Internes Audit – wir drehen Ihr ISMS auf links.

Es zeigt, ob Ihr Managementsystem wirkt – nicht nur, ob es dokumentiert ist. Sie finden Lücken, bevor sie im Zertifizierungsaudit, im TISAX®-Assessment oder bei einer Kundenanforderung kritisch werden.

In der ISO 27001 ja, nach Abschnitt 9.2 in geplanten Abständen. Bei TISAX® verlangt der VDA-ISA-Katalog die regelmäßige Überprüfung des ISMS, und NIS2 fordert in Artikel 21 Verfahren zur Bewertung der Wirksamkeit Ihrer Maßnahmen.

Die Gap-Analyse vergleicht Ist und Soll und dient der Planung – meist zu Beginn eines ISMS-Projekts. Das interne Audit ist eine formale Prüfung nach Auditplan, ob Prozesse und Maßnahmen die Anforderungen erfüllen und wirksam sind. Es endet mit dokumentierten Feststellungen.

Das interne Audit ist Ihre eigene Prüfung, um Schwachstellen zu finden und zu schließen. Das Zertifizierungsaudit oder das TISAX®-Assessment führt eine akkreditierte Stelle durch, die offiziell bestätigt, dass die Anforderungen erfüllt sind. UBESAFE bereitet darauf vor und begleitet es.

Der Richtwert liegt je nach Unternehmensgröße, Scope und Standorten bei 3.500 bis 6.500 € netto, mit einer weiteren Leistung aus unserem Portfolio bei 3.500 € netto. Den genauen Preis klären wir im 30-minütigen Kennenlernen, das Angebot kommt direkt im Anschluss. Immer wieder nehmen wir als Aktion einen Penetrationstest mit Maßnahmenbericht kostenlos ins Audit – so ist auch die technische Lücke für die Auditoren geschlossen.

In der Regel 1–2 Wochen vom Kick-off bis zum Bericht: zwei Tage organisatorisches Audit, ein Tag technisches Audit, danach Bewertung und Maßnahmenplan. Die tatsächliche Dauer hängt vom Scope und von der rechtzeitigen Zuarbeit Ihres Teams ab.

Ob Richtlinien auch in den Systemen gelten: Konfigurationen in Microsoft 365 und Azure, Identitäten, Rollen und Berechtigungen, Endgeräte und Netzwerk. Dabei werden Abhängigkeiten sichtbar, die sonst unentdeckt bleiben – etwa verschachtelte Berechtigungen, Schnittstellen zwischen On-Prem und Cloud oder zu Dienstleistern.

Das organisatorische Audit übernehmen unsere zertifizierten ISB, das technische Audit Alexander Brütsch, Geschäftsführer und CISO von UBESAFE. So sind Organisation und Technik im selben Bericht bewertet.

Einen Auditbericht als PDF mit Management Summary, detaillierten Feststellungen und Konformitätsbewertung sowie einen Maßnahmenplan mit Priorität (hoch, mittel, niedrig), Verantwortlichkeiten und Umsetzungsempfehlungen. Ein Management-Report für Geschäftsführung oder Vorstand ist optional.

Ja, zum Großteil: Unterlagensichtung, Interviews per Videokonferenz und technische Prüfungen in Cloud- und Microsoft-365-Umgebungen. Nur wenn physische Kontrollen gefragt sind, etwa Zutritt oder Serverraum, ist ein kurzer Termin vor Ort sinnvoll.

Richtlinien, Prozessbeschreibungen, Organigramm und technische Übersichten – die Liste bekommen Sie mit dem Fragenkatalog. Wichtig sind erreichbare Ansprechpartner:innen für die Interviews und ein abgestimmter Zugang für die technische Prüfung.

IT-Betrieb, ISMS und ISB sind bei UBESAFE getrennte Rollen – auch intern. Geprüft wird die Anwendung von Regeln, Richtlinien und Nachweisen nach Normanforderung. Bemängelt der ISB etwas, eskaliert er es gegenüber Betrieb und Geschäftsführung.

Sie setzen die Maßnahmen mit Ihrem Team um – oder mit uns: etwa Anpassungen in Microsoft 365, fehlende Dokumente, Schulungen. Die Steuerung kann ein externer ISB übernehmen, und auf Wunsch begleiten wir das anschließende Assessment.

Mindestens einmal im Jahr und rechtzeitig vor jedem externen Audit oder Assessment. Wer den externen ISB von UBESAFE in der Stufe Premium nutzt, hat das jährliche interne Audit bereits enthalten.