Compliance-Audits bei IT-Dienstleistern: ISMS-Wissen und Personalkompetenz prüffest dokumentieren

In ISO-27001-Audits sehen die Zertifizierer regelmäßig saubere Policies, ordentliche Risikoregister und gepflegte Asset-Inventare — und vergeben trotzdem Major-Findings im Bereich Annex A.6 (Organisation) und A.7 (Personalsicherheit). Der Grund: Die Kontrollen verlangen Awareness- und Kompetenznachweise auf operativer Ebene. Wenn der Auditor einen zweiten Mitarbeiter zum Incident-Response-Verfahren befragt und der nur die Policy zitieren kann — nicht aber die in den letzten zwei Jahren tatsächlich aufgetretenen Eskalationen erklären — wird das als unzureichende Wirksamkeit der Kontrolle gewertet.

Wer ein Audit ohne Eskalation bestehen will, braucht deshalb nicht mehr Dokumente, sondern verlässlich verteiltes Wissen. Genau das ist die typische Lücke bei IT-Dienstleistern, in denen ISMS-Manager, DSB und Internal Auditor häufig auf eine einzige Person fallen.

TISAX (VDA-ISA) ist für IT-Dienstleister mit Automotive-Bezug Pflicht — und enthält gegenüber ISO 27001 zusätzliche Anforderungen an Prototypenschutz, Datenklassifikation und Personalkompetenz. Insbesondere die Kontrollen 1.2 (Awareness), 1.3 (Schulung) und 7 (Lieferanten) verlangen rollenbezogene Kompetenznachweise, die im Audit konkret abgefragt werden. Erfahrungsgemäß scheitern Re-Labeling-Audits nicht an formalen Lücken, sondern daran, dass der Auditor in Interviews mit operativen Mitarbeitern keine konsistenten Antworten zur Datenklassifikation oder zum Umgang mit Prototypeninformationen erhält.

BusFactor erfasst rollenbezogenes Audit- und Kontroll-Wissen strukturiert: Welche Annex-A-Kontrollen liegen in welcher Verantwortung? Welche Findings hat es in den letzten Audits gegeben? Welche Maßnahmen wurden mit welcher Begründung gewählt? Diese Daten landen in einer Wissensbasis, die der designierte Stellvertreter im Audit-Interview nutzen kann — nicht als Spickzettel, sondern als strukturiertes Hintergrundwissen, das ihn durch ein Auditor-Gespräch trägt. Die Mapping-Tabelle zwischen ISO 27001 Annex A, TISAX-Kontrollen und unseren Wissensbereichen geben wir Auditoren direkt im Audit-Walkthrough.