Audit-Readiness: Warum Dokumentation allein nicht ausreicht

Viele Schweizer KMU sind überzeugt, gut auf ein Audit vorbereitet zu sein. Richtlinien existieren, Prozesse sind beschrieben, ein ISMS wurde aufgebaut. Doch Audit-Readiness bedeutet mehr als vollständige Dokumentation – sie zeigt, ob eine Organisation ihre Risiken tatsächlich steuert und Verantwortung im Alltag lebt. Gerade bei Anforderungen wie ISO 27001 oder dem IKT-Minimalstandard entscheidet nicht die Menge der Dokumente, sondern ob Prozesse wirklich funktionieren.

Warum Audit-Readiness häufig überschätzt wird

In meiner Beratungstätigkeit treffe ich regelmässig auf Unternehmen, die sich gut vorbereitet fühlen. Die Realität im Audit sieht jedoch oft anders aus.

Typische Aussagen vor einem Audit:

• «Unsere Richtlinien sind vollständig.»

• «Die Verantwortung ist klar geregelt.»

• «Wir haben ein ISMS aufgebaut.»

Diese Aussagen stimmen häufig – zumindest auf dem Papier. Doch Auditoren stellen eine andere Frage: Funktioniert das System auch im Alltag?

Ein Informationssicherheits-Managementsystem (ISMS) ist kein Dokumentationsprojekt. Es ist ein Steuerungsinstrument für Risiken. Wenn Prozesse nur beschrieben, aber nicht gelebt werden, entsteht eine gefährliche Lücke zwischen Theorie und Realität – und diese Diskrepanz wird im Audit schnell sichtbar.

Typische Beobachtungen aus Audits: Realität vs. Dokumentation

In zahlreichen Projekten zeigen sich immer wieder dieselben Muster.

Richtlinien existieren, aber niemand kennt sie

Viele Organisationen verfügen über umfangreiche Richtliniensammlungen. Das Problem: Mitarbeitende kennen die Inhalte nicht, Führungskräfte können sie nicht erklären, und im Alltag werden Prozesse anders umgesetzt. Ein Auditor erkennt diese Lücke schnell. Die entscheidende Frage lautet nicht «Existiert eine Richtlinie?», sondern «Wird sie verstanden und angewendet?»

Rollen sind definiert, aber Verantwortlichkeiten nicht gelebt

Formell existieren Rollen wie Informationssicherheitsbeauftragte, IT-Verantwortliche oder Risiko-Owner. Doch im Gespräch zeigt sich: Entscheidungswege sind unklar, Zuständigkeiten überschneiden sich, Verantwortung wird implizit weitergegeben. Gerade aus Sicht der Geschäftsleitung ist das kritisch. Informationssicherheit ist ein Unternehmensrisiko – und damit Teil der Führungsverantwortung. Die Geschäftsleitung muss jederzeit beantworten können: Welche Risiken bestehen? Welche Massnahmen laufen? Welche Prioritäten wurden gesetzt?

Risiken wurden bewertet, aber nicht priorisiert

Viele Unternehmen führen Risikoanalysen durch – doch häufig bleiben diese theoretisch. Risikolisten mit dutzenden Einträgen, keine klare Priorisierung, kein Bezug zur Geschäftsstrategie. Ein funktionierendes Risikomanagement beantwortet eine zentrale Frage: Welche Risiken gefährden den Geschäftsbetrieb wirklich? Erst wenn diese Prioritäten klar sind, können gezielt Massnahmen umgesetzt werden.

Dokumentation ist umfangreich, aber nicht auditfähig

Ein häufiger Irrtum: Dokumentation wird mit Auditfähigkeit gleichgesetzt. In Wirklichkeit kann zu viel Dokumentation Audits sogar erschweren. Auditoren prüfen, ob Dokumente aktuell sind, nachvollziehbar angewendet werden und mit der Realität übereinstimmen. Wenn Prozesse im Alltag anders funktionieren als beschrieben, entstehen sofort kritische Befunde.

Was Auditoren tatsächlich prüfen

Viele Organisationen erwarten, dass Audits primär Dokumente kontrollieren. In Wirklichkeit prüfen Auditoren vor allem drei Dinge:

• Nachvollziehbarkeit – Können Entscheidungen und Massnahmen logisch erklärt werden?

• Konsistenz – Passen Richtlinien, Prozesse und Umsetzung zusammen?

• Führung – Versteht das Management seine Verantwortung für Risiken?

Gerade der dritte Punkt wird oft unterschätzt. Informationssicherheit ist keine reine IT-Aufgabe. Sie ist Teil der Unternehmensführung und Risikosteuerung. Die Geschäftsleitung muss Prioritäten setzen, Risiken akzeptieren oder reduzieren und Verantwortung transparent tragen.

Audit-Readiness beginnt im Management

In vielen Organisationen wird die Auditvorbereitung an IT oder Compliance delegiert. Doch echte Auditfähigkeit entsteht an anderer Stelle: in der Führungsebene.

Eine auditfähige Organisation zeichnet sich durch fünf Eigenschaften aus:

1. Transparenz über Risiken – Die Geschäftsleitung kennt die wichtigsten Informations- und Cyberrisiken.

2. Klare Verantwortlichkeiten – Rollen und Entscheidungswege sind eindeutig definiert.

3. Verständliche Prioritäten – Massnahmen werden nach Risiko und Wirkung priorisiert.

4. Nachvollziehbare Dokumentation – Dokumente spiegeln die Realität wider.

5. Gelebte Prozesse – Sicherheitsprozesse sind Teil des Alltags, nicht nur Teil eines Audits.

Der Unterschied zwischen Compliance und Resilienz

Viele Organisationen fokussieren sich stark auf Compliance. Doch Compliance allein schafft noch keine Sicherheit. Der entscheidende Unterschied:

Compliance bedeutet: Anforderungen erfüllen, Dokumentation erstellen, Audits bestehen.

Resilienz bedeutet: Risiken aktiv steuern, Prozesse leben, Krisen bewältigen.

Organisationen, die diesen Unterschied verstehen, profitieren doppelt: Audits verlaufen deutlich entspannter, und Sicherheitsmassnahmen wirken tatsächlich.

Praxisbeispiel: Energieversorger

Ein Energieversorger mit rund 80 Mitarbeitenden stand kurz vor einem Audit nach IKT-Minimalstandard. Richtlinien waren vorhanden, ein ISMS war dokumentiert. Im Gespräch mit der Geschäftsleitung zeigte sich jedoch: Die wichtigsten Cyberrisiken waren nicht bekannt, Verantwortlichkeiten waren unklar, und die Dokumentation entsprach nicht mehr der gelebten Praxis.

In einem strukturierten Vorbereitungsprozess wurden die kritischen Risiken priorisiert, Verantwortlichkeiten klar zugewiesen und die Dokumentation auf den tatsächlichen Betrieb abgestimmt. Das Ergebnis: Das Audit verlief ohne wesentliche Befunde – und die Geschäftsleitung hatte erstmals einen klaren Überblick über die eigene Sicherheitslage.

Audit-Readiness als Führungsaufgabe

Audit-Readiness ist keine Frage der Dokumentation. Sie zeigt, ob eine Organisation ihre Risiken versteht, Verantwortung übernimmt und Sicherheit im Alltag verankert hat. Der erste Schritt ist einfach: Stellen Sie sich und Ihrer Geschäftsleitung diese fünf Fragen:

• Können wir unsere wichtigsten Cyberrisiken in drei Minuten erklären?

• Wissen wir, wer im Ernstfall entscheidet?

• Sind unsere Prioritäten klar definiert?

• Entsprechen unsere Dokumente der Realität?

• Würde ein Auditor dieselbe Sicht auf unsere Organisation haben?

Wenn mehrere dieser Fragen nicht klar beantwortet werden können, lohnt sich ein genauer Blick – bevor es der Auditor tut.

Bereit für Ihr nächstes Audit?

SecuraNova unterstützt KMU dabei, Audit-Readiness aufzubauen – pragmatisch, verständlich und auf die tatsächlichen Risiken ausgerichtet. Ob ISMS-Aufbau, IKT-Minimalstandard oder ISO 27001: Wir begleiten Sie von der Analyse bis zur Auditbegleitung.

Nehmen Sie Kontakt auf und erfahren Sie, wo Ihre Organisation heute steht.

Häufig gestellte Fragen

Was bedeutet Audit-Readiness konkret?
Audit-Readiness bedeutet, dass eine Organisation jederzeit nachweisen kann, dass ihre Sicherheitsprozesse nicht nur dokumentiert, sondern auch gelebt werden. Auditoren prüfen Nachvollziehbarkeit, Konsistenz und Führungsverantwortung – nicht nur Papierstapel.

Wer ist in einem KMU für Audit-Readiness verantwortlich?
Die Verantwortung liegt bei der Geschäftsleitung. Zwar können Aufgaben an IT oder Compliance delegiert werden, doch die Führungsebene muss die wichtigsten Risiken kennen, Prioritäten setzen und Entscheidungen treffen können.

Was ist der Unterschied zwischen einem ISMS und Audit-Readiness?
Ein ISMS ist das Steuerungsinstrument für Informationssicherheit. Audit-Readiness beschreibt den Zustand, in dem dieses System tatsächlich funktioniert – also Prozesse gelebt werden, Verantwortlichkeiten klar sind und Dokumente der Realität entsprechen.

Wie lange dauert die Vorbereitung auf ein Audit?
Das hängt vom aktuellen Reifegrad ab. Organisationen, die bereits ein ISMS betreiben, benötigen oft nur eine gezielte Lückenanalyse und Anpassungen. Wer von Grund auf aufbaut, sollte sechs bis zwölf Monate einplanen – je nach Grösse und Komplexität.