Ein ISO-27001-Zertifizierungsaudit besteht aus zwei Besuchen mit unterschiedlichen Aufgaben. Stage 1 liest Ihre Dokumente, um zu prüfen, ob das System konzipiert ist; Stage 2 testet, ob es tatsächlich gelaufen ist. Stage 2 prüft Aufzeichnungen über einen Zeitraum stichprobenartig, typischerweise nach etwa drei Monaten Betrieb. Die meisten Projekte bereiten sich intensiv auf das erste Audit vor und werden vom zweiten erwischt.
Dieser Leitfaden behandelt beide Stufen, den Nachweiszeitraum, Haupt- und Nebenabweichungen, was Auditoren akzeptieren, was schiefgeht und was danach kommt.
| Stage 1 | Stage 2 | |
|---|---|---|
| Welche Frage es beantwortet | Ist das System konzipiert? | Ist das System gelaufen? |
| Methode | Dokumentenprüfung: remote, vor Ort oder aufgeteilt | Stichproben, Interviews, durchgängige Nachverfolgung |
| Was geprüft wird | Geltungsbereich, Erklärung zur Anwendbarkeit (SoA), Risikobeurteilung, Richtlinien, Rollen | Aufzeichnungen über einen Zeitraum, Abschnitte 9 und 10 |
| Benötigte Historie | Internes Audit und Managementbewertung existieren als Prozesse | Typischerweise etwa drei Monate Betrieb |
| Feststellungen | Meist kritische Punkte, vor Stage 2 geschlossen | Haupt- oder Nebenabweichungen, Beobachtungen |
Was prüft der Auditor im Stage-1-Audit?
Stage 1 ist eine Dokumentenprüfung. Der Auditor stellt fest, ob ein ISMS auf dem Papier existiert, ob es abdeckt, was ISO 27001 verlangt, und ob es sich lohnt, Stage 2 anzusetzen.
Was er anfordert:
- Die Beschreibung des Geltungsbereichs und seine Abgrenzung, und ob sie vertretbar ist
- Die Erklärung zur Anwendbarkeit, mit einer Begründung für jedes aufgenommene und jedes ausgeschlossene Control
- Die Methode der Risikobeurteilung und die Risikobeurteilung selbst
- Das Richtlinienwerk
- Nachweise, dass das interne Auditprogramm und die Managementbewertung als Prozesse existieren, nicht, dass sie bereits stattgefunden haben
- Die Rollen, die Verantwortlichkeiten und wer im Management das Thema verantwortet
Tatsächlich prüft er, ob die Dokumente ein zusammenhängendes System beschreiben. Das klassische Scheitern in Stage 1: ein Geltungsbereich, der das eine sagt, eine Risikobeurteilung, die etwas Breiteres abdeckt, und eine SoA, die Controls ausschließt, die der Geltungsbereich offensichtlich braucht. Steht die Abgrenzung nicht fest, kann der Auditor nicht bestimmen, was er in Stage 2 testen soll, und dort endet alles. Deshalb verdienen Geltungsbereich und Erklärung zur Anwendbarkeit mehr Aufmerksamkeit als das Richtlinienwerk.
Feststellungen aus Stage 1 sind meist kritische Punkte statt förmlicher Abweichungen, und es wird erwartet, dass Sie sie vor Stage 2 schließen. Berater können gut Dokumente erstellen, deshalb läuft Stage 1 meist gut. Genau deshalb sagt es wenig über Stage 2 aus.
Was prüft der Auditor im Stage-2-Audit?
Stage 2 ist das eigentliche Audit. Der Auditor liest nicht mehr, was Sie geschrieben haben. Er testet, ob es geschehen ist.
- Stichproben. Er wählt Controls aus und verlangt Nachweise über einen Zeitraum. Nicht eine Zugriffsüberprüfung, sondern eine Reihe davon mit Datum. Nicht die Backup-Richtlinie, sondern den letzten Wiederherstellungstest und sein Ergebnis.
- Interviews. Er fragt die in Ihren Richtlinien benannten Personen, was sie tatsächlich tun. Eine Richtlinie, die jemand außerhalb des Unternehmens geschrieben hat, scheitert hier, weil die darin benannte Person etwas anderes beschreibt.
- Nachverfolgung. Er verfolgt einen Faden von Anfang bis Ende: ein Risiko im Register, seine Behandlung, das Control, den Nachweis, dass es gelaufen ist, und die Überprüfung, die bestätigt hat, dass es wirkt.
- Abschnitte 9 und 10. Ergebnisse des internen Audits, Protokolle der Managementbewertung, erhobene Abweichungen und Korrekturmaßnahmen, die mit Ursachenanalyse und Wirksamkeitsprüfung abgeschlossen wurden. Hier zahlt sich die Reihenfolge aus Internes Audit und Managementbewertung aus, oder eben nicht.
Wie lange muss das ISMS vor Stage 2 laufen?
Typischerweise etwa drei Monate, weil Stichproben eine Historie brauchen. Das ist Kalenderzeit, und die lässt sich nicht kaufen. Genau diese Randbedingung steht im Zentrum von Wie lange ISO 27001 wirklich dauert.
Was ist der Unterschied zwischen Haupt- und Nebenabweichung?
Es gibt drei mögliche Ergebnisse, und sie kosten sehr unterschiedlich viel.
| Ergebnis | Was es ist | Blockiert die Zertifizierung? | Was Sie tun |
|---|---|---|---|
| Hauptabweichung | Ein gefordertes Element fehlt, oder ein Control ist so zusammengebrochen, dass es das System untergräbt | Ja | Beheben und Nachweise vorlegen. Rechnen Sie mit Wochen, nicht Tagen, und möglicherweise mit einem weiteren Besuch |
| Nebenabweichung | Ein einzelner Aussetzer in einem ansonsten funktionierenden System | In der Regel nicht | Einen Korrekturmaßnahmenplan einreichen, typischerweise innerhalb weniger Wochen |
| Beobachtung oder Verbesserungspotenzial | Keine Abweichung | Nein | Keine Korrekturmaßnahme erforderlich |
Ein fehlendes internes Auditprogramm ist eine Hauptabweichung. Ebenso ein Risikobehandlungsplan, der nirgends einen Verantwortlichen hat. Eine versäumte Zugriffsüberprüfung in einem Jahr voller Überprüfungen ist eine Nebenabweichung, ebenso eine nicht abgelegte Lieferantenbewertung. Ob eine Nebenabweichung geschlossen ist, wird beim nächsten Überwachungsaudit geprüft oder anhand von Unterlagen, bevor das Zertifikat ausgestellt wird.
Teams überreagieren regelmäßig auf Beobachtungen, stecken Aufwand in ihre Schließung und kommen zum nächsten Audit, nachdem sie einen Rat wie eine Anweisung behandelt haben.
Die Zahl der Feststellungen zählt weit weniger als ihre Art. Ein Stage-2-Audit mit sechs Nebenabweichungen und keiner Hauptabweichung ist ein gutes Audit. Eine Hauptabweichung und sonst nichts ist ein schlechtes.
Welche Nachweise akzeptieren ISO-27001-Auditoren?
Drei Muster tauchen immer wieder auf.
Ein Control, das Sie bewusst nicht umsetzen, wenn die Entscheidung dokumentiert und begründet ist. Dafür gibt es die SoA. Nicht akzeptiert wird ein Control, das als anwendbar markiert, in einer Richtlinie beschrieben ist und nicht läuft.
Unvollkommene Nachweise, die zeitnah entstanden sind, statt perfekter Nachweise, die nachträglich erstellt wurden. Eine Patch-Aufzeichnung mit Lücken, die Sie erklären können, schlägt eine saubere rückwirkende Tabelle. Auditoren haben sehr viele davon gesehen, und Dateimetadaten sind nicht subtil.
„Wir wissen davon, es steht im Register, hier sind die Behandlung und das Datum“. Ein offenes Risiko mit Verantwortlichem und Plan ist ein funktionierendes Managementsystem. Dasselbe Risiko ohne Dokumentation ist eine Feststellung.
Der Reflex, Probleme zu verstecken, ist genau falsch herum. Abweichungen, die Ihr eigenes internes Audit gefunden und geschlossen hat, belegen, dass das System funktioniert. Genau das wird zertifiziert.
Warum gehen ISO-27001-Zertifizierungsaudits schief?
Geordnet danach, wie oft es vorkommt:
- Für das Stichprobenfenster gibt es keine Nachweise. Controls wurden entworfen, nichts hat aufgezeichnet, dass sie laufen.
- Der Geltungsbereich wurde schlecht gezogen, und ein Teil der Arbeit muss neu gemacht werden.
- Richtlinien beschreiben ein Unternehmen, das es nicht gibt. Interviews decken das in Minuten auf.
- Abschnitt 9 ist dünn. Internes Audit zu spät durchgeführt, Managementbewertung ohne ihre verpflichtenden Eingaben.
- Korrekturmaßnahmen ohne Ursachenanalyse geschlossen, oder ohne zu prüfen, ob die Behebung gewirkt hat.
Jeder dieser Punkte ist ein Vorbereitungsfehler, kein Sicherheitsfehler. Keiner bedeutet, dass das Unternehmen unsicher ist. Sie bedeuten, dass die Aufzeichnungen die Behauptung nicht stützen.
Was passiert nach dem Stage-2-Audit?
Der Auditor empfiehlt die Zertifizierung, er erteilt sie nicht. Es folgt der eigene Prüf- und Entscheidungsprozess der Zertifizierungsstelle, danach wird das Zertifikat ausgestellt. Planen Sie diese Lücke ein, statt einem Kunden das Zertifikat für die Woche nach dem Audit zu versprechen.
Danach läuft das Zertifikat in einem Dreijahreszyklus: Überwachungsaudits im zweiten und dritten Jahr, Rezertifizierung am Ende. Die Kosten dieses Zyklus stehen in Was ISO 27001 ein KMU tatsächlich kostet.
Wenn Sie wissen wollen, was ein Stage-2-Audit finden würde, bevor Sie eines buchen, nutzen Sie ein strukturiertes Audit vor dem Programm. Es liefert dieselbe priorisierte Lückenliste, ohne dass das Zertifikat auf dem Spiel steht.
Heißt ein bestandenes Stage-2-Audit, dass Sie sicher sind?
Nein. Stage 2 prüft Konformität, nicht Sicherheit. Diese Unterscheidung ist keine Haarspalterei, sie ist die ganze Lücke.
Der Auditor prüft stichprobenartig, ob ein Control wie beschrieben angewendet wurde. Er testet nicht, ob es wirkt. A.8.8 verlangt, technische Schwachstellen zu managen, und ein monatlicher Scan mit Bericht erfüllt das, selbst wenn die kritischen Befunde darin acht Monate alt sind. A.8.15 verlangt Protokollierung, und Logs auf einer Festplatte, die niemand abfragt, erfüllen das. A.8.16 verlangt Überwachungstätigkeiten, die größte Lücke von allen: Ein dokumentiertes Verfahren erfüllt das Control, während tatsächlich nichts überwacht.
Ein sauberes Stage-2-Audit sagt einem Kunden, dass Ihr Managementsystem läuft. Es war nie dafür gedacht, ihm zu sagen, ob Sie einen Einbruch bemerken würden. Diese Frage beantworten Werkzeuge, die laufend Befunde in dieselbe Nachweisführung liefern, nicht ein besser vorbereitetes Audit. Die ausführliche Argumentation steht in Die Controls aus Anhang A, gruppiert nach realer Arbeit, wo die Controls, die Arbeit aufzeichnen, von den Controls getrennt werden, die Arbeit sind.
Checkliste für das Stage-1- und Stage-2-Audit
- Prüfen Sie, dass Geltungsbereich, Risikobeurteilung und SoA dasselbe System beschreiben.
- Begründen Sie jedes Control in der SoA, ob aufgenommen oder ausgeschlossen.
- Schließen Sie die kritischen Punkte aus Stage 1 vor Stage 2.
- Starten Sie die Nachweisuhr früh: Planen Sie vor Stage 2 etwa drei Monate Betrieb ein.
- Bewahren Sie datierte, zeitnah erzeugte Nachweise auf: Zugriffsüberprüfungen, Wiederherstellungstests und deren Ergebnisse.
- Fragen Sie die in Ihren Richtlinien benannten Personen, was sie tatsächlich tun, und passen Sie die Richtlinien an, wo die Antworten abweichen.
- Führen Sie internes Audit und Managementbewertung rechtzeitig durch und schließen Sie Korrekturmaßnahmen mit Ursachenanalyse und Wirksamkeitsprüfung ab.
- Versprechen Sie einem Kunden kein Zertifikatsdatum, bevor die Zertifizierungsstelle entschieden hat.
Häufige Fragen
Was ist der Unterschied zwischen Stage 1 und Stage 2 bei ISO 27001?
Stage 1 ist eine Dokumentenprüfung, die feststellt, ob das Managementsystem konzipiert ist und abdeckt, was die Norm verlangt. Stage 2 testet, ob das System tatsächlich gelaufen ist, indem Aufzeichnungen über einen Zeitraum stichprobenartig geprüft, Mitarbeitende befragt und Risiken bis zu den Nachweisen verfolgt werden.
Kann das ISO-27001-Stage-1-Audit remote durchgeführt werden?
Ja. Stage 1 kann remote, vor Ort oder aufgeteilt auf beides stattfinden.
Wie lange muss das ISMS vor dem Stage-2-Audit laufen?
Typischerweise etwa drei Monate. Der Auditor prüft Nachweise stichprobenartig über einen Zeitraum, also muss es eine Historie geben, aus der er Stichproben ziehen kann, und diese Kalenderzeit lässt sich nicht kaufen.
Bedeutet eine Hauptabweichung, dass die ISO-27001-Zertifizierung gescheitert ist?
Eine Hauptabweichung blockiert die Zertifizierung, bis Sie sie behoben und Nachweise vorgelegt haben, und je nach Schwere muss der Auditor möglicherweise erneut kommen. Rechnen Sie mit Wochen, nicht Tagen. Nebenabweichungen blockieren die Zertifizierung in der Regel nicht.
Erhält man das ISO-27001-Zertifikat am Ende von Stage 2?
Nein. Der Auditor empfiehlt die Zertifizierung, er erteilt sie nicht. Die Zertifizierungsstelle durchläuft ihren eigenen Prüf- und Entscheidungsprozess, danach wird das Zertifikat ausgestellt.
