ISO 27001 Audit. Bestanden im ersten Anlauf.

Das Stage-1-Audit (auch Vorbereitungs- oder Dokumentations-Audit) prüft, ob Ihr ISMS auditreif ist: Richtlinien vollständig, SoA (Statement of Applicability) erstellt, Risikoanalyse durchgeführt, Managementreview stattgefunden. Dauer: 1-2 Tage. Wird Stage 1 bestanden, folgt Stage 2 (Zertifizierungs-Audit): detaillierte Prüfung der operativen Umsetzung — Interviews mit Mitarbeitenden, Evidenz-Kontrolle, Prozess-Nachverfolgung. Dauer: 3-5 Tage bei mittelständischen Unternehmen.

Der Zertifizierungs-Zyklus dauert drei Jahre: Stage-1- und Stage-2-Erstaudit (Jahr 0), Überwachungsaudits in Jahr 1 und 2 (je 1-2 Tage), Rezertifizierungsaudit in Jahr 3 (2-3 Tage). Zwischen den externen Audits sind interne Audits Pflicht — mindestens ein umfassendes internes Audit pro Jahr, idealerweise quartalsweise auf Teilbereiche. Matproof automatisiert die interne Audit-Planung und dokumentiert die Durchführung.

Die häufigsten Non-Conformities: (1) Unvollständige oder veraltete Richtlinien. (2) Risikoanalyse nicht aktuell oder ohne klare Behandlungsentscheidung. (3) Asset-Inventar lückenhaft oder nicht gepflegt. (4) Zugriffsrechte nicht regelmäßig überprüft. (5) Lieferanten-Due-Diligence unvollständig. (6) Incident-Log fehlt oder ist nicht revisionssicher. (7) Schulungsnachweise unvollständig. (8) Managementreview nicht dokumentiert. Alle acht Bereiche werden durch Matproof automatisch überwacht und pro-aktiv gewarnt, bevor der Auditor sie findet.

Vier Wochen vor dem Audit: (1) SoA und Risikoanalyse aktualisieren und vom Management freigeben lassen. (2) Internes Audit durchführen, Findings schließen. (3) Nachweise zentral ablegen und indizieren, jede Control muss mit Evidenz belegbar sein. (4) Stichprobe von Mitarbeiter-Interviews simulieren. (5) Dokumenten-Check: alle Richtlinien aktuell, versioniert, freigegeben. Matproof automatisiert einen großen Teil dieser Vorbereitung.

Die Tagessätze akkreditierter Auditoren in Deutschland liegen bei 1.500-2.500 EUR. Typisches Erstaudit für ein Unternehmen mit 100 MA: Stage 1 (1-2 Tage, 3.000-5.000 EUR), Stage 2 (3-5 Tage, 7.500-12.500 EUR). Summe: 10.000-17.500 EUR. Jährliche Überwachungsaudits: 1-2 Tage, 3.000-5.000 EUR jeweils. Rezertifizierung: 2-3 Tage, 5.000-7.500 EUR. Zertifizierungsstellen wie TÜV Süd, TÜV Rheinland, DEKRA, DQS, LRQA bieten vergleichbare Preise — Angebote vergleichen spart typisch 20-30 %.

Nur Audit-Gesellschaften, die von einer nationalen Akkreditierungsstelle (in Deutschland: DAkkS) für ISO 27001 akkreditiert sind, dürfen Zertifikate ausstellen. Auditoren benötigen eigene Qualifikationen: IRCA-, BSI- oder ISC2-Zertifizierungen wie CISA, CISM, ISO 27001 Lead Auditor. Vor der Auswahl eines Auditors prüfen: aktuelle DAkkS-Akkreditierung (öffentlich auf dakks.de), Referenzen in Ihrem Sektor, Sprachkompetenz (DE/EN), Verfügbarkeit innerhalb Ihres Zeitplans. Matproof hat ein Partner-Netzwerk aus akkreditierten Audit-Gesellschaften.

Fünf Bereiche: (1) Auditfähige Nachweis-Pakete auf Knopfdruck — vollständig, indiziert, mit Zeitstempel. (2) SoA- und Risikoanalyse-Templates, die automatisch aktualisiert werden, wenn Controls sich ändern. (3) Pre-Audit-Checkliste, die typische Non-Conformities pro-aktiv warnt. (4) Prüfer-Portal mit zeitlich begrenztem Read-only-Zugriff — kein Nachweis-Hin-und-Her per E-Mail. (5) Internes Audit-Modul mit Workflow-Unterstützung.