ISO 27001 Pre-Audit-Checkliste: 2 Wochen vor Stage 2

Stage 2 ist in zwei Wochen. Diese 22-Punkte-Checkliste geht alles durch, was Auditoren typischerweise prüfen — fehlt ein Punkt, beheben Sie ihn jetzt.

Zwei Wochen vor Stage 2. Zeit, keine grundlegenden Dinge mehr aufzubauen — wohl aber zu prüfen, ob alles stimmt. Gehen Sie diese 22 Punkte durch.

Dokumentation

\n
1. Security Policy auf aktuellem Stand, Verantwortlicher benannt, jährliches Review-Datum eingeplant.
\n
2. Statement of Applicability aktuell (alle Annex-A-Controls: implemented / NA + Begründung).
\n
3. Alle 8–12 Richtlinien auf korrekter Versionsnummer, Changelog sichtbar.
\n
4. Risk Register: Review-Datum im letzten Quartal.
\n
5. Asset-Liste aktuell (einschließlich SaaS-Inventar).
\n

Operative Nachweise

\n
6. Letztes Access Review durchgeführt, PDF-Bericht mit Entscheidungen und Unterschriften.
\n
7. Privileged-Access-Inventar aktuell, letztes Review innerhalb der letzten 3 Monate.
\n
8. Letzte 2 Offboardings vollständig dokumentiert.
\n
9. Onboarding-Prozess für mindestens 1 kürzlich eingestellte Person vollständig.
\n
10. Backup-Test durchgeführt, Nachweis der Wiederherstellung vorhanden.
\n
11. Vorfallsregister des letzten Quartals vorhanden (auch „nichts passiert" muss eingetragen sein).
\n

Governance

\n
12. Letztes Management Review innerhalb von 12 Monaten, Protokoll vorhanden.
\n
13. Internes Audit abgeschlossen, Bericht vorhanden, Feststellungen abgeschlossen oder in Bearbeitung.
\n
14. Schulungsprotokoll: Alle Mitarbeitenden haben dieses Jahr Security Awareness absolviert.
\n
15. Dokument zu Rollen und Verantwortlichkeiten (CISO-Rolle besetzt, auch wenn das der Geschäftsführer selbst ist).
\n

Technik

\n
16. MFA auf kritischen Systemen erzwungen (M365 Admin, Buchhaltung, Cloud-Infrastruktur).
\n
17. Passwort-Richtlinie durchgesetzt (mindestens Mindestlänge + Blocking häufig verwendeter Passwörter).
\n
18. Patches: OS/Browser-Patches des letzten Quartals auf > 95 % der Geräte eingespielt.
\n
19. Anti-Malware auf allen Endgeräten.
\n
20. Festplattenverschlüsselung auf allen Firmen-Laptops aktiviert.
\n

Verträge

\n
21. Auftragsverarbeitungsverträge mit Kernlieferanten vorhanden (siehe Verarbeitungsverzeichnis).
\n
22. Vertraulichkeits- und Sicherheitsklauseln in Arbeitsverträgen enthalten.
\n

Alles abgehakt → Sie sind bereit für Stage 2.