ISO 19011

Definition

ISO 19011:2018 ist der internationale Leitfaden zur Auditierung von Managementsystemen und beschreibt, wie Audits geplant, durchgeführt, berichtet und nachverfolgt werden und welche Kompetenzen Auditorinnen und Auditoren dafür benötigen. Anders als ISO/IEC 27001 ist die Norm ausdrücklich ein Leitfaden und kein Anforderungsdokument: Eine Organisation kann sich nicht „nach ISO 19011 zertifizieren" lassen. Zertifiziert werden können nur Personen, die ihre Auditkompetenz nachgewiesen haben. Die Norm gilt für interne Audits (First-Party) und für Audits bei Lieferanten (Second-Party); für Zertifizierungsaudits durch akkreditierte Stellen gilt stattdessen ISO/IEC 17021-1. Die Fassung von 2018 löste die Ausgabe von 2011 ab und ergänzte insbesondere den risikobasierten Ansatz als siebtes Auditprinzip.

Rechtsgrundlage

ISO 19011 ist kein Gesetz und wird im BSIG nicht namentlich genannt. Ihre Relevanz ergibt sich mittelbar: § 30 Abs. 1 BSIG verlangt Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen, und der interne Audit ist dafür das etablierte Instrument. Betreiber kritischer Anlagen müssen die Wirksamkeit ihrer Maßnahmen nach § 39 BSIG gegenüber dem BSI nachweisen, wozu prüffähige Auditergebnisse gehören. ISO/IEC 27001:2022 fordert in Abschnitt 9.2 interne Audits in geplanten Abständen, überlässt die methodische Ausgestaltung aber dem Anwender — ISO 19011 und die ISMS-spezifische ISO/IEC 27007 sind hierfür die etablierten Leitfäden. Die Norm gliedert sich in Abschnitt 5 (Steuerung des Auditprogramms), Abschnitt 6 (Durchführung eines Audits) und Abschnitt 7 (Kompetenz und Bewertung von Auditoren).

Praktische Implikation

Für NIS2-betroffene Einrichtungen ist ISO 19011 vor allem dort praktisch, wo aus einer Pflicht ein belastbarer Nachweis werden muss. Legen Sie ein Auditprogramm über mehrere Jahre an, statt einzelne Audits anlassbezogen anzusetzen: Nur so lässt sich zeigen, dass alle wesentlichen Bereiche turnusmäßig abgedeckt wurden. Achten Sie auf die Unabhängigkeit der prüfenden Person — wer einen Prozess selbst verantwortet, darf ihn nicht auditieren; in kleinen Organisationen ist das der häufigste Grund, einen externen Auditor hinzuzuziehen. Halten Sie Auditfeststellungen faktengestützt fest, also mit konkretem Beleg statt allgemeiner Einschätzung, und verfolgen Sie jede Abweichung bis zum dokumentierten Wirksamkeitsnachweis nach. Der risikobasierte Ansatz der Fassung 2018 erlaubt es, Prüftiefe und Häufigkeit dort zu erhöhen, wo das Risiko liegt, statt alle Bereiche gleich zu behandeln. Genau diese Struktur ist es, die im Ernstfall den Unterschied zwischen einer vorzeigbaren Auditakte und einer Sammlung von Einzelprotokollen ausmacht.

Verwandte Begriffe

• ISO 27001
• Zertifizierung
• Nachweispflicht
• ISMS