INFORMATIONSSICHERHEIT · PRAXISLEITFADEN FÜR AUDITS
ISO/IEC 27001:2022: Checkliste für interne Audits
Eine praktische Checkliste für die Planung und Durchführung interner ISMS-Audits. Prüfen Sie die Kapitel 4–10, bestimmen Sie den Umfang der Annex-A-Controls anhand der aktuellen Anwendbarkeitserklärung und dokumentieren Sie objektive Nachweise – nicht nur Häkchen.
Von Axel Hoehnke · Veröffentlicht am 5. November 2026
0 Punkte abgehakt
01 · VORBEREITUNG
So verwenden Sie diese Checkliste für interne Audits
Nutzen Sie die Checkliste zur Strukturierung eines Audits, nicht als Ersatz für fachliches Urteil oder die eigenen Auditkriterien der Organisation. Legen Sie den Umfang fest, prüfen Sie Stichproben, dokumentieren Sie die Prüfung und verknüpfen Sie jede Schlussfolgerung mit einer anwendbaren Anforderung.
Dies ist eine unabhängige Arbeitshilfe, keine ISO-Veröffentlichung und keine Auditcheckliste einer Zertifizierungsstelle. Sie fasst Anforderungen zusammen, ohne den vollständigen Normtext wiederzugeben. Maßgeblich sind die aktuelle, lizenzierte Normausgabe und das Zertifizierungsschema.
Ausgabenstand: Grundlage ist ISO/IEC 27001:2022 einschließlich Amendment 1:2024 zu Klimaschutzänderungen. Als aktuelle Audit-Leitlinie wird ISO 19011:2026 berücksichtigt; ISO 19011 ist eine Leitlinie und keine zusätzliche Zertifizierungsanforderung nach ISO 27001.
Dokumentieren Sie je Prüfpunkt objektive Nachweise, zum Beispiel Dokumentenreferenz, Interview, Beobachtung oder geprüfte Stichprobe. Ein Häkchen allein ist kein Auditnachweis. Annex A ist ein Referenz-Controlset: Beurteilen Sie die Anwendbarkeit anhand der Risikobehandlung und der aktuellen Anwendbarkeitserklärung (SoA). Nicht automatisch alle 93 Controls als anwendbar behandeln.
Auditvorbereitung 5 Prüfpunkte
02 · ANFORDERUNGEN
Checkliste für interne Audits: Kapitel 4–10
Die Prüfpunkte sind kompakte Leitfragen. Auditkriterien sind die anwendbaren Normanforderungen, die eigenen ISMS-Anforderungen der Organisation und der festgelegte Auditumfang.
Kapitel 4 · Kontext der Organisation5 Prüfpunkte
Kapitel 5 · Führung5 Prüfpunkte
Kapitel 6 · Planung7 Prüfpunkte
Kapitel 7 · Unterstützung7 Prüfpunkte
Kapitel 8 · Betrieb6 Prüfpunkte
Kapitel 9 · Bewertung der Leistung9 Prüfpunkte
Kapitel 10 · Verbesserung5 Prüfpunkte
03 · ANNEX A
Annex-A-Controls: Umfang anhand der SoA bestimmen
Annex A der ISO/IEC 27001:2022 enthält 93 Referenz-Controls in vier Themenbereichen. Prüfen Sie für jedes Control im Auditumfang den SoA-Status und stichprobenartig Umsetzungsnachweise. Ein Control kann ausgeschlossen werden, wenn die Risikobehandlung dies begründet; Annex A verlangt nicht pauschal die Umsetzung aller Controls.
A.5 · Organisatorische Controls37 Prüfpunkte
A.6 · People-Controls8 Prüfpunkte
A.7 · Physische Controls14 Prüfpunkte
A.8 · Technologische Controls34 Prüfpunkte
04 · BERICHT
Feststellungen einordnen und Audit abschließen
ISO/IEC 27001 verlangt die Berichterstattung der Auditergebnisse und die Aufbewahrung dokumentierter Informationen. Die Norm schreibt keine einheitliche Einstufung in Major/Minor/Beobachtung vor. Wenden Sie die Auditkriterien der Organisation und gegebenenfalls Definitionen des Zertifizierungsschemas konsistent an.
Schwerwiegende Nichtkonformität
Eine Anforderung ist nicht erfüllt oder ein Muster von Feststellungen weist auf ein systemisches Versagen hin. Die dokumentierten Einstufungsregeln der Organisation anwenden; Zertifizierungsfolgen richten sich nach dem Zertifizierungsschema.
Nachverfolgung: Nachweis und Anforderung dokumentieren, Korrekturmaßnahme zuweisen und Wirksamkeit nach Kapitel 10.2 prüfen.
Geringfügige Nichtkonformität
Ein einzelner Verstoß gegen eine anwendbare Anforderung ohne Hinweis auf ein systemisches Versagen des ISMS.
Nachverfolgung: Abweichung, Korrektur oder Korrekturmaßnahme, Verantwortliche und Nachweise zur Nachverfolgung dokumentieren.
Beobachtung / Verbesserungshinweis
Ein möglicher Schwachpunkt oder Verbesserungsvorschlag, der derzeit nicht die Einstufungsschwelle einer Nichtkonformität erreicht.
Nachverfolgung: Transparent berichten; das Management entscheidet über Maßnahmen. Eine Nichtkonformität nicht als Beobachtung einstufen.
Diese Kategorien nur verwenden, wenn sie zu den Auditregeln und dem Zertifizierungsschema passen.
Was umfasst diese Checkliste für interne Audits nach ISO 27001?
Sie enthält Prüfpunkte zu den Kapiteln 4–10, eine Vorbereitungsliste, die 93 Annex-A-Control-Referenzen, eine Feststellungsübersicht und Abschlussfelder. Sie ist eine Arbeitshilfe und gibt nicht den vollständigen Text von ISO/IEC 27001 oder ISO/IEC 27002 wieder.
Muss ich alle 93 Annex-A-Controls auditieren?
Nein. Maßgeblich für Anwendbarkeit und Umfang sind Risikobehandlung und aktuelle Anwendbarkeitserklärung (SoA). Annex A dient als Referenz, um notwendige Controls nicht zu übersehen; es ist keine pauschale Pflicht, jedes Control umzusetzen.
Verlangt ISO 27001 jedes Jahr ein internes Audit?
ISO/IEC 27001 verlangt interne Audits in geplanten Abständen, aber keine einheitliche jährliche Frequenz. Das Auditprogramm berücksichtigt die Bedeutung der Prozesse und frühere Ergebnisse sowie Umfang, Risiken und Änderungen der Organisation.
Garantiert diese Checkliste eine ISO-27001-Zertifizierung?
Nein. Eine Zertifizierung hängt vom ISMS, den Nachweisen, dem Auditumfang und dem anwendbaren Zertifizierungsschema ab. Eine Checkliste kann ein internes Audit strukturieren, aber Konformität weder allein feststellen noch die Bewertung durch kompetente Auditoren ersetzen.
Definiert ISO 27001 schwerwiegende und geringfügige Nichtkonformitäten?
ISO/IEC 27001 verlangt die Berichterstattung von Auditergebnissen und den Umgang mit Nichtkonformitäten, schreibt aber keine einheitliche Einstufung in Major/Minor/Beobachtung vor. Folgen Sie den dokumentierten Auditregeln der Organisation und anwendbaren Definitionen des Zertifizierungsschemas.
Darf die Person, die ein Control umgesetzt hat, es auditieren?
Audits müssen objektiv und unparteiisch sein. Als Schutzmaßnahme sollte eine andere kompetente Person die Arbeit prüfen, die der Auditor selbst entworfen oder betrieben hat. Interessenkonflikte müssen so geregelt werden, dass die Schlussfolgerung unparteiisch bleibt.
Welche Ausgabe von ISO 19011 berücksichtigt diese Checkliste?
Die Seite verweist auf ISO 19011:2026, die zum Prüfdatum aktuelle veröffentlichte Ausgabe. ISO 19011 enthält Audit-Leitlinien; sie ist keine zusätzliche Zertifizierungsanforderung nach ISO/IEC 27001.
Ist das Amendment zu Klimaschutzänderungen enthalten?
Ja. Die Prüfpunkte zu Kapitel 4 berücksichtigen ISO/IEC 27001:2022/Amd 1:2024: Es ist zu bestimmen, ob Klimawandel ein relevantes Thema ist, und relevante klimabezogene Anforderungen interessierter Parteien sind zu berücksichtigen.
Normen und ergänzende Leitlinien
Für den verbindlichen Wortlaut verwenden Sie die offiziellen Veröffentlichungen. Diese Seite ist eine Arbeitshilfe und ersetzt weder ISO/IEC 27001 noch ISO/IEC 27002.
Analytics ist optional. Wenn Sie zustimmen, nutzen wir Google Analytics und von Replit gehostete Umami-Analytics (Seitenaufrufe und Website-Interaktionen), um zu verstehen, wie Besucherinnen und Besucher diese Website nutzen und sie zu verbessern. Wenn Sie ablehnen, bleibt Analytics deaktiviert. Sie können Ihre Wahl jederzeit unter „Cookie-Einstellungen“ ändern oder widerrufen.
Datenschutzhinweise.
