusammenstellen, beenden die Hektik vor dem Audit. Sie belegen nicht, dass das Control seine Aufgabe erfüllt, und der Text des Controls verlangt oft genau den Teil, den eine automatisierte Aufzeichnung auslässt.
A.8.8 verlangt, dass die Gefährdung durch Schwachstellen bewertet wird und geeignete Maßnahmen ergriffen werden. Ein monatlicher Scan, der seinen Bericht selbst ablegt, belegt, dass der Scan gelaufen ist. Er sieht gleich aus, ob kritische Befunde in drei Tagen behoben oder neun Monate lang ignoriert wurden. A.8.15 verlangt, dass Protokolle erstellt, gespeichert, geschützt und analysiert werden. Aufbewahrungseinstellungen belegen die ersten drei. A.8.13 verlangt, dass Sicherungen regelmäßig getestet werden. Ein nächtlicher Job-Bericht belegt keine einzige Wiederherstellung.
Stufe 2 bewertet durchaus die Wirksamkeit, aber die des Managementsystems, und anhand einer Stichprobe. Wenige Tage Stichprobenprüfung können einen Befund übersehen, der den größten Teil des Jahres offen war. Ihr eigenes internes Audit kann es besser, wenn es testet, statt nur durchzusehen: ein Backup wiederherstellen, einen Scanner-Befund bis zur Schließung verfolgen.
Die Lücke zu schließen heißt, dass die Nachweise das Ergebnis festhalten, nicht nur die Tätigkeit: Zeit bis zur Behebung kritischer Befunde, geprüfte und geschlossene Alarme, Wiederherstellungen mit gemessener Dauer. Jeder Befund braucht einen Verantwortlichen und eine Frist, durchgesetzt von etwas anderem als dem Auditkalender. So funktioniert die CloudSoul-Plattform: automatisiertes Sammeln aus Ihren Systemen, mit menschlicher Expertise im Prozess (Human-in-the-Loop), die die Ausnahmen prüft. So führen wir auch ISO 27001 Programme durch. Wenn im Unternehmen niemand diese Ausnahmen übernehmen kann, beschreibt ISO 27001 ohne Sicherheitsteam, wer was tut.
Checkliste für ISO 27001 Auditnachweise
- Ordnen Sie jedes anwendbare Control der SoA einer Aufzeichnung, dem System, in dem sie liegt, und einem Verantwortlichen zu.
- Sammeln Sie Konfigurationszustand und Ereignisaufzeichnungen automatisch, mit datierter Historie.
- Geben Sie jeder Risikoakzeptanz, Ausnahme und Freigabe einen Verantwortlichen und ein Datum.
- Planen Sie periodische Tätigkeiten so, dass jede eine datierte Aufzeichnung erzeugt.
- Halten Sie Auditprogramm, Auditberichte, Protokolle der Managementbewertung und die Liste der Korrekturmaßnahmen aktuell.
- Erfassen Sie Lücken als Abweichungen mit Korrekturmaßnahmen. Füllen Sie niemals rückwirkend auf.
- Sorgen Sie dafür, dass die Nachweise Ergebnisse zeigen: Behebungszeiten, analysierte Protokolle, getestete Wiederherstellungen.
Quellen
- ISO/IEC 27001:2022, Information security management systems: Requirements, Abschnitte 4 bis 10 (insbesondere 7.5) und Anhang A, ISO.
- ISO/IEC 17021-1:2015, Conformity assessment: Requirements for bodies providing audit and certification of management systems, Abschnitte 9.1.3.3, 9.3.1.3, 9.4.4, 9.4.8.2 und 9.6.2.2, ISO.
Häufige Fragen
Welche Nachweise verlangen Auditoren bei ISO 27001?
Die dokumentierte Information, die die Norm verlangt, etwa Anwendungsbereich, Politik, Risikobeurteilung, Erklärung zur Anwendbarkeit, Ergebnisse interner Audits und Ergebnisse der Managementbewertung, dazu Aufzeichnungen, die zeigen, dass die Controls angewendet wurden. Auditoren ziehen Stichproben aus diesen Aufzeichnungen und verifizieren sie durch Interviews und Beobachtung.
Wie weit zurück prüfen Auditoren bei ISO 27001 die Nachweise?
Über den gesamten auditierten Zeitraum, nicht nur den aktuellen Stand. In Stufe 2 ist das die Zeit, in der das Managementsystem in Betrieb ist, in der Praxis etwa drei Monate oder mehr. Bei einem Überwachungsaudit ist es der Zeitraum seit dem letzten Besuch.
Was tun, wenn vor einem ISO 27001 Audit Nachweise fehlen?
Datieren Sie keine Aufzeichnungen zurück und erstellen Sie sie nicht neu. Erfassen Sie jede Lücke als Abweichung mit einer Korrekturmaßnahme und beginnen Sie jetzt, die Aufzeichnung zu erzeugen. Steht Stufe 2 kurz bevor und fehlen Kernaufzeichnungen wie das interne Audit, verschieben Sie den Termin.
Verlangt ISO 27001 ein Tool zum Sammeln von Nachweisen?
Nein. Dokumentierte Information kann in jedem geeigneten Format und auf jedem geeigneten Medium vorliegen, auch auf Papier. Sie muss gelenkt werden: bei Bedarf verfügbar, geschützt, unter Versionskontrolle und bewusst aufbewahrt oder entsorgt.
Geht es bei Control 5.28 aus Anhang A um das Sammeln von Auditnachweisen?
Nein. Control 5.28 betrifft Beweismaterial im Zusammenhang mit Informationssicherheitsereignissen, also Vorfälle und Forensik. Auditnachweise fallen unter Abschnitt 7.5 zur dokumentierten Information und unter die Abschnitte, die sie verlangen.
