Ich prüfe

Audit

Ein internes Audit ist keine Formalie, sondern die einzige Stelle im Managementsystem, an der jemand von außen auf das schaut, was intern längst als selbstverständlich gilt.

ISO 27001 verlangt es in Kapitel 9.2, und die Zertifizierungsstelle sieht sich im Stage 1 zuerst den Auditbericht an. Der häufigste Grund, warum Unternehmen mich holen: Im Haus fehlen Zeit, Routine oder beides, um ein Audit in dieser Tiefe zu fahren. Genau diesen Teil übernehme ich – vollständig remote, mit Auditplan, Nachweisprüfung, Interviews per Videokonferenz und Bericht.

Internes Audit nach ISO 27001

Die Norm verlangt ein Auditprogramm, das alle Normanforderungen und alle im Statement of Applicability als anwendbar erklärten Controls abdeckt. Der Regelfall ist das jährliche Vollaudit: Ob der Vollumfang jedes Jahr geprüft sein muss oder über den dreijährigen Zyklus verteilt werden darf, wird uneinheitlich ausgelegt – das Vollaudit ist die Variante, die in jeder Auslegung trägt. Vor der Erstzertifizierung gibt es ohnehin keinen Zyklus.

Risikobasierter Auditplan mit Scope, Nachweisliste und Auftaktgespräch
Prüfung des Normteils: Kontext und Führung (Kap. 4–6), Ressourcen und Betrieb (Kap. 7–8), Bewertung und Verbesserung (Kap. 9–10)
Prüfung des Annex A: organisatorische, personelle, physische und technologische Controls
Auditbericht mit klassifizierten Feststellungen – Nichtkonformität major, minor, Verbesserungspotenzial – inklusive Nachweisdokumentation
Abschlussgespräch, in dem die Feststellungen erklärt werden, statt sie nur zuzustellen
Vollaudit für Organisationen bis 1.000 Mitarbeitende, größere Strukturen nach vorherigem Scoping
Dreijahresvertrag mit jährlichem Vollaudit, Programmmatrix für eigene Mehrjahresplanung, Teilaudit einzelner Kapitel oder Controlgruppen

Physische Controls prüfe ich remote über Zutrittskonzept, Berechtigungslisten, Zutrittsprotokolle sowie Wartungs- und Entsorgungsnachweise, ergänzt um eine geführte Videobegehung oder datierte Fotodokumentation. Die Einschränkung wird im Auditbericht dokumentiert.

Internes Audit nach ISO 42001

ISO/IEC 42001 ist die Managementsystemnorm für künstliche Intelligenz. Der Nachfragetreiber ist selten die Regulierung, sondern die Lieferkette: Große Einkäufer schreiben das Zertifikat in die Ausschreibung. Die Norm verlangt wie ISO 27001 ein internes Audit in Kapitel 9.2 – und damit jemanden, der Normteil und Annex A tatsächlich prüfen kann.

Normteil Kapitel 4–10: Kontext, Führung, Planung, Ressourcen, Betrieb, Bewertung, Verbesserung
Annex A: Politik und interne Organisation, Ressourcen und Auswirkungsanalyse, KI-Lebenszyklus und Daten, Information Dritter, Nutzung und Drittparteien
Verzahnung mit bestehenden Systemen – in der Praxis steht die 42001 fast nie allein im Haus, sondern neben einer 27001
Gap-Analyse vor der Zertifizierung, internes Vollaudit, Dreijahresvertrag oder Prüfung einzelner Kapitel

Lieferanten- und Dienstleisteraudits

Art. 28 DSGVO verlangt, dass Sie sich von der Eignung Ihrer Auftragsverarbeiter überzeugen – nicht, dass Sie ein ausgefülltes Formular abheften. Bei KI-Anbietern kommt hinzu, dass die üblichen Fragebögen die entscheidenden Punkte gar nicht abfragen.

Auftragsverarbeiter-Bewertung: TOM, Risikoklasse, Aufnahme ins Verzeichnis
Auftragsverarbeiter im Auditscope: Vertrag, TOM, Nachweise
KI-Anbieter-Due-Diligence: Modellkarte, Datenherkunft, Nachweise, Haftung
Drittlandtransfer: SCC-Modulwahl und Transfer Impact Assessment
KI- oder Cloud-Dienstleister-Audit, vollständig remote
Anbieter-Trustpaket für SaaS- und KI-Anbieter

Für Beratungen und Prüfhäuser

Wenn bei Ihnen Auditkapazität der Engpass ist und Mandate liegen bleiben: Ich arbeite als Unterauftragnehmer für Datenschutz- und ISMS-Beratungen. Abgerechnet wird in Personentagen mit Lieferdatum, nicht in Wochenverfügbarkeit. Referenzen und Qualifikationsnachweise gehen selbstverständlich auf Ihren Briefkopf.

Kapazität anfragen

Grenzen, die ich einhalte

Ich führe keine akkreditierten Zertifizierungsaudits durch – das dürfen ausschließlich Zertifizierungsstellen. Und ich bescheinige keinen Umfang, den ich nicht geprüft habe: Wenn ein Audit nur einen Teil des Scopes abdeckt, steht im Bericht, welcher Teil offen ist und wann er geprüft wird.