Willkommen im Briefing

Willkommen im Briefing für Ihr ISO 27001-Zertifizierungsaudit!

In diesem Briefing erfahren Sie, wie ein typisches ISO 27001 Zertifizierungsaudit abläuft, wie Sie sich darauf vorbereiten können, wie Zertifizierungsauditoren fragen, denken und ihre Schlüsse ziehen und wie Sie sich in der Vorbereitung optimal darauf einstellen.

Hier zunächst einmal eine kurze Wiederholung des grundsätzlichen Aufbau eines jeden ISO 27001-Zertifizierungsaudits:

Das Audit beginnt vor dem Audit!

Ja - ganz richtig. Noch bevor das eigentliche Zertifizierungsaudit (Stufe 1) beginnt, haben Sie bereits die Möglichkeit, einen guten (sprich: organisierten) Eindruck zu machen.

Sie haben ja bereits zuvor mit dem Zertifizierer zu tun:

• Sie melden Sich für das Audit an, führen ein Gespräch mit dem zuständigen (Vertriebs-)Mitarbeiter;
• Sie verhandeln Audit-Termine;
• Sie beantworten Rückfragen und senden angeforderte Dokumente.

In manchen Zertifizierungsorganisationen findet diese Kommunikation mit Backoffice-Mitarbeitern beim Zertifizierer statt, in kleineren Organisationen jedoch mit dem Zertifizierungsauditor selbst.

Im letzteren Fall hat dieser bereits die Möglichkeit, Sie und Ihre Arbeitsweise ganz abseits des Audits kennenzulernen.

Bitte achten Sie hier auf eine ordentliche Kommunikation, d.h. beherzigen Sie die üblichen Gepflogenheiten:

1. Antworten Sie auf Anfragen seitens des Zertifizierungsauditors.
2. Senden Sie dem Zertifizierungsauditor angefragte Dokumente oder (wenn Sie das nicht möchten - was Ihr gutes Recht ist), schreiben Sie ihm dies kurz und höflich.
3. Wenn Ihnen wichtige Termine kommuniziert werden, speichern Sie diese ab und vermerken Sie sich die Termine am besten gleich im Kalender - es wirkt sehr unorganisiert, wenn Sie den wichtigen Zertifizierungstermin mit "Haben wir hier irgendwie vergessen" nochmal beim Auditor anfragen müssen.

Einen ersten Eindruck können Sie kein zweites Mal machen - daher: bitte strukturiert und organisiert arbeiten, damit der Zertifizierungsauditor nicht auf den Gedanken kommt, dass bei Ihnen alles "drunter und drüber" geht. Denn "drunter und drüber" und "gut organisierte Informationssicherheit" schließt sich in aller Regel aus.

Stufe 1 Audit (Stage 1 Audit)

Jedes Zertifizierungsaudit beginnt mit der Stufe 1 (oder englisch "Stage 1" oder auch "Phase 1"). In dieser Stufe überprüft der Zertifizierungsauditor im Wesentlichen Ihre Dokumente, also:

• Haben Sie alle Dokumente, die lt. ISO 27001 gefordert sind (alles, was dort als "dokumentierte Information" als verpflichtend zu führen ist)
• Ist der Inhalt der Dokumente sinnvoll und deckt er die Anforderungen der ISO 27001 ab?
• Gibt es die notwendigen Nachweisdokumente, die darstellen, dass Sie selbst auch gemäß ihrer eigenen Vorgaben arbeiten (das sind i.w. die Risikotabelle, das Statement of Applicability / Anwendbarkeitserklärung, das Protokoll des Internen Audits sowie das Management-Review-Protokoll).

Stufe 2 Audit (Stage 2 Audit)

Im Stufe 2 Audit ("Stage 2", "Phase 2") liegt der Fokus auf der Überprüfung der Wirksamkeit Ihres ISMS, sprich:

• Richten Sie sich selbst nach den Regeln Ihres eigenen ISMS?
• Welche Ihrer eigenen Regelungen haben Sie schon genutzt? Welche nicht? Warum nicht?
• Kennen die entsprechenden Mitarbeiter diejenigen Regelungen, die für sie relevant sind? Oder wissen sie, wo sie diese im Zweifelsfall nachschauen können?
• Lässt sich dies anhand von Nachweisdokumenten bzw. Aufzeichnungen oder Tools nachweisen? Oder geht es über Beteuerungen nicht hinaus?

So viel kurz zur Rekapitulation des Aufbaus von Audits.