Was darf ein ISO 27001-Zertifizierungsauditor sehen?

Der Zertifizierungsauditor möchte anhand einiger Personalunterlagen prüfen, ob Vertraulichkeitsverpflichtungen vereinbart und Zuständigkeiten auch in den Verträgen verankert wurden.

Unternehmen Nummer eins reagiert: „Personalakten? Auf gar keinen Fall! Datenschutz! Die dürfen wir niemandem zeigen!“

Unternehmen Nummer zwei öffnet ohne jede Rückfrage das komplette HR-Verzeichnis: „Da ist alles drin. Arbeitsverträge, Gehälter, Krankmeldungen, Abmahnungen. Suchen Sie sich einfach raus, was Sie brauchen.“

Beides ist Unsinn.

Der Zertifizierungsauditor braucht einen belastbaren Nachweis für die auditierte Anforderung. Dafür muss er normalerweise weder die Krankmeldung von Herrn Müller lesen noch erfahren, was Frau Schmidt verdient. Gleichzeitig verschwindet eine Auditpflicht aber nicht dadurch, dass das Wort Datenschutz energisch genug ausgesprochen wird.

Die kurze Antwort

Ein Zertifizierungsauditor darf Zugang zu den Informationen, Personen, Prozessen, Bereichen und Nachweisen verlangen, die er benötigt, um das ISMS innerhalb des vereinbarten Auditumfangs zu beurteilen. Der Zugang entsteht nicht aus einer hoheitlichen Durchsuchungsbefugnis. Er gehört zu den Bedingungen der Zertifizierung, die das Unternehmen freiwillig beauftragt hat.

Aber der Zugriff ist nicht grenzenlos:

• Die Anfrage muss dem Auditumfang und den Auditkriterien dienen.
• Vertrauliche Informationen bleiben vertraulich.
• Nicht jede Einsicht erfordert eine Kopie.
• Irrelevante Inhalte dürfen geschwärzt oder ausgeblendet werden.
• Für besonders sensible Informationen können kontrollierte Zugangswege vereinbart werden.
• Kann eine notwendige Anforderung überhaupt nicht geprüft werden, kann der Auditor aber auch nicht so tun, als hätte er sie geprüft.

Der Zertifizierungsauditor darf nicht alles sehen, was ihn interessiert. Aber er muss alles prüfen können, was er beurteilen soll.

Dieser Artikel handelt nur vom Zertifizierungsaudit

Dieser Artikel beschäftigt sich ausschließlich mit Audits, die eine Zertifizierungsstelle im Rahmen einer Erstzertifizierung, eines Überwachungsaudits oder einer Rezertifizierung durchführt. Wie diese Auditstufen grundsätzlich ablaufen, erklären wir in unserem Beitrag über Stage 1 und Stage 2 des Zertifizierungsaudits.

Es geht hier nicht um das Interne Audit nach Abschnitt 9.2 der ISO 27001.

Das bleibt auch dann ein Internes Audit, wenn Sie dafür einen externen Auditor beauftragen. Ein Dienstleister, der in Ihrem Auftrag ein Internes Audit durchführt, wird dadurch nicht zur Zertifizierungsstelle. Seine Befugnisse ergeben sich aus seinem Auftrag, den Regeln Ihres Unternehmens und den gesetzlichen Grenzen – nicht automatisch aus ISO/IEC 17021-1 und ISO/IEC 27006-1.

Und selbstverständlich darf auch ein Interner Auditor nicht aus reiner Neugier sämtliche Datenbestände durchsuchen. Auch für ihn gelten Auditumfang, Auditkriterien, Berechtigungen, Vertraulichkeit, Datenschutz und das Erforderlichkeitsprinzip. Ob er auf Ihrer Gehaltsliste oder auf einer Dienstleisterrechnung steht, macht aus Neugier noch keinen Auditnachweis.

Woher nimmt der Zertifizierungsauditor sein Zugangsrecht?

Ein Zertifizierungsauditor ist keine Behörde. Er darf keine Räume durchsuchen, keine Systeme beschlagnahmen und niemanden verhören. Das Unternehmen möchte aber von einer Zertifizierungsstelle bestätigt bekommen, dass sein Informationssicherheitsmanagementsystem die Zertifizierungsanforderungen erfüllt. Deshalb muss es eine belastbare Prüfung ermöglichen.

ISO/IEC 17021-1 nennt in Abschnitt 8.5.1 d) die notwendigen Vorkehrungen für Audits. Dazu gehört insbesondere, die Prüfung der Dokumentation und den Zugang zu relevanten Prozessen, Bereichen, Aufzeichnungen und Personen zu ermöglichen. Das betrifft Erstzertifizierung, Überwachung und Rezertifizierung sowie gegebenenfalls die Untersuchung von Beschwerden.

Die Regel ist ziemlich nachvollziehbar: Wer ein Zertifikat möchte, muss der Zertifizierungsstelle zeigen können, weshalb sie dieses Zertifikat guten Gewissens ausstellen soll.

Der Auditumfang ist keine All-inclusive-Eintrittskarte

Der Zertifizierungsauditor muss sich innerhalb des Auditumfangs und der Auditkriterien bewegen. Ein sauber formulierter ISO 27001 Scope hilft deshalb nicht nur auf dem Zertifikat. Er grenzt auch ein, was Gegenstand der Zertifizierung ist.

Der Auditor darf beispielsweise nachvollziehen, wie ein für das ISMS relevanter HR-Prozess funktioniert. Daraus folgt nicht, dass er aus allgemeinem Interesse sämtliche Personaldaten lesen darf. Praktische Kontrollfragen sind:

• Welche Anforderung wird gerade geprüft?
• Was möchte der Auditor mit dieser Information feststellen?
• Gehört der betroffene Prozess oder eine relevante Schnittstelle zum Auditumfang?
• Reicht ein kleinerer, gefilterter oder geschwärzter Nachweis?
• Muss der Auditor die Information tatsächlich mitnehmen oder genügt die Einsicht?

Das darf man ruhig fragen. Nicht mit hochgezogener Zugbrücke, sondern sachlich: „Damit wir Ihnen den passenden Nachweis zeigen: Welche Anforderung möchten Sie daran genau prüfen?“

Was der Zertifizierungsauditor typischerweise sehen darf

Je nach Auditprogramm, Scope, Risiken und Stichprobe können unter anderem folgende Nachweise relevant sein:

• Richtlinien und Prozessbeschreibungen;
• Risikobewertung und Risikobehandlungsplan;
• Anwendbarkeitserklärung;
• Berichte aus Internen Audits und Managementbewertungen;
• Tickets, Freigaben und Aufgabenstände;
• Stichproben aus Zugriffsberechtigungen;
• Unterlagen zu Ein- und Austritten;
• Lieferantenbewertungen und einschlägige Vertragsklauseln;
• Nachweise über Backups und Wiederherstellungstests;
• Sicherheitsvorfälle und deren Behandlung;
• Protokolle technischer und organisatorischer Kontrollen;
• Gespräche mit Personen, die Prozesse verantworten oder ausführen;
• relevante Bereiche wie Büros, Technikräume oder Zutrittszonen.

Nicht alles davon wird in jedem Audit benötigt. Audits beruhen auf Stichproben. Wer sich grundsätzlich auf das Zertifizierungsaudit vorbereitet, sollte daher nicht eine perfekte Theaterkulisse für drei vorher ausgewählte Beispieldokumente bauen, sondern dafür sorgen, dass das ISMS im Alltag funktioniert. Welche Dokumente dabei wirklich benötigt werden, behandeln wir auch in unserem Artikel über die notwendigen ISO 27001-Dokumente.

Vertraulich heißt nicht unsichtbar

ISO/IEC 27006-1:2024 behandelt in Abschnitt 8.4.2 ausdrücklich den Fall, dass ISMS-relevante Informationen wegen ihrer Vertraulichkeit oder Sensibilität nicht ohne Weiteres vorgelegt werden können. Das Unternehmen soll solche Einschränkungen bereits vor dem Zertifizierungsaudit mitteilen.

Die Zertifizierungsstelle muss dann beurteilen, ob das ISMS auch ohne diese Information ausreichend auditiert werden kann. Falls nicht, müssen angemessene Zugangsregelungen gefunden werden. Sonst kann das Zertifizierungsaudit nicht stattfinden.

Praktische Lösungen können sein:

• Einsicht am Bildschirm statt Übersendung;
• Vorzeigen vor Ort;
• ein zeitlich begrenzter Nur-Lese-Zugang;
• geschwärzte Dokumente;
• gezielt ausgewählte Stichproben;
• Ausblenden sachfremder Spalten;
• Vorführung durch einen berechtigten Mitarbeiter;
• Verzicht auf eine lokale Kopie beim Auditor;
• Prüfung in einem besonders geschützten Raum;
• anonymisierte oder pseudonymisierte Auszüge.

Nicht das ganze Dokument ist der Nachweis. Der Nachweis ist der Teil, der die auditierte Aussage belegt.

Will der Auditor beispielsweise prüfen, ob eine Vertraulichkeitsverpflichtung vereinbart wurde, braucht er die entsprechende Klausel und einen Beleg dafür, dass sie wirksam vereinbart wurde. Er braucht nicht automatisch das Gehalt, die Abmahnung und die Krankengeschichte derselben Person.

Datenschutz beendet das Audit nicht

Der Satz „Das dürfen wir aus Datenschutzgründen nicht zeigen“ ist häufig weniger juristische Analyse als eine verbale Nebelgranate. Datenschutz verlangt Datenminimierung, einen legitimen Zweck und einen angemessenen Umgang mit personenbezogenen Daten. Er verlangt nicht, dass ein relevanter Prozess grundsätzlich unprüfbar bleibt.

Das Unternehmen sollte deshalb vor dem Audit klären, wie sensible Nachweise vorgelegt werden können. Dabei helfen dieselben Prinzipien, die auch eine vernünftige Dokumentenlenkung nach ISO 27001 ausmachen: Zugriffe begrenzen, gültige Informationen verfügbar halten, Änderungen nachvollziehbar machen und Informationen angemessen schützen.

Bei besonderen Kategorien personenbezogener Daten, Berufsgeheimnissen, klassifizierten Informationen oder kundenseitigen Geheimhaltungspflichten kann die Lage anspruchsvoller werden. Dann sollte man die Zugangsregelung nicht erst improvisieren, während der Auditor bereits mit dem Mantel im Besprechungsraum steht.

Muss man dem Auditor Dateien aushändigen?

Nein, nicht automatisch. Zugang ermöglichen bedeutet nicht zwangsläufig, jede Datei per E-Mail zu versenden und der Zertifizierungsstelle dauerhaft zu überlassen.

Entscheidend ist, ob der Auditor genügend belastbare Auditnachweise sammeln kann. Bei einer unkritischen Richtlinie oder einem freigegebenen Protokoll kann eine Kopie sinnvoll sein. Bei hochsensiblen Informationen kann kontrollierte Einsicht angemessener sein. Der konkrete Zertifizierungsvertrag kann zusätzliche Regeln enthalten.

Die Zertifizierungsstelle selbst unterliegt umfangreichen Vertraulichkeitsanforderungen. ISO/IEC 17021-1 verlangt in Abschnitt 8.4 rechtlich durchsetzbare Regelungen und eine sichere Behandlung der im Zertifizierungsprozess erlangten Informationen. Das ist wichtig – aber trotzdem kein Grund, unnötig ganze Datenhalden zu verteilen.

Darf der Auditor mit beliebigen Mitarbeitern sprechen?

Der Zertifizierungsauditor darf Zugang zu den Personen verlangen, die er für die Prüfung benötigt. Das Unternehmen sollte deshalb nicht ausschließlich den ISB als menschlichen Schutzwall vor alle anderen stellen.

Wenn geprüft wird, wie der Eintritt neuer Mitarbeiter funktioniert, sind beispielsweise HR und IT interessante Gesprächspartner. Bei der Softwareentwicklung können Entwickler oder Teamleitung relevant sein. Beim physischen Zutritt kommt vielleicht das Office- oder Facility-Management hinzu.

Die Gesprächspartner sollten nach Funktion und Prüfzweck ausgewählt werden. Der Auditor erhält dadurch keinen Freibrief, ziellos durch das Unternehmen zu ziehen und wahllos Beschäftigte aus ihren Tätigkeiten zu reißen. Normalerweise werden Interviews über den Auditplan organisiert.

Das Unternehmen darf organisatorisch begleiten – solange niemand neben dem Beschäftigten sitzt und bei jeder unerwünschten Antwort bedeutungsvoll gegen dessen Schienbein tritt.

Was ein Zertifizierungsauditor nicht zur Normanforderung machen darf

Der Auditor kann einen geeigneten Nachweis verlangen. Er darf aber keine persönlichen Vorlieben als Norm verkaufen. Problematisch wären beispielsweise:

• Informationen ohne erkennbaren Zusammenhang zum Audit;
• vollständige Datenbestände, obwohl eine begrenzte Stichprobe genügt;
• unnötige dauerhafte Kopien sensibler Daten;
• die Verwendung eines bestimmten Produkts oder Tools;
• ein bestimmtes Dokumentenformat, das nicht gefordert ist;
• eine zusätzliche Pflicht mit der Begründung, andere Unternehmen machten das ebenfalls so.

ISO/IEC 27006-1:2024 stellt in Abschnitt 9.1.1.2 klar, dass Zertifizierungsverfahren weder eine bestimmte Art der ISMS-Umsetzung noch ein bestimmtes Format für Dokumentation und Aufzeichnungen voraussetzen sollen.

Ein Beispieldialog:

„Ich hätte Ihre Risikobewertung gerne in Excel.“

„Unsere Risikobewertung wird im GRC-System geführt. Welchen Teil können wir Ihnen dort zeigen?“

Der Auditor darf eine nachvollziehbare Risikobewertung verlangen. Er darf aus Excel-Sehnsucht aber keine Excel-Datei zur Normanforderung erheben.

Was tun, wenn eine Forderung merkwürdig erscheint?

1. Fragen Sie, was genau geprüft werden soll.
2. Lassen Sie sich Auditkriterium und relevante Anforderung erläutern.
3. Bieten Sie einen geeigneten, weniger eingriffsintensiven Nachweis an.
4. Benennen Sie Vertraulichkeitsbedenken konkret.
5. Vereinbaren Sie gegebenenfalls eine kontrollierte Einsicht.
6. Beziehen Sie bei fortbestehender Uneinigkeit die Auditteamleitung ein.
7. Lassen Sie ungelöste Differenzen dokumentieren.
8. Nutzen Sie erforderlichenfalls das Einspruchs- oder Beschwerdeverfahren der Zertifizierungsstelle.

ISO/IEC 17021-1 sieht im Abschlussgespräch ausdrücklich vor, abweichende Meinungen zu Feststellungen oder Auditschlussfolgerungen zu besprechen und ungelöste Differenzen zu dokumentieren. Nicht jede Rückfrage ist also ein Aufstand. Ein guter Auditor kann erklären, weshalb er einen Nachweis benötigt.

Was passiert, wenn das Unternehmen den Zugriff verweigert?

„Das dürfen Sie nicht sehen“ kann eine legitime Ausgangslage sein. „Und deshalb müssen Sie uns ungeprüft glauben“ ist keine legitime Lösung.

Wenn der Auditor eine relevante Anforderung ohne die verweigerte Information nicht beurteilen kann, fehlt die Grundlage für eine positive Schlussfolgerung. Nach ISO/IEC 27006-1:2024, Abschnitt 8.4.2, kann das bedeuten, dass das Zertifizierungsaudit nicht stattfinden kann, bis angemessene Zugangsregelungen geschaffen wurden.

Die beste Lösung entsteht deshalb vor dem Audit: sensible Informationsarten identifizieren, den Prüfzweck verstehen und einen Weg vorbereiten, der sowohl die Prüfung als auch den notwendigen Schutz ermöglicht.

Was will der Zertifizierungsauditor wirklich?

Normalerweise keine möglichst große Dateisammlung. Er braucht genügend Sicherheit, dass:

• das ISMS passend aufgebaut ist;
• die eigenen Regeln tatsächlich umgesetzt werden;
• die Kontrollen funktionieren;
• Aussagen des Unternehmens durch belastbare Nachweise gestützt werden;
• Risiken und Schnittstellen im Scope angemessen behandelt werden.

Wer seine ISO 27001-Zertifizierung strukturiert vorbereitet, muss deshalb weder beim ersten Dokument panisch die Rollläden herunterlassen noch dem Auditor einen Generalschlüssel samt Administratorpasswort in die Hand drücken.

Interesse geweckt?

Wenn Sie vor Ihrem Zertifizierungsaudit klären möchten, welche Nachweise benötigt werden und wie Sie sensible Informationen angemessen vorzeigen können, sprechen Sie uns an. Wir helfen Ihnen dabei, auditierbar zu sein, ohne Ihre Informationssicherheit ausgerechnet für das Informationssicherheitsaudit abzuschalten.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.