Welche Nachweise brauche ich für ein Kundenaudit?

1. Erst den Prüfauftrag eingrenzen

Eine vollständige Dokumentensammlung ist selten der beste Einstieg. Klären Sie zunächst mit dem Auftraggeber:

• Leistung und Grenzen: Welche Dienstleistung, Systeme, Standorte und Unterauftragnehmer gehören zur Prüfung? Was liegt beim Kunden?
• Kriterien: Geht es um Vertragsanforderungen, Informationssicherheit, Datenschutz oder bestimmte Vorgaben eines regulierten Kunden?
• Zeitraum und Methode: Welcher Zeitraum wird betrachtet? Sind Dokumentensichtung, Interviews, Stichproben oder ein Vor-Ort-Termin vorgesehen?
• Prüfrechte und Empfänger: Wer darf was einsehen, wer erhält den Bericht und wie werden vertrauliche Informationen behandelt?

Das gilt für Unternehmen jeder Größe ebenso wie für Organisationen und Behörden, die Leistungen erbringen oder Dienstleister prüfen. Bei öffentlichen Auftraggebern können zusätzliche vertragliche und fachliche Vorgaben relevant sein. Die jeweilige Rolle und der konkrete Auftrag bestimmen den Umfang.

Ein Kundenaudit ist keine Zertifizierung. Auch ein vorhandenes ISO-27001-Zertifikat beantwortet nicht automatisch alle Kundenfragen. Prüfen Sie Geltungsbereich, Gültigkeit und Bezug zur tatsächlich beauftragten Leistung.

2. Welche Nachweise typischerweise helfen

Die folgende Übersicht ist eine Auswahl. Nicht jeder Auftrag benötigt jeden Nachweis. Entscheidend ist jeweils die Verbindung zwischen Anforderung, Regelung und belegter Anwendung.

Leistungsumfang und Verantwortung

Leistungsbeschreibung, relevante Vertragsanlagen, Zuständigkeiten und eine Übersicht der beteiligten Systeme und Dienstleister. Daraus muss hervorgehen, wer welche Aufgaben übernimmt und wo die Verantwortung des Kunden beginnt.

Risiken und Sicherheitsregeln

Eine auf die Leistung bezogene Risikobewertung und die dazu passenden freigegebenen Regeln. Eine kurze, gepflegte Regelung ist hilfreicher als ein umfangreiches Handbuch, das den tatsächlichen Ablauf nicht beschreibt.

Zugänge und Berechtigungen

Beispielsweise eine genehmigte Zugriffsanforderung, der dokumentierte Entzug eines Zugangs und das Ergebnis einer Berechtigungsprüfung. Umfang und Zeitraum der Stichprobe sollten erkennbar sein.

Sicherer Betrieb und Wiederherstellung

Je nach Leistung: freigegebene Änderungen, Nachweise zur Behandlung von Schwachstellen, Sicherungsprotokolle und Ergebnisse von Wiederherstellungstests. Ein erfolgreiches Backup allein zeigt noch nicht, dass die Wiederherstellung im benötigten Umfang funktioniert.

Vorfälle und Notfallvorsorge

Zuständige Kontakte, Melde- und Eskalationswege, ein geeigneter Notfallplan sowie ausgewählte Übungs- oder Bearbeitungsnachweise. Sind im betrachteten Zeitraum keine relevanten Vorfälle bekannt, halten Sie das mit dem Zeitraum und der geprüften Informationsgrundlage fest. Eine dokumentierte Übung kann den Ablauf veranschaulichen; sie ist getrennt von tatsächlich aufgetretenen Vorfällen auszuweisen.

Unterauftragnehmer und Datenschutz

Relevante Dienstleister, Leistungs- und Datenflüsse, Bewertungen und vereinbarte Anforderungen. Bei Auftragsverarbeitung kommen insbesondere die dafür maßgeblichen Vereinbarungen und technischen und organisatorischen Maßnahmen in Betracht. Eine allgemeine Lieferantenliste ersetzt keine Bewertung kritischer Abhängigkeiten.

Offene Feststellungen und Maßnahmen

Frühere Befunde, Verantwortliche, Prioritäten, Termine und vorhandene Abschluss- oder Wirksamkeitsnachweise. Ein Maßnahmenplan zeigt den Umgang mit einer Lücke. Er belegt noch nicht deren Behebung.

Schulungs- und Verpflichtungsnachweise, Zertifikate oder externe Prüfberichte können ergänzen. Ihre Aussagekraft hängt davon ab, welche Personen, Leistungen und Zeiträume sie tatsächlich abdecken.

3. Anforderung und Beleg in einer Übersicht verbinden

Für einen überschaubaren Auftrag kann eine gepflegte Tabelle mit Verweisen auf Ihre vorhandene Ablage genügen. Nutzen Sie Verweise auf Tickets, Dokumentenmanagement oder ISMS, damit Unterlagen nur an einer Stelle gepflegt werden müssen.

• Anforderung und Herkunft, etwa Vertragsanlage oder Prüffrage
• Betroffene Leistung und zuständige Person
• Regelung und Beleg der Anwendung mit Version, Datum und Ablageort
• Status, bekannte Einschränkungen und noch notwendige Klärung
• Freigabe und vereinbarter Weg der Einsichtnahme

Fehlt ein historischer Nachweis, kennzeichnen Sie das offen. Eine heutige Prüfung kann den aktuellen Zustand verbessern, aber keine rückwirkend durchgeführte Kontrolle belegen. Unterlagen dürfen nicht rückdatiert oder als früher vorhanden dargestellt werden.

4. Wie viel Prüftiefe ist angemessen?

Unternehmensgröße allein ist kein Maß für das Risiko. Ein kleiner Dienstleister mit privilegiertem Zugang zu kritischen Systemen kann eine vertiefte Prüfung benötigen. Umgekehrt muss eine begrenzte, wenig kritische Leistung nicht mit dem vollständigen Prüfprogramm eines Großunternehmens behandelt werden.

• Begrenzte Leistung, geringe Abhängigkeit: Eine klare Leistungsbeschreibung, benannte Verantwortliche und gezielte Belege zu den relevanten Kontrollen können ausreichen.
• Sensible Daten oder weitreichende Zugänge: Berechtigungen, technische Schutzmaßnahmen, Personalprozesse und Vorfallbearbeitung genauer prüfen und durch geeignete Stichproben belegen.
• Kritische Leistung oder hohe regulatorische Anforderungen: Zusätzlich können Wiederanlauf, Unterauftragnehmer, Ausstiegsmöglichkeiten, Wirksamkeitstests und vertiefte Prüfungen erforderlich sein.

Diese Abstufungen sind Orientierungshilfen, keine gesetzlichen Kategorien. Verbindliche Anforderungen bleiben einzuhalten. Angemessenheit bedeutet, den nötigen Prüfaufwand zu begründen und auf relevante Risiken zu konzentrieren.

5. Nachweise zugänglich machen, Informationen schützen

Stimmen Sie einen geeigneten Austausch ab: beispielsweise geschützte Bereitstellung, freigegebene Auszüge oder Einsichtnahme im Prüfgespräch. Entfernen Sie nicht erforderliche personenbezogene Daten und Geheimnisse anderer Kunden. Lassen Sie den für die Prüfung notwendigen Inhalt erkennbar.

Vertraulichkeit darf bestehende Prüfrechte nicht pauschal aushebeln. Bei Auftragsverarbeitung muss der Auftragsverarbeiter nach Artikel 28 Absatz 3 Buchstabe h DSGVO die erforderlichen Informationen bereitstellen und Überprüfungen einschließlich Inspektionen ermöglichen und unterstützen. Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen eines erfassten Finanzunternehmens unterstützen, verlangt DORA besondere vertragliche Zugangs-, Inspektions- und Auditrechte. Die vereinbarte Form der Einsicht muss diese Rechte wahren.

Ist eine vollständige Herausgabe problematisch, klären Sie mit dem berechtigten Empfänger eine zulässige Alternative. Eine Schwärzung darf beispielsweise keine für die Prüfung wesentliche Feststellung verdecken. Eine Vertraulichkeitsvereinbarung allein macht die Weitergabe sämtlicher Unterlagen noch nicht erforderlich oder zulässig.

6. Fiktives Beispiel: Fernwartung für einen regulierten Kunden

Illustratives Beispiel, keine Kundenreferenz: Ein kleiner IT-Dienstleister wartet eine Anwendung. Der Kunde möchte prüfen, wie Administrationszugänge abgesichert und nach Personalwechseln entzogen werden.

Der Dienstleister grenzt zuerst die Fernwartungsleistung und die beteiligten Systeme ab. Für die vereinbarte Stichprobe stellt er die Zugangsregel, eine genehmigte Einrichtung, den Nachweis der eingesetzten Mehrfaktor-Authentifizierung und einen dokumentierten Zugriffsentzug zusammen. Technische Details werden kontrolliert eingesehen.

Für eine vertraglich verlangte regelmäßige Berechtigungsprüfung fehlt jedoch der Nachweis. Der Dienstleister benennt die Lücke, prüft aktuelle Rechte und legt Verantwortung und Termin für den künftigen Ablauf fest. Die heutige Prüfung wird mit ihrem tatsächlichen Datum dokumentiert. Ob der Kunde diesen Zwischenstand akzeptieren kann, ist anhand der geltenden Anforderungen und des verbleibenden Risikos zu klären.

Der Nutzen: Der Kunde erhält eine prüfbare Aussage zu seiner Leistung. Der Dienstleister muss dafür nicht vorsorglich sämtliche internen Dokumente offenlegen oder ein neues Managementsystem einführen.

7. Vor dem Audit einmal gemeinsam durchgehen

1. Prüfkriterien bestätigen: Sind Leistung, Zeitraum, Zugänge und Prüfrechte geklärt?
2. Belege durchsehen: Sind sie aktuell, auffindbar und für den vereinbarten Zeitraum aussagekräftig?
3. Offene Punkte benennen: Sind fehlende Belege, Abweichungen und geplante Maßnahmen unterscheidbar?
4. Gesprächspartner vorbereiten: Können die Verantwortlichen den tatsächlichen Ablauf erläutern und einen Vorgang zeigen?
5. Ergebnisse nachhalten: Wer nimmt Feststellungen auf, klärt Sachverhalte und verfolgt Maßnahmen nach?

Wenn vor dem Audit ein Sicherheitsfragebogen auszufüllen ist, sollte er auf denselben freigegebenen Arbeitsstand verweisen. Wie Sie dabei Aussagen und Zusagen sauber trennen, erläutert der Beitrag zu Sicherheitsfragebögen.