Checkliste für das interne Audit nach ISO 27001: Aufbau, Bewertung, Vorlage
Das interne Audit ist in ISO/IEC 27001:2022 Pflicht (Abschnitt 9.2): Die Organisation auditiert ihr ISMS in geplanten Abständen nach einem festgelegten Auditprogramm, mit definierten Kriterien und Umfang, mit objektiven und unparteiischen Auditoren, berichtet die Ergebnisse an die zuständige Leitung und bewahrt Nachweise auf. Eine Checkliste ordnet diese Arbeit: eine Zeile je Anforderung der Abschnitte 4 bis 10 und je anwendbarer Maßnahme aus Anhang A, mit dem, was zu prüfen ist, dem geprüften Nachweis, dem Ergebnis (Konform, Haupt- oder Nebenabweichung, Beobachtung, Verbesserungspotenzial) und der Feststellung. Die Audit-Checkliste ISMS-AUD-03 im deutschen NexoDocs-Kit enthält 29 Prüfzeilen für die Abschnitte und alle 93 Maßnahmen.
Was die Norm für das interne Audit verlangt
Abschnitt 9.2 hat zwei Teile. 9.2.1 verlangt Audits, die zeigen, ob das ISMS die eigenen Anforderungen der Organisation und die der Norm erfüllt und ob es wirksam umgesetzt und aufrechterhalten wird. 9.2.2 verlangt ein Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten, Planung und Berichterstattung, das die Bedeutung der Prozesse und die Ergebnisse früherer Audits berücksichtigt.
- Kriterien und Umfang jedes Audits festlegen.
- Auditoren so auswählen, dass Objektivität und Unparteilichkeit gewahrt sind: Niemand auditiert die eigene Arbeit.
- Die Ergebnisse an die zuständige Leitung berichten.
- Dokumentierte Information als Nachweis für Programm und Ergebnisse aufbewahren.
ISO 19011 gibt allgemeine Hinweise zum Auditieren von Managementsystemen (Stichproben, Interviews, Formulierung von Feststellungen) und ist eine gute Methodenreferenz.
Auditprogramm, Auditplan, Checkliste und Bericht: wofür was
| Dokument im Kit | Wofür es dient | Wann es gebraucht wird |
|---|---|---|
| ISMS-AUD-01 Verfahren für interne Audits | Regeln: wer auditiert, wie Unabhängigkeit gesichert wird, wie Feststellungen bewertet und nachverfolgt werden | Einmal festlegen, jährlich überprüfen |
| ISMS-AUD-02 Auditprogramm | Jahresplanung: welche Prozesse wann und mit welcher Priorität auditiert werden (mit ausgefülltem Beispiel der Musterfirma NubeSur) | Zu Beginn des Zyklus |
| ISMS-AUD-05 Auditplan | Ein einzelnes Audit: Umfang, Kriterien, Ablauf, Auditoren und Gesprächspartner | Vor jedem Audit |
| ISMS-AUD-03 Audit-Checkliste | Arbeitsgrundlage des Auditors: Anforderung für Anforderung, was geprüft und was festgestellt wurde | Während des Audits |
| ISMS-AUD-04 Bericht über das interne Audit | Formales Ergebnis: Feststellungen, Schlussfolgerungen und zu behandelnde Abweichungen | Zum Abschluss des Audits |
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)Welche Spalten die Checkliste braucht
| Spalte in ISMS-AUD-03 | Inhalt | Beispiel |
|---|---|---|
| ID | Abschnitt oder Maßnahme | 6.1.3 |
| Zu prüfende Anforderung | Die Frage, die beantwortet wird | Begründet die Erklärung zur Anwendbarkeit Einschlüsse und Ausschlüsse? |
| Was prüfen | Vorschlag für die Stichprobe | Aktuelle Erklärung zur Anwendbarkeit und 3 ausgeschlossene Maßnahmen ansehen |
| Geprüfter Nachweis | Dokumente, Aufzeichnungen, Interviews oder Stichproben mit Kennung | Erklärung zur Anwendbarkeit v2.1, freigegeben am 12.03.; Interview mit dem ISMS-Manager |
| Ergebnis | Auswahl aus fester Liste | Konform, Hauptabweichung, Nebenabweichung, Beobachtung, Verbesserungspotenzial |
| Feststellung (Anforderung · Nachweis · Aussage) | Die Feststellung in drei Teilen | Ausschluss von 8.28 nicht begründet (Erklärung zur Anwendbarkeit v2.1) |
| Auditierte Stelle | Bereich oder Person, die befragt wurde | IT-Betrieb |
Weil das Ergebnis aus einer festen Liste kommt, zählt das Blatt „Übersicht“ jede Art von Feststellung automatisch, getrennt nach Abschnitten und Anhang A, und zeigt auch, wie viele Zeilen noch „Nicht ausgefüllt“ sind. Genau diese Zahlen will die Leitung in der Managementbewertung sehen.
Feststellungen richtig bewerten
- Hauptabweichung: Eine Anforderung fehlt ganz oder ein Mangel stellt die Wirksamkeit des ISMS in Frage (zum Beispiel wurde nie eine Risikobeurteilung durchgeführt).
- Nebenabweichung: ein einzelner Fehler, der das System nicht gefährdet (zum Beispiel ein nicht unterschriebener Schulungsnachweis).
- Beobachtung: noch konform, kann aber ohne Gegenmaßnahme zur Abweichung werden.
- Verbesserungspotenzial: ein Vorschlag, es besser zu machen, ohne Abweichung.
- Nicht auditiert: nur für Maßnahmen aus Anhang A, die in diesem Audit nicht im Umfang sind. Bei den Abschnitten 4 bis 10 gibt es diese Option bewusst nicht.
Jede Abweichung gehört mit Ursache, Maßnahme, Verantwortlichem und Termin in das Register für Nichtkonformitäten und Korrekturmaßnahmen (Abschnitt 10.2).
Internes Audit in Deutschland: worauf Zertifizierer und Behörden achten
Eine von der DAkkS akkreditierte Zertifizierungsstelle prüft im Audit Stufe 1 und 2, ob mindestens ein vollständiges internes Audit mit Bericht und eine Managementbewertung vorliegen; Feststellungen ohne dokumentierten Nachweis helfen ihr nicht. Wer nach „ISO 27001 auf der Basis von IT-Grundschutz“ arbeitet, prüft zusätzlich die modellierten Bausteine nach den Vorgaben des BSI. Fällt Ihr Unternehmen unter die NIS2-Umsetzung im BSIG, können interne Audits helfen, die Risikomanagementmaßnahmen nach § 30 BSIG zu belegen; sie ersetzen aber keine gesetzlich vorgeschriebenen Nachweise oder Meldungen.
Häufige Fehler beim internen Audit
- Mit einer allgemeinen Checkliste auditieren, ohne die Risiken und Änderungen des Jahres anzusehen.
- „Konform“ eintragen, ohne den geprüften Nachweis zu notieren: Der Zertifizierungsauditor kann sich dann nicht auf das Audit stützen.
- Den ISMS-Manager seine eigenen Dokumente auditieren lassen.
- Nur Dokumente prüfen statt echter Stichproben (Zugriffsprotokolle, Änderungen, Vorfälle).
- Die Ergebnisse nicht in die Managementbewertung (Abschnitt 9.3) einbringen.
- Die neue Frage zum Klimawandel aus der Änderung von 2024 (Abschnitt 4.1) vergessen.
Vorlage: die Audit-Checkliste im ISO-27001-Kit
Das deutsche ISO-27001-Kit von NexoDocs enthält die Audit-Checkliste ISMS-AUD-03 als Excel-Datei ohne Makros mit den Blättern „Abschnitte“ (29 Prüfzeilen für 4.1 bis 10.2, einschließlich der Frage zum Klimawandel aus der Änderung 1:2024), „Anhang A“ (alle 93 Maßnahmen mit Prüfvorschlag) und „Übersicht“ (automatische Zählung je Ergebnis). Dazu kommen das Verfahren ISMS-AUD-01, das Auditprogramm ISMS-AUD-02 mit ausgefülltem Beispiel, der Auditplan ISMS-AUD-05 und der Auditbericht ISMS-AUD-04, alle mit denselben Organisationsdaten aus dem Blatt „KONFIGURATION“.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Wie oft muss ein internes Audit nach ISO 27001 stattfinden?
Die Norm verlangt geplante Abstände, ohne einen Zeitraum festzulegen. In der Praxis auditieren die meisten Organisationen das gesamte ISMS mindestens einmal im Jahr, vor der Managementbewertung und vor dem Zertifizierungs- oder Überwachungsaudit.
Darf jemand aus dem eigenen Unternehmen auditieren?
Ja, wenn die Person objektiv und unparteiisch ist und nicht die eigene Arbeit auditiert. Kleine Organisationen tauschen oft Abteilungen oder beauftragen nur für diese Aufgabe einen externen Auditor.
Müssen alle 93 Maßnahmen aus Anhang A in jedem Audit geprüft werden?
Über das Auditprogramm müssen die Maßnahmen abgedeckt werden, die Ihre Erklärung zur Anwendbarkeit als anwendbar ausweist. Sie lassen sich risikobasiert auf mehrere Audits im Zyklus verteilen; nicht geprüfte Zeilen markieren Sie als „Nicht auditiert“.
Was ist der Unterschied zwischen Haupt- und Nebenabweichung?
Eine Hauptabweichung betrifft eine fehlende Anforderung oder einen Mangel, der die Wirksamkeit des ISMS in Frage stellt; eine Nebenabweichung ist ein einzelner Fehler ohne Auswirkung auf das System als Ganzes.
Reicht die Checkliste für das Zertifizierungsaudit?
Nein. Die Checkliste ist das Arbeitsmittel; der Zertifizierer will zusätzlich Auditprogramm, Auditbericht, behandelte Abweichungen und die Managementbewertung sehen.
Verwandte Leitfäden
ISO 27001 Pflichtdokumente: Liste nach Kapiteln
Welche dokumentierten Informationen ISO/IEC 27001:2022 Kapitel für Kapitel verlangt (Leitlinie, Risiken, SoA, Ziele, Audit) und was für Anhang A üblich ist.
Leitfaden lesen →Wie lange dauert ISO 27001? Projektplan in 8 Phasen für KMU
Wie lange Einführung und Zertifizierung nach ISO/IEC 27001:2022 in einem KMU dauern: 8 Phasen Woche für Woche, was verlängert und was sicher verkürzt.
Leitfaden lesen →Erklärung zur Anwendbarkeit (SoA) nach ISO 27001: was sie ist und wie man sie erstellt
SoA nach ISO/IEC 27001:2022: was die Erklärung zur Anwendbarkeit für die 93 Maßnahmen enthalten muss, Ausschlüsse begründen, häufige Fehler. Mit Excel-Vorlage.
Leitfaden lesen →Aktualisiert: 2026-10-29