A.5 Organisatorische Maßnahmen
Unabhängige Überprüfung der Informationssicherheit
Der Ansatz der Organisation zur Steuerung der Informationssicherheit und dessen Umsetzung müssen in geplanten Abständen oder bei wesentlichen Änderungen unabhängig überprüft werden.
Was fordert dieses Control?
Der Ansatz der Organisation zur Steuerung der Informationssicherheit und dessen Umsetzung müssen in geplanten Abständen oder bei wesentlichen Änderungen unabhängig überprüft werden.
Warum ist das wichtig?
Eine unabhängige Sicht deckt blinde Flecken auf, die intern übersehen werden. Sie ist Voraussetzung für glaubwürdige Wirksamkeitsaussagen und die Zertifizierung.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 1.2.3 | Direkt |
| BSI | ISMS.1.A11 | Direkt |
Was der Auditor erwartet
- 1Geplante unabhängige Überprüfungen (interne Audits)
- 2Unabhängigkeit der Prüfer von den geprüften Bereichen
- 3Nachverfolgung der Auditergebnisse
Audit-Checkliste
Dokumente
Auditprogramm
Geplante interne Audits mit Umfang und Intervall
Nachweise
Auditberichte
Durchgeführte Audits mit Feststellungen und Maßnahmen
Interviews
Interne Auditoren
Unabhängigkeit und Vorgehen
Praxis-Tipps zur Umsetzung
Unabhängigkeit sichern
Prüfer dürfen nicht den eigenen Verantwortungsbereich auditieren.
Programmbasiert planen
Audits über ein mehrjähriges Programm steuern, nicht ad hoc.
Feststellungen verfolgen
Abweichungen mit Maßnahmen und Fristen konsequent nachhalten.
Häufige Fehler
Prüfer prüft sich selbst
Mangelnde Unabhängigkeit entwertet das Audit.
Berichte ohne Folgen
Feststellungen werden dokumentiert, aber nicht abgearbeitet.
Häufig gestellte Fragen
Muss die Überprüfung extern sein?
Nicht zwingend, sie muss aber unabhängig sein. Interne Audits durch unabhängige Personen genügen.
Wie oft sind interne Audits nötig?
In geplanten Abständen, üblich ist mindestens jährlich, plus anlassbezogen bei großen Änderungen.
Wer darf interne Audits durchführen?
Geschulte Personen, die unabhängig vom geprüften Bereich sind, intern oder extern beauftragt.
So hilft CompliantDesk bei A.5.35
Planen Sie interne Audits, dokumentieren Sie Feststellungen und verfolgen Sie Korrekturmaßnahmen im Gap-Tracker mit Fristen.