Ein Audit scheitert selten daran, dass eine Organisation gar keine Sicherheitsmaßnahmen hat. Kritisch wird es, wenn deren Umsetzung nur in Köpfen, verstreuten Excel-Dateien oder alten E-Mail-Verläufen existiert. Sechs Nachweise für ISO-Audits helfen dabei, aus gelebter Informationssicherheit eine prüfbare, revisionssichere Dokumentation zu machen.

Für ISO 27001 gibt es dabei keine starre Vorgabe, dass genau diese sechs Dokumente immer vorzulegen sind. Der konkrete Nachweisbedarf hängt vom Geltungsbereich des ISMS, den Risiken, den gewählten Kontrollen und dem Auditprogramm ab. In der Praxis bilden die folgenden sechs Nachweisarten jedoch das Fundament, auf dem Auditoren die Wirksamkeit eines Informationssicherheitsmanagementsystems beurteilen.

Was einen belastbaren Auditanachweis ausmacht

Ein Dokument allein ist noch kein Nachweis. Eine Richtlinie kann sauber formuliert sein und trotzdem wirkungslos bleiben, wenn sie nicht freigegeben, kommuniziert oder im Alltag angewendet wird. Auditoren unterscheiden deshalb zwischen Vorgaben und Aufzeichnungen: Die Vorgabe beschreibt, was gelten soll. Die Aufzeichnung zeigt, dass es tatsächlich geschieht.

Belastbar sind Nachweise, wenn sie einem Verantwortlichen zugeordnet, datiert, versioniert und nachvollziehbar mit einer Anforderung, einem Risiko oder einer Maßnahme verknüpft sind. Ebenso wichtig ist die Aktualität. Ein dreijähriger Bericht beweist nicht automatisch, dass eine Kontrolle heute noch funktioniert.

Sechs Nachweise für ISO-Audits in der Praxis

1. Geltungsbereich, Leitlinie und Rollen

Zu Beginn will ein Auditor verstehen, was das ISMS umfasst und wer welche Verantwortung trägt. Der definierte Geltungsbereich sollte Organisationseinheiten, Standorte, Prozesse, Systeme und Schnittstellen nachvollziehbar abgrenzen. Gerade bei Schweizer KMU ist es sinnvoll, externe IT-Provider, Cloud-Dienste und kritische Geschäftsprozesse ausdrücklich zu berücksichtigen.

Ergänzt wird dieser Nachweis durch eine freigegebene Informationssicherheitsleitlinie sowie klar zugewiesene Rollen. Wer verantwortet das ISMS? Wer bewertet Risiken? Wer entscheidet über die Behandlung von Restrisiken? Wer setzt Maßnahmen um? Ein Organigramm, Rollenbeschreibungen, Freigaben der Geschäftsleitung und Sitzungsprotokolle können diese Verantwortlichkeiten belegen.

Entscheidend ist nicht die Menge an Papier. Eine kurze, aktuelle Leitlinie mit nachvollziehbarer Genehmigung ist wertvoller als ein umfangreiches Handbuch, das niemand kennt. Für das Management muss zudem sichtbar sein, dass Informationssicherheit nicht allein bei der IT liegt, sondern geführt und überwacht wird.

2. Risikobewertung und Risikoregister

Das Risikoregister ist einer der zentralen Nachweise in ISO-Audits. Es zeigt, dass die Organisation Gefährdungen nicht nur allgemein kennt, sondern strukturiert bewertet und behandelt. Ein brauchbarer Eintrag beschreibt mindestens das betroffene Schutzobjekt, das Szenario, die Eintrittswahrscheinlichkeit, die Auswirkung, den Risikoeigentümer und den geplanten Umgang mit dem Risiko.

Ein Beispiel: Der Ausfall eines zentralen Cloud-Dienstes ist kein vollständig beschriebener Risikoeintrag. Erst mit den Auswirkungen auf Geschäftsprozesse, vorhandenen Schutzmaßnahmen, Wiederanlaufoptionen und einer verantwortlichen Person wird daraus eine steuerbare Grundlage.

Auditoren achten besonders auf die Verbindung zwischen Risiko und Maßnahme. Wird ein hohes Risiko akzeptiert, braucht es eine nachvollziehbare Entscheidung der zuständigen Stelle. Wird es reduziert, sollten konkrete Kontrollen, Termine und Verantwortlichkeiten hinterlegt sein. Diese Verbindung verhindert, dass Risikobewertungen als isolierte Pflichtübung enden.

3. Anwendbarkeitserklärung und Kontrollnachweise

Die Anwendbarkeitserklärung, häufig als Statement of Applicability bezeichnet, dokumentiert, welche Kontrollen der ISO 27001 für die Organisation relevant sind, wie sie umgesetzt werden und warum einzelne Kontrollen nicht anwendbar sind. Sie schafft die Brücke zwischen Risikobeurteilung, Sicherheitsanforderungen und dem tatsächlichen Kontrollumfeld.

Der Auditor wird sich nicht mit dem Satz „Kontrolle umgesetzt“ zufriedengeben. Zu ausgewählten Kontrollen sind operative Belege erforderlich. Bei der Zugriffskontrolle können das beispielsweise Berechtigungsprozesse, Freigaben, Rezertifizierungen und Auszüge aus der Benutzerverwaltung sein. Bei Backups sind es Sicherungskonzepte, Protokolle erfolgreicher Sicherungen und dokumentierte Wiederherstellungstests.

Nicht jede Kontrolle benötigt den gleichen Umfang an Nachweisen. Ein kleines Unternehmen mit wenigen Anwendungen wird anders dokumentieren als eine öffentliche Organisation mit komplexer Systemlandschaft. Massgebend ist, ob die Belege zur Kontrollwirkung, zum Risiko und zur tatsächlichen Betriebsweise passen.

4. Maßnahmenplan mit Umsetzungsstatus

Eine Gap-Analyse ist erst der Anfang. Für das Audit zählt, was aus erkannten Lücken folgt. Ein Maßnahmenplan sollte deshalb jede Aufgabe eindeutig beschreiben und mit Priorität, Verantwortlichkeit, Fälligkeit, Status und erwarteter Wirkung versehen. Wenn eine Maßnahme abgeschlossen ist, sollte ein Ergebnisnachweis hinterlegt werden - etwa eine neue Konfiguration, ein Testprotokoll, eine Schulungsbestätigung oder eine genehmigte Prozessänderung.

Besonders wertvoll ist eine transparente Darstellung überfälliger und blockierter Maßnahmen. Sie zeigt nicht Schwäche, sondern Steuerungsfähigkeit, sofern Ursachen, Entscheide und nächste Schritte klar dokumentiert sind. Risiken lassen sich nicht immer sofort vollständig reduzieren. Eine Organisation muss aber belegen können, dass sie Prioritäten setzt und Fortschritt verfolgt.

Ein digitales Assessment- und Maßnahmenmanagement reduziert dabei Medienbrüche erheblich. Werden Befunde direkt einer Maßnahme und einem Risikoeintrag zugeordnet, bleibt der Entscheidungsweg auch Monate später nachvollziehbar. SCMC unterstützt diesen Prozess, indem Assessments, Auswertungen, Maßnahmen und Risiken in einer zentralen, revisionssicheren Arbeitsumgebung zusammengeführt werden.

5. Kompetenz, Schulung und Sicherheitsbewusstsein

Informationssicherheit funktioniert nicht nur durch Technik. Mitarbeitende müssen ihre Aufgaben kennen und für relevante Bedrohungen sensibilisiert sein. Der Nachweis beginnt bei den benötigten Kompetenzen für sicherheitsrelevante Rollen. Für Administratoren, Datenschutzverantwortliche, Mitarbeitende im Support oder Personen mit Zugang zu vertraulichen Informationen gelten unterschiedliche Anforderungen.

Geeignete Belege sind Schulungspläne, Teilnahmebestätigungen, Inhalte von Awareness-Maßnahmen und dokumentierte Onboarding-Schritte. Phishing-Simulationen oder Wissenstests können zusätzlich zeigen, ob Schulungen Wirkung entfalten. Sie sind jedoch kein Selbstzweck: Schlechte Ergebnisse sollten zu gezielten Verbesserungen führen, nicht lediglich zu einer Statistik im Jahresbericht.

Auch hier zählt Aktualität. Eine einmalige Einführung bei Stellenantritt genügt selten, wenn sich Bedrohungslage, Systeme oder Verantwortlichkeiten verändern. Ein regelmäßiger, risikobasierter Rhythmus ist meist überzeugender als eine große Schulung ohne Wiederholung.

6. Interne Audits, Managementbewertung und Verbesserungen

Die ISO 27001 erwartet, dass Organisationen ihr ISMS selbst überprüfen und durch die Leitung bewerten lassen. Interne Audits belegen, ob Anforderungen und eigene Vorgaben eingehalten werden. Die Managementbewertung zeigt, dass Erkenntnisse auf Führungsebene ankommen und Entscheidungen auslösen.

Für interne Audits reichen nicht nur ein Jahresplan und eine Checkliste. Benötigt werden Auditberichte, Feststellungen, Verantwortlichkeiten und der Nachweis, dass Abweichungen nachverfolgt wurden. Bei der Managementbewertung interessieren unter anderem Veränderungen im Risikoumfeld, Ergebnisse aus Audits, Status von Maßnahmen, Sicherheitskennzahlen und Entscheidungen zu Ressourcen oder Verbesserungen.

Ein häufiger Schwachpunkt sind offene Feststellungen ohne erkennbare Weiterverfolgung. Deshalb sollte jede Abweichung einen eindeutigen Status haben: offen, in Bearbeitung, umgesetzt oder wirksamkeitsgeprüft. Erst die Wirksamkeitsprüfung beantwortet die entscheidende Frage: Hat die Korrektur das Problem tatsächlich gelöst?

Nachweise nicht für den Audittag sammeln

Wer Belege erst kurz vor dem Audit zusammensucht, investiert unnötig Zeit und übersieht leicht Lücken. Sinnvoller ist ein kontinuierlicher Arbeitsrhythmus: Bewertungen aktualisieren, Maßnahmen nachführen, Risiken prüfen und Entscheidungen dort dokumentieren, wo sie entstehen. Damit bleiben Informationen immer aktuell, anstatt kurz vor dem Audit aufwendig rekonstruiert zu werden.

Für die Vorbereitung lohnt sich außerdem eine einfache Prüffrage zu jedem Nachweis: Kann eine außenstehende Person erkennen, welche Anforderung erfüllt wird, wer gehandelt hat, wann dies geschah und wie die Wirksamkeit beurteilt wurde? Wenn diese Frage klar beantwortet ist, entsteht nicht nur ein besserer Auditnachweis. Die Organisation gewinnt auch volle Kontrolle über ihren tatsächlichen Sicherheitsstatus.

Der nächste sinnvolle Schritt ist daher nicht, einen Dokumentenordner zu vergrößern. Beginnen Sie mit den Risiken und den offenen Maßnahmen, ordnen Sie vorhandene Belege zu und schließen Sie die Lücken dort, wo sie für Geschäftsprozesse und Informationssicherheit wirklich relevant sind.