ISO 27001 verlangt interne Audits (Abschnitt 9.2) und eine Managementbewertung (Abschnitt 9.3), beide in geplanten Abständen, die Sie selbst festlegen. Die Norm nennt keine Frequenz. In der Praxis finden beide mindestens einmal jährlich statt, weil Stufe 2 und jedes jährliche Überwachungsaudit sie prüfen. Interne Audits brauchen ein schriftliches Programm und objektive Auditoren. Die Bewertung hat sieben verpflichtende Eingaben.
Dieser Leitfaden behandelt die Abschnitte, die Auditfrequenz, die Unabhängigkeit der Auditoren, Eingaben und Frequenz der Bewertung, eine Agenda-Vorlage, häufige Feststellungen, die Terminplanung und das, was ein Dokumentenaudit übersieht.
| Internes Audit (9.2) | Managementbewertung (9.3) | |
|---|---|---|
| Zweck | Ist das ISMS konform, und funktioniert es? | Ist das ISMS weiterhin geeignet, angemessen und wirksam? |
| Wer | Objektive, unparteiische Auditoren | Oberste Leitung |
| Frequenz | Geplante Abstände; in der Praxis mindestens jährlich | Geplante Abstände; in der Praxis mindestens jährlich |
| Typische Feststellung | Audits durchgeführt, aber kein Programm dahinter | Protokolle, in denen verpflichtende Eingaben fehlen |
Welcher Abschnitt der ISO 27001 verlangt internes Audit und Managementbewertung?
Abschnitt 9, Bewertung der Leistung. Er hat drei Teile:
- 9.1 Überwachung, Messung, Analyse und Bewertung: was Sie messen und wer es bewertet.
- 9.2 Internes Audit: 9.2.1 Allgemeines und 9.2.2 Internes Auditprogramm.
- 9.3 Managementbewertung: 9.3.1 Allgemeines, 9.3.2 Eingaben für die Managementbewertung und 9.3.3 Ergebnisse der Managementbewertung.
Abschnitt 10.2, Nichtkonformität und Korrekturmaßnahmen, schließt den Kreis: beheben, was das Audit findet, die Ursache angehen, prüfen, ob die Behebung gewirkt hat.
Projektpläne zeigen beides oft als zwei eintägige Aufgaben kurz vor Schluss. Tatsächlich sind es Systeme, die bereits laufen müssen, wenn die Zertifizierungsstelle sie in Stufe 2 prüft, und ein häufiger Grund, warum sich dieses Audit verschiebt. Beides ist günstig, wenn man es richtig macht, und teuer, wenn man es spät macht.
Was verlangt Abschnitt 9.2?
Im Gedächtnis bleibt „in geplanten Abständen“. Was Projekte aber zu Fall bringt, ist der Rest: Abschnitt 9.2 verlangt ein Programm, nicht ein Audit. Sinngemäß:
- Ein festgelegter Zweck. Audits zeigen, ob das ISMS Ihre eigenen Anforderungen und die der Norm erfüllt und ob es wirksam umgesetzt und aufrechterhalten wird.
- Ein Auditprogramm. Häufigkeit, Methoden, Verantwortlichkeiten, Planung und Berichterstattung, gewichtet nach der Bedeutung jedes Prozesses und den Ergebnissen früherer Audits. Danach fragen Auditoren zuerst.
- Kriterien und Umfang für jedes Audit. Was geprüft wird, woran gemessen, für welche Systeme und welchen Zeitraum.
- Objektive Auditoren. Auditoren so ausgewählt und Audits so durchgeführt, dass der Prozess objektiv und unparteiisch ist.
- Berichterstattung an das zuständige Management. Die Ergebnisse erreichen Personen, die handeln können, und fließen in die Managementbewertung ein.
- Dokumentierte Information. Nachweis, dass das Programm umgesetzt wurde, und die Auditergebnisse.
Drei Auditberichte ohne Programm dahinter sind eine Abweichung. Die Kompetenz der Auditoren regelt Abschnitt 7.2, nicht 9.2: in der Praxis Kenntnisse der Norm, des Auditierens und der Technologie im Geltungsbereich, dokumentiert.
Wie häufig müssen interne Audits nach ISO 27001 stattfinden?
Die Norm sagt es nicht. Ihr Programm legt die Abstände fest, und nichts verlangt, das gesamte ISMS alle zwölf Monate zu auditieren.
Das praktische Minimum ergibt sich aus den Zertifizierungsregeln. Nach ISO/IEC 17021-1 umfasst Stufe 2 das interne Auditieren, also muss vor der Zertifizierung ein internes Audit stattfinden, in der Praxis eines über den gesamten Geltungsbereich. Danach folgen Überwachungsaudits mindestens einmal pro Kalenderjahr, und jedes prüft interne Audits und Managementbewertung. Ein ausgelassenes Jahr fällt beim nächsten Besuch auf.
Sinnvoll ist ein rollierendes Programm: das gesamte ISMS über den dreijährigen Zyklus abgedeckt, Bereiche mit höherem Risiko und frühere Feststellungen häufiger auditiert. Bleibt ein Teil den ganzen Zyklus über unauditiert, wird der Auditor nach dem Grund fragen. Viele kleine Unternehmen führen ein vollständiges Audit pro Jahr durch; Unternehmen, die sich schneller verändern, auditieren in vierteljährlichen Teilen. Wie das nach der Zertifizierung aussieht, steht in Überwachungsaudits im zweiten und dritten Jahr.
Kann der interne Auditor in einem kleinen Unternehmen unabhängig sein?
Abschnitt 9.2.2 verlangt, Auditoren so auszuwählen und Audits so durchzuführen, dass Objektivität und Unparteilichkeit des Auditprozesses sichergestellt sind. Die Fassung von 2022 sagt nicht wörtlich „auditieren Sie nicht Ihre eigene Arbeit“, aber so lesen es Zertifizierungsauditoren. ISO 19011, die Leitfadennorm für Audits, behandelt Unabhängigkeit als Grundsatz. Ihre Ausgabe von 2018 erkannte an, dass interne Auditoren in kleinen Organisationen möglicherweise nicht vollständig unabhängig sind, sofern alles getan wird, um Voreingenommenheit auszuschließen.
In einem Unternehmen mit vierzig Personen ist Objektivität ein strukturelles Problem. Wer das ISMS aufgebaut hat, versteht es am besten, genau deshalb kann diese Person es nicht auditieren, und oft könnte es sonst niemand. Drei Optionen:
- Eine zweite Person schulen. Auf Dauer am günstigsten, am langsamsten einzurichten, glaubwürdig nur, wenn die Person unabhängig von dem ist, was sie auditiert.
- Eine andere Funktion oder Konzerngesellschaft nutzen. Funktioniert gut, wo eine Qualitätsfunktion bereits eine andere Norm auditiert.
- Extern einkaufen. Ein extern vergebenes internes Audit kostet für den Geltungsbereich eines KMU typischerweise 4.000 bis 12.000 € pro Jahr, in jedem Jahr der Zertifikatslaufzeit. Budgets übersehen das oft.
Welchen Weg Sie auch wählen, dokumentieren Sie, warum der Auditor unabhängig ist. „Hat diesen Teil nicht aufgebaut“, vor dem Audit festgehalten, ist mehr wert als eine nachträgliche Erklärung. In der Praxis ist der ISMS-Verantwortliche intern, und die oberste Leitung kann die Bewertung nicht delegieren (Abschnitt 9.3.1); der Auditor ist die einzige Rolle, die sich sauber auslagern lässt, wie ISO 27001 ohne Sicherheitsteam erklärt.
Was sind die Eingaben für die Managementbewertung nach ISO 27001?
Nach Abschnitt 9.3.1 bewertet die oberste Leitung das ISMS in geplanten Abständen, um sicherzustellen, dass es weiterhin geeignet, angemessen und wirksam ist. Abschnitt 9.3.2 listet auf, was die Bewertung berücksichtigen muss. Behandeln Sie die Liste als Agenda. Sinngemäß:
- Stand der Maßnahmen aus früheren Managementbewertungen.
- Veränderungen bei externen und internen Themen, die für das ISMS relevant sind.
- Veränderungen bei den Erfordernissen und Erwartungen relevanter interessierter Parteien.
- Rückmeldungen zur Sicherheitsleistung, einschließlich Entwicklungen bei Nichtkonformitäten und Korrekturmaßnahmen, Ergebnissen von Überwachung und Messung, Auditergebnissen und der Erfüllung der Sicherheitsziele.
- Rückmeldungen interessierter Parteien.
- Ergebnisse der Risikobeurteilung und Stand des Risikobehandlungsplans.
- Möglichkeiten zur fortlaufenden Verbesserung.
Punkt 3 ist in der Ausgabe 2022 neu. Die Punkte 2 und 3 greifen die Themen und interessierten Parteien aus den Abschnitten 4.1 und 4.2 wieder auf. Seit der Änderung Amd 1:2024 fragt Abschnitt 4.1 zusätzlich, ob der Klimawandel ein relevantes Thema ist. Sinnvoll ist es, die Antwort festzuhalten, auch wenn sie „nicht relevant“ lautet, und sie hier erneut aufzugreifen.
Abschnitt 9.3.3 legt das Ergebnis fest: Entscheidungen zur fortlaufenden Verbesserung und zu allen Änderungen, die das ISMS braucht, mit dokumentierten Nachweisen.
Punkt 1 unterscheidet die erste Bewertung von allen späteren. Es gibt noch keine früheren Maßnahmen. Spätere Bewertungen werden auch danach beurteilt, ob frühere Entscheidungen abgeschlossen wurden, und immer neue Maßnahmen, die nie geschlossen werden, bilden ein Muster, nach dem Auditoren suchen.
Punkt 4 setzt voraus, dass Sie etwas gemessen haben. Wurden die Ziele nach Abschnitt 6.2 als Absichtserklärungen statt als bezifferte Größen formuliert, wird das in dieser Sitzung offensichtlich.
Wie oft sollte die Managementbewertung stattfinden?
Auch hier: geplante Abstände. Einmal jährlich ist das praktische Minimum, weil jedes Überwachungsaudit sie prüft. Halbjährlich oder quartalsweise passt zu einer IT-Landschaft im Wandel, und Stufe 2 sieht dann ein Muster statt eines Einzelereignisses. Eine Leitungssitzung kann sie nur dann übernehmen, wenn sie jede Eingabe abdeckt und ihre eigenen Entscheidungen protokolliert.
ISMS-MANAGEMENTBEWERTUNG Datum:
Teilnehmende (oberste Leitung): Vorsitz:
1. Maßnahmen aus früheren Bewertungen: offen, erledigt, überfällig
2. Veränderungen bei externen und internen Themen (4.1),
inkl. Relevanz des Klimawandels
3. Veränderungen bei Erfordernissen und Erwartungen interessierter Parteien
4. Sicherheitsleistung
4a. Nichtkonformitäten und Korrekturmaßnahmen (Trend)
4b. Ergebnisse von Überwachung und Messung
4c. Ergebnisse interner und externer Audits
4d. Sicherheitsziele: Soll und Ist
5. Rückmeldungen interessierter Parteien
6. Ergebnisse der Risikobeurteilung, Stand des Risikobehandlungsplans
7. Möglichkeiten zur fortlaufenden Verbesserung
ENTSCHEIDUNGEN
ID | Entscheidung | Verantwortlich | Fällig | Ressourcen
Erforderliche Änderungen am ISMS (Geltungsbereich, Politik, Controls):
Freigegeben von:Was beanstanden Auditoren bei den Abschnitten 9.2 und 9.3?
Zu Abschnitt 9.2:
- Audits durchgeführt, aber kein Auditprogramm.
- Unvollständige Abdeckung über den Zyklus, ohne risikobasierte Begründung.
- Unabhängigkeit der Auditoren nicht dokumentiert.
- Korrekturmaßnahmen ohne Ursachenanalyse, oder abgeschlossen, ohne ihre Wirksamkeit zu prüfen. Abschnitt 10.2 verlangt beides.
- Ergebnisse nie an das Management berichtet, sodass die Verbindung zu 9.3 fehlt.
- Audits so kurz vor der Zertifizierung, dass sich das Gefundene nicht mehr beheben lässt.
Zu Abschnitt 9.3:
- Protokolle, in denen verpflichtende Eingaben fehlen. Vermeidbar, wenn die Liste als Agenda dient.
- Stellvertreter nehmen anstelle der obersten Leitung teil.
- Keine dokumentierten Entscheidungen. Ein Protokoll der Diskussion ist kein Protokoll der Entscheidungen.
- Eingaben nicht vorbereitet, sodass die Sitzung Eindrücke austauscht statt Auditergebnisse und Risikodaten.
Wann sollten Sie beides vor Stufe 2 einplanen?
Ein internes Audit zwei Wochen vor Stufe 2 lässt keine Zeit, das Gefundene zu beheben. Nichts zu finden ist schlimmer: Es sagt dem Auditor, dass das Audit nicht gesucht hat. Eine Abfolge, die funktioniert:
| Wann | Was |
|---|---|
| Monat 1 | Auditprogramm schreiben. Die Bewertungen für das Jahr terminieren |
| Ab Monat 2 | Erste Managementbewertung, auch bei dünner Datenlage. Sie startet die Maßnahmenspur |
| 3 bis 4 Monate vor Stufe 2 | Erstes internes Audit, voller Geltungsbereich, mit erwarteten Feststellungen |
| Folgende 6 Wochen | Korrekturmaßnahmen, mit Ursachenanalyse und Wirksamkeitsprüfung |
| 6 bis 8 Wochen vor Stufe 2 | Managementbewertung, die diese Auditergebnisse behandelt |
| Stufe 2 | Der Auditor sieht erhobene Feststellungen, abgeschlossene Maßnahmen, geprüfte Wirksamkeit |
Abweichungen, die Ihr eigenes Audit erhoben und sauber abgeschlossen hat, sind in Stufe 2 ein Vorteil. Teams verstecken sie, und dieser Reflex ist genau falsch herum. Der Zeitplan muss außerdem zum Nachweiszeitraum passen, beschrieben in Wie lange ISO 27001 wirklich dauert.
Die technische Realität: was ein dokumentenbasiertes internes Audit übersieht
Abschnitt 9.2.1 fragt, ob das ISMS wirksam umgesetzt ist. Die meisten internen Audits in KMU beantworten eine engere Frage: Gibt es das Control, und gibt es einen Nachweis?
Ein Auditor kann bestätigen, dass es für A.8.8, Management technischer Schwachstellen, ein Verfahren, monatliche Scans und einen Bericht gibt, während kritische Befunde monatelang offen bleiben. Das Control verlangte einen Prozess und hat einen bekommen. Protokollierung existiert, und niemand wertet sie aus (A.8.15). Backups laufen, und niemand hat je eines wiederhergestellt (A.8.13). Zugriffsüberprüfungen sind unterschrieben, und die ausgeschiedene Person hat noch ein Token (A.5.18). Jedes davon besteht ein Dokumentenaudit, und jedes ist ein gängiger Weg, auf dem ein Unternehmen dieser Größe kompromittiert wird oder sich nicht erholt.
Die Lösung ist nicht mehr Auditieren. Schreiben Sie das Programm so, dass operative Controls getestet und nicht nur durchgesehen werden: ein Backup wiederherstellen und die Zeit messen, nach noch aktiven Zugangsdaten ausgeschiedener Mitarbeitender suchen, einen Scanner-Befund bis zur Behebung verfolgen.
Die Bewertung hat dieselbe Schwäche. Eingabe 4 ist nur so gut wie ihre Daten. Zahlen, die in der Woche davor von Hand gesammelt wurden, sind eine Momentaufnahme; Nachweise, die laufend aus den Systemen erhoben werden und bei denen ein Mensch die Ausnahmen prüft, zeigen einen Trend, wie in Nachweise, die sich selbst zusammenstellen. So arbeitet die CloudSoul-Plattform, als automatisierte Plattform mit menschlicher Expertise im Prozess (Human-in-the-Loop), und so führen wir Programme für ISO 27001 durch.
Checkliste für internes Audit und Managementbewertung nach ISO 27001
- Ein risikogewichtetes Auditprogramm schreiben, das das gesamte ISMS über drei Jahre abdeckt.
- Festhalten, warum jeder interne Auditor kompetent und objektiv ist.
- Das erste interne Audit über den gesamten Geltungsbereich drei bis vier Monate vor Stufe 2 durchführen.
- Korrekturmaßnahmen mit Ursachenanalyse und Wirksamkeitsprüfung abschließen.
- Die sieben Eingaben aus 9.3.2 als feste Agenda der Bewertung nutzen, mit der obersten Leitung im Raum.
- Entscheidungen mit Verantwortlichen und Terminen protokollieren und abschließen.
- Zwischen zwei Zertifizierungsbesuchen mindestens ein internes Audit und eine Managementbewertung durchführen.
Quellen
- ISO/IEC 27001:2022, Abschnitte 4.1, 4.2, 6.2, 7.2, 9.1, 9.2, 9.3 und 10.2, Anhang A 5.18, 8.8, 8.13 und 8.15, ISO.
- ISO/IEC 27001:2022/Amd 1:2024, Änderungen zum Klimaschutz, ISO.
- ISO/IEC 17021-1:2015, Anforderungen an Zertifizierungsstellen, Abschnitte 9.1.3.3 (Überwachungsfrequenz), 9.3.1.3 (Stufe 2) und 9.6.2 (Inhalt der Überwachung), ISO.
- ISO 19011:2018, Leitfaden zur Auditierung, Abschnitt 4 (Grundsätze), im Mai 2026 durch ISO 19011:2026 ersetzt, ISO.
Häufige Fragen
Welcher Abschnitt der ISO 27001 verlangt interne Audits und Managementbewertungen?
Abschnitt 9, Bewertung der Leistung. Abschnitt 9.2 verlangt interne Audits in geplanten Abständen im Rahmen eines Auditprogramms, und Abschnitt 9.3 verlangt, dass die oberste Leitung das ISMS in geplanten Abständen anhand einer festen Liste von Eingaben bewertet.
Wie häufig müssen interne Audits nach ISO 27001 durchgeführt werden?
Die Norm legt keine Frequenz fest, nur geplante Abstände, die Sie in Ihrem Auditprogramm bestimmen. In der Praxis läuft vor Stufe 2 ein Audit über den gesamten Geltungsbereich und vor jedem jährlichen Überwachungsaudit mindestens ein Audit, weil die Zertifizierungsstelle die internen Audits bei jedem Besuch prüft.
Was ist eine Managementbewertung nach ISO 27001 und wie oft sollte sie stattfinden?
Eine Bewertung, in der die oberste Leitung prüft, ob das ISMS weiterhin geeignet, angemessen und wirksam ist, und Entscheidungen zu Verbesserungen und Änderungen festhält. Die Norm spricht von geplanten Abständen. Einmal jährlich ist das praktische Minimum, halbjährlich oder quartalsweise funktioniert besser, wenn sich das Geschäft schnell verändert.
Was sind die Eingaben für die Managementbewertung nach ISO 27001?
Abschnitt 9.3.2 nennt sieben: Maßnahmen aus früheren Bewertungen, Veränderungen bei externen und internen Themen, Veränderungen bei Erfordernissen und Erwartungen interessierter Parteien, Rückmeldungen zur Sicherheitsleistung, Rückmeldungen interessierter Parteien, Ergebnisse der Risikobeurteilung und Stand der Risikobehandlung sowie Möglichkeiten zur fortlaufenden Verbesserung.
Darf ein interner Auditor nach ISO 27001 seine eigene Arbeit auditieren?
Abschnitt 9.2.2 verlangt, Auditoren so auszuwählen, dass das Audit objektiv und unparteiisch ist. Zertifizierungsauditoren leiten daraus ab, dass niemand Arbeit auditiert, die er selbst erledigt hat: Wer einen Prozess aufgebaut hat, sollte ihn nicht auditieren.
