Im November fällt jemandem auf, dass das interne Audit für dieses Jahr noch fehlt. Die ISMS-Verantwortliche nimmt sich zwei Tage, geht die Kapitel der Norm durch, notiert vierzehn Feststellungen und schickt den Bericht an die Geschäftsleitung. Die nimmt ihn zur Kenntnis. Im Frühling ist der Zertifizierungsauditor zufrieden, weil ein internes Audit stattgefunden hat. Geändert hat sich nichts.
Das ist im KMU der Normalfall, und er ist teuer, weil er nach Arbeit aussieht. Ein internes Audit nach ISO 27001 ist der einzige Termin im Jahr, an dem ein Unternehmen systematisch nachschaut, ob das, was es entschieden hat, im Betrieb auch passiert. In unserer Erfahrung ist das der günstigste ehrliche Lagebericht, den eine Geschäftsleitung bekommen kann. Die meisten Unternehmen verschenken ihn an die Norm.
Ein internes Audit prüft nicht, ob Dokumente existieren, sondern ob die beschlossenen Regeln im Betrieb gelten und noch zum Geschäft passen. Als Pflichtübung für den Zertifizierer kostet es gleich viel wie als Lagebericht für die Geschäftsleitung. Den Unterschied machen drei Dinge: wer auditiert, welche Stichproben gezogen werden, und ob am Ende jede Feststellung einen Namen und ein Datum trägt.
Warum das interne Audit zum Pflichttermin verkommt
Dahinter stecken drei Mechaniken, und keine hat mit fehlendem Fleiss zu tun.
Die erste ist der Auditplan. Er folgt den Kapiteln der Norm, weil die Norm die Gliederung gratis mitliefert. Damit prüft das Audit dort, wo die Dokumentation am dünnsten ist, und nicht dort, wo das Geschäft am meisten verlieren kann. Das sind selten dieselben Stellen. Ein Auditplan, der bei den drei Prozessen beginnt, an denen Umsatz, Produktion und Personendaten hängen, kostet keinen Franken mehr und liefert ein anderes Ergebnis.
Die zweite ist die Besetzung. Es auditiert, wer das ISMS gebaut hat. Organisatorisch naheliegend, methodisch wertlos, weil niemand seinen eigenen blinden Fleck findet. Die Feststellungen werden dann so formuliert, dass sie umsetzbar klingen, und so klein geschnitten, dass niemand in Erklärungsnot kommt.
Die dritte ist der Abschluss. Der Bericht geht an die Geschäftsleitung, die Geschäftsleitung nimmt ihn zur Kenntnis, und damit ist aus dem Audit ein Dokument geworden statt ein Entscheid. "Zur Kenntnis genommen" ist kein Ergebnis. Es ist die höfliche Form von nichts.
Was prüft ein internes Audit überhaupt?
Es prüft pro Regel drei Dinge: ob die Regel noch gilt, ob sie im Betrieb gelebt wird, und ob jemand merkt, wenn sie nicht gelebt wird. Dokumente sind dabei Hilfsmittel, nicht Gegenstand. Wer nur Dokumente prüft, bekommt ein Urteil über die Qualität der Dokumentation und keines über die Sicherheit.
Die dritte Frage ist die wichtigste, weil sie gelebt von erzählt trennt. Eine Regel, deren Verletzung niemandem auffällt, ist keine Kontrolle. Sie ist eine Absichtserklärung mit Versionsnummer.
Praktisch heisst das Stichproben statt Vollständigkeit. Ein brauchbares Audit greift sich drei Austritte der letzten sechs Monate und schaut, welche Konten weg sind und welche noch Lizenzgebühren erzeugen. Es nimmt zwei Lieferantenfreigaben und sieht, ob der vereinbarte Weg gehalten hat oder ob der Einkauf unter Zeitdruck daran vorbei entschieden hat. Es wählt eine Nummer von der Notfallkontaktliste. Stichproben dieser Art sagen mehr über ein ISMS als vierzig geprüfte Dokumentenstände.
Dazu gehört, mit Leuten zu reden, die nicht in der IT arbeiten. Ein Audit, das nur in der IT stattfindet, prüft die IT. Die Regeln gelten aber in der Produktion und in der Buchhaltung. Dort erfährst du in zehn Minuten Gespräch mehr über die Wirksamkeit einer Richtlinie als in einem halben Tag Dokumentenprüfung. Genau dieser Teil fehlt in den meisten internen Audits, die wir übernehmen.
Wer darf im KMU intern auditieren?
Jemand, der das Geprüfte nicht selbst gebaut und nicht selbst betrieben hat. Unabhängigkeit ist eine Rollenfrage, keine Zertifikatsfrage. Eine Auditorenschulung hilft bei der Methodik, löst aber das Grundproblem nicht: sein eigenes Werk prüft kaum jemand streng.
Im KMU funktionieren drei Konstellationen:
- Die Qualitätsverantwortliche übernimmt den Prozessteil. Wer ISO 9001 oder einen Branchenstandard ohnehin auditiert, kann Auditmethodik, kennt den Betrieb und hat kein Interesse daran, die IT gut aussehen zu lassen. In unserer Erfahrung ist das die am häufigsten ungenutzte Ressource im KMU.
- Kreuzprüfung zwischen den Bereichen. Die IT auditiert Fachprozesse, der Fachbereich auditiert IT-Prozesse. Beide finden mehr als erwartet, weil beide naive Fragen stellen dürfen.
- Extern für den Rest. Also für die Themen, die der ISMS-Verantwortliche selbst aufgebaut hat und deshalb nicht neutral beurteilen kann.
In einem Unternehmen mit hundert Leuten ist vollständige Unabhängigkeit eine Fiktion. Dann schreibst du sie hin, statt sie zu behaupten: wer was geprüft hat und wo die Nähe zum Gegenstand liegt. Der Zertifizierungsauditor fragt genau das, und eine ehrliche Antwort ist an dieser Stelle billiger als eine gebaute.
Die häufigste Feststellung in unseren internen Audits ist keine Lücke, sondern ein Überschuss. Eine Richtlinie, die niemand mehr braucht. Ein Tool, das bezahlt wird und dessen Alarme niemand liest. Ein Bericht, der monatlich erzeugt und nie geöffnet wird. Diese Feststellungen sind die billigsten, weil ihre Umsetzung Geld freisetzt statt Geld zu kosten. Mehr Schutz. Weniger Tools. Weniger Kosten.
Wie viel Aufwand ein internes Audit realistisch braucht
Für ein KMU mit normalem ISMS-Scope sind es in unserer Erfahrung drei bis fünf Arbeitstage pro Jahr auf der Auditseite: ein halber Tag Planung und Stichprobenauswahl, zwei bis drei Tage Gespräche und Nachschauen, ein halber Tag Bericht, eine Stunde Nachbesprechung mit der Geschäftsleitung. Das ist der kleinere Teil der Rechnung.
Der grössere Teil liegt danach bei den Verantwortlichen der Feststellungen, und der wird in Jahresplanungen regelmässig vergessen. Ein Audit, das vierzehn Punkte findet, erzeugt vierzehn Aufträge in Teams, die schon ausgelastet sind. Wer das nicht einplant, bekommt im Folgejahr dieselbe Liste, nur länger.
Besser als ein Block im November sind zwei Themen pro Quartal. Rollierend über den Zertifizierungszyklus kommt jedes Thema dran, und die Feststellungen treffen den Betrieb in verdaulichen Mengen. Das funktioniert allerdings nur, wenn jemand den Plan besitzt. Ohne Besitzer rutscht auch der rollierende Plan in den November zurück.
Wie das in einem Lebensmittelbetrieb mit 260 Mitarbeitenden aussieht
Ein Schweizer Lebensmittelverarbeiter mit zwei Produktionsstandorten, ISO 27001 seit zwei Jahren, Lebensmittelstandards seit vielen Jahren. Audits sind diesem Haus also nicht fremd. Das ISMS hatte der IT-Leiter mit externer Unterstützung aufgebaut, und er auditierte es seither selbst. Die Feststellungen waren jedes Jahr technisch, umsetzbar und folgenlos.
Im dritten Jahr tauschten sie die Rollen. Die Qualitätsverantwortliche, die die Produktionsstandards ohnehin auditiert, übernahm den Prozessteil des ISMS-Audits. Der IT-Leiter auditierte dafür die Themen, die er nicht selbst betreibt. Niemand wurde geschult, niemand kaufte etwas ein, der Aufwand blieb bei vier Tagen.
Die Feststellungen wurden danach weniger technisch und deutlich unangenehmer. Eine Lieferantenfreigabe war am vereinbarten Weg vorbei erteilt worden, weil eine Abfüllanlage stillstand und der Ersatzteillieferant sofort Zugriff auf Maschinendaten brauchte. Auf der Notfallkontaktliste stand eine Person, die seit acht Monaten nicht mehr im Unternehmen war. Und der monatliche Bericht einer Sicherheitslösung ging an ein Sammelpostfach, das niemand besass.
Zwei der Feststellungen senkten am Ende Kosten: ein Modul, das für ein Projekt freigeschaltet und nie gekündigt wurde, und eine zweite Lösung, die dieselbe Funktion abdeckte wie eine bereits bezahlte. Die Geschäftsleitung bekam eine Seite mit sieben Punkten, je mit Namen, Datum und Entscheidungsart. Im nächsten Aufrechterhaltungsaudit verbrachte der Zertifizierungsauditor mehr Zeit mit dem internen Auditbericht als mit den Richtlinien. Das ist ein gutes Zeichen, auch wenn es sich im Moment nicht so anfühlt.
Was mit den Feststellungen passieren muss
Jede Feststellung braucht drei Angaben: einen Namen, ein Datum und eine Entscheidungsart. Beheben, akzeptieren oder abschaffen. Mehr Kategorien braucht es nicht, und "zur Kenntnis genommen" ist keine davon.
Die Entscheidungsart ist der Teil, der im KMU meistens fehlt. Nicht jede Feststellung muss behoben werden. Manche Risiken trägt ein Unternehmen bewusst, weil die Massnahme teurer ist als der mögliche Schaden. Nur ist das ein Entscheid der Geschäftsleitung und nicht der IT, und er gehört mit Unterschrift ins Register. Wer ein Risiko überhaupt akzeptieren darf, haben wir im Beitrag zum IT-Risikomanagement im KMU auseinandergenommen.
Vier Entscheide stehen dabei an, und alle vier gehören der Geschäftsleitung: Welche Feststellungen bekommen Budget. Welche Risiken trägt das Unternehmen bewusst und wer unterschreibt. Was fliegt raus. Welche Regel ändert sich, weil sich das Geschäft geändert hat und nicht die Sicherheitslage. Vorbereitet sind das dreissig Minuten.
Was der Zertifizierungsauditor mit dem internen Audit macht
Er liest es früh, oft vor den Richtlinien, weil nichts schneller zeigt, wie ehrlich eine Organisation mit sich selbst umgeht. Ein internes Audit ohne Feststellungen ist für ihn kein Beweis für Reife, sondern ein Hinweis darauf, dass niemand richtig hingeschaut hat. Harte eigene Feststellungen mit sichtbarer Nachverfolgung sind der bessere Ausgangspunkt für ein Zertifizierungsgespräch als eine lückenlose grüne Liste.
Dazu kommt die Mechanik des Zyklus. Nach Angaben der Zertifizierungsstelle SQS ist das Zertifikat drei Jahre gültig, in den beiden Folgejahren findet je ein Aufrechterhaltungsaudit statt, danach die Rezertifizierung. Zwischen diesen Terminen hält nichts das ISMS wach ausser dem eigenen Audit. Das ist der Grund, warum zertifizierte Unternehmen trotzdem ein Papier-ISMS betreiben können: Der Zyklus verlangt Nachweise, nicht Wirksamkeit. Wirksamkeit prüft nur, wer es selbst tut.
Lohnt sich ein internes Audit ohne Zertifizierung?
Ja, und zwar aus demselben Grund. Der Nutzen hängt nicht am Zertifikat, sondern an der Stichprobe. Wer nicht zertifiziert ist, braucht nur eine Struktur, an der er sich entlang prüft. Das BACS stellt mit dem IKT-Minimalstandard ein Assessment-Tool als Excel-Datei kostenlos bereit, inklusive branchenspezifischer Varianten. Für eine erste ehrliche Selbstbeurteilung reicht das.
Für Organisationen, die dem Informationssicherheitsgesetz unterstehen, kommt dazu, dass bis Ende 2026 ein funktionierendes ISMS verlangt wird. Funktionierend heisst überprüft. Ein ISMS, das niemand prüft, weiss selbst nicht, ob es funktioniert.
Wenn bei euch niemand da ist, der das Audit mit genug Distanz zum Gegenstand führen kann, ist das keine Frage von Schulung, sondern von Rolle. Wie wir das in einem Mandat übernehmen und was in den ersten Wochen passiert, steht im Ablauf eines Mandats.
Häufige Fragen
Reicht ein internes Audit pro Jahr?
Für die Norm reicht es, wenn der Auditplan über den Zyklus alle relevanten Themen abdeckt. Für die Steuerung ist zweimal besser, weil eine Feststellung im Februar noch im laufenden Budgetjahr behoben werden kann und eine im November nicht. Wichtiger als die Frequenz ist, dass ein Thema wiederkommt, bei dem im Vorjahr etwas offen geblieben ist.
Können wir das interne Audit extern einkaufen?
Ja, und für die Themen, die intern niemand mit Distanz prüfen kann, ist das der sauberste Weg. Zwei Einschränkungen: Die Firma, die euer ISMS aufgebaut hat, prüft ihr eigenes Werk, und die Stelle, die euer Zertifikat ausstellt, darf das interne Audit nicht übernehmen, weil sie damit ihre eigene Prüfung vorbereiten würde. Den Prozessteil behältst du besser im Haus, weil dort das Wissen über den Betrieb liegt.
Was, wenn das Audit mehr findet, als wir umsetzen können?
Das ist der Normalfall und kein Grund, weniger zu finden. Was bewegt, ist eine Reihenfolge nach Geschäftsfolgen statt nach Aufwand und ein befristeter, dokumentierter Entscheid für den Rest. Eine lange Liste ohne Priorisierung ist ein Audit, das seine Arbeit nicht fertig gemacht hat. Eine kurze Liste mit Besitzern bewegt mehr.