Informationssicherheit

Interne Audits, die mehr liefern als eine abgehakte Checkliste

Wir prüfen Ihr Managementsystem mit dem Blick eines externen Auditors, dokumentieren nachvollziehbar und geben Ihnen konkrete Ansatzpunkte für die Weiterentwicklung.

Kämmer Consulting✓ Ständiges Berater-Team✓ Partner-Netzwerk✓ Mehrere Unternehmen dauerhaft betreut

Was geprüft wird

Dokumentation und Rollen

Geltungsbereich, Richtlinien, Zuständigkeiten, Freigaben und Review-Routinen.

Kontrollen und Wirksamkeit

Ob Maßnahmen nicht nur beschrieben, sondern tatsächlich umgesetzt und nachvollziehbar sind.

Evidenzen und Nachweise

Stichproben auf belastbare Belege statt bloßer Annahmen.

Managementsicht

Findings, Risiken und Verbesserungshebel in verständlicher Form für Entscheider.

Ablauf eines typischen Auditzyklus

Scope festlegen

Welche Bereiche, Standorte oder Controls geprüft werden.

Unterlagen sichten

Dokumente, Rollen, Evidenzen und offene Punkte vorstrukturieren.

Interviews und Stichproben

Praxis gegen Dokumentation prüfen.

Bericht und Maßnahmen

Findings priorisieren und mit klaren nächsten Schritten hinterlegen.

Warum vor dem externen Audit intern prüfen?

Wer intern gründlich prüft, geht ohne Überraschungen in die externe Zertifizierung.

Überraschungen vermeiden

Externe Auditoren finden Lücken – ein internes Audit findet sie zuerst. Was intern korrigiert wird, muss nicht beim Zertifizierungsaudit erklärt werden.

Evidenzen auf Herz und Nieren prüfen

Nachweise müssen nicht nur vorhanden, sondern belastbar sein. Ein internes Audit zeigt, ob Ihre Evidenzen einem externen Prüfer standhalten.

Managementsicht schärfen

Interne Audit-Findings gehen direkt in die Managementbewertung ein – und liefern die Grundlage für eine saubere, prüfbare Steuerung des ISMS.

Wohin interne Audits typischerweise weiterführen

ISO 27001 und Zertifizierungsvorbereitung

Wenn Findings in eine saubere Zertifizierungs- oder Reifegrad-Roadmap überführt werden sollen.

ISO 27001 →

ISB, NIS2 oder TISAX

Wenn Audits zeigen, dass Rollen, Governance oder branchenspezifische Nachweise stärker strukturiert werden müssen.

Externer ISB → · NIS2 → · TISAX →

Häufige Fragen zu internen Audits

Was ist der Unterschied zwischen internem und externem Audit?

Ein internes Audit prüft die eigene Organisation – im Sinne von ISO 27001 als normatives Werkzeug zur kontinuierlichen Verbesserung. Ein externes Audit (Zertifizierungsaudit) wird von einer akkreditierten Stelle durchgeführt und führt zum Zertifikat. Das interne Audit ist eine Voraussetzung für das externe.

Wer führt das interne Audit durch – wir selbst oder Sie?

Beides ist möglich. Wir können als externe Auditoren ein vollständiges internes Audit durchführen – oder Ihre internen Auditoren gezielt vorbereiten und die Ergebnisdokumentation begleiten. Wichtig: Interne Auditoren dürfen nicht den eigenen Bereich prüfen (Unabhängigkeitsprinzip).

Wie lange dauert ein typisches internes Audit?

Bei einem KMU mit bestehender ISMS-Dokumentation typischerweise 1–3 Tage. Je nach Umfang (Scope, Anzahl Controls, Standorte) kann es mehr sein. Wir klären das vorab mit Ihnen und erstellen einen realistischen Auditplan.

Kann das interne Audit als ISO 27001 Nachweis gelten?

Ja – ISO 27001 Kapitel 9.2 fordert ausdrücklich interne Audits in geplanten Abständen. Das Audit-Programm, der Auditbericht und die Follow-up-Maßnahmen sind normative Evidenz. Wir stellen sicher, dass alles normkonform dokumentiert ist.

Vor dem externen Audit lieber intern Klarheit schaffen.

Wir liefern einen prüfbaren Reality-Check mit Managementanschluss. Unser ständiges Berater-Team – erfahren in internen Audits nach ISO 27001, NIS2 und TISAX.

Audit abstimmen – 30 Min. kostenlos

Ihr Ansprechpartner für Informationssicherheit

Sie möchten Ihre Ausgangslage einordnen lassen oder klären, welcher Weg – Quickcheck, Normpfad oder laufende Begleitung – zu Ihrer Situation passt? Sprechen Sie direkt mit dem Fachbereich.

Ihr direkter Ansprechpartner

René Telemann

Ansprechpartner Informationssicherheit

Interne Audits