Vorbereitung auf ein externes Audit: eine Schritt-für-Schritt-Checkliste

Das Wichtigste in Kürze

• Die Vorbereitung auf ein externes Audit läuft in vier Phasen: Planung 8 bis 12 Wochen vorher, Nachweiserfassung 4 bis 8 Wochen vorher, Bereitschaft und Durchführung in den letzten 1 bis 4 Wochen, Behebung der Feststellungen danach.
• Ein ISO-27001-Zertifizierungsaudit besteht aus zwei Stufen. Stufe 1 prüft Dokumentation und Auditreife, Stufe 2 prüft die Wirksamkeit der Kontrollen im Betrieb. Zwischen beiden liegen in der Praxis 4 bis 8 Wochen.
• Das ISO-27001-Zertifikat gilt drei Jahre. In Jahr eins und zwei folgt jeweils ein Überwachungsaudit, in Jahr drei das Rezertifizierungsaudit. Auditvorbereitung ist damit kein Projekt, sondern ein Dauerzustand.
• Durchfallen im Sinne einer Schulprüfung gibt es nicht. Der Auditor stellt Abweichungen fest: geringfügige werden über einen Korrekturmaßnahmenplan geschlossen, schwerwiegende müssen behoben sein, bevor die Zertifizierungsstelle das Zertifikat ausstellt.
• Die häufigste Ursache für Feststellungen ist nicht die fehlende Kontrolle, sondern der fehlende Nachweis. Anhang A der ISO 27001:2022 enthält 93 Controls, von denen die meisten Unternehmen 60 bis 80 als anwendbar erklären.

‍

Die Vorbereitung auf ein externes Audit entscheidet darüber, ob die Zertifizierung ruhig und planbar verläuft oder zur Feuerwehrübung wird. Ob es um ISO 27001, einen SOC-2-Bericht oder ein anderes Rahmenwerk geht: Das Ergebnis steht weitgehend fest, bevor der Auditor eintrifft, und zwar durch die Sorgfalt, mit der Sie geplant, Nachweise gesammelt und geprobt haben. Diese Checkliste beschreibt ein phasenweises Vorgehen, damit der Betrieb weiterläuft, während das Audit läuft.

Eine Sache vorab: Die beste Vorbereitung auf ein externes Audit ist ein sauberes internes Audit. Falls Sie noch keines durchgeführt haben, beginnen Sie mit unserem Leitfaden zum internen Audit nach ISO 27001 und kommen dann für die Zertifizierungsphase zu dieser Checkliste zurück.

Wissen, für welches externe Audit Sie sich vorbereiten

Die Vorbereitung unterscheidet sich je nach Audit-Typ, benennen Sie Ihren also zuerst. Ein Zertifizierungsaudit endet mit einem Zertifikat einer akkreditierten Stelle, ein SOC-2-Engagement mit einem Bericht, ein C5-Verfahren mit einem Testat und TISAX mit einem Label. Diese Wörter sind keine Geschmacksfrage: Wer im Kundengespräch von einer "SOC-2-Zertifizierung" spricht, verliert Glaubwürdigkeit, weil es sie nicht gibt.

Die vier Phasen unten gelten für alle Zeilen dieser Tabelle. Was sich ändert, sind die Nachweise, die Sie vorlegen, und die Stelle, die sie prüft. Warum ein SOC-2-Bericht in der Praxis anders wirkt als ein Zertifikat, behandeln wir gesondert in unserem Beitrag zu den Vorteilen des SOC-2-Berichts.

Stufe 1 und Stufe 2: so läuft ein ISO-27001-Zertifizierungsaudit ab

Ein ISO-27001-Zertifizierungsaudit ist kein einzelner Termin, sondern ein zweistufiges Verfahren. In Stufe 1 prüft die Zertifizierungsstelle, ob Ihr ISMS auf dem Papier existiert und auditreif ist: Anwendungsbereich, Informationssicherheitspolitik, Risikobehandlungsplan, Statement of Applicability, die Ergebnisse Ihres internen Audits nach Klausel 9.2 und die Managementbewertung nach Klausel 9.3. In Stufe 2 prüft der Auditor, ob das Ganze tatsächlich gelebt wird, über Interviews, Stichproben und Nachweise aus dem laufenden Betrieb. Zwischen beiden Stufen liegen in der Praxis 4 bis 8 Wochen, was genau das Fenster ist, in dem Sie die Erkenntnisse aus Stufe 1 abarbeiten.

Ein verbreiteter Irrtum: Stufe 1 sei eine Formalität. Das ist die teuerste Fehlannahme im ganzen Prozess. Stufe 1 ist der Punkt, an dem ein zu weit oder zu unscharf gefasster Anwendungsbereich auffällt, und eine Scope-Korrektur zwischen den Stufen kostet Wochen. Welche Controls Sie überhaupt für anwendbar erklären müssen, und wie das Statement of Applicability dazu aussieht, zeigt unsere Übersicht zu den 93 Controls aus Anhang A.

Im folgenden Video geht das Kertos-Team durch, was in Stufe 1 und Stufe 2 konkret passiert und woran die Zertifizierungsstelle in jeder Stufe festhält.

Phase 1: Planen (8 bis 12 Wochen vorher)

Gute Ergebnisse beginnen lange vor dem Audit. Starten Sie etwa 8 bis 12 Wochen vorher mit vier Schritten:

• Anwendungsbereich und Ziele festlegen. Bestimmen Sie, welche Standards gelten, welche Systeme, Prozesse und Standorte im Scope sind und wie ein erfolgreiches Ergebnis aussieht, und bestätigen Sie all das mit Ihrer Zertifizierungsstelle. Ein unklarer Anwendungsbereich ist die häufigste Ursache für überraschende Feststellungen.
• Team zusammenstellen. Benennen Sie eine Audit-Koordination, einen Executive Sponsor, Fachexperten, Verantwortliche für die Nachweiserfassung und Verantwortliche für die Behebung, damit sowohl das Fachwissen als auch die Befugnis zur Umsetzung im Raum sind.
• Eine Gap-Analyse vor dem Audit durchführen. Hier leistet Ihr internes Audit die Arbeit: frühere Feststellungen prüfen, Kontrollen testen, Aktualität der Dokumentation kontrollieren und die zu schließenden Lücken priorisieren.
• Zeitplan und Kommunikationsplan aufstellen. Setzen Sie Meilensteine und Fristen, klären Sie, wer wann welche Information braucht, und planen Sie regelmäßige Checkpoints.

Aufwand und Auditortage realistisch planen

Die Dauer des externen Audits legen Sie nicht selbst fest. Für ISMS-Audits richtet sich die Zahl der Auditortage nach dem verbindlichen IAF-Dokument MD 5, das die Prüfdauer aus der Zahl der wirksam Beschäftigten und der Komplexität des Anwendungsbereichs ableitet. Für ein Unternehmen mit rund 50 Personen liegt die Erstzertifizierung aus Stufe 1 und Stufe 2 zusammen typischerweise bei etwa 5 bis 6 Auditortagen. Der interne Aufwand ist der größere Posten, und den planen die meisten Teams zu knapp.

Zusammen sind das rund 38 bis 62 Personentage internen Aufwands für eine Erstzertifizierung. Wer bei kontinuierlicher Nachweiserfassung ansetzt, verschiebt den Großteil davon in den laufenden Betrieb, statt ihn in einem Quartal zu bündeln.

Phase 2: Nachweise sammeln (4 bis 8 Wochen vorher)

Die Nachweiserfassung ist der aufwendigste Teil der Vorbereitung. Behandeln Sie sie als strukturierten Prozess, nicht als Suche. Beginnen Sie etwa 4 bis 8 Wochen vorher:

• Nachweise inventarisieren. Ordnen Sie jeder Anforderung die nötigen Nachweise zu, legen Sie Qualitätskriterien fest und erstellen Sie eine Rückverfolgbarkeitsmatrix, die Nachweise mit Kontrollen verknüpft.
• Systematisch sammeln. Weisen Sie Verantwortliche und Fristen zu, standardisieren Sie Formate für häufige Nachweise und verfolgen Sie den Fortschritt, damit am Audittag nichts fehlt.
• Zentralisieren. Halten Sie alles in einem Repository mit sinnvollen Zugriffsrechten, einheitlicher Dateibenennung und Versionskontrolle, geordnet nach Kontrollbereich.
• Qualität und Vollständigkeit prüfen. Prüfen Sie die Nachweise mit derselben Strenge wie der Auditor und schließen Sie Lücken, bevor der Auditor sie sieht.

‍

Der Fehler, den die meisten Teams hier machen: Sie sammeln Nachweise für den Auditor statt für den Betrieb. Ein Screenshot, der am Tag vor dem Audit erzeugt wurde, belegt einen Zustand, keine Wirksamkeit über den Prüfzeitraum. Der Auditor fragt nach Stichproben aus zwölf Monaten, nicht aus zwölf Stunden, und genau daran scheitern gut geführte Programme mit ordentlichen Kontrollen.

Ein Beispiel aus der Praxis: Ein SaaS-Unternehmen mit 45 Mitarbeitenden geht in die ISO-27001-Erstzertifizierung, erklärt 71 der 93 Controls für anwendbar und benennt eine interne Verantwortliche mit 50 Prozent ihrer Kapazität. Von den rund 180 angeforderten Nachweisen liegen 120 automatisiert aus den angebundenen Systemen vor, die restlichen 60 werden manuell zusammengetragen. Die Nachweisphase dauert damit fünf Wochen statt der ursprünglich geplanten neun. Wie viel Zeit in dieser Phase real verbrannt wird, wenn nichts automatisiert ist, haben wir in unserem Beitrag zu den wahren Kosten der Audit-Müdigkeit aufgeschlüsselt.

Phase 3: Bereit werden und das Audit durchführen (1 bis 4 Wochen vorher)

Sind die Nachweise vorhanden, drehen sich die letzten Wochen um Menschen und Logistik:

• Menschen vorbereiten. Briefen Sie alle, die mit dem Auditor sprechen, zu Anwendungsbereich und Ablauf und proben Sie Antworten auf wahrscheinliche Fragen. Rechnen Sie mit 60 bis 90 Minuten pro Interviewpartner.
• Logistik regeln. Buchen Sie Räume, organisieren Sie Systemzugänge, erstellen Sie den Audit-Zeitplan und teilen Sie Kontakte. Logistisches Chaos wirkt wie Kontrollchaos, selbst wenn die Kontrollen solide sind.
• Eine abschließende Bereitschaftsprüfung durchführen. Bestätigen Sie, dass die Nachweise vollständig sind, Lücken geschlossen wurden und Demo-Umgebungen funktionieren.
• Das Audit aktiv steuern. Lassen Sie es von einer Koordination führen, verfolgen Sie Nachweisanfragen und halten Sie tägliche Debriefs ab, um Probleme sofort zu erkennen und zu beheben.

‍

Der Unterschied zwischen einem ruhigen und einem chaotischen Audit liegt fast nie in der Qualität der Kontrollen. Er liegt darin, ob eine Person im Raum sitzt, die auf jede Nachweisanfrage in Minuten statt in Tagen antworten kann. Wird diese Rolle nicht ausdrücklich benannt, verhandelt das Team drei Tage lang über Dateiablagen statt über Sicherheit.

Phase 4: Nach dem Audit die Abweichungen schließen

Die Arbeit endet nicht, wenn der Auditor geht. Am Ende des Audits stehen Feststellungen, und die Terminologie ist hier wichtig: Eine geringfügige Abweichung schließen Sie über einen Korrekturmaßnahmenplan, den die Zertifizierungsstelle prüft und akzeptiert. Eine schwerwiegende Abweichung muss nachweislich behoben sein, bevor das Zertifikat ausgestellt wird, in der Praxis meist innerhalb von 90 Tagen. Beheben Sie an der Ursache, nicht am Symptom, mit benannten Verantwortlichen, Fristen und aufbewahrten Nachweisen der Behebung.

Damit zur Frage, die Geschäftsführungen am häufigsten stellen: Ein ISO-27001-Audit kann man nicht "nicht bestehen" wie eine Prüfung. Es gibt keine Note. Es gibt Abweichungen, Fristen zu ihrer Behebung und, im schlechtesten Fall, eine Zertifizierungsstelle, die das Zertifikat zurückstellt, bis die schwerwiegenden Punkte geschlossen sind. Das Video unten erklärt, was tatsächlich passiert, wenn ein Audit schlecht läuft.

Und noch ein Punkt, den viele Teams zu spät einplanen: Nach der Erstzertifizierung ist nicht Ruhe. Das Zertifikat gilt drei Jahre, aber in Jahr eins und Jahr zwei folgt jeweils ein Überwachungsaudit, in Jahr drei das Rezertifizierungsaudit. Wer die Erstzertifizierung als Projekt mit Enddatum budgetiert, sitzt zwölf Monate später wieder in derselben Nachweisphase. Wie der Übergang von der Zertifizierung zum Dauerbetrieb aussieht, beschreiben wir im ISO-27001-Automatisierungs-Handbuch.

Führen Sie danach eine kurze Lessons-Learned-Runde durch und aktualisieren Sie Ihr Audit-Playbook. Jedes Audit als Input für das nächste zu behandeln, macht den Zyklus mit der Zeit leichter.

Vom Kraftakt zum Hintergrundprozess

Jeder Schritt oben lässt sich manuell umsetzen, aber die Teams, für die Audits schmerzlos sind, machen es nicht mehr von Hand. Die Kertos Plattform verbindet sich über Integrationen mit Ihren Quellsystemen, sammelt Nachweise das ganze Jahr über und überwacht die technischen und organisatorischen Maßnahmen laufend, statt zum Audittermin. Ein Kontroll-Set wird auf mehrere Rahmenwerke abgebildet, sodass eine Nachweisbasis ISO 27001, einen SOC-2-Bericht und die DSGVO-Anforderungen gleichzeitig bedient.

Dazu kommt der Teil, den Software allein nicht löst: Die zertifizierten Experten von Kertos begleiten die Gap-Analyse, das interne Audit und die Kommunikation mit der Zertifizierungsstelle. Genau diese Kombination bewerten Kunden auf G2 besonders häufig, vor allem, weil sie nicht nur bei der Erstzertifizierung trägt, sondern auch beim ersten Überwachungsaudit.

Das ist der Wechsel, auf den die ganze Checkliste zuläuft: weg vom Audit als periodischem Notfall, hin zum Audit als Routinebestätigung, dass das Programm bereits funktioniert. Wie das für Ihren Anwendungsbereich aussieht, zeigen wir am besten live: Demo buchen.

Häufig gestellte Fragen

Wie lange im Voraus sollte man sich auf ein externes Audit vorbereiten?

Beginnen Sie etwa 8 bis 12 Wochen vorher mit Planung und Gap-Analyse, 4 bis 8 Wochen vorher mit der Nachweiserfassung und nutzen Sie die letzten 1 bis 4 Wochen für Bereitschaft und Logistik. Für eine Erstzertifizierung mit rund 50 Personen sind das etwa 38 bis 62 Personentage internen Aufwands. Kontinuierliche Nachweiserfassung verkürzt vor allem die Nachweisphase.

Kann man ein ISO-27001-Audit nicht bestehen?

Nicht im Sinne einer Prüfung mit Note. Der Auditor stellt Abweichungen fest. Geringfügige Abweichungen schließen Sie über einen Korrekturmaßnahmenplan, schwerwiegende müssen nachweislich behoben sein, bevor das Zertifikat ausgestellt wird, in der Praxis meist innerhalb von 90 Tagen. Das Zertifikat wird dann verzögert, nicht verweigert.

Was ist der Unterschied zwischen Stufe 1 und Stufe 2 im ISO-27001-Audit?

Stufe 1 prüft die Dokumentation und die Auditreife des ISMS, also Anwendungsbereich, Statement of Applicability, internes Audit nach Klausel 9.2 und Managementbewertung nach Klausel 9.3. Stufe 2 prüft über Interviews und Stichproben, ob die Kontrollen im Betrieb wirksam sind. Zwischen beiden Stufen liegen typischerweise 4 bis 8 Wochen.

Brauche ich vor dem externen Audit ein internes Audit?

Für ISO 27001 ja: Klausel 9.2 verlangt es, und es ist Ihre beste Probe für Stufe 2. Wie Sie eines aufsetzen und auswerten, zeigt der Leitfaden zum internen Audit nach ISO 27001.

Was ist die häufigste Ursache für Audit-Feststellungen?

Ein unklarer Anwendungsbereich sowie fehlende oder schwer nachvollziehbare Nachweise, seltener fehlende Kontrollen. Viele Unternehmen haben die Kontrollen, können sie aber nicht über den gesamten Prüfzeitraum belegen. Eine Gap-Analyse vor dem Audit deckt genau diese Lücke auf.

‍