Die nächste Auditfrage kommt bestimmt. Haben Sie auch die passenden Nachweise?
Viele Unternehmen haben bereits technische und organisatorische Sicherheitsmaßnahmen umgesetzt – eine Firewall ist installiert, Backups laufen, Richtlinien existieren. Trotzdem fehlt in der Praxis häufig ein belastbarer Gesamtüberblick. Und genau dieser Überblick ist es, der im Ernstfall über Bestehen oder Scheitern eines Audits entscheidet.
| Ein Audit prüft nicht nur, ob Maßnahmen existieren – sondern ob sie nachweisbar wirksam sind. |
Warum einzelne Maßnahmen im Audit nicht ausreichen
In einem Audit reicht es nicht aus, auf eine Firewall, eine Datensicherung oder vorhandene Richtlinien zu verweisen. Auditoren fragen nicht nur, ob eine Maßnahme existiert, sondern ob sie in ein nachvollziehbares Gesamtsystem eingebettet ist. Entscheidend ist, ob Ihr Unternehmen belegen kann:
- welche Anforderungen für Ihr Unternehmen überhaupt gelten;
- welche Risiken bekannt sind und wie sie bewertet wurden;
- wer konkret für die Umsetzung der einzelnen Maßnahmen verantwortlich ist;
- wie die Umsetzung dieser Maßnahmen kontrolliert wird;
- und ob die Maßnahmen in der Praxis tatsächlich wirksam sind – nicht nur auf dem Papier.
Genau dieser letzte Punkt wird häufig unterschätzt. Wie eine regelmäßige, dokumentierte Bewertung der Wirksamkeit aussehen sollte, erläutern wir in unserem Beitrag Management Review in der Informationssicherheit – Wer schreibt ihn und warum ist er so wichtig?.
Nachweise sind mehr als ein Zertifikat an der Wand
Ein Zertifikat oder ein Prüfsiegel allein sagt noch nichts über die tatsächliche Sicherheitslage eines Unternehmens aus. Entscheidend ist der dahinterliegende Nachweis: Prüfberichte, Geltungsbereiche, Risikoanalysen und Verantwortlichkeiten müssen im Zweifel vorgelegt werden können. Worauf es bei der Bewertung solcher Nachweise wirklich ankommt – und warum nicht jedes Siegel hält, was es verspricht – lesen Sie in unserem Artikel „Zertifiziert" – oder nur gut behauptet? Wie Fake-Zertifikate Unternehmen ins Risiko bringen.
Der Bezug zu NIS2
Auch die NIS2-Richtlinie verlangt ausdrücklich nachvollziehbare Nachweise zur Informationssicherheit – etwa durch Zertifikate, Audits oder strukturierte Selbstauskünfte. Das gilt nicht nur für das eigene Unternehmen, sondern zunehmend auch entlang der Lieferkette, wo Auftraggeber ihrerseits Nachweise von ihren Dienstleistern einfordern. Mehr dazu, warum die Lieferkette selbst zum Sicherheitsrisiko werden kann, lesen Sie in unserem Beitrag Warum die Lieferkette zum Risiko wird – und wie NIS2 reagiert.
Warum ISO 27001 und NIS2 gemeinsam gedacht werden sollten
Wer bereits über ein Informationssicherheits-Managementsystem nach ISO 27001 verfügt oder den Aufbau plant, profitiert davon auch bei der Umsetzung der NIS2-Anforderungen: Viele Kontrollen überschneiden sich inhaltlich erheblich. Eine strukturierte Gegenüberstellung beider Regelwerke haben wir in unserer Mapping-Tabelle NIS2 zu ISO 27001:2022 zusammengestellt.
Unser Basis-Check ISO 27001 + NIS2
Genau hier setzt unser Basis-Check ISO 27001 + NIS2 an. Wir bewerten Ihre Ausgangssituation, identifizieren Schwachstellen in Ihrem bestehenden Sicherheitskonzept und entwickeln gemeinsam mit Ihnen einen priorisierten Fahrplan für die nächsten Schritte – technisch, organisatorisch und juristisch. So wissen Sie nicht nur, welche Maßnahmen bereits greifen, sondern auch, wo im Ernstfall eines Audits noch Nachweislücken bestehen.
Sie möchten wissen, wie gut Ihr Unternehmen vorbereitet ist? Sprechen Sie uns unverbindlich an.
