Internes Audit

Audit: KRITIS, B3S, § 8a BSIG, KritisV, BAIT, IT-SiKat, ISO 27019, § 11 1a & 1b EnWG, VAIT, ISO 27001, ISO 27002, VDA-ISA

Unternehmen sind im Rahmen des Informationssicherheitsmanagementsystems (ISMS) gemäß ISO/IEC 27001 dazu verpflichtet, in geplanten Abständen interne Audits durchzuführen. Das erklärte Ziel dieser Prüfungen ist es festzustellen, ob die Normanforderungen sowie die eigenen internen Vorgaben erfüllt werden und das ISMS auch wirklich gelebt wird. Die Durchführung solcher Audits stellt gerade für kleine und mittelständische Unternehmen (KMU) eine Herausforderung dar, besonders wenn sie aufgrund der geringen Mitarbeiteranzahl die Unabhängigkeit des internen Auditors vom auditierten Umfeld und Tätigkeit nicht gewährleisten können. In solchen Fällen und insbesondere wenn der Fokus auf der Identifikation von Verbesserungspotentialen liegt, empfiehlt es sich die Prüfung des Managementsystems durch einen externen berufenen Auditor durchführen zu lassen.

 

Auditor ≠ Auditor

 

Im Bereich der Informationssicherheit gibt es leider keine gesetzlich geschützte Berufsbezeichnung für die Tätigkeit des Auditors. So ist es möglich, dass Personen diesen Titel führen, die ausschließlich eine Schulung von wenigen Tagen absolviert haben. Gleiches gilt für Berater, die in ihrer beruflichen Laufbahn noch keine operative Verantwortung im Bereich der IT-Sicherheit sowie Informationssicherheit innehatten und trotz der fehlenden eigenen Praxis ihren Kunden den Weg weisen. Wer selbst operativ in der IT tätig ist, weiß das die besagte Praxis sich oft anders verhält als es die Theorie es vorsieht. Gerade das empirische Wissen ist für die Prüfung der Norm ISO/IEC 27001 und Identifikation von Verbesserungspotentialen von großer Bedeutung. Besonders da im Gegensatz zu einigen anderen populären Normen, wie zum Beispiel der ISO/IEC 9001, die ISO/IEC 27001 einen Anhang mit Maßnahmen besitzt.

 

Die von der DAkkS akkreditierten Stellen haben diesen Umstand unlängst erkannt und stellen deshalb klare Anforderungen an ihre Auditoren, bevor diese berufen werden und im Namen der Zertifizierungsstelle tätig werden dürfen.

Anforderungen an berufene Auditoren:

  • Abgeschlossenes Studium im einschlägigen Bereich sowie 4 Jahre Berufserfahrung im Bereich der IT, davon mindestens 2 Jahre in der Informationssicherheit oder ohne Studium 8 Jahre Berufserfahrung im Bereich der Informationssicherheit
  • Nachgewiesene Kenntnisse in den Bereichen IT-Sicherheit, IT-Risikomanagement, IT-Compliance, Informationssicherheits- und Datenverarbeitungssysteme
  • Auditorenausbildung und erfolgreicher Abschluss des Trainee-Programms

Vorteile der internen Prüfung durch einen berufenen Auditor:

  • Unzweifelhafte Compliance mit den Normvorgaben für die Durchführung von internen Audits
  • Hohe Sach- und Fachkenntnisse
  • Objektive Bewertung auf dem Niveau eines Zertifizierungsaudits
  • Effizientes und routiniertes Vorgehen bei der Durchführung des Audits

Als berufener Auditor, der bereits für mehrere prüfende Stellen tätig ist, freue ich mich darauf Sie bei Ihrem internen Audit unterstützen zu dürfen!

Schwerpunkte und Branchen:

Automobil, Banken, Ernährung, Energie, Finanzen, Handel, Industrie, IT, Logistik, Medien, Rechtsberatung, Steuerberatung, Telekommunikation, Versicherung

Berufen für...

  • ISO 27001, Informationssicherheit
  • B3S KRITIS, Kritische Infrastrukturen (§8a BSIG)
  • IT-Sicherheitskatalog, Energieversorger (§11 EnWG)

Im Berufungsverfahren für…