Internes Audit & Gap-Analyse: Klarheit über Ihren Sicherheitsstand
Sie möchten wissen, wie Ihr ISMS aufgestellt ist, welche Anforderungen bereits umgesetzt sind und wo Handlungsbedarf besteht? Ich unterstütze Sie mit einer strukturierten Prüfung auf Basis vereinbarter Kriterien – damit aus einer Standortbestimmung nachvollziehbare Entscheidungen werden.
Wann ist die Unterstützung sinnvoll?
- Sie bereiten eine ISO-27001-Zertifizierung vor und möchten den vorhandenen Stand einschätzen.
- Sie brauchen ein internes ISMS-Audit im vereinbarten Scope.
- Sie möchten bestehende Sicherheitsmaßnahmen gegenüber ausgewählten Anforderungen bewerten lassen.
- Sie benötigen für Geschäftsführung oder Informationssicherheitsverantwortliche eine verständliche Übersicht über Feststellungen und Prioritäten.
Internes Audit oder Gap-Analyse – was ist der Unterschied?
Ein internes Audit prüft anhand festgelegter Auditkriterien und eines definierten Umfangs, ob die Anforderungen an das ISMS erfüllt und die vorgesehenen Prozesse umgesetzt sind. Feststellungen und Schlussfolgerungen müssen sich auf nachvollziehbare Nachweise stützen. Audit-Unabhängigkeit und mögliche Interessenkonflikte sind vorab zu klären.
Eine Gap-Analyse betrachtet den Abstand zwischen Ihrem aktuellen Stand und einer vereinbarten Zielanforderung. Sie dient insbesondere dazu, Lücken zu verstehen und die weitere Umsetzung zu planen. Sie ist nicht automatisch ein Ersatz für ein formelles internes Audit.
Welche Form sinnvoll ist, besprechen wir anhand Ihrer Ausgangslage.
Was Sie konkret erhalten
Einen klar abgegrenzten Prüfauftrag
Wir definieren Ziel, Geltungsbereich, Kriterien, beteiligte Rollen und die notwendigen Nachweise. So ist transparent, was geprüft wird – und was nicht.
Nachvollziehbare Feststellungen
Ich werte die vereinbarten Unterlagen aus und führe passende Interviews oder Stichproben durch. Soweit erforderlich und ausdrücklich vereinbart, können technische Aspekte in die Bewertung einbezogen werden. Feststellungen werden den Kriterien und den verfügbaren Belegen zugeordnet.
Einen Bericht als Entscheidungsgrundlage
Sie erhalten einen Abschlussbericht mit wesentlichen Feststellungen, Stärken, Lücken und priorisierten Handlungsempfehlungen. Eine verständliche Management-Zusammenfassung erleichtert die Abstimmung über das weitere Vorgehen.
So läuft die Zusammenarbeit ab
01 – Ziel und Prüfrahmen abstimmen. Wir legen fest, welche Anforderungen und Bereiche betrachtet werden.
02 – Unterlagen und Umsetzung bewerten. Dokumente, Interviews und geeignete Stichproben bilden die Grundlage der Beurteilung.
03 – Feststellungen erläutern. Wir besprechen Abweichungen und offene Fragen, einschließlich ihrer Relevanz für die vereinbarten Prüfziele.
04 – Maßnahmen priorisieren. Sie erhalten ein nachvollziehbares Bild des Handlungsbedarfs und eine Grundlage für Verantwortlichkeiten und Termine.
Umfang und Grenzen
Der Aufwand richtet sich unter anderem nach Geltungsbereich, Standorten, Organisationsgröße, Prozesskomplexität und Verfügbarkeit von Nachweisen. Remote, vor Ort oder kombiniert ist nach Absprache möglich.
Ein internes Audit und eine Gap-Analyse sind keine Zertifizierung und keine pauschale Zusage, sämtliche gesetzlichen Pflichten zu erfüllen. Die Entscheidung über die Umsetzung der Empfehlungen bleibt beim Unternehmen.
Häufige Fragen
Ist ein internes Audit nach ISO 27001 erforderlich?
ISO/IEC 27001 verlangt interne Audits in geplanten Abständen. Umfang, Kriterien und Durchführung müssen im jeweiligen ISMS passend geregelt werden. Eine Gap-Analyse erfüllt diese Rolle nicht automatisch.
Muss schon ein vollständiges ISMS vorhanden sein?
Für eine erste Gap-Analyse nicht zwingend. Beim internen Audit hängt die sinnvolle Prüfgrundlage davon ab, welche Prozesse und Nachweise bereits existieren.
Werden auch technische Kontrollen geprüft?
Technische Nachweise können je nach vereinbartem Umfang berücksichtigt werden. Eine eigenständige Penetrationstest-Leistung ist damit nicht automatisch vereinbart.
Was passiert nach dem Bericht?
Wir können die Prioritäten besprechen und – bei gesonderter Beauftragung – nächste Umsetzungsschritte begleiten.
Welches Prüfziel verfolgen Sie?
Im kostenlosen, unverbindlichen Erstgespräch klären wir, welcher Prüfansatz zu Ihrer Situation passt und wie ein sinnvoller Umfang aussehen könnte.