Warum internes Audit und Managementbewertung über den Zertifizierungserfolg entscheiden – und wie Sie beide vom Pflichttermin zum Steuerungsinstrument machen.
Es ist ein verlässliches Muster: Sobald die Sommerferien vorbei sind, füllen sich die Kalender der Zertifizierungsstellen. Zwischen Oktober und März liegt der Großteil der Erst-, Überwachungs- und Rezertifizierungsaudits nach ISO/IEC 27001 – und ebenso nach ISO 9001, ISO 14001, ISO 50001 oder ISO 45001. Die Gründe sind banal: Zertifikate wurden historisch häufig zum Jahresende ausgestellt, Budgets orientieren sich am Kalenderjahr, und im Sommer ist ohnehin die halbe Belegschaft nicht greifbar.
Aus dieser Terminlogik folgt eine zweite, weniger banale: Wer im Januar sein Rezertifizierungsaudit hat, muss jetzt anfangen. Nicht mit der Dokumentenpflege, sondern mit den beiden Normelementen, die in der Praxis am häufigsten unterschätzt werden – und die genau deshalb regelmäßig zu Feststellungen führen: dem internen Audit (Abschnitt 9.2) und der Managementbewertung (Abschnitt 9.3).
Zwei Elemente, die nicht verhandelbar sind
Anders als bei vielen Anforderungen der Norm gibt es hier keinen Interpretationsspielraum und keine Möglichkeit, im Audit „nachzureichen“. Der Grund liegt nicht in der ISO/IEC 27001, sondern in der ISO/IEC 17021-1, nach der Zertifizierungsstellen akkreditiert sind: Die Stelle muss vor der Zertifikatsempfehlung feststellen, dass ein internes Audit über den gesamten Anwendungsbereich und eine Managementbewertung durchgeführt und dokumentiert wurden. Fehlt eines von beiden, ist das Managementsystem nach normativer Logik noch nicht vollständig durchlaufen – die Zertifizierungsstelle kann dann schlicht nicht empfehlen. Kein Ermessen, keine Kulanz.
Das ist der harte Teil. Der interessante Teil ist ein anderer: Beide Elemente sind die einzigen Stellen im Managementsystem, an denen eine Organisation freiwillig und unter eigener Kontrolle herausfindet, wo sie steht. Alles andere erfährt sie entweder vom externen Auditor oder vom Angreifer.
Fünf Muster, die im Zertifizierungsaudit auffallen
1. Das Audit zwei Wochen vor dem Audit
Der häufigste Fehler. Das interne Audit findet vierzehn Tage vor dem Zertifizierungsaudit statt, findet acht Abweichungen – und alle acht sind am Audittag noch offen. Der externe Auditor sieht damit nicht nur die acht Befunde, sondern zusätzlich einen fehlenden bzw. unwirksamen Korrekturmaßnahmenprozess nach Abschnitt 10.2. Aus einem gut gemeinten Vorbereitungsschritt wird eine eigenständige Nichtkonformität.
2. Der ISB auditiert sein eigenes ISMS
Abschnitt 9.2.2 verlangt, die Objektivität und Unparteilichkeit des Auditprozesses sicherzustellen. Wenn der Informationssicherheitsbeauftragte die Richtlinien schreibt, die Maßnahmen umsetzt und anschließend prüft, ob sie wirksam sind, ist diese Anforderung nicht erfüllt – unabhängig davon, wie sorgfältig er arbeitet. In kleineren Organisationen ist das lösbar: kollegiale Auditierung über Abteilungsgrenzen, gegenseitige Audits im kommunalen Verbund oder die Vergabe an einen externen Auditor. Nicht lösbar ist es durch Ignorieren.
3. Das Auditprogramm, das keines ist
Die Norm fordert kein Einzelaudit, sondern ein Auditprogramm – mit Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung. In der Praxis existieren stattdessen drei Auditberichte aus drei Jahren, die zufällig dieselben Themen abdecken und andere nie berührt haben. Ein tragfähiges Programm denkt über den gesamten Dreijahreszyklus, gewichtet risikobasiert (kritische Prozesse häufiger, Randbereiche seltener) und weist nach, dass am Ende des Zyklus der komplette Anwendungsbereich einschließlich aller anwendbaren Maßnahmen abgedeckt war. ISO 19011 ist dafür der passende Leitfaden – und keine Pflichtlektüre, aber eine lohnende.
4. Die Managementbewertung als TOP 7
Vierzig Minuten am Ende einer Geschäftsführungssitzung, drei Zeilen im Protokoll, ein Satz „Das ISMS wird als angemessen bewertet“. Das ist die verbreitetste Form der Managementbewertung und die schwächste. Abschnitt 9.3.2 nennt die Eingaben abschließend und konkret: Status offener Maßnahmen aus der letzten Bewertung, Änderungen bei externen und internen Themen sowie bei Erfordernissen und Erwartungen interessierter Parteien, Rückmeldungen zur Informationssicherheitsleistung (Nichtkonformitäten, Überwachungs- und Messergebnisse, Auditergebnisse, Erfüllung der Informationssicherheitsziele), Rückmeldungen interessierter Parteien, Ergebnisse der Risikobeurteilung und Status des Risikobehandlungsplans, Möglichkeiten zur fortlaufenden Verbesserung.
Wer diese Liste als Tagesordnung verwendet, hat die Managementbewertung faktisch bestanden – und nebenbei die beste Jahresübersicht über die eigene Informationssicherheit, die es im Unternehmen gibt.
Ein Hinweis für die diesjährige Runde: Seit dem Amendment 1:2024 gehört auch die Frage dazu, ob der Klimawandel ein relevantes Thema im Kontext der Organisation ist. Für Netzbetreiber, Wasserversorger und Rechenzentrumsbetreiber ist die Antwort selten „nein“ – und sie gehört dokumentiert in die Kontextbetrachtung, nicht in eine Fußnote.
5. Ergebnisse ohne Entscheidungen
Abschnitt 9.3.3 verlangt als Ergebnis der Managementbewertung Entscheidungen zu Verbesserungsmöglichkeiten und zu jedem Änderungsbedarf am ISMS. Ein Bericht, der Zustände beschreibt, aber nichts entscheidet, erfüllt diese Anforderung nicht. Belastbar wird es erst mit Beschlüssen: Maßnahme, Verantwortlicher, Termin, Ressource. Genau in dieser Form – und genau das ist der Punkt, an dem die Managementbewertung aufhört, eine Normpflicht zu sein, und anfängt, Steuerung zu werden.
Rückwärts planen: der Terminplan
Der einzige Weg, beide Elemente wirksam zu nutzen, ist die Rückwärtsrechnung vom Audittermin. Für ein Zertifizierungsaudit im Januar 2027 bedeutet das:
| Zeitpunkt | Schritt |
|---|---|
| T–5 bis T–4 Monate (Sept./Okt.) | Auditprogramm aktualisieren, Auditor benennen, Auditplan und Auditkriterien festlegen, Termine mit den Fachbereichen fixieren |
| T–4 bis T–3 Monate (Okt.) | Internes Audit durchführen – als echtes Audit mit Stichproben, Interviews und Nachweisprüfung, nicht als Dokumentendurchsicht |
| T–3 Monate (Okt./Nov.) | Auditbericht, Ursachenanalyse zu jeder Abweichung, Korrekturmaßnahmenplan mit Terminen |
| T–2 Monate (Nov.) | Umsetzung der Korrekturmaßnahmen; Kennzahlen und Messergebnisse für die Managementbewertung aufbereiten |
| T–6 bis T–8 Wochen (Nov./Dez.) | Managementbewertung mit dokumentierten Beschlüssen |
| T–4 Wochen (Dez.) | Wirksamkeitsprüfung der Korrekturmaßnahmen, Nachweise ablegen, Auditlogistik klären |
| T–0 (Jan.) | Zertifizierungsaudit |
Der entscheidende Puffer liegt zwischen internem Audit und Managementbewertung. Er ist der Grund, warum das interne Audit vor die Managementbewertung gehört und nicht danach: Die Auditergebnisse sind eine der Eingaben nach 9.3.2. Wer die Reihenfolge umdreht, produziert eine Managementbewertung ohne Substanz und ein internes Audit ohne Adressat.
Der unterschätzte NIS-2-Hebel
Für Einrichtungen im Anwendungsbereich des BSIG kommt in diesem Jahr ein Argument hinzu, das viele Geschäftsführungen noch nicht auf dem Schirm haben.
§ 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Die Haftungsfolge steht direkt daneben in Absatz 2. Die eigentliche Frage im Streitfall lautet dann nicht, ob überwacht wurde, sondern ob sich das nachweisen lässt – und die Beweislast liegt bei der Geschäftsleitung.
Die Managementbewertung nach 9.3 ist genau dieser Nachweis. Sie ist ein turnusmäßiger, dokumentierter Vorgang, in dem die Leitungsebene über den Zustand der Sicherheitsmaßnahmen unterrichtet wird, dies zur Kenntnis nimmt und entscheidet. Wer sie ohnehin durchführen muss, sollte sie so gestalten, dass sie beide Zwecke bedient: Normkonformität nach ISO/IEC 27001 und Sorgfaltsnachweis nach § 38 BSIG. Konkret heißt das, die Maßnahmenbereiche des § 30 Abs. 2 BSIG explizit im Bericht zu spiegeln, die Billigung als Beschluss zu formulieren und die Teilnahme der Geschäftsleitung namentlich zu protokollieren.
Betreiber kritischer Anlagen haben zusätzlich die Nachweispflicht nach § 39 BSIG im Blick zu behalten. Ein sauber geführtes Auditprogramm liefert die Belege dafür ohnehin – aber nur, wenn es über den Zyklus systematisch geplant und nicht jährlich improvisiert wurde.
Was Sie davon haben
Interne Audits und Managementbewertung kosten zusammen in einer mittelgroßen Organisation typischerweise fünf bis zehn Personentage im Jahr. Diese Tage fallen ohnehin an. Die einzige Entscheidung, die tatsächlich offensteht, ist, ob sie als Formalie verbrannt oder als Instrument genutzt werden.
Genutzt bedeutet: Sie kennen Ihre Abweichungen drei Monate vor dem externen Auditor und können sie schließen. Ihre Geschäftsführung hat einmal im Jahr ein vollständiges Lagebild und trifft dokumentierte Entscheidungen darüber. Ihr Auditprogramm belegt über drei Jahre, dass Sie Ihr System kennen. Und das Zertifizierungsaudit wird von einer Prüfung, die man übersteht, zu einer Bestätigung dessen, was Sie ohnehin schon wussten.
Das ist kein Mehraufwand. Das ist derselbe Aufwand, nur früher und in der richtigen Reihenfolge.
Kurz-Check für die Saison 2026/27
- Auditprogramm über den laufenden Zertifizierungszyklus vorhanden und risikobasiert begründet?
- Unabhängigkeit des internen Auditors sichergestellt und nachweisbar?
- Internes Audit terminiert – mit mindestens drei Monaten Abstand zum Zertifizierungsaudit?
- Deckt das Audit über den Zyklus den gesamten Anwendungsbereich ab?
- Managementbewertung terminiert, nach dem internen Audit?
- Alle Eingaben nach 9.3.2 in der Tagesordnung, inkl. Kontextänderungen und Risikobehandlungsplan?
- Ergebnisse als Beschlüsse mit Verantwortlichen und Terminen formuliert?
- Korrekturmaßnahmen mit Ursachenanalyse und Wirksamkeitsprüfung dokumentiert?
- Bei NIS-2-Betroffenheit: § 30 Abs. 2 BSIG im Bericht gespiegelt, Billigung der Geschäftsleitung protokolliert?
Sie brauchen für die kommende Auditsaison einen unabhängigen internen Auditor oder eine Zweitmeinung zu Ihrem Auditprogramm? Sprechen Sie uns an.