Das IT-Sicherheitsaudit 2026: Umfang, Methodik und rechtliche Anforderungen

Audit, Bewertung, Schwachstellenscan und Pentest sind nicht dasselbe

In Ausschreibungen werden diese Begriffe oft synonym verwendet, obwohl sie zu unterschiedlichen Nachweisen und Schlussfolgerungen führen:

• Ein Audit bewertet die Konformität mit festgelegten Kriterien: einer Vorschrift, einer Norm, einem Vertrag oder einer internen Regelung. Es umfasst Plan, Stichprobenauswahl, Sammlung von Nachweisen, Feststellungen und einen förmlichen Bericht. Es kann ein Managementsystem, einen Prozess oder ein konkretes Informationssystem betreffen.
• Eine Sicherheitsbewertung verfolgt meist ein breiteres oder stärker diagnostisches Ziel. Sie kann den Entwurf von Maßnahmen und deren Wirksamkeit prüfen, ohne ein förmliches Konformitätsurteil abzugeben. NIST SP 800-53A liefert konfigurierbare Verfahren zur Bewertung von Maßnahmen, ist aber für sich genommen keine polnische Rechtspflicht.^[4]
• Ein Schwachstellenscan erkennt bekannte Schwachstellen und Konfigurationsfehler. Das Ergebnis eines Scanners bedarf der Prüfung, der Feststellung der Exposition und der Bewertung seiner Bedeutung für die Organisation.
• Ein Penetrationstest prüft, ob vereinbarte Angriffsszenarien praktisch umsetzbar sind. Er erfordert Regeln der Durchführung, die Zustimmung des Systemeigentümers und einen Plan für den Fall einer Störung. NIST SP 800-115 beschreibt Stärken und Grenzen der Testverfahren.^[11]
• Ein Zertifizierungsaudit ist ein besonderes Audit durch Dritte, durchgeführt von einer akkreditierten Zertifizierungsstelle. Weder ein internes Audit noch ein Beraterbericht ist ein Zertifikat.

Eine Untersuchungsform ersetzt die andere nicht automatisch. Ein Audit kann zeigen, dass die Organisation einen Prozess zum Schwachstellenmanagement hat, aber erst ein Scan oder ein technischer Test liefert Nachweise über konkrete Schwachstellen. Ein Pentest kann einen Angriffspfad aufzeigen, bestätigt für sich genommen aber nicht die Konformität eines ganzen Managementsystems.

Zuerst Zweck, Kriterien und Umfang

Ein gutes Vorhaben beginnt mit einem kurzen Initiierungsdokument. Es sollte festlegen:

• den Zweck: etwa die Bewertung der Konformität mit § 19 der KRI-Verordnung, die Bereitschaft für ein ISO/IEC-27001-Audit oder die Wirksamkeit ausgewählter Maßnahmen;
• die Kriterien: die genauen Rechtsakte, Vertragsbestimmungen, Richtlinien, Normfassungen und freigegebenen Konfigurationsstandards;
• den organisatorischen und technischen Umfang: Einheiten, Prozesse, Standorte, Systeme, Dienstleister, Schnittstellen und Daten;
• den betrachteten Zeitraum: wesentlich unter anderem für die Durchsicht von Protokollen, Vorfällen, Änderungen, Berechtigungen und Wiederherstellungstests;
• Ausschlüsse und Einschränkungen: samt Begründung und Auswirkung auf die Belastbarkeit der Schlussfolgerungen;
• die Regeln des Zugangs zu Nachweisen: ausschließlich lesende Rechte, Übertragungskanal für Dateien, Aufbewahrung, Verschlüsselung und Löschung von Arbeitskopien.

Die Formulierung "Audit der Konformität mit ISO 27001, NIS2 und DSGVO" ist noch kein Umfang. Jedes dieser Dokumente hat einen anderen Charakter, andere Adressaten und einen anderen Weg des Konformitätsnachweises. Zuerst ist festzustellen, welche Anforderungen die Organisation tatsächlich betreffen.

Wie ein belastbares Audit abläuft

ISO 19011:2026 beschreibt die Grundsätze des Auditierens von Managementsystemen, die Steuerung eines Auditprogramms, die Durchführung eines Audits und die Kompetenz von Auditoren.^[1] ISO/IEC 27007:2020 führt diese Leitlinien für Audits eines Informationssicherheits-Managementsystems weiter aus.^[2] In der Praxis sollte der Prozess umfassen:

1. Planung: Risikoanalyse der Untersuchung, Kriterien, Stichprobe, Zeitplan, Rollen und Kommunikationsregeln;
2. Durchsicht der Dokumentation: nicht um Verfahren zu zählen, sondern um die vorgesehene Arbeitsweise und die Eigentümer der Maßnahmen festzustellen;
3. Interviews und Beobachtung: ein Gespräch zeigt, wie ein Prozess wirken soll, doch eine Aussage allein ist kein hinreichender Nachweis;
4. Untersuchung einer Stichprobe: etwa Benutzerkonten, Änderungen, Sicherungskopien, Vorfälle, Geräte und Lieferantenverträge;
5. technische Prüfung: Auslesen von Konfigurationen, Abfragen an Systeme, Durchsicht von Protokollen und, nach gesonderter Freigabe, auch aktive Tests;
6. Triangulation: Abgleich von Dokument, Systemzustand und tatsächlichem Handeln der Menschen. Eine Abweichung ist oft aussagekräftiger als ein fehlendes Dokument;
7. Abstimmung der Sachverhalte und Bericht: die auditierte Stelle darf einen Sachfehler richtigstellen, sollte aber nicht über die Streichung einer ordnungsgemäß belegten Feststellung verhandeln;
8. Nacharbeit: Maßnahmenplan, Risikoakzeptanz und erneute Prüfung der wichtigsten Feststellungen.

Eine Stichprobe gibt hinreichende, nicht absolute Sicherheit. Der Bericht soll ihren Umfang und die Art der Auswahl benennen. Wurden 12 von 900 Konten geprüft, darf nicht geschrieben werden, "alle Konten sind korrekt"; beschreiben lässt sich das Ergebnis der Stichprobe und die Grenze des Rückschlusses.

Was in den Umfang eines IT-Sicherheitsaudits fallen kann

Der Umfang richtet sich nach Zweck und Risiko. Die vollständige Liste ist kein Pflichtpaket für jedes Vorhaben, üblicherweise werden jedoch erwogen:

• Sicherheits-Governance, Verantwortung der Leitung, Risiko und Kennzahlen;
• Inventar der Werte, Eigentümer, Informationsklassifizierung und Datenflüsse;
• Identitäten, Lebenszyklus von Konten, privilegierter Zugang, MFA und Funktionstrennung;
• Arbeitsplätze, Server, Mobilgeräte, Netze, Segmentierung und Fernadministration;
• Cloud- und SaaS-Dienste, Konfiguration der Mandanten, Schlüssel, Protokollierung sowie Verantwortungsteilung mit dem Anbieter;
• sichere Entwicklung und Wartung von Anwendungen; OWASP ASVS 5.0.0 kann einen Satz überprüfbarer Anforderungen für Webanwendungen bilden.^[13]
• Verwaltung von Schwachstellen, Aktualisierungen, Konfiguration und Ausnahmen vom Standard;
• Sicherungskopien, Wiederherstellungstests, Betriebskontinuität und Abhängigkeiten von der Infrastruktur;
• Überwachung, Protokolle, Erkennung sowie Behandlung und Meldung von Vorfällen;
• Lieferanten, Lieferkette, Vertragsbedingungen, Auditrecht und Beendigung der Leistung;
• physische und umgebungsbezogene Sicherheit, soweit sie für das untersuchte System bedeutsam ist.

CIS Controls v8.1 hilft, Prioritäten bei den Maßnahmen zu setzen, CIS Benchmarks helfen bei der Bewertung der Konfiguration konkreter Technologien. Beide sind jedoch weder mit einer Auditmethodik noch mit einer Rechtsvorschrift austauschbar.^[12]

Wie Feststellungen und Risiko zu beschreiben sind

Jede wesentliche Feststellung sollte mindestens enthalten: Kriterium, Sachverhalt, Nachweis, Umfang der Stichprobe, Ursache, mögliche Folge und Empfehlung. Im Maßnahmenplan werden zusätzlich Eigentümer, Frist und Art der Bestätigung der Umsetzung benötigt.

Zwei Achsen dürfen nicht vermengt werden:

• Konformität: ob eine Anforderung erfüllt, teilweise erfüllt oder nicht erfüllt ist;
• Risiko: Eintrittswahrscheinlichkeit, geschäftliche Folge, Exposition und bestehende Maßnahmen.

Der Verstoß gegen eine Pflicht kann formal wesentlich sein, auch wenn das technische Risiko gering ist. Umgekehrt entspricht ein ernster Angriffspfad womöglich keiner einzelnen "Abweichung" auf einer Prüfliste. CVSS 4.0 beschreibt die technische Schwere einer Schwachstelle; FIRST lässt finanzielle, regulatorische und reputationsbezogene Folgen ausdrücklich außerhalb der Basisbewertung. Ein CVSS-Wert allein ist deshalb keine Risikobewertung der Organisation.^[14]

Was der Bericht enthalten sollte

• eine Zusammenfassung für die Leitung: die wichtigsten Risiken, Entscheidungen und Abhängigkeiten, ohne technische Überfrachtung;
• Zweck, Kriterien, Umfang, Daten und Methoden: damit auch ein anderer sachkundiger Leser die Grundlage der Schlussfolgerungen versteht;
• Einschränkungen: fehlende Nachweise, Ausschlüsse, nicht verfügbare Systeme und deren Einfluss auf den Grad der Sicherheit;
• Feststellungen mit nachvollziehbarem Nachweis: ohne Preisgabe von Geheimnissen in dem für einen weiteren Empfängerkreis bestimmten Teil;
• Prioritäten der Behebung: unter Berücksichtigung von Risiko, Rechtspflicht, Abhängigkeiten und Machbarkeit;
• einen gesonderten technischen Anhang: wenn detaillierte Adressen, Konfigurationen oder Nachweise das Offenlegungsrisiko erhöhen würden;
• einen Plan der erneuten Prüfung: der festlegt, welche Nachweise eine Feststellung schließen.

Ein Bericht sollte weder "vollständige Sicherheit" versprechen noch das Ausbleiben eines Vorfalls garantieren. Er beschreibt einen Zustand zu einem bestimmten Zeitpunkt und in einem bestimmten Umfang, auf Grundlage der verfügbaren Nachweise.

Wie Methodiken und Kriterien zu wählen sind

• ISO 19011:2026: allgemeine Leitlinien zum Auditieren von Managementsystemen; sie ersetzten die Ausgabe von 2018.^[1]
• ISO/IEC 27007:2020: Leitlinien für Programm und Durchführung von ISMS-Audits sowie für die Kompetenz von Auditoren.^[2]
• ISO/IEC 27001:2022: Anforderungen an ein ISMS; kann Auditkriterium sein. Eine Organisation kann die Norm ohne Zertifizierung umsetzen.^[3]
• NIST SP 800-53A Rev. 5: Verfahren zur Bewertung von Sicherheits- und Datenschutzmaßnahmen, an Zweck und Risikotoleranz anpassbar.^[4]
• NIST CSF 2.0: ordnet die erwarteten Ergebnisse des Cybersicherheitsmanagements und eignet sich gut für Ist- und Zielprofile; es ist selbst keine Zertifizierung.^[5]

Eine Abbildung zwischen Methodiken hilft, Doppelarbeit zu vermeiden, belegt aber keine automatische Konformität. Eine Maßnahme kann mehrere Anforderungen teilweise stützen, und diese Anforderungen können sich in Adressatenkreis und Nachweisbedarf unterscheiden.

Was aus KRI, KSC/NIS2, DSGVO und DORA tatsächlich folgt

KRI. Die geltende Verordnung vom 21. Mai 2024 verpflichtet Einrichtungen mit öffentlichen Aufgaben, ein regelmäßiges internes Audit der Informationssicherheit mindestens einmal jährlich sicherzustellen. Die Grundlage findet sich in § 19 Abs. 2 Nr. 14, nicht in § 20; § 20 betrifft gegenwärtig Nachvollziehbarkeit und Systemprotokolle. § 19 Abs. 3 benennt die polnischen Normen PN-ISO/IEC der Reihe 27000 als einen Weg, die Anforderungen als erfüllt anzusehen. Eine allgemeine Zertifizierungspflicht wird damit nicht begründet.^[6]

KSC nach der Umsetzung von NIS2. Das Änderungsgesetz trat am 3. April 2026 in Kraft. Der geänderte Artikel 15 Abs. 1 verpflichtet eine wesentliche Einrichtung zu einem Sicherheitsaudit des zur Leistungserbringung genutzten Informationssystems mindestens alle drei Jahre. Das erste Audit fällt grundsätzlich in die 24 Monate nach Erfüllung der Voraussetzungen; Einrichtungen, die sie am Tag des Inkrafttretens erfüllten, haben 24 Monate ab diesem Datum. Die Behörde kann bei einer wesentlichen Einrichtung jederzeit ein externes Audit anordnen, bei einer wichtigen Einrichtung nach einem erheblichen Vorfall oder einem anderen Gesetzesverstoß. Den Bericht übermittelt die wesentliche Einrichtung der zuständigen Behörde elektronisch binnen drei Arbeitstagen nach Erhalt.^[7] NIS2 gibt den Aufsichtsbehörden die Befugnis zu regelmäßigen und gezielten Audits wesentlicher Einrichtungen, führt selbst aber kein allgemeines "jährliches Audit" für jede Organisation ein.^[8]

DSGVO. Artikel 32 Abs. 1 Buchst. d verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen, soweit angemessen. Die DSGVO legt weder eine einheitliche Frequenz fest noch benennt sie das Audit als einzig zulässige Form. Der Prüfplan soll sich aus Risiko, Art der Daten und Änderungen der Verarbeitung ergeben.^[10]

DORA. Die Verordnung gilt seit dem 17. Januar 2025. Bei Finanzunternehmen, die keine Kleinstunternehmen sind, unterliegt der Rahmen für das IKT-Risikomanagement einem regelmäßigen internen Audit gemäß dem Auditplan, wobei Häufigkeit und Umfang dem IKT-Risiko entsprechen müssen. Die Anforderung von TLPT mindestens alle drei Jahre betrifft ausschließlich die von den zuständigen Behörden nach Artikel 26 benannten Unternehmen, nicht jedes von DORA erfasste Unternehmen.^[9]

Diese Pflichten können sich überlagern. Ein jährliches KRI-Audit ersetzt nicht automatisch das gesetzliche KSC-Audit, und ein TLPT ist kein Synonym für ein ISMS-Audit. Im Programm der Konformitätssicherung ist anzugeben, welcher Nachweis welche Anforderung abdeckt.

Audit aus der Ferne, vor Ort oder hybrid

Ein belastbares allgemeines Verhältnis von "70 Prozent aus der Ferne, 30 Prozent vor Ort" gibt es nicht. Die Form der Untersuchung richtet sich nach Nachweisen und Risiko. Dokumente, Konfigurationsexporte, Protokolle und Interviews lassen sich häufig aus der Ferne bewerten. Ein Besuch kann erforderlich sein für physische Sicherungen, die Arbeit des Personals, abgeschottete OT-Umgebungen, die Lagerung von Datenträgern oder dann, wenn ein Nachweis aus der Ferne keine hinreichende Sicherheit gibt.

Diese Unterscheidung hat eine Grundlage in der Methodik. Die vierte Ausgabe der ISO 19011, im Mai 2026 veröffentlicht und die Ausgabe von 2018 ersetzend, baut genau die Leitlinien zu Fernmethoden, virtuellen Standorten und einem risikobasierten Vorgehen aus ^[1]. Die Norm bleibt ein Leitfaden und keine Anforderungsnorm: Man wird nicht gegen sie zertifiziert, und sie schreibt keine bestimmte Untersuchungsform vor. Entscheidend ist, ob die gewählte Methode Nachweise erbringt, die für die gezogene Schlussfolgerung ausreichen.

Fernarbeit sollte einen freigegebenen Kanal, personenbezogene Konten mit minimalen Rechten, Protokollierung des Zugriffs und eine festgelegte Aufbewahrung der Materialien nutzen. Vollständige Datenbanken, Schlüssel oder Passwörter an den Auditor zu übergeben, ist üblicherweise nicht nötig. Besser sind kontrollierte Exporte, ausschließlich lesende Sitzungen und die Vorlage der Nachweise durch den Systemeigentümer.

Unabhängigkeit, Kompetenz und Vertraulichkeit

Ein Auditor soll gegenüber dem untersuchten Bereich unparteiisch sein, was jedoch nicht jede frühere Zusammenarbeit automatisch ausschließt. Ein Konflikt wird konkret bewertet: wer die Maßnahme entworfen hat, wer sie betreibt, wer die Feststellungen freigibt und ob die Vergütung vom Ergebnis abhängt. Für gesetzliche Audits können zusätzliche Bedingungen gelten. Nach dem KSC-Gesetz darf eine Person, die in der untersuchten Einrichtung die in Artikel 8 sowie 9 bis 13 genannten Aufgaben wahrnimmt oder im Vorjahr wahrgenommen hat, das Audit nach Artikel 15 nicht durchführen.^[7]

Vor Vertragsschluss lohnt sich die Prüfung der Erfahrung in Branche und Technologie, der Art der Stichprobenauswahl, der Qualitätsdurchsicht der Berichte sowie der Verfahren zum Schutz der Nachweise. Ein persönliches Zertifikat kann einen bestimmten Wissensbereich belegen, ersetzt aber weder Erfahrung noch die Bewertung von Interessenkonflikten.