Auditor für ISO/IEC 27001 und weitere Managementsysteme

In erster Linie für akkreditierte Zertifizierungsstellen, die mich als externen Auditor für Zertifizierungs-, Überwachungs- und Rezertifizierungsaudits bei ihren Kunden einsetzen. Daneben beauftragen mich Unternehmen direkt mit internen Audits nach ISO/IEC 27001.

Ja, für interne Audits und für eine Standortbestimmung vor dem Zertifizierungsaudit. Ein Zertifizierungsaudit selbst wird immer von einer Zertifizierungsstelle beauftragt und verantwortet.

ISO/IEC 27001 (Informationssicherheit) ist mein Schwerpunkt. Ich bin Lead Auditor für ISO/IEC 27001, ISO/IEC 27701 (Datenschutz-Managementsysteme) und ISO 9001 (Qualitätsmanagement) und auditiere diese Normen einzeln oder als integriertes Audit. In Vorbereitung sind ISO/IEC 42001 (KI-Managementsysteme) und der IT-Sicherheitskatalog der Bundesnetzagentur für die Energieversorgung auf Basis von ISO/IEC 27001 und ISO/IEC 27019.

ISO/IEC 27701 beschreibt ein Datenschutz-Managementsystem (Privacy Information Management System, PIMS) für Verantwortliche und Auftragsverarbeiter. Das Audit prüft, ob der Umgang mit personenbezogenen Daten systematisch gesteuert wird: Rollen und Verantwortlichkeiten, Datenschutzrisiken, Maßnahmen und ihre Nachweise. In der Praxis wird das PIMS meist zusammen mit dem ISMS nach ISO/IEC 27001 betrieben und auditiert. Die Anforderungen sind anschlussfähig an die DSGVO, ersetzen aber keine rechtliche Prüfung.

Das interne Audit ist Teil des Managementsystems selbst (ISO/IEC 27001, Kapitel 9.2): Das Unternehmen prüft, ob sein ISMS wirksam ist und den eigenen sowie den Normanforderungen entspricht. Das Zertifizierungsaudit führt eine unabhängige Zertifizierungsstelle durch; es entscheidet über die Erteilung oder Aufrechterhaltung des Zertifikats.

Beides. Bei Zertifizierungsaudits richtet sich das nach dem Auditprogramm und den Vorgaben der Zertifizierungsstelle, bei internen Audits stimmen wir es individuell ab.

Ja. Audits sind mein Hauptfokus, aber ich berate gern beim Aufbau und Betrieb eines ISMS und bei der Vorbereitung auf die ISO 27001 Zertifizierung und übernehme die Rolle des externen Informationssicherheitsbeauftragten, bei Bedarf gemeinsam mit Partnern aus meinem Netzwerk. Aus Gründen der Unabhängigkeit auditiere ich ein Unternehmen, das ich berate, nicht im Auftrag einer Zertifizierungsstelle.

Bei Entscheidungen zu Softwareentwicklung, IT-Architektur, Informationssicherheit und Digitalisierung. Als unabhängiger Gesprächspartner für Geschäftsführung und IT-Leitung verbinde ich technische Tiefe aus über 25 Jahren IT mit Managementerfahrung als CTO.

Der externe ISB übernimmt die Rolle des Informationssicherheitsbeauftragten als Dienstleister: Er steuert das ISMS, bewertet Risiken, plant und verfolgt Maßnahmen, sensibilisiert Mitarbeitende und berichtet an die Geschäftsführung. Das ist sinnvoll für Unternehmen, die die Rolle nicht intern besetzen können oder wollen.

Vor allem kleine und mittlere Unternehmen. Durch meinen IT-Hintergrund bin ich in IT-, Software- und technologienahen Organisationen besonders zu Hause, auditiere aber branchenübergreifend.

Sorgen Sie dafür, dass Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, interne Audits und Managementbewertung aktuell und nachweisbar sind. Ein internes Audit durch einen externen Auditor zeigt vorab, wo noch Lücken liegen.

Bei Zertifizierungsaudits legt die Zertifizierungsstelle die Auditzeit nach den Akkreditierungsregeln fest, unter anderem abhängig von Mitarbeiterzahl, Standorten und Komplexität, und kalkuliert das Angebot. Interne Audits und Beratung biete ich nach Aufwand an; nach einem kurzen Erstgespräch erhalten Sie ein konkretes Angebot.