Wie Sie ein Audit zur Informationssicherheit vorbereiten

Interne Überprüfung, Kundenaudit und Zertifizierung verfolgen nicht automatisch dasselbe Ziel. Klären Sie deshalb, wer prüft und nach welchen Kriterien die Bewertung erfolgen soll. Welche organisatorischen Einheiten und Prozesse sind einbezogen? Welcher Zeitraum wird betrachtet? Welche Nachweise werden vorab benötigt? Diese Fragen bestimmen die Vorbereitung. Ohne einen geklärten Rahmen besteht das Risiko, viel Material zusammenzustellen, das die eigentlichen Prüfungsfragen nicht beantwortet.

Dokumentieren Sie außerdem, welche Rollen für die Vorbereitung zuständig sind. Eine koordinierende Person sammelt Termine und offene Fragen. Fachlich Verantwortliche prüfen ihre Unterlagen und bereiten die Erläuterung der eigenen Abläufe vor. Die Leitung muss bei Entscheidungen über wesentliche Abweichungen erreichbar sein. Dadurch bleiben fachliche Verantwortung und organisatorische Koordination unterscheidbar.

Wenn der Prüfungsumfang unklar ist, halten Sie dies als offenen Punkt fest. Vermutungen über erwartete Dokumente sollten nicht stillschweigend zur Grundlage des gesamten Projekts werden. Eine früh geklärte Frage spart häufig umfangreiche Nacharbeit kurz vor dem Termin.

Erstellen Sie eine Übersicht, die jede relevante Anforderung mit ihrer Umsetzung und einem passenden Nachweis verbindet. Dabei muss nicht für jeden Punkt eine neue Datei entstehen. Ein vorhandenes Protokoll kann mehrere Aspekte belegen, wenn der Zusammenhang verständlich ist. Entscheidend ist, dass die Information tatsächlich die jeweilige Frage beantwortet und zum betrachteten Zeitraum gehört.

Unterscheiden Sie Vorgabe, Ausführung und Kontrolle. Eine Richtlinie beschreibt, was geschehen soll. Eine bearbeitete Anforderung zeigt eine konkrete Ausführung. Ein Kontrollbericht kann belegen, ob der Ablauf geprüft wurde. Diese Ebenen ergänzen sich. Keine von ihnen ersetzt pauschal die anderen. Eine freigegebene Regel zum Entzug von Berechtigungen sagt beispielsweise noch nicht, ob der Entzug in einem ausgewählten Fall vollständig erfolgt ist.

Kennzeichnen Sie fehlende und unvollständige Nachweise offen. Ein leerer Verweis hilft bei der Vorbereitung wenig. Notieren Sie stattdessen, welche Information fehlt, wer sie beschaffen kann und bis wann eine Klärung benötigt wird. So wird aus der Übersicht ein steuerbares Arbeitsinstrument.

Lesen Sie wichtige Unterlagen aus Sicht einer Person, die Ihre internen Abkürzungen nicht kennt. Ist der Geltungsbereich erkennbar? Sind verantwortliche Rollen benannt? Passt das beschriebene Verfahren zu den tatsächlich verwendeten Anwendungen? Auch widersprüchliche Dokumente fallen bei dieser Prüfung auf. Eine ältere Arbeitsanweisung kann andere Freigaben verlangen als die aktuelle Richtlinie. Solche Konflikte sollten vor der Prüfung fachlich geklärt werden.

Prüfen Sie Versionsstand und Freigabe. Ein kürzlich bearbeitetes Dokument ist nicht automatisch verbindlich. Ebenso kann ein älteres Dokument weiterhin gültig sein, wenn es überprüft wurde und zum aktuellen Ablauf passt. Die Dokumentation sollte erkennen lassen, welche Fassung gilt und wie Änderungen kontrolliert werden. Reine Datumsänderungen ohne inhaltliche Prüfung erzeugen keinen belastbaren Nachweis.

Achten Sie auf den Schutz sensibler Inhalte. Nicht jeder Prüfzweck erfordert vollständige personenbezogene Angaben oder technische Detailinformationen. Stimmen Sie geeignete Einsichtsmöglichkeiten und den notwendigen Umfang ab. Die Nachweisführung sollte verständlich sein und zugleich die Vertraulichkeit interner Informationen berücksichtigen.

Beschäftigte müssen keine auswendig gelernten Antworten vortragen. Sie sollten erklären können, welche Aufgaben sie übernehmen und wie der normale Ablauf funktioniert. Wählen Sie dafür konkrete Beispiele aus dem vereinbarten Prüfungsumfang. Eine Fachperson kann etwa erläutern, wie sie einen Zugriff freigibt oder eine Abweichung weitergibt. Die zugehörigen Belege sollten auffindbar sein und zum beschriebenen Fall passen.

Erproben Sie den Weg von der Anfrage bis zum Ergebnis. Wo beginnt der Vorgang? Welche Entscheidung ist erforderlich? Wer führt die Aufgabe aus und wie wird ihr Abschluss festgestellt? Solche Durchgänge zeigen Lücken zwischen Abteilungen. Sie machen auch sichtbar, wenn eine wichtige Tätigkeit nur informell funktioniert und bei Abwesenheit einer Person nicht weitergeführt werden könnte.

Besprechen Sie den Umgang mit Unsicherheit. Wenn eine Antwort nicht bekannt ist, wird die zuständige Stelle hinzugezogen oder eine Nachlieferung vereinbart. Eine scheinbar überzeugende, aber unbelegte Aussage erschwert die Prüfung. Sachliche Klarheit über den eigenen Zuständigkeitsbereich ist nützlicher als eine vermeintlich perfekte Darstellung.

Nicht jede festgestellte Lücke lässt sich kurzfristig schließen. Priorisieren Sie deshalb nach Bedeutung und prüfen Sie, welche Korrekturen realistisch umgesetzt werden können. Eine technische Änderung ohne ausreichenden Test kann zusätzliche Risiken erzeugen. Ein überhastet veröffentlichtes Verfahren hilft ebenfalls wenig, wenn die betroffenen Personen es noch nicht kennen. Die Vorbereitung soll den tatsächlichen Stand verbessern und verständlich machen.

Für offene Punkte werden Ursache, geplantes Ergebnis und Verantwortung dokumentiert. Unterscheiden Sie Sofortkorrektur und nachhaltige Verbesserung. Ein einzelnes vergessenes Konto lässt sich entfernen. Zusätzlich muss geklärt werden, weshalb der reguläre Austrittsprozess es nicht erfasst hat. Sonst kann derselbe Fehler erneut auftreten. Ein nachvollziehbarer Maßnahmenplan zeigt, wie die Organisation aus einer Abweichung lernt.

Vermeiden Sie das nachträgliche Erstellen scheinbar historischer Belege. Wenn eine Kontrolle bisher nicht dokumentiert wurde, wird dies offen benannt. Eine aktuell durchgeführte Prüfung erhält ihr tatsächliches Datum und ihren tatsächlichen Umfang. So bleibt die Nachweisführung verlässlich und spätere Rückfragen lassen sich sachlich beantworten.

Nach dem Audit werden Feststellungen mit den zuständigen Personen ausgewertet. Klären Sie, welches Problem beschrieben wird und welches Ergebnis für die Bearbeitung erforderlich ist. Nicht jede Empfehlung hat denselben Stellenwert. Die Einordnung richtet sich nach dem jeweiligen Prüfungsverfahren. Für die Umsetzung ist anschließend entscheidend, dass die Aufgabe verständlich formuliert und mit einem überprüfbaren Abschluss verbunden wird.

Planen Sie eine Wirksamkeitskontrolle ein. Ein neu beschriebenes Verfahren kann formal vollständig sein und trotzdem im Alltag Schwierigkeiten verursachen. Eine spätere Stichprobe zeigt, ob die Änderung funktioniert. Wiederkehrende Abweichungen sollten Anlass sein, den zugrunde liegenden Prozess genauer zu betrachten. So wird das Audit Teil einer fortlaufenden Verbesserung und bleibt kein isolierter Termin.

PrivIQ begleitet die Vorbereitung von Dokumentation und Nachweisen. Die Plattform unterstützt die geordnete Arbeit mit Richtlinien, Risiken und Maßnahmen. Eine erfolgreiche Zertifizierungsentscheidung kann daraus nicht zugesichert werden. Ihr praktischer Nutzen liegt darin, dass Zuständigkeiten, tatsächlicher Umsetzungsstand und offene Fragen vor der Prüfung klarer erkennbar sind.