Kurzdefinition: Ein Audit ist die systematische und möglichst unabhängige Prüfung, ob Sicherheitsmaßnahmen tatsächlich umgesetzt sind und wirken. Es übersetzt das „Wir haben Maßnahmen“ in ein belegbares „Die Maßnahmen wirken nachweislich“.
Was ist ein Audit?
Eine strukturierte Prüfung von Prozessen, Systemen und Nachweisen gegen einen Maßstab — etwa interne Vorgaben, ISO/IEC 27001 oder gesetzliche Anforderungen. Ergebnis ist ein dokumentierter Befund.
Wozu dient ein Audit?
Es deckt Lücken zwischen Soll und Ist auf, bevor ein Angreifer oder eine Behörde sie findet. Zugleich schafft es die Nachweise, die im Ernstfall Sorgfalt belegen.
Was unterscheidet internes und externes Audit?
Das interne Audit prüft aus der Organisation heraus zur Selbststeuerung; das externe Audit bringt Unabhängigkeit und Glaubwürdigkeit — etwa bei Zertifizierungen oder Nachweispflichten.
Wie hängt ein Audit mit NIS-2 zusammen?
Betreiber kritischer Anlagen müssen die Umsetzung ihrer Maßnahmen durch Audits, Prüfungen oder Zertifizierungen nachweisen. Auch außerhalb der KRITIS stützen Audits die belegbare Pflichterfüllung.
Wie oft sollte auditiert werden?
Regelmäßig und anlassbezogen. Ein fester Turnus plus Prüfungen nach größeren Änderungen oder Vorfällen hält das Bild aktuell.
Häufige Fehlannahmen
- „Ein Audit ist reine Formsache.“ Nein. Es prüft die tatsächliche Wirksamkeit.
- „Einmal auditiert, immer sicher.“ Nein. Sicherheit ist ein fortlaufender Zustand.
- „Nur externe Audits zählen.“ Nein. Interne Audits sind wichtige Selbststeuerung.
- „Ein Audit ersetzt die Umsetzung.“ Nein. Es prüft sie, ersetzt sie aber nicht.
- „Audit-Ergebnisse sind unwichtig für die Haftung.“ Nein. Sie sind wertvolle Nachweise.
Was die Geschäftsleitung tun sollte
- Turnus festlegen. Regelmäßige Audits einplanen.
- Maßstab wählen. Gegen anerkannte Standards prüfen.
- Befunde abarbeiten. Feststellungen konsequent beheben.
- Nachweise sichern. Audit-Berichte revisionssicher ablegen.
Für die Geschäftsleitung
Ein Audit macht Sicherheit überprüfbar und belegbar. Wer regelmäßig prüft, Lücken schließt und die Ergebnisse dokumentiert, erfüllt Nachweispflichten und stärkt zugleich die Verteidigungsposition im Haftungsfall.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
