ISO 27001:2022 · A.5.35 · A.5 Organisatorische Maßnahmen
Unabhängige Überprüfung der Informationssicherheit
Der Ansatz der Organisation zur Steuerung der Informationssicherheit und dessen Umsetzung müssen in geplanten Abständen oder bei wesentlichen Änderungen unabhängig überprüft werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Der Ansatz der Organisation zur Steuerung der Informationssicherheit und dessen Umsetzung müssen in geplanten Abständen oder bei wesentlichen Änderungen unabhängig überprüft werden.
Warum ist das wichtig?
Eine unabhängige Sicht deckt blinde Flecken auf, die intern übersehen werden. Sie ist Voraussetzung für glaubwürdige Wirksamkeitsaussagen und die Zertifizierung.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Wirksamkeitsbewertung | Direkt |
| TISAX | 1.2.3 | Überprüfung | Direkt |
| BSI | ISMS.1.A11 | Revision | Direkt |
Was der Auditor erwartet
- Geplante unabhängige Überprüfungen (interne Audits)
- Unabhängigkeit der Prüfer von den geprüften Bereichen
- Nachverfolgung der Auditergebnisse
Audit-Checkliste
Dokumente
AuditprogrammGeplante interne Audits mit Umfang und Intervall
Nachweise
AuditberichteDurchgeführte Audits mit Feststellungen und Maßnahmen
MaßnahmenverfolgungNachverfolgung der Feststellungen mit Verantwortlichen und Fristen
UnabhängigkeitsnachweisBeleg, dass der Prüfer nicht den eigenen Bereich auditiert hat
Interviews
Interne AuditorenUnabhängigkeit und Vorgehen
Praxis-Tipps zur Umsetzung
Unabhängigkeit sichernPrüfer dürfen nicht den eigenen Verantwortungsbereich auditieren.
Programmbasiert planenAudits über ein mehrjähriges Programm steuern, nicht ad hoc.
Feststellungen verfolgenAbweichungen mit Maßnahmen und Fristen konsequent nachhalten.
Häufige Fehler
Prüfer prüft sich selbstMangelnde Unabhängigkeit entwertet das Audit.
Berichte ohne FolgenFeststellungen werden dokumentiert, aber nicht abgearbeitet.
Häufig gestellte Fragen
Muss die Überprüfung extern sein?
Nicht zwingend, sie muss aber unabhängig sein. Interne Audits durch unabhängige Personen genügen.
Wie oft sind interne Audits nötig?
In geplanten Abständen, üblich ist mindestens jährlich, plus anlassbezogen bei großen Änderungen.
Wer darf interne Audits durchführen?
Geschulte Personen, die unabhängig vom geprüften Bereich sind, intern oder extern beauftragt.
So hilft CompliantDesk bei A.5.35
Planen Sie interne Audits, dokumentieren Sie Feststellungen und verfolgen Sie Korrekturmaßnahmen im Gap-Tracker mit Fristen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten