Ein Überwachungsaudit nach ISO 27001 ist die jährliche Prüfung der Zertifizierungsstelle, ob Ihr ISMS noch läuft. Es findet mindestens einmal pro Kalenderjahr statt, das erste innerhalb von 12 Monaten nach der Zertifizierungsentscheidung. Jedes dauert etwa ein Drittel der Zeit des Erstaudits und prüft einen Ausschnitt des Systems. Versäumen Sie eines, wird das Zertifikat ausgesetzt.
Dieser Leitfaden behandelt Häufigkeit, Dauer, was jeder Besuch abdecken muss, was stichprobenartig geprüft wird, welche Nachweise bereitliegen sollten, Abweichungen, Aussetzung und warum das zweite Jahr schiefgeht.
| Wann | Audit | Auditzeit | Was es belegt |
|---|---|---|---|
| Monat 0 | Stufe 1 und Stufe 2, dann die Zertifizierungsentscheidung | 100 % | Das ISMS wurde aufgebaut und ist in Betrieb |
| Innerhalb von 12 Monaten | Überwachungsaudit 1 | etwa 33 % | Es lief nach Projektende weiter |
| Nächstes Kalenderjahr | Überwachungsaudit 2 | etwa 33 % | Es läuft weiterhin, an einer anderen Stichprobe |
| Vor Ablauf nach 36 Monaten | Rezertifizierung | etwa 67 % | Alle Anforderungen, erneut bewertet |
Wie oft findet das Überwachungsaudit nach ISO 27001 statt?
Die jährliche Überwachung nach der Erstzertifizierung findet mindestens einmal pro Kalenderjahr statt, außer in Jahren der Rezertifizierung. ISO/IEC 17021-1, die Norm, nach der jede akkreditierte Zertifizierungsstelle arbeitet, ergänzt, dass das erste Überwachungsaudit nicht später als 12 Monate nach dem Datum der Zertifizierungsentscheidung stattfinden darf (Abschnitt 9.1.3.3). Da der Zyklus durch Akkreditierungsregeln festgelegt ist, ist er weitgehend gleich, egal wo Sie sich zertifizieren lassen. Die ersten beiden Besuche behandelt der Beitrag zu Stufe-1- und Stufe-2-Audits.
Die 12 Monate laufen ab dem Datum der Zertifizierungsentscheidung, nicht ab dem letzten Tag von Stufe 2. Die European Accreditation hat bestätigt, dass ein Kalenderjahr ohne Audit eine Ausnahme ist, die die Stelle begründen muss, und kein Termin, der sich verschieben lässt. Unternehmen, die den Jahrestag als weiches Ziel behandeln, sind diejenigen, die am Ende einem Kunden eine Aussetzung erklären müssen.
Wie lange dauert ein Überwachungsaudit nach ISO 27001?
Etwa ein Drittel der Zeit des Erstaudits, jedes Jahr. ISO/IEC 27006-1, die Akkreditierungsnorm für Zertifizierungsstellen für ISMS, setzt die jährliche Überwachung mit ungefähr einem Drittel der Zeit von Stufe 1 plus Stufe 2 an und die Rezertifizierung mit ungefähr zwei Dritteln. IAF MD 5 verwendet dieselben Verhältnisse für Audits von Qualitäts-, Umwelt- und Arbeitsschutzmanagementsystemen.
Die Zeit des Erstaudits richtet sich nach der Zahl der Personen im Anwendungsbereich des ISMS. Ausgewählte Größenklassen:
| Personen im Anwendungsbereich | Audittage Erstaudit | Überwachung pro Jahr | Rezertifizierung |
|---|---|---|---|
| 1 bis 10 | 5 | etwa 1,7 | etwa 3,3 |
| 11 bis 15 | 6 | etwa 2 | etwa 4 |
| 16 bis 25 | 7 | etwa 2,3 | etwa 4,7 |
| 26 bis 45 | 8,5 | etwa 2,8 | etwa 5,7 |
| 46 bis 65 | 10 | etwa 3,3 | etwa 6,7 |
| 86 bis 125 | 12 | etwa 4 | etwa 8 |
| 176 bis 275 | 14 | etwa 4,7 | etwa 9,3 |
Das sind Basiswerte, bevor die Stelle sie an die Komplexität anpasst. Sie müssen die Stelle unverzüglich über wesentliche Änderungen informieren (ISO/IEC 17021-1, 8.5.3), und sie kann zusätzliche Zeit oder ein zusätzliches Audit ansetzen. Die Gebühr folgt den Tagen: siehe Kosten der ISO-27001-Zertifizierung.
Kürzer heißt nicht leichter. Der Auditor kommt mit einer festen Liste und weniger Zeit, sich beeindrucken zu lassen.
Was umfasst ein Überwachungsaudit nach ISO 27001?
Überwachungsaudits sind nicht zwingend Audits des gesamten Systems, aber ISO/IEC 17021-1 (9.6.2.2) legt fest, was jedes enthalten muss:
- Interne Audits und Managementbewertung.
- Maßnahmen zu Abweichungen aus dem vorherigen Audit.
- Umgang mit Beschwerden.
- Wirksamkeit beim Erreichen Ihrer Ziele und der beabsichtigten Ergebnisse.
- Fortschritt der geplanten fortlaufenden Verbesserung.
- Fortlaufende betriebliche Steuerung.
- Bewertung von Änderungen.
- Verwendung von Zeichen und anderen Verweisen auf die Zertifizierung.
ISO/IEC 27006-1 ergänzt die ISMS-spezifischen Punkte: die Risikobeurteilung und die Aufrechterhaltung der Controls, Änderungen an Controls und an der Erklärung zur Anwendbarkeit (SoA) sowie die Controls, die das Auditprogramm auswählt.
Die fünf Punkte, die über den Besuch entscheiden
In der Praxis tragen fünf Punkte das meiste Gewicht.
- Feststellungen des letzten Audits. Mit Nachweisen geschlossen, nicht in einer Tabelle als geschlossen markiert. Hat Stufe 2 eine Nebenabweichung zu Zugriffsüberprüfungen ergeben, will der Auditor die Zugriffsüberprüfungen sehen.
- Internes Audit. Abschnitt 9.2 spricht von geplanten Abständen. Auditoren erwarten mindestens eines seit dem letzten Besuch, mit Feststellungen und Nachverfolgung.
- Managementbewertung. Echte Protokolle, die Eingaben nach Abschnitt 9.3, Entscheidungen. Kein Kalendereintrag.
- Aktualität der Risikobeurteilung. Neues Büro, neue Cloud-Plattform, vierzig neue Mitarbeitende, eine Übernahme. Hat sich das Unternehmen bewegt und die Risikobeurteilung nicht, ist das eine Feststellung.
- Korrekturmaßnahmen als Routine. Probleme, die erfasst und geschlossen werden, wenn kein Auditor ansteht.
Internes Audit und Managementbewertung sind oft die Punkte, die Unternehmen versäumen, und die beiden, die sich nachträglich nicht glaubwürdig herstellen lassen. Wie beides funktioniert, steht in internes Audit und Managementbewertung.
Der vergessene Punkt ist die Verwendung von Zeichen: wie Ihre Website und Ihre Ausschreibungsunterlagen das Zertifikat beschreiben. Einen weiteren Geltungsbereich zu beanspruchen, als auf dem Zertifikat steht, ist ein häufiges Problem.
Welche Stichproben zieht der Auditor, und warum ändern sie sich?
Anhang A der ISO/IEC 27001:2022 enthält 93 Controls, und Ihre Erklärung zur Anwendbarkeit führt diejenigen auf, die Sie anwenden. Die Stelle auditiert nicht bei jedem Besuch alle erneut. Sie zieht Stichproben nach einem Auditprogramm, das für den gesamten Zyklus erstellt wird.
In der Praxis rotiert die Stichprobe, sodass die gesamte Erklärung zur Anwendbarkeit über die drei Jahre abgedeckt wird. Abgesehen von offenen Feststellungen wird das, was der Auditor beim letzten Mal geprüft hat, beim nächsten Mal mit geringerer Wahrscheinlichkeit geprüft. Ein Unternehmen, das genau das behoben hat, was in Stufe 2 in die Stichprobe fiel, und den Rest liegen ließ, hat sein Scheitern im ersten Überwachungsaudit selbst eingeplant.
Die Stichprobe richtet sich außerdem nach dem, was sich geändert hat. Der Betrieb ist nie optional: Die European Accreditation hat bestätigt, dass ein Überwachungsaudit nicht nur das Managementsystem betrachten darf. Und Auditoren achten nach Wachstum auf Verhältnismäßigkeit. Controls, die bei fünfundzwanzig Personen angemessen sind, sind es bei achtzig oft nicht mehr, und das Personalwachstum ist sichtbar, bevor sie zur Tür hereinkommen.
Wie läuft ein Überwachungsaudit nach ISO 27001 ab?
- Die Stelle fragt aktuelle Mitarbeiterzahl, Standorte, Anwendungsbereich und Änderungen ab und passt die Auditzeit an.
- Der leitende Auditor schickt einen Plan, der die Abschnitte, Controls und Personen nennt, die in die Stichprobe fallen.
- Eröffnungsbesprechung, Interviews, Stichproben aus Aufzeichnungen, Systemdurchgänge. Teile können remote stattfinden, und ISO/IEC 27006-1 verlangt, dass der Bericht angibt, in welchem Umfang.
- Abschlussbesprechung: Feststellungen werden als Haupt- oder Nebenabweichungen eingestuft.
- Sie reichen Ursachenanalyse, Korrekturen und Korrekturmaßnahmen innerhalb der Frist der Stelle ein.
- Die Stelle prüft sie und bestätigt, dass die Zertifizierung fortbesteht.
Welche jährlichen Nachweise prüfen Auditoren?
Das Prüffenster ist der gesamte Zeitraum seit dem letzten Besuch, nicht die Woche davor. Ein sinnvolles Nachweispaket:
NACHWEISPAKET FÜR DAS ÜBERWACHUNGSAUDIT NACH ISO 27001
Zeitraum: seit dem letzten Besuch der Zertifizierungsstelle
Managementsystem
[ ] Programm für interne Audits, Berichte, Feststellungen, Nachverfolgung
[ ] Protokolle der Managementbewertung: Eingaben nach 9.3, Entscheidungen
[ ] Liste der Korrekturmaßnahmen: erfasst, Ursache, Maßnahme,
geschlossen, Datum
[ ] Nachweis der Schließung jeder Feststellung aus dem letzten Audit
[ ] Sicherheitsziele und Kennzahlen, mit Ergebnissen
[ ] Risikobeurteilung und Risikobehandlungsplan, nach Änderungen
überprüft
[ ] Erklärung zur Anwendbarkeit, mit Versionshistorie
[ ] Änderungsprotokoll: Personen, Standorte, Lieferanten, Systeme,
Anwendungsbereich
[ ] Sicherheitsbeschwerden von Kunden und Lieferanten
[ ] Wo und wie Zertifikat und Zeichen verwendet werden
Controls (datierte Aufzeichnungen über den gesamten Zeitraum)
[ ] Zugriffsüberprüfungen und Entzug der Zugänge bei Austritten
[ ] Lieferantenbewertungen, neue und kritische Lieferanten
[ ] Schulungs- und Sensibilisierungsnachweise
[ ] Schwachstellenscans und Patch-Aufzeichnungen
[ ] Tests zur Wiederherstellung von Backups
[ ] Vorfallprotokoll und gewonnene ErkenntnisseWas passiert bei einer Abweichung?
ISO/IEC 17021-1 definiert eine Hauptabweichung als eine Abweichung, die die Fähigkeit des Managementsystems beeinträchtigt, die beabsichtigten Ergebnisse zu erreichen. Eine Nebenabweichung tut das nicht.
In beiden Fällen analysieren Sie die Ursache und beschreiben Korrektur und Korrekturmaßnahme innerhalb einer festgelegten Frist. Die Stelle überprüft sie und teilt mit, ob sie Dokumente, ein begrenztes zusätzliches Audit oder ein vollständiges benötigt. Nach ISO/IEC 27006-1 soll die gewährte Frist der Schwere und dem Informationssicherheitsrisiko entsprechen. Die genauen Fristen stehen in der Zertifizierungsordnung Ihrer Stelle. Lesen Sie sie vor dem Besuch.
Viele Überwachungsaudits ergeben eine oder zwei Nebenabweichungen. Sie vereinbaren den Plan, setzen ihn um, zeigen die Nachweise. Kein Drama. Eine Hauptabweichung, die nicht rechtzeitig behoben wird, kann zur Aussetzung führen.
Was passiert, wenn ein Überwachungsaudit versäumt wird?
Rechnen Sie mit einer Aussetzung. ISO/IEC 17021-1 (9.6.5) verlangt die Aussetzung, wenn zum Beispiel der Kunde Überwachungs- oder Rezertifizierungsaudits nicht in der erforderlichen Häufigkeit zulässt oder das System die Anforderungen dauerhaft oder schwerwiegend nicht erfüllt hat. Ein ausgesetztes Zertifikat ist vorübergehend ungültig, und Sie müssen aufhören, damit zu werben.
Beheben Sie das Problem, stellt die Stelle das Zertifikat wieder her. Wird es nicht innerhalb der von der Stelle gesetzten Frist behoben, wird die Zertifizierung entzogen oder ihr Geltungsbereich eingeschränkt. Die Norm merkt an, dass eine Aussetzung in den meisten Fällen sechs Monate nicht überschreiten würde.
Für ein lückenloses Zertifikat muss die Rezertifizierung vor Ablauf entschieden sein. Nach Ablauf kann die Stelle die Zertifizierung innerhalb von sechs Monaten wiederherstellen, wenn die ausstehenden Tätigkeiten abgeschlossen werden; andernfalls ist mindestens eine neue Stufe 2 erforderlich.
Das realistische Risiko für die meisten KMU ist nicht der Entzug. Es ist eine Aussetzung, die sich mit einer Ausschreibung überschneidet.
Warum geht das zweite Jahr oft schief?
Die Zertifizierung ist ein Projekt, mit Frist, Budget und einer zuständigen Person. Dann endet das Projekt, die Person, die es geleitet hat, kehrt zu ihrer eigentlichen Arbeit zurück, und das System hat keinen Verantwortlichen mehr.
Elf Monate später bemerkt jemand den Termin der Überwachung. Das für Monat vier geplante interne Audit hat nicht stattgefunden. Die Managementbewertung war ein fünfzehnminütiger Tagesordnungspunkt ohne Protokoll. Die Risikobeurteilung beschreibt das Unternehmen vor der neuen Plattform. Drei Monate Zugriffsüberprüfungen fehlen.
Nichts davon lässt sich überzeugend im Nachhinein fabrizieren, denn alles ist datiert. Deshalb sind Nachweise, die sich selbst zusammenstellen, mehr wert als Nachweise, die für den Anlass vorbereitet werden. Es ist auch das Argument für einen namentlich benannten Verantwortlichen mit tatsächlich verfügbarer Zeit.
Die technische Realität: Überwachung prüft, ob das System gelaufen ist, nicht ob es funktioniert hat
Ein Überwachungsaudit prüft, ob das Managementsystem gelaufen ist: Bewertungen haben stattgefunden, Audits wurden durchgeführt, Feststellungen wurden geschlossen, eine Stichprobe von Controls ist umgesetzt. Es prüft die Kontinuität der Prozesse. Es prüft nicht, ob Ihre IT-Landschaft an einem bestimmten Tag verteidigungsfähig ist, und ist dafür auch nicht ausgelegt.
Der Auditor zieht einmal im Jahr Stichproben. Ein Angreifer zieht keine Stichproben. Ein Unternehmen kann aufeinanderfolgende Überwachungsaudits bestehen, während ein aus dem Internet erreichbarer Dienst den größten Teil des Zyklus ungepatcht bleibt, weil nichts im Auditprogramm darauf ausgelegt ist, ihn zu finden. Das umfassendere Argument steht in zertifiziert heißt nicht sicher.
Diese Lücke zu schließen heißt, laufend zu messen, was das Audit jährlich stichprobenartig prüft: ein Asset-Inventar, das aus dem aufgebaut ist, was tatsächlich läuft, Patch- und Exponierungsstatus sichtbar statt behauptet, Zugänge mit den Austritten abgeglichen, Wiederherstellungen verifiziert statt nur eingeplant. Die Überwachung ist dann kein Ereignis mehr, auf das man sich vorbereitet. Genau das leistet die CloudSoul-Plattform, als automatisierte Plattform, in der menschliche Expertise eingebunden bleibt, und so führen wir ISO-27001-Programme durch. Ein Sicherheitsaudit zeigt Ihnen, was die letzte Stichprobe übersehen hat.
Checkliste für das Überwachungsaudit nach ISO 27001
- Buchen Sie beide Überwachungstermine in der Woche, in der das Zertifikat ausgestellt wird.
- Planen Sie das interne Audit für Monat vier oder fünf ein, nicht für Monat elf.
- Führen Sie die Managementbewertung als eigene Sitzung durch, mit einem Protokoll, das Entscheidungen festhält.
- Überprüfen Sie Risikobeurteilung und Erklärung zur Anwendbarkeit nach jeder wesentlichen Änderung, und dokumentieren Sie das.
- Informieren Sie die Zertifizierungsstelle vor dem Besuch über wesentliche Änderungen.
- Schließen Sie die Feststellungen des Vorjahres mit Nachweisen, nicht mit einer Statusänderung.
- Lassen Sie Control-Nachweise laufend entstehen: Zugriffsüberprüfungen, Lieferantenprüfungen, Schulungen, Wiederherstellungen.
- Prüfen Sie, wie Ihre Website und Ihre Ausschreibungsunterlagen den Geltungsbereich des Zertifikats beschreiben.
Quellen
- ISO/IEC 17021-1:2015, Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, Abschnitte 8.5.3, 9.1.3, 9.4, 9.6.2, 9.6.3 und 9.6.5, ISO.
- ISO/IEC 27006-1:2024, Anforderungen an Stellen, die Audits und Zertifizierungen von Informationssicherheits-Managementsystemen anbieten, Abschnitt 9.6.2 und Anhang C (Auditzeit), ISO.
- ISO/IEC 27001:2022, Abschnitte 9.2 und 9.3 und Anhang A, ISO.
- IAF MD 5:2023 (Ausgabe 4, Version 3), Bestimmung der Auditzeit für Qualitäts-, Umwelt- und Arbeitsschutzmanagementsysteme, IAF.
- FAQ der European Accreditation zu ISO/IEC 17021-1: Überwachung in jedem Kalenderjahr (37.12), betriebliche Steuerung bei der Überwachung (44.2), Auditzeit nach gemeldeten Änderungen (38.19), Wiederherstellung der Zertifizierung nach Ablauf (47.5).
- ANAB, Übergang auf ISO/IEC 27006-1:2024 und Änderungen.
Häufige Fragen
Wie oft findet ein Überwachungsaudit nach ISO 27001 statt?
Mindestens einmal pro Kalenderjahr, außer im Jahr der Rezertifizierung. Nach ISO/IEC 17021-1 muss das erste Überwachungsaudit spätestens 12 Monate nach dem Datum der Zertifizierungsentscheidung stattfinden.
Wie lange dauert ein Überwachungsaudit nach ISO 27001?
Nach ISO/IEC 27006-1 jedes Jahr etwa ein Drittel der Zeit des Erstzertifizierungsaudits. Ein Unternehmen mit 26 bis 45 Personen im Anwendungsbereich und 8,5 Audittagen im Erstaudit sollte mit knapp drei Audittagen Überwachung pro Jahr rechnen.
Was prüft der Auditor bei einem Überwachungsaudit nach ISO 27001?
Jedes Überwachungsaudit muss interne Audits und Managementbewertung, Maßnahmen zu früheren Abweichungen, Beschwerden, Wirksamkeit, fortlaufende Verbesserung, betriebliche Steuerung, Änderungen und die Verwendung von Zertifizierungszeichen umfassen. Bei ISO 27001 prüft der Auditor zusätzlich die Risikobeurteilung, Änderungen an der Erklärung zur Anwendbarkeit und eine Stichprobe von Controls.
Was passiert, wenn Sie ein Überwachungsaudit nach ISO 27001 versäumen?
Nach ISO/IEC 17021-1 setzt die Zertifizierungsstelle das Zertifikat aus, wenn der Kunde Überwachungsaudits nicht in der erforderlichen Häufigkeit zulässt. Ein ausgesetztes Zertifikat ist vorübergehend ungültig. Wird das Problem nicht innerhalb der von der Stelle gesetzten Frist behoben, wird die Zertifizierung entzogen oder ihr Geltungsbereich eingeschränkt.
Ist ein Überwachungsaudit dasselbe wie ein Rezertifizierungsaudit?
Nein. Ein Überwachungsaudit prüft einen Ausschnitt des Managementsystems und dauert etwa ein Drittel der Zeit des Erstaudits. Die Rezertifizierung vor Ablauf des Zertifikats bewertet alle Anforderungen erneut und dauert etwa zwei Drittel.
