Der interne Auditor nach ISO 27001: Rolle, Anforderungen und Zusammenspiel

Was ist ein interner Auditor nach ISO 27001?

Der interne Auditor liefert der Organisation eine evidenzbasierte Einschätzung zu ihrem ISMS. Nach Kapitel 9.2 prüft das Audit, ob das System die eigenen Anforderungen der Organisation und die anwendbaren Anforderungen der ISO/IEC 27001 erfüllt sowie wirksam umgesetzt und aufrechterhalten wird. Gegenstand ist das Managementsystem in der Praxis – nicht nur das Vorhandensein von Richtlinien oder eine ausgefüllte Checkliste.

Die Organisation beauftragt und verantwortet das interne Audit. Der Auditor stimmt Kriterien und Umfang ab, erhebt Nachweise, bewertet deren Aussagekraft und berichtet Feststellungen. Die Verantwortlichen des Systems bleiben für Controls und Entscheidungen zuständig. Der Auditor sollte weder Korrekturmaßnahmen verfassen noch fehlende Nachweise erstellen oder seine eigenen Empfehlungen anstelle des Managements genehmigen.

Interner Auditor und Zertifizierungsauditor

Ein internes Audit ist Teil des eigenen Assurance-Prozesses der Organisation. Es kann von einer kompetenten Person außerhalb des geprüften Arbeitsbereichs oder von einem unabhängigen externen Auditor durchgeführt werden. Ein Zertifizierungsaudit ist eine Prüfung durch eine Zertifizierungsstelle als unabhängige Drittpartei. Sie bewertet, ob die Zertifizierungsanforderungen im vereinbarten Umfang erfüllt sind. Die Zertifizierungsstelle prüft interne Audits und Managementbewertungen als Nachweise; sie ersetzt beides nicht.

ISO/IEC 17021-1:2015 bewertet interne Audits durch eine Zertifizierungsstelle für ihre zertifizierten Kunden als erhebliche Gefahr für die Unparteilichkeit und schränkt diese Tätigkeit ein. Die Einschränkung betrifft Zertifizierungsstellen und verbundene Einheiten. Sie bedeutet nicht, dass ein kompetenter, unabhängiger Berater kein internes Audit durchführen darf.

Audit nach Kapitel 9.2 und Anhang A 5.35

Die Tätigkeiten hängen zusammen, sind aber nicht gleich. Kapitel 9.2 betrifft Audits des ISMS anhand festgelegter Kriterien und eines definierten Umfangs. Control 5.35 in Anhang A betrifft eine unabhängige Überprüfung des Informationssicherheitsansatzes der Organisation. Eine Control-Prüfung kann Teil eines Assurance-Plans sein, ersetzt aber nicht das geplante und dokumentierte ISMS-Auditprogramm nach Kapitel 9.2.

Welche Anforderungen ISO 27001 an interne Audits stellt

Kapitel 9.2 beschreibt Anforderungen an das Auditprogramm und an jedes einzelne Audit. Es schreibt weder eine bestimmte Stellenbezeichnung noch eine allgemeine Frequenz oder eine konkrete Auditorqualifikation vor. Die Organisation muss einen Prozess einrichten, der objektive Ergebnisse ermöglicht, und dokumentierte Informationen zum Programm und zu den Ergebnissen aufbewahren.

Auditprogramm, Kriterien und Umfang

Die Organisation plant Audits in selbst festgelegten Abständen. Das Programm berücksichtigt die Bedeutung der betroffenen Prozesse und Ergebnisse früherer Audits. Es legt Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichtswege fest. Für jedes Audit bestimmt die Organisation Kriterien und Umfang. So ist klar, was geprüft wird und anhand welcher Anforderungen.

Das Programm sollte praktisch umsetzbar sein und das gesamte ISMS über die Zeit angemessen abdecken. Ein risikoorientierter Zyklus kann wesentliche Änderungen, besonders wichtige Prozesse, frühere Nichtkonformitäten oder Controls mit unsicheren Betriebsnachweisen stärker berücksichtigen. Eine lange Checkliste einmal im Jahr ersetzt kein Programm, das auf tatsächliche Änderungen und Ergebnisse reagiert.

Objektivität, Unparteilichkeit und Kompetenz

Auditoren werden so ausgewählt und Audits so durchgeführt, dass der Prozess objektiv und unparteiisch ist. Das verlangt Kapitel 9.2.2. Kapitel 7.2 verpflichtet die Organisation außerdem, die nötige Kompetenz für Personen zu bestimmen, deren Arbeit die Informationssicherheitsleistung beeinflusst, und geeignete Kompetenznachweise aufzubewahren. Für einen Auditauftrag braucht es praktisch eine Person, die Auditmethodik, ISMS-Kriterien und die geprüften technischen oder geschäftlichen Prozesse versteht.

ISO 19011:2026 enthält Leitlinien für Audits von Managementsystemen, darunter Auditprinzipien, Auditprogramm-Management, Auditdurchführung und Auditorenkompetenz. Sie ist eine Leitlinie und keine zusätzliche Zertifizierungsanforderung nach ISO 27001. Trainings oder Zertifikate können Kompetenznachweise unterstützen; ISO/IEC 27001 schreibt jedoch kein bestimmtes Zertifikat für interne Auditoren vor.

Berichte, Aufzeichnungen und Maßnahmen

Die Auditergebnisse werden an die zuständige Leitung berichtet. Die Organisation bewahrt dokumentierte Informationen zur Umsetzung des Auditprogramms und zu den Ergebnissen auf. Ein brauchbarer Bericht benennt Kriterien, Umfang, geprüfte Nachweise, Feststellungen und mögliche Einschränkungen. Jede Feststellung sollte auf Nachweise zurückführbar sein und nicht auf eine gewünschte Schlussfolgerung zugeschnitten werden.

Management und Prozessverantwortliche entscheiden und steuern Korrekturmaßnahmen im Rahmen des Nichtkonformitätsprozesses. Der Auditor kann die Feststellung erläutern und spätere Nachweise prüfen, sollte aber nicht die Verantwortung für die Lösung übernehmen. Auditergebnisse fließen auch in die Managementaufsicht ein, unter anderem in die Managementbewertung nach Kapitel 9.3.

So schützen Sie Objektivität und Unabhängigkeit des Auditors

ISO 27001 verlangt objektive und unparteiische Audits. Unabhängigkeit ist deshalb eine praktische Schutzmaßnahme: Der Auditor muss Schlussfolgerungen ziehen und berichten können, ohne eigene Entscheidungen zu prüfen oder unter Druck zu geraten, Feststellungen zu ändern. Die Norm verlangt die Qualität und Unparteilichkeit des Auditprozesses, aber kein starres Organisationsdiagramm.

Eine sinnvolle Arbeitsregel lautet: Prüfen Sie nicht Ihre eigene Arbeit und auditieren Sie keine Controls, die Sie selbst entworfen oder betrieben haben. Hat ein Berater beim Aufbau des ISMS geholfen, sollte er dieselbe Vorbereitung nicht auditieren. Pflegt ein Control Owner die Nachweise, sollte diese Person nicht alleiniger Auditor dieses Controls sein. Bei früherer Beteiligung muss die Grenze dokumentiert und für den betroffenen Umfang eine andere kompetente Person eingesetzt werden.

Auch kleine Organisationen können Unparteilichkeit sicherstellen. Sie können Auditoren zwischen Teams wechseln, eine kompetente Person außerhalb des eigenen Verantwortungsbereichs einsetzen, eine unabhängige Zweitprüfung organisieren oder einen externen Auditor beauftragen. Das Auditprogramm sollte Zuweisungen und den Umgang mit Interessenkonflikten erklären. Ist eine sinnvolle Trennung nicht möglich, sollte der Umfang angepasst oder eine andere Person eingesetzt werden, statt eine Selbstprüfung als unabhängig darzustellen.

Frühere Beratungstätigkeit sollte offengelegt und geregelt, nicht verborgen werden. Die Organisation muss beurteilen, ob die Lösung die Objektivität schützt. Der Auditor sollte einen Auftrag ablehnen oder neu zuweisen können, wenn sich der Interessenkonflikt nicht ausreichend beherrschen lässt.

Wie Auditor, ISMS-Verantwortliche und Management zusammenarbeiten

Das Rollenmodell trennt Vorbereitung, Prüfung, Entscheidungen und unabhängige Zertifizierung. Nachweise werden im Prozess weitergegeben; die Verantwortung bleibt jedoch bei der Rolle, die die jeweilige Arbeit verantwortet.

In der Reihenfolge bereiten Control Owner und ISMS-Leitung Betriebsnachweise vor; der interne Auditor prüft und berichtet; die Leitung entscheidet und veranlasst die Nachverfolgung; die Managementbewertung berücksichtigt die Ergebnisse; anschließend führt die Zertifizierungsstelle ihr unabhängiges Audit durch. Das Auditprogramm und die Anforderungen der Zertifizierungsstelle bestimmen den konkreten Zeitplan.

So sieht ein belastbares internes Audit aus

Ein gutes Audit prüft, ob das ISMS in der Praxis funktioniert – nicht nur, ob Dokumente vorhanden sind. Der Auditplan sollte den Umfang beherrschbar machen und die Nachweise müssen Schlussfolgerungen stützen. Stichproben sind üblich; der Bericht sollte die Grenzen einer Stichprobe transparent machen.

1. Programm festlegen. Abdeckung, Methoden, Verantwortlichkeiten und Termine nach Prozessbedeutung, früheren Ergebnissen und Änderungen bestimmen.
2. Einzelnes Audit abstimmen. Ziel, Umfang, Kriterien, Gesprächspartner, Nachweisquellen und Ablauf festlegen.
3. Betriebsnachweise prüfen. Verantwortliche befragen, Aufzeichnungen sichten und Aktivitäten stichprobenartig untersuchen.
4. An Kriterien messen. Fakten und Interpretation trennen und Feststellungen mit Nachweisen und Anforderungen verbinden.
5. An die Leitung berichten. Ergebnisse, Grenzen, Stärken und Nichtkonformitäten darstellen, ohne die Korrekturentscheidung des Managements vorwegzunehmen.
6. Nachverfolgen und bewerten. Verantwortliche bearbeiten Feststellungen; der Auditor prüft vereinbarte Nachweise und die Managementbewertung berücksichtigt die Ergebnisse.

Betriebsnachweise können beispielsweise genehmigte Berechtigungsänderungen, Incident-Übungen, Lieferantenprüfungen, Risikobehandlungsentscheidungen, Wiederherstellungstests oder Aufzeichnungen zu ausgeführten Aufgaben enthalten. Was relevant ist, hängt vom vereinbarten Umfang ab. Eine Richtlinie zeigt, dass eine Regel dokumentiert wurde; sie beweist allein nicht, dass die Regel eingehalten wird.

Häufige Fehler beim internen Audit

• Eigene Arbeit auditieren. Der Auftrag erzeugt einen Interessenkonflikt und erschwert den Nachweis von Unparteilichkeit.
• Nur Dokumente lesen. Eine Richtlinie beschreibt den Sollzustand; Gespräche und Aufzeichnungen zeigen, ob er umgesetzt wird.
• Checklisten ohne Kriterien einsetzen. Fragen sind nur sinnvoll, wenn sie mit Umfang und Anforderungen des Audits verbunden sind.
• Schlussfolgerungen ohne Nachweise berichten. Feststellungen sollten erklären, was geprüft wurde und weshalb es ein Kriterium erfüllt oder nicht erfüllt.
• Unbequeme Ergebnisse wegverhandeln. Das Management kann Fakten hinterfragen; Feststellungen müssen dennoch evidenzbasiert bleiben.
• Nachverfolgung durch die Leitung auslassen. Ohne Verantwortung für Maßnahmen und Entscheidungen bleibt der Managementprozess unvollständig.

Rahmenwerk-spezifische Audit-Erfahrungen

Die Rollentrennung gilt auch in anderen Managementsystemen; Kriterien und Nachweise unterscheiden sich jedoch je nach Rahmenwerk. Diese Ressourcen verbinden das Rollenmodell mit aktuellen Inhalten zu ISO 27001 und ISO 42001, ohne Kunden oder Zertifizierungsstellen zu benennen.

Ergänzender Kontext: NIS2-Umsetzung und der Überblick zum Cyber Resilience Act. Diese Rahmenwerke haben eigene rechtliche und technische Kriterien; ISO-27001-Auditfeststellungen belegen ihre Einhaltung nicht automatisch.

Referenzierte Normen

Diese Seite fasst Anforderungen und Leitlinien zusammen, ohne Normtexte zu reproduzieren. Prüfen Sie für ein konkretes Audit die aktuelle Ausgabe und das Zertifizierungsschema der Organisation.

Fragen zur Audit-Unabhängigkeit oder Auditbereitschaft? Kontakt aufnehmen.