Darf der ISB das Interne Audit nach ISO 27001 durchführen?

Der Informationssicherheitsbeauftragte hat das ISMS aufgebaut. Er hat die Richtlinien geschrieben, die Methode für das Risikomanagement festgelegt, die Anwendbarkeitserklärung gepflegt, offene Maßnahmen verfolgt und den Fachbereichen erklärt, wie das alles funktionieren soll.

Dann kommt das Interne Audit.

Wer auditiert?

„Na, der ISB natürlich. Der kennt sich schließlich am besten aus.“

Und so prüft der ISB seine eigenen Methoden, seine eigenen Dokumente, seine eigene Koordination und einen guten Teil seiner eigenen Entscheidungen. Anschließend kommt er zu dem überraschenden Ergebnis, dass er seine Arbeit überwiegend tadellos erledigt hat.

Das ist menschlich nachvollziehbar. Als Nachweis für ein objektives und unparteiisches Internes Audit ist es allerdings ungefähr so überzeugend wie ein Schulzeugnis, das sich der Schüler vorsichtshalber selbst ausgestellt hat.

Die kurze Antwort

Ja, ein ISB darf grundsätzlich ein Internes Audit nach ISO 27001 durchführen.

Die Norm verbietet keine bestimmte Stellenbezeichnung. Sie sagt nicht, dass ein ISB niemals auditieren darf. Sie verlangt aber, Auditoren so auszuwählen und Audits so durchzuführen, dass Objektivität und Unparteilichkeit des Auditprozesses gewährleistet sind.

Die MedTech-Schwesternorm der ISO 27001, die ISO 13485 ist hier sogar noch deutlicher: „Auditors shall never audit their own work“, heißt es hier ganz stumpf.

Deshalb lautet die entscheidende Frage nicht:

„Steht auf der Visitenkarte dieser Person ISB?“

Sondern:

„Wessen Arbeit bewertet diese Person gerade?“

Der ISB darf auditieren. Er darf nur nicht auf beiden Seiten des Schreibtisches sitzen und sich anschließend selbst bescheinigen, dass er hervorragende Arbeit geleistet hat.

ISO 27001 verlangt nicht zwingend eine Rolle namens ISB

Zunächst eine Klarstellung, die gerne untergeht: ISO 27001 verlangt, dass relevante Rollen, Verantwortlichkeiten und Befugnisse zugewiesen und kommuniziert werden. Sie schreibt aber keine bestimmte Stellenbezeichnung „Informationssicherheitsbeauftragter“ vor.

Unternehmen dürfen ihre Organisation passend gestalten. Manche haben einen hauptamtlichen ISB. Andere verteilen Aufgaben auf Geschäftsführung, IT-Leitung, Datenschutz, Qualitätsmanagement und Fachbereiche. Wieder andere beauftragen einen externen ISB.

Für die Auditfrage bedeutet das: Die Bezeichnung hilft kaum weiter. Zwei Personen mit dem Titel ISB können völlig unterschiedliche Aufgaben haben. Die eine koordiniert nur Termine und Berichte. Die andere entscheidet Methoden, schreibt Regelungen, genehmigt Ausnahmen, verfolgt Maßnahmen und greift operativ in IT-Prozesse ein.

Wer wissen möchte, ob eine Person einen bestimmten Bereich unparteiisch auditieren kann, muss deshalb ihre tatsächlichen Aufgaben betrachten.

Die unmittelbare Anforderung steht in Abschnitt 9.2.2

Die zentrale Anforderung ist nicht A.5.3, sondern Abschnitt 9.2.2. Dort verlangt ISO 27001, dass Auditoren so ausgewählt und Audits so durchgeführt werden, dass Objektivität und Unparteilichkeit sichergestellt werden.

Das bedeutet nicht, dass der Auditor keinerlei Verbindung zum Unternehmen haben darf. Ein Internes Audit darf ausdrücklich intern durchgeführt werden. Sonst wäre die Bezeichnung auch etwas unglücklich gewählt.

Es bedeutet aber:

• Der Auditor darf nicht mit einem vorgefertigten Wunschergebnis in die Prüfung gehen.
• Interessenkonflikte müssen erkannt und sinnvoll behandelt werden.
• Feststellungen müssen aus Auditkriterien und objektiven Nachweisen entstehen.
• Der Auditor sollte möglichst keine direkte Verantwortung für die von ihm geprüfte Tätigkeit tragen.

Die aktuelle ISO 19011:2026 beschreibt Unabhängigkeit als eines der Auditprinzipien und behandelt auch Auditorenkompetenz und Auditmethodik. Sie ist ein Leitfaden, keine zusätzliche Zertifizierungspflicht. Für die praktische Ausgestaltung eines Internen Audits ist sie trotzdem die naheliegende Referenz.

Und was ist mit A.5.3?

A.5.3 behandelt die Trennung von Aufgaben. Gemeint ist die organisatorische Trennung konfliktbehafteter Pflichten und Verantwortungsbereiche, damit nicht eine Person unkontrolliert zu viele miteinander unvereinbare Möglichkeiten erhält.

Die klassische Vorstellung lautet: Wer etwas anlegt oder verändert, sollte es nicht in allen Fällen auch allein genehmigen und kontrollieren. Das reduziert Fehler, Missbrauchsmöglichkeiten und unbemerkte Manipulation.

Diese Logik passt sehr gut zur Auditfrage. Wer ein System gestaltet und betreibt und anschließend allein seine Konformität bewertet, vereinigt Rollen, die zumindest kritisch betrachtet werden sollten.

A.5.3 ist damit eine sehr passende ergänzende Governance-Logik. Es ist aber unnötig, die Auditorenunparteilichkeit umständlich aus A.5.3 herzuleiten, wenn sie in 9.2.2 bereits ausdrücklich verlangt wird.

Wann auditiert der ISB tatsächlich seine eigene Arbeit?

Das lässt sich nicht allein anhand eines Organigramms entscheiden. Hilfreicher sind konkrete Fragen:

• Hat der ISB die geprüfte Richtlinie selbst geschrieben und freigegeben?
• Hat er die Methode festgelegt, deren Angemessenheit jetzt beurteilt wird?
• Hat er die betrachteten Risiken selbst bewertet?
• Hat er die Umsetzung der geprüften Maßnahmen gesteuert?
• Ist er selbst Prozesseigner?
• Führt er operative Tätigkeiten aus, deren Konformität er nun beurteilt?
• Wird seine eigene Leistung an einem möglichst abweichungsfreien Audit gemessen?

Je häufiger die Antwort Ja lautet, desto deutlicher wird der Interessenkonflikt.

Nicht die Stellenbezeichnung entscheidet über Unparteilichkeit. Entscheidend ist, ob der Auditor gerade sein eigenes Kind benotet.

Der ISB darf fremde Bereiche auditieren

Ein Interessenkonflikt betrifft nicht automatisch jedes denkbare Auditthema.

Ein ISB, der das Auditprogramm koordiniert und die grundsätzliche ISMS-Dokumentation pflegt, kann möglicherweise sehr wohl operative Prozesse in Einkauf, Personal oder IT auditieren – sofern er diese Prozesse nicht selbst gestaltet, betrieben oder verantwortlich gesteuert hat.

Umgekehrt sollte eine andere Person die eigentliche ISB-Arbeit betrachten:

• Ist das Auditprogramm angemessen?
• Werden Risiken und Veränderungen wirksam verfolgt?
• Sind Berichte vollständig und rechtzeitig?
• Werden beschlossene Maßnahmen konsequent nachgehalten?
• Sind die vom ISB gepflegten Regelungen aktuell und wirksam?

So kann ein Audit sinnvoll aufgeteilt werden. Der ISB muss nicht vollständig vom Audit ausgeschlossen werden. Er darf nur nicht sämtliche Bereiche prüfen, in denen er selbst die maßgebliche Arbeit geleistet hat.

Vollständig unabhängig – geht das intern überhaupt?

In einem kleinen Unternehmen kennt natürlich jeder jeden. Der Auditor war vielleicht schon in Workshops dabei, hat dieselbe Geschäftsführung und trinkt seinen Kaffee aus derselben Maschine wie die auditierten Kollegen. Das macht ihn nicht automatisch ungeeignet.

Unparteilichkeit bedeutet nicht, dass der Auditor aus einem anderen Universum eingeflogen werden muss. Sie bedeutet, dass er das Ergebnis nicht aus persönlichen Interessen, eigener Verantwortung oder politischem Druck zurechtbiegt. Er muss kritische Fragen stellen können, auch wenn die Antwort unangenehm ist. Und er muss eine Nichtkonformität feststellen dürfen, ohne damit zugleich über die Qualität seiner eigenen Arbeit zu urteilen.

Absolute organisatorische Distanz ist intern häufig unrealistisch. Eine vernünftige funktionale Distanz ist dagegen machbar. Dazu gehören eine kluge Zuordnung der Auditbereiche, klare Auditkriterien, nachvollziehbare Nachweise und die Freiheit, Feststellungen ohne Genehmigung des auditierten Bereichs zu formulieren.

Der Maßstab ist also nicht: „Hatte diese Person jemals etwas mit Informationssicherheit zu tun?“ Der Maßstab lautet: „Kann sie genau diesen Auditgegenstand ergebnisoffen und ohne Bewertung der eigenen Arbeit prüfen?“

Vier praktische Lösungen für kleine Unternehmen

Große Konzerne können auf eine eigene interne Revision oder Auditoren aus anderen Standorten zurückgreifen. Ein Unternehmen mit 25 Beschäftigten besitzt diese luxuriöse Auswahl meistens nicht. Trotzdem gibt es praktikable Lösungen.

1. Cross-Audit zwischen Bereichen

Eine fachkundige Person aus Qualitätsmanagement, Datenschutz, Compliance oder einem anderen Bereich auditiert die ISB-eigenen Aufgaben. Der ISB betrachtet dafür Bereiche, für die diese Person nicht selbst verantwortlich ist.

2. Auditbereiche aufteilen

Der ISB auditiert beispielsweise operative IT- und Personalprozesse. Eine zweite kompetente Person auditiert Risikomethode, Auditprogramm, Dokumentensteuerung und andere vom ISB selbst verantwortete Bestandteile.

3. Ein Auditteam bilden

Mehrere Personen führen das Audit gemeinsam durch. Zuständigkeiten werden so verteilt, dass niemand die eigene Arbeit abschließend bewertet. Ein Team ermöglicht außerdem, fehlendes Auditwissen und notwendige Fachexpertise zu kombinieren.

4. Einen externen Internen Auditor beauftragen

Gerade bei kleinen Unternehmen ist das oft die sauberste Lösung. Extern bedeutet allerdings nicht automatisch kompetent oder unparteiisch. Auch hier müssen Qualifikation, bisherige Tätigkeiten und mögliche Interessenkonflikte geprüft werden.

Darf der Berater auditieren, der das ISMS aufgebaut hat?

Hier gilt dieselbe Logik. Ein externer Berater wird nicht allein dadurch unparteiisch, dass er kein Arbeitsverhältnis mit dem Unternehmen hat. Der alte Spruch „Wes Brot ich ess', des Lied ich sing“ stimmt immer noch.

Hat er die Methoden entwickelt, Dokumente geschrieben, Entscheidungen vorbereitet und die Umsetzung gesteuert, auditiert er unter Umständen ebenfalls sein eigenes Werk. Beratung plus anschließendes Selbstlob wird nicht dadurch unabhängig, dass zwischen beiden Tätigkeiten eine Rechnung liegt.

Das lässt sich beispielsweise lösen, indem innerhalb des Beratungsunternehmens eine andere Person das Audit übernimmt, die vorher nicht am Projekt beteiligt war. Oder das Interne Audit geht an einen vollständig anderen Anbieter. Zur grundsätzlichen Trennung von Beratung und externer Zertifizierung gibt es unseren Artikel Berater oder Zertifizierer – beides geht nicht.

Wichtig: Für Zertifizierungsstellen gelten nochmals strengere Regeln, die in ISO 17021-1 und ISO 27006 geregelt sind. Ein Zertifizierungsauditor ist nicht mit dem Internen Auditor gleichzusetzen.

Unparteilichkeit ersetzt keine Kompetenz

Die unabhängigste Person des Unternehmens ist als Auditor ungeeignet, wenn sie keine Ahnung von ISO 27001, dem ISMS und Auditmethodik hat.

Abschnitt 7.2 verlangt, dass das Unternehmen die notwendige Kompetenz bestimmt, sicherstellt und nachweist. Für einen Internen Auditor gehören typischerweise dazu:

• Kenntnis der relevanten ISO 27001-Anforderungen;
• Verständnis des eigenen ISMS und seines Anwendungsbereichs;
• Kenntnisse in Auditplanung und Gesprächsführung;
• Umgang mit Stichproben und objektiven Nachweisen;
• saubere Ableitung und Formulierung von Feststellungen;
• Fähigkeit, Konformität und Nichtkonformität nachvollziehbar zu bewerten.

Welche dokumentierten Informationen und Kompetenznachweise sinnvoll sind, hängt von der gewählten Lösung ab. Ein Zertifikat als Lead Auditor kann hilfreich sein, ist aber nicht pauschal vorgeschrieben.

Was prüft der Zertifizierungsauditor?

Der Zertifizierungsauditor schaut nicht nur auf den Namen im Auditbericht. Er wird verstehen wollen, wie das Unternehmen Objektivität und Unparteilichkeit sichergestellt hat.

Typische Fragen sind:

• Wer hat das Audit durchgeführt?
• Welche Aufgaben hat diese Person sonst im ISMS?
• Welche Auditbereiche hat sie betrachtet?
• Welche Teile davon hatte sie vorher selbst gestaltet oder verantwortet?
• Wie wurden Interessenkonflikte bewertet und behandelt?
• Wer hat die Arbeit des ISB auditiert?
• Waren Feststellungen erkennbar nachweisbasiert und kritisch?

Ein Audit ohne jede Nichtkonformität ist nicht automatisch schlecht. Wenn der ISB jedoch sein vollständig selbst gebautes System in wenigen Stunden prüft und überall nur grüne Haken verteilt, darf der Zertifizierungsauditor neugierig werden.

So treffen Sie eine belastbare Entscheidung

Erstellen Sie für die vorgesehenen Auditbereiche eine einfache Zuordnung:

1. Was wird auditiert?
2. Wer trägt dafür im Alltag Verantwortung?
3. Wer hat die Methode oder Regelung gestaltet?
4. Wer hat sie umgesetzt?
5. Wer soll auditieren?
6. Welcher Interessenkonflikt könnte entstehen?
7. Wie wird dieser Konflikt vermieden oder ausreichend reduziert?

Diese Betrachtung muss keine wissenschaftliche Abhandlung werden. Sie sollte aber zeigen, dass das Unternehmen die Frage bewusst entschieden hat. Eine nachvollziehbare Aufteilung ist deutlich stärker als die spontane Begründung:

„Der macht das, weil der das immer macht.“

Der eigentliche Punkt

Der ISB ist nicht automatisch als Interner Auditor ungeeignet. In vielen kleineren Unternehmen wäre ein solches pauschales Verbot kaum praktikabel.

Aber ein Internes Audit verliert seinen Wert, wenn es nur zur feierlichen Selbstbestätigung der Person wird, die das geprüfte System gebaut und betrieben hat.

Die sinnvolle Lösung lautet deshalb nicht immer „ISB raus“, sondern:

Auditbereiche klug aufteilen, eigene Arbeit nicht selbst abschließend bewerten, Interessenkonflikte sichtbar behandeln und Kompetenz sicherstellen.

Dann kann der ISB seine Fachkenntnis in das Audit einbringen, ohne dass am Ende nur jemand vor dem Spiegel steht und sich selbst einen grünen Haken hochhält.

Interesse geweckt?

Wenn Sie nicht sicher sind, wer Ihr Internes Audit sinnvoll durchführen kann oder wie Sie die Auditbereiche unparteiisch aufteilen, Sprechen Sie mit uns. Wir unterstützen bei Auditplanung, Durchführung und einer Lösung, die auch für kleine Unternehmen praktisch funktioniert.