Normkonform, unabhängig und nah am IT-Betrieb: Jährliche Interne Audits für Ihr ISMS.
Erfüllen Sie die zwingende Normanforderung (ISO 27001 Klausel 9.2 / BSI IT-Grundschutz) ohne internen Interessenskonflikt. Sie erhalten eine unabhängige, praxisnahe Prüfung Ihrer technischen und organisatorischen Schutzmaßnahmen – mit klarem Fokus auf Netzwerksicherheit, Systemhärtung und wirksamen Betriebsprozessen.
✔ Erfüllung der jährlichen internen Pflicht-Auditierung nach ISO 27001 & BSI IT-Grundschutz
✔ Tiefes Verständnis für Cloud-Dienste, Netzsegmentierung, Systemhärtung & IT-Infrastrukturen
✔ 100 % Unabhängigkeit – Ein wertvoller Blick von außen für Ihr Team
Stehen Sie vor einer dieser Herausforderungen?
Ein typisches Szenario in zertifizierten oder auditierten Unternehmen:
- Selbstauditierung vermeiden: Externe Auditoren bringen einen neutralen Blick von außen mit und können Empfehlungen zum nächsten Audit mitgeben.
- Fehlende interne Ressourcen: Eigenen Mitarbeitenden fehlt oft die Zeit oder die Qualifikation, um ein normkonformes Internes Audit lückenlos vorzubereiten und durchzuführen.
- Reine Papier-Audits ohne Praxisbezug: Viele externe Auditoren prüfen nur Richtlinien-Dokumente, verstehen aber nicht, wie Firewalls, Netzsegmentierung oder Härtungsstandards im IT-Betrieb praktisch umgesetzt werden.
- Der Termindruck vor dem Überwachungsaudit: Das jährliche externe Audit rückt näher, aber der geforderte Bericht zum internen Audit liegt noch nicht vor.
Die Lösung: Lagern Sie Ihr internes Audit an einen Experten aus, der Normen beherrscht und IT-Infrastrukturen aus eigener Betriebspraxis kennt.
Der pragmatische Weg: Internes Audit als Service
Als externer interner Auditor übernehme ich die wiederkehrende, normkonforme Überprüfung Ihres Informationssicherheitsmanagementsystems (ISMS). Ich kombiniere formale Audit-Methodik mit einem geschulten Blick für technische Realitäten.
Dabei prüfe ich nicht nur Vorgabedokumente, sondern sehe mir stichprobenartig an, wie Sicherheitsarchitekturen, Netzsegmentierungen, Zugriffskonzepte und Härtungsvorgaben auf Systemebene tatsächlich gelebt werden.
Als Ergebnis erhalten Sie einen auditfesten Prüfbericht, der Normabweichungen aufdeckt, konkrete Verbesserungspotenziale aufzeigt und vor dem externen Zertifizierer standhält.
Was Sie konkret davon haben:
- Normkonformität auf Knopfdruck – Sie erfüllen die geforderte Pflicht-Anforderung für ISO 27001 (Klausel 9.2) oder den BSI IT-Grundschutz vollständig und rechtssicher.
- Verständnis für Netz- & Systemtechnik – Auditierung mit Blick auf reale Zonenmodelle, Segmentierung, Firewall-Regelwerke und Systemhärtung.
- Entlastung Ihres Teams – Keine interne Ressourcenbindung und vollständige Vermeidung von Interessenskonflikten.
- Klartext-Empfehlungen für Admins – Sie erhalten kein abstraktes Norm-Chinesisch, sondern umsetzbare Hinweise zur Optimierung von Betrieb und Sicherheit.
- Auditfester Prüfbericht – Ein professioneller Auditbericht inklusive Abweichungsmanagement, den Sie direkt Ihrem Zertifizierer vorlegen können.
Der Ablauf in 4 Schritten
- Auditplanung & Scope-Abstimmung: Festlegung des Auditplans, der zu prüfenden ISO-Controls bzw. Grundschutz-Bausteine sowie der Einbindung relevanter Ansprechpartner.
- Dokumentenprüfung (Desktop-Review): Sichtung von Richtlinien, Betriebskonzepten, Netzplänen, Rollenmodellen und Protokollen der Sicherheitsorganisation.
- Audit-Interviews & Technische Stichproben: Durchführung struktureller Interviews mit Prozessverantwortlichen und gezielten Stichprobenprüfungen (z. B. Härtungsstandards, Netzsegmentierung, Incident-Prozesse).
- Auditbericht & Abschlussgespräch: Erstellung des formellen Auditberichts mit Einstufung von Feststellungen (Abweichungen / Verbesserungspotenziale) und Präsentation der Ergebnisse.
Warum mit mir?
Auditierung von jemandem, der IT-Betrieb & Infrastrukturen kennt
Viele Auditoren betrachten Informationssicherheit rein aus der Perspektive von Papierdokumenten und Gesetzestexten. Technisches Verständnis für moderne Netzstrukturen oder Systemarchitekturen fehlt dabei häufig.
Durch meine jahrelange Praxis im IT-Betrieb, in der IT-Leitung und im Bereich von Hochsicherheits-Infrastrukturen kenne ich Herausforderungen wie Netzsegmentierung, Systemhärtung, Rechtevergabe und Notfallprozesse aus erster Hand. Ich führe interne Audits so durch, dass sie für Ihr Unternehmen einen echten Mehrwert bringen und nicht nur Abhaktiteln dienen.
Das Leistungspaket
Internes ISMS-Audit (ISO 27001 / BSI IT-Grundschutz)
- Erstellung eines individuellen Auditplans inklusive Festlegung des Prüfungsschnitts (Scope)
- Prüfung der organisatorischen Dokumente, Richtlinien und Sicherheitskonzepte
- Strukturierte Audit-Interviews mit Sicherheitsbeauftragten, IT-Leitung und Prozessverantwortlichen
- Praxis-Stichproben zu Netzsegmentierung, Systemhärtung, Access Control und Backup/Notfallvorsorge
- Formeller, auditfester Prüfbericht inklusive Zuordnung von Haupt- und Nebenabweichungen
- Empfehlungen zur Maßnahmenverfolgung und Vorbereitung auf das externe Überwachungsaudit
- Abschlussgespräch mit der Geschäftsführung und dem ISMS-Team
Nächster Schritt
Sichern Sie Ihr internes Audit ab.
In einem unverbindlichen, 15-minütigen Erstgespräch klären wir den Umfang Ihres ISMS und stimmen den zeitlichen Ablauf für Ihr internes Audit ab.
Häufige Fragen (FAQ)
Warum können wir das interne Audit nicht selbst durchführen?
Bei der Vorbereitung eines Audits zählen Objektivität und Unabhängigkeit. Personen, die Vorgaben erstellen oder operative IT-Verantwortung tragen, sollten ihre eigenen Bereiche nicht auditieren (Vermeidung der Selbstauditierung). Ein externer Auditor löst dieses Dilemma sofort.
Wie unterscheidet sich das interne Audit vom Pre-Audit?
Das Pre-Audit dient als erste Standortbestimmung vor einer Erstzertifizierung. Das interne Audit hingegen ist eine wiederkehrende, formelle Pflichtanforderung im laufenden ISMS-Betrieb, um die wirksame Einhaltung der Normen regelmäßig nachzuweisen.
Reicht ein externes internes Audit für das ISO-27001-Zertifikat aus?
Das interne Audit ist die Grundvoraussetzung, um zum externen Zertifizierungsaudit durch eine akkreditierte Stelle (wie TÜV, DEKRA etc.) zugelassen zu werden. Der Prüfbericht dokumentiert gegenüber dem Zertifizierer, dass Ihr ISMS kontinuierlich überwacht wird.