Audit-Readiness: 90 Tage bis zur ISO-27001-Prüfung

Der Zertifizierungstermin steht, das Datum rückt näher – und plötzlich beschleicht viele ISMS-Verantwortliche das ungute Gefühl, dass zwischen „ISMS aufgebaut" und „audit-ready" eine ganze Welt liegt. Genau hier setzt die ISO 27001 Audit Readiness an: die letzte, oft unterschätzte Phase, in der ein dokumentiertes Managementsystem zu einem nachweislich wirksamen wird. Wer diese Phase strukturiert angeht, geht souverän ins Audit. Wer sie unterschätzt, riskiert Nichtkonformitäten, Nachprüfungen und Verzögerungen.

Dieser Leitfaden gibt Ihnen einen konkreten 90-Tage-Plan an die Hand – in drei klaren Phasen, mit Meilensteinen, typischen Stolpersteinen und den häufigsten Gründen, an denen Audits scheitern. Er setzt voraus, dass Ihr ISMS im Kern bereits steht; es geht jetzt um die letzten drei Monate bis zur Prüfung. Geschrieben aus der Praxis zahlreicher Zertifizierungsbegleitungen im Mittelstand.

Worum es bei Audit-Readiness wirklich geht

Audit-Readiness ist nicht „noch ein paar Dokumente fertigstellen". Es ist der Nachweis, dass Ihr ISMS funktioniert – über einen gewissen Zeitraum, mit echten Daten, echten Entscheidungen und echten Korrekturen. Ein Zertifizierungsaudit prüft drei Dinge:

• Konformität: Erfüllen Sie die Anforderungen der ISO/IEC 27001:2022 – die Kapitel 4 bis 10 und die relevanten Controls aus Anhang A?
• Implementierung: Sind die Maßnahmen nicht nur dokumentiert, sondern auch umgesetzt?
• Wirksamkeit: Funktioniert das ISMS – gibt es Nachweise, dass es überwacht, bewertet und verbessert wird?

Der dritte Punkt ist der schwierigste und der Grund, warum man Audit-Readiness nicht über Nacht herstellt. Wirksamkeit braucht Historie: ein durchgeführtes internes Audit, ein abgehaltenes Management-Review, dokumentierte Korrekturmaßnahmen, gemessene Kennzahlen. Diese Nachweise entstehen über Wochen – deshalb 90 Tage und nicht 9.

Merksatz
Ein Auditor zertifiziert nicht Ihre Dokumente, sondern Ihr gelebtes Managementsystem. Audit-Readiness heißt: genug Betriebsspuren erzeugt zu haben, dass diese Wirksamkeit sichtbar wird.

Voraussetzung: Wo Sie zu Beginn der 90 Tage stehen sollten

Bevor Sie den 90-Tage-Countdown starten, sollte folgendes stehen: ein definierter Scope, eine durchgeführte Risikobeurteilung, eine Risikobehandlung, ein erster Entwurf der Anwendbarkeitserklärung (SoA) und die wesentlichen Richtlinien. Fehlt davon noch viel, sind Sie nicht in der Readiness-Phase, sondern noch im Aufbau – und sollten zuerst eine ehrliche Standortbestimmung machen. Wie das geht, beschreibt unser Beitrag Gap-Analyse ISO 27001: So finden Sie Ihre Lücken.

Ist das Fundament gelegt, gliedert sich der Weg zur Audit-Readiness in drei Phasen zu je 30 Tagen.

Phase 1 (Tag 1–30): Dokumentation und SoA finalisieren

Die erste Phase bringt Ordnung und Vollständigkeit in die dokumentierte Information. Ziel: Am Ende von Tag 30 ist die Dokumentenwelt audit-fest – konsistent, freigegeben, gelenkt.

SoA und Risikobehandlungsplan abschließen

Die Anwendbarkeitserklärung ist das meistgeprüfte Dokument im Audit. Gehen Sie jedes der 93 Controls aus Anhang A durch und stellen Sie sicher: anwendbar oder ausgeschlossen, jeweils begründet, Umsetzungsstatus realistisch dokumentiert. Jedes ausgeschlossene Control braucht eine nachvollziehbare Begründung, die zur Risikobeurteilung passt. Der Risikobehandlungsplan muss zur SoA konsistent sein – Risikoeigner müssen die Behandlung getragen haben.

Pflicht-Dokumente prüfen

Vergewissern Sie sich, dass alle zwingend geforderten Dokumente vorliegen und freigegeben sind: Scope, Informationssicherheitsleitlinie, Sicherheitsziele, Risikomethodik, SoA, Risikobehandlungsplan. Räumen Sie zugleich auf: doppelte, widersprüchliche oder unrealistische Richtlinien sind in dieser Phase zu bereinigen, bevor sie im Audit zur Last werden.

Lenkung sicherstellen

Jedes Dokument braucht Version, Datum, Freigabe und einen geordneten Ablageort. Ein zentrales Repository statt verstreuter Laufwerke spart im Audit wertvolle Zeit und vermeidet die peinliche Suche nach der „aktuellen Version".

Praxis-Tipp
Erstellen Sie eine Dokumenten-Matrix: Welches Norm-Kapitel verlangt welches Dokument, wo liegt es, welche Version, wann zuletzt geprüft. Diese eine Tabelle beantwortet im Audit die Hälfte aller Dokumentationsfragen und signalisiert dem Auditor Reife.

Phase 2 (Tag 31–60): Internes Audit und Wirksamkeitsnachweise

Jetzt entstehen die Betriebsspuren, die Wirksamkeit belegen. Diese Phase ist das Herzstück – und der häufigste Schwachpunkt unvorbereiteter Organisationen.

Internes Audit durchführen (Kap. 9.2)

Das interne Audit ist normative Pflicht und das wichtigste Wirksamkeitsinstrument vor der Zertifizierung. Es prüft, ob Ihr ISMS den Anforderungen der Norm und Ihren eigenen Vorgaben entspricht – und ob es wirksam ist. Wichtig: Das interne Audit muss unabhängig durchgeführt werden. Wer das ISMS aufgebaut hat, sollte es nicht selbst auditieren. Im Mittelstand übernimmt das oft eine externe Stelle oder eine fachlich qualifizierte Person aus einem anderen Bereich.

Dokumentieren Sie ein Auditprogramm, einen Auditplan, die Durchführung und einen Auditbericht mit Feststellungen. Die hier gefundenen Abweichungen sind kein Makel – sie sind der Beweis, dass Ihr ISMS funktioniert. Ein internes Audit ohne einen einzigen Befund wirkt auf Zertifizierungsauditoren unglaubwürdig.

Korrekturmaßnahmen einleiten (Kap. 10.2)

Zu jeder Abweichung aus dem internen Audit gehört eine Reaktion: Ursachenanalyse, Korrekturmaßnahme, Verantwortlicher, Termin, Wirksamkeitsprüfung. Genau dieser Kreislauf – Befund, Analyse, Korrektur, Nachweis – ist es, was einen Auditor überzeugt. Beginnen Sie sofort, damit zum Management-Review erste Maßnahmen bereits gegriffen haben.

Kennzahlen und Messergebnisse sammeln (Kap. 9.1)

Belegen Sie, dass Sie überwachen und messen: Phishing-Klickraten, Patch-Stände, Incident-Zahlen, Rezertifizierungsquoten, Awareness-Teilnahmen. Sammeln Sie Awareness-Nachweise und Schulungsbelege. Diese Daten füttern das Management-Review in Phase 3.

Praxis-Tipp
Behandeln Sie Befunde aus dem internen Audit als Geschenk, nicht als Versagen. Eine ehrliche Liste aus zehn kleinen, sauber bearbeiteten Abweichungen ist im Zertifizierungsaudit deutlich wertvoller als der unglaubwürdige Anspruch, alles sei perfekt.

Phase 3 (Tag 61–90): Management-Review und Pre-Audit

Die letzte Phase bündelt die Nachweise auf Leitungsebene und prüft die Audit-Reife unter realistischen Bedingungen.

Management-Review durchführen (Kap. 9.3)

Die Managementbewertung ist Pflicht und ein zentrales Prüffeld. Die oberste Leitung bewertet das ISMS anhand definierter Eingaben: Ergebnisse des internen Audits, Status der Korrekturmaßnahmen, Kennzahlen und Zielerreichung, Veränderungen der Risikolage, Rückmeldungen interessierter Parteien. Das Ergebnis – Entscheidungen zu Verbesserungen, Ressourcen und Änderungen am ISMS – wird protokolliert. Dieses Protokoll ist ein Pflichtnachweis und belegt das Engagement der Leitung (Kap. 5.1), das Auditoren besonders kritisch prüfen.

Pre-Audit / internes Probe-Audit

Ein Pre-Audit simuliert das Zertifizierungsaudit unter realen Bedingungen. Ein erfahrener Prüfer geht den Scope durch, stellt Auditorenfragen, prüft Nachweise und deckt Lücken auf, solange noch Zeit zur Korrektur ist. Das Pre-Audit ist die wertvollste Versicherung gegen böse Überraschungen – und nimmt dem Team die Audit-Angst, weil es den Ablauf einmal real durchgespielt hat.

Letzte Korrekturen und Audit-Logistik

Die Restzeit nutzen Sie, um offene Befunde zu schließen, Nachweise final zu ordnen und die Logistik zu klären: Wer ist Ansprechpartner für welches Thema, wo liegen die Nachweise, wer steht dem Auditor als Interviewpartner zur Verfügung.

Rollen, Ressourcen und Zeitbudget realistisch planen

Ein 90-Tage-Plan funktioniert nur, wenn die Zeit dafür auch tatsächlich vorhanden ist. Der häufigste Grund für gescheiterte Readiness ist nicht fehlendes Wissen, sondern fehlende Kapazität: Der ISMS-Verantwortliche soll die Vorbereitung „nebenbei" zum Tagesgeschäft stemmen. Das geht in den letzten 90 Tagen selten auf.

Planen Sie deshalb von Beginn an konkrete Verantwortlichkeiten und Zeitfenster:

• ISMS-Verantwortlicher: koordiniert den Gesamtplan und stellt die Dokumentation fertig. In der heißen Phase sollten dafür mehrere Tage pro Woche eingeplant sein.
• Interner Auditor (unabhängig): plant und führt das interne Audit durch – nicht identisch mit der Person, die das ISMS aufgebaut hat.
• Fachbereiche und IT: liefern Nachweise, stehen für Interviews bereit und setzen Korrekturmaßnahmen um.
• Geschäftsleitung: nimmt am Management-Review teil und trifft die geforderten Entscheidungen. Ohne diese Beteiligung fehlt ein zentraler Pflichtnachweis.

Praxis-Tipp
Reservieren Sie die Termine für internes Audit, Management-Review und Pre-Audit ganz am Anfang der 90 Tage fest im Kalender – idealerweise mit der Geschäftsleitung. Diese drei Termine sind die Fixpunkte, um die herum alles andere geplant wird. Werden sie erst spät angesetzt, verschiebt sich erfahrungsgemäß die ganze Kette.

Ein realistisch geplantes Zeitbudget unterscheidet die souveräne Vorbereitung von der Last-Minute-Hektik. Wer die 90 Tage als das ernst nimmt, was sie sind – eine eigene Projektphase mit eigenen Ressourcen –, betritt das Audit deutlich gelassener.

Das eigentliche Audit: Stufe 1 und Stufe 2

Ein ISO-27001-Zertifizierungsaudit läuft in zwei Stufen ab – das sollten Sie kennen, um die Readiness richtig zu takten:

• Stufe-1-Audit (Dokumentenprüfung / Readiness-Review): Der Auditor prüft, ob Ihre Dokumentation vollständig und das ISMS grundsätzlich auditreif ist – also vor allem Scope, Leitlinie, SoA, Risikobeurteilung und das interne Audit. Stufe 1 ist faktisch der Realitätscheck Ihrer Audit-Readiness. Findet der Auditor hier gravierende Lücken, wird Stufe 2 verschoben.
• Stufe-2-Audit (Zertifizierungsaudit / Wirksamkeitsprüfung): Der Auditor prüft vor Ort die tatsächliche Implementierung und Wirksamkeit – durch Interviews, Stichproben und Nachweissichtung. Hier zeigt sich, ob das ISMS gelebt wird.

Zwischen Stufe 1 und Stufe 2 liegen typischerweise einige Wochen – Zeit, um in Stufe 1 erkannte Lücken zu schließen. Wer den 90-Tage-Plan sauber durchgezogen hat, geht in Stufe 1 ohne Überraschungen.

Häufige Nichtkonformitäten – und wie Sie sie vermeiden

Aus der Audit-Praxis kennen wir die immer gleichen Stolpersteine. Wer sie kennt, kann gezielt gegensteuern:

1. Kein oder unvollständiges internes Audit. Der Klassiker. Ohne durchgeführtes, dokumentiertes internes Audit fehlt ein Pflichtnachweis – fast immer eine Hauptabweichung.
2. Fehlendes oder oberflächliches Management-Review. Ein Review ohne die normativ geforderten Eingaben oder ohne Leitungsbeteiligung wird beanstandet.
3. SoA inkonsistent zur Risikobeurteilung. Ausgeschlossene Controls ohne Begründung oder Widersprüche zwischen SoA, Risikobehandlung und gelebter Praxis.
4. Dokumentation gepflegt, aber nicht gelebt. Verfahren, die niemand so durchführt – im Interview fliegt das sofort auf.
5. Korrekturmaßnahmen ohne Wirksamkeitsnachweis. Eine Maßnahme „eingeleitet" zu haben genügt nicht; die Norm verlangt den Nachweis, dass sie gewirkt hat.
6. Awareness nur auf dem Papier. Eine Richtlinie zu Awareness ohne Schulungsnachweise und ohne messbare Wirkung.

Praxis-Tipp
Unterscheiden Sie Haupt- und Nebenabweichungen. Nebenabweichungen (minor) gefährden die Zertifizierung in der Regel nicht – Sie liefern dafür einen Korrekturplan nach. Hauptabweichungen (major) müssen vor der Zertifikatserteilung geschlossen werden. Ziel der Audit-Readiness ist, Major-Abweichungen vollständig zu vermeiden.

Wie welabs Sie zur Audit-Readiness führt

Die letzten 90 Tage entscheiden über Erfolg oder teure Verzögerung. Hier zahlt sich Erfahrung aus: zu wissen, worauf Auditoren wirklich schauen, welche Nachweise zählen und wie ein internes Audit zugleich gründlich und konstruktiv wird. welabs bringt diese Konzern-Auditerfahrung in pragmatischer Form in den Mittelstand.

Wir unterstützen Sie konkret bei:

• Finalisierung von Dokumentation und SoA – wir machen Ihre dokumentierte Information audit-fest und konsistent. Mehr dazu auf unserer Seite Compliance & ISMS.
• Unabhängigem internen Audit – wir auditieren Ihr ISMS normkonform und unabhängig und liefern einen verwertbaren Auditbericht.
• Vorbereitung des Management-Reviews – wir bereiten die Eingaben auf, sodass die Leitung in kurzer Zeit eine belastbare Bewertung trifft.
• Pre-Audit – wir simulieren das Zertifizierungsaudit und decken Lücken auf, solange noch Zeit bleibt.
• Strategic Security Advisor (SSA) – Begleitung über das Audit hinaus, damit Sie auch das jährliche Überwachungsaudit souverän bestehen.

Ihr Audittermin steht und Sie wollen kein Risiko eingehen? Vereinbaren Sie ein kostenloses Erstgespräch – wir schätzen Ihre Audit-Readiness ehrlich ein.

Fazit

Audit-Readiness ist kein Endspurt-Sprint, sondern eine strukturierte Phase, in der Ihr ISMS von „dokumentiert" zu „nachweislich wirksam" reift. Der 90-Tage-Plan teilt diesen Weg in beherrschbare Schritte: Dokumentation und SoA finalisieren, internes Audit und Korrekturmaßnahmen durchführen, Wirksamkeitsnachweise sammeln und mit Management-Review und Pre-Audit krönen. Jede Phase erzeugt die Betriebsspuren, die ein Auditor sehen will.

Wer diesen Weg sauber geht, betritt das Stufe-1- und Stufe-2-Audit nicht als Bittsteller, sondern als jemand, der nachweisen kann, dass sein Managementsystem lebt. Die häufigsten Nichtkonformitäten – fehlendes internes Audit, oberflächliches Management-Review, gelebte Lücken – sind allesamt vermeidbar, wenn man die letzten 90 Tage ernst nimmt. Dann wird die Zertifizierung zur verdienten Bestätigung statt zum Glücksspiel.