Direkte Antwort
Ein IT-Audit in Deutschland bedeutet in der Regel eines von drei Dingen: einen Sicherheitsfragebogen für Kunden, ein Zertifizierungsaudit nach ISO 27001 oder eine behördliche Überprüfung durch eine Aufsichtsbehörde oder das BSI. Die Vorbereitung läuft im Wesentlichen auf Dokumentation, eine saubere Bestandsaufnahme der Zugriffe und Geräte sowie den Nachweis hinaus, dass deine Kontrollmaßnahmen tatsächlich funktionieren – und nicht erst auf Lücken, die zu spät entdeckt werden.
Key Takeaways
IT-Audits in Deutschland lassen sich in der Regel in drei Kategorien einteilen: Sicherheitsfragebögen für Kunden, Zertifizierungsaudits nach ISO 27001 und behördliche Überprüfungen durch Aufsichtsbehörden – und jede erfordert eine andere Vorbereitungsstrategie.
Zu den wichtigsten Vorbereitungsschritten gehören die Erstellung revisionssicherer Unterlagen (Verzeichnis der Verarbeitungstätigkeiten, IT-Richtlinien, Netzwerkdiagramme), die Überprüfung von Zugriffsrechten und Gerätebeständen sowie das Sammeln von Nachweisen für Verschlüsselung, Offboarding und Patch-Management.
Die größten Fehler, die Unternehmen ohne eigenes IT-Team machen, sind: sich auf verstreute Tabellenkalkulationen statt auf zentrale Aufzeichnungen zu verlassen, verwaiste Konten erst während des Audits zu entdecken und zu unterschätzen, wie lange das Sammeln von Nachweisen dauert.
NIS2 ist in Deutschland bereits seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist für Sicherheitsmaßnahmen, und viele KMU sind sich nicht bewusst, dass sie in den Geltungsbereich fallen – entweder direkt oder durch Anforderungen der Lieferkette von regulierten Kunden.
Wenn du Personalverantwortlicher, Büroleiter oder Gründer eines deutschen KMU bist, hat dich wahrscheinlich niemand darauf hingewiesen, dass die Vorbereitung auf ein IT-Audit auf deinem Schreibtisch landen würde. Vielleicht hat ein neuer Unternehmenskunde einen Sicherheitsfragebogen geschickt. Vielleicht hat dein Vorstand beschlossen, dass es Zeit ist, die Zertifizierung nach ISO 27001 anzustreben. Oder vielleicht ist ein Schreiben deiner lokalen Datenschutzbehörde eingetroffen, in dem eine DSGVO-Prüfung angekündigt wird. Was auch immer der Auslöser war – die Frage ist dieselbe: Wo fängst du überhaupt an?
Dieser Leitfaden führt dich in verständlicher Sprache durch die praktischen Schritte, damit du deinem ersten IT-Audit selbstbewusst entgegensehen kannst. Wir behandeln die wichtigsten Audit-Arten, mit denen du konfrontiert wirst, die Dokumentation und Nachweise, die du benötigst, sowie die Fallstricke, in die Unternehmen ohne spezielles IT-Personal tappen. Wenn du bereits eine Plattform wie deeploi für die IT-Compliance nutzt, sind einige dieser Vorbereitungen vielleicht schon getroffen. Falls nicht, weißt du genau, was du aufbauen musst.
Auf welche Art von IT-Audit bereitest du dich eigentlich vor?
Nicht alle IT-Audits sind gleich. Die Nachweise, die ein Auditor erwartet, der Zeitrahmen, in dem du arbeiten musst, und die Folgen eines Scheiterns variieren erheblich – je nachdem, wer das Audit durchführt und warum. Bevor du anfängst, Dokumente zusammenzustellen, solltest du herausfinden, um welche Kategorie es sich handelt.
Sicherheitsfragebögen von Kunden und Lieferanten-Audits
Das ist die häufigste erste Begegnung für KMUs. Ein Unternehmenskunde oder ein potenzieller Kunde, den du unbedingt gewinnen möchtest, schickt dir einen Sicherheitsfragebogen, in dem gefragt wird, wie du mit Datenschutz, Zugriffskontrolle, Verschlüsselung und der Reaktion auf Vorfälle umgehst. Diese Fragebögen sind in den letzten Jahren immer länger und detaillierter geworden – vor allem aufgrund der NIS2-Anforderungen an die Lieferkette.
Selbst wenn dein Unternehmen unter dem NIS2-Schwellenwert liegt, sind regulierte Kunden nun verpflichtet, die Sicherheitslage ihrer Lieferanten zu überprüfen. Das bedeutet, dass du indirekt auditiert wirst. Der typische Fragebogen umfasst Richtlinien zum Gerätemanagement, Verfahren zum Ausscheiden von Mitarbeitern, Verschlüsselungsstandards und die Frage, ob du Audit-Protokolle führst. Wenn du diese Fragen nicht überzeugend beantworten kannst, gerät das Geschäft ins Stocken oder platzt.
ISO 27001-Zertifizierungsaudits
Ein Zertifizierungsaudit ist ein formeller, mehrstufiger Prozess, der von einem akkreditierten Auditor durchgeführt wird. Dabei wird bewertet, ob dein Informationssicherheits-Managementsystem (ISMS – das strukturierte Rahmenwerk aus Richtlinien, Kontrollen und Prozessen, das du zum Schutz von Informationen einsetzt) die Anforderungen der Norm ISO 27001 erfüllt. Im Gegensatz zu einem Kundenfragebogen untersucht ein Zertifizierungsaudit die Tiefe und Konsistenz deiner Kontrollmaßnahmen über einen längeren Zeitraum hinweg – und nicht nur eine Momentaufnahme.
In der Regel durchläufst du ein Audit der Stufe 1 (Prüfung der Dokumentation) und ein Audit der Stufe 2 (Erhebung von Nachweisen vor Ort und Befragungen). Der Zeitrahmen von der Entscheidung bis zur Zertifizierung beträgt für ein KMU in der Regel sechs bis zwölf Monate, je nachdem, wie viel Vorarbeit bereits geleistet wurde. Wenn du noch am Anfang dieses Prozesses stehst, findest du in unserem Leitfaden zur Vorbereitung deiner IT-Infrastruktur auf ISO 27001 die grundlegenden Schritte.
Behördliche Überprüfungen: DSGVO und NIS2
Eine behördliche Überprüfung wird von einer Aufsichtsbehörde eingeleitet – beispielsweise von deiner Landesdatenschutzbehörde für die DSGVO oder vom BSI (Bundesamt für Sicherheit in der Informationstechnik) für NIS2. Auslöser für solche Überprüfungen können eine Beschwerde, eine Meldung über eine Datenschutzverletzung oder eine stichprobenartige branchenweite Kontrolle sein.
Deutschland meldete zwischen Januar 2024 und Januar 2025 27.829 Datenschutzverletzungen im Rahmen der DSGVO und gehört damit zu den drei Ländern in Europa mit dem höchsten Meldevolumen. (DLA Piper) Jede Meldung ist ein potenzieller Auslöser für eine eingehendere Überprüfung.
Was NIS2 betrifft, ist das NIS2UmsuCG (das deutsche NIS2-Umsetzungsgesetz) seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist für die Sicherheitsmaßnahmen selbst. Die BSI-Registrierungsfrist war ursprünglich der 6. März 2026, wurde aber für Unternehmen, die sich noch nicht registriert haben, bis zum 31. Juli 2026 verlängert. Ein häufiges Missverständnis betrifft die „Konzernklausel": Unternehmen beurteilen die Anwendbarkeit von NIS2 oft isoliert, obwohl sie diese auf konsolidierter Konzernebene bewerten sollten. Tochtergesellschaften größerer Konzerne können in den Anwendungsbereich fallen, auch wenn sie einzeln unter den Schwellenwerten liegen. NIS2 gilt für alle mittleren oder großen Unternehmen, die in 18 bestimmten Sektoren tätig sind – in der Regel also für Unternehmen mit 50 oder mehr Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro. (SANS Institute)
Welche Compliance-Anforderungen gelten für deine IT-Systeme?
Bevor du mit den Vorbereitungen beginnst, musst du wissen, welche Vorschriften tatsächlich für dein Unternehmen gelten. Hier ist eine kurze Orientierung für KMU in Deutschland.
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet. Sie ist nicht optional, und ihre Dokumentationspflichten (Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Meldung von Datenschutzverletzungen) bilden die Grundlage für jedes Audit. Unsere DSGVO-IT-Compliance-Checkliste deckt die praktischen IT-Kontrollen ab, die du benötigst.
NIS2 ist für Unternehmen in 18 regulierten Sektoren verbindlich, die die Größenschwellenwerte erfüllen. Berichten zufolge sind sich rund 80 % der betroffenen Organisationen nicht bewusst, dass sie der Regulierung unterliegen – oft, weil sie sich nicht auf Konzernebene bewertet haben. Die Europäische Kommission hat gezielte Änderungen vorgeschlagen, um 28.700 Unternehmen – darunter 6.200 Kleinst- und Kleinunternehmen – die Einhaltung der Vorschriften zu erleichtern, doch die Kernverpflichtungen bleiben bestehen. (Europäische Kommission)
ISO 27001 ist freiwillig, wird aber von Unternehmenskunden zunehmend als Vertrauenssignal erwartet. Wenn in einem Kundenfragebogen gefragt wird, ob ihr nach ISO 27001 zertifiziert seid, löst ein „Nein" oft ein längeres, detaillierteres Audit eurer tatsächlichen Kontrollmaßnahmen aus.
Der BSI IT-Grundschutz ist der deutsche nationale Standard für Informationssicherheit, der für Lieferanten des öffentlichen Sektors und Betreiber kritischer Infrastrukturen vorgeschrieben ist. Die meisten KMU müssen den BSI IT-Grundschutz nicht vollständig erfüllen, aber seine Kataloge sind eine nützliche Referenz für den Aufbau einer eigenen Sicherheitsbasis. Eine klare IT-Sicherheitsrichtlinie hilft dabei, die eigenen Kontrollmaßnahmen dem jeweils geltenden Rahmenwerk zuzuordnen.
So bereitest du dich Schritt für Schritt vor
Schaffe eine solide Grundlage für deine Dokumentation
Bei der Dokumentation passieren die meisten Fehler beim ersten Audit. Auditoren erwarten keine perfekte Infrastruktur. Sie erwarten, dass du weißt, was du hast, warum du es hast und wie du es schützt – und dass du das schriftlich nachweisen kannst.
Beginne mit diesen drei Dokumenten:
Verzeichnis der Verarbeitungstätigkeiten (Record of Processing Activities): Gemäß Artikel 30 der DSGVO vorgeschrieben. Es listet alle Prozesse auf, bei denen dein Unternehmen personenbezogene Daten verarbeitet: welche Daten, warum, wer Zugriff hat, wo sie gespeichert werden und wie lange du sie aufbewahrst. Wenn du noch keines hast, ist das deine erste Priorität.
IT-Richtlinien: Du brauchst mindestens eine Richtlinie zur akzeptablen Nutzung, eine Passwortrichtlinie und ein Verfahren zur Reaktion auf Vorfälle. Diese müssen nicht lang sein, aber es muss sie geben, und sie müssen den Mitarbeitern kommuniziert werden. Auch eine Richtlinie zur KI-Nutzung wird zunehmend erwartet.
Netzwerk- und Systemdiagramme: Ein visueller Überblick über deine IT-Umgebung: welche Cloud-Dienste du nutzt, wie Geräte miteinander verbunden sind, wohin die Daten fließen. Das muss keine professionelle Netzwerkkarte sein. Ein übersichtliches Diagramm, das deine tatsächliche Konfiguration zeigt, reicht aus.
„Revisionssicher" bedeutet, dass deine Dokumentation mit einem Zeitstempel versehen, versionskontrolliert und so gespeichert ist, dass unbemerkte Änderungen verhindert werden. Ein gemeinsamer Google-Drive-Ordner kann geeignet sein, wenn er über angemessene Zugriffskontrollen und einen Versionsverlauf verfügt. Eine Sammlung von E-Mail-Anhängen reicht hingegen nicht aus. Weitere Informationen zur richtigen Strukturierung findest du in unserem Leitfaden zur IT-Dokumentation für kleine Unternehmen.
Überprüfe Zugriffsrechte und Gerätebestand
Auditoren prüfen stets zwei Dinge: Wer hat Zugriff auf was, und weißt du, welche Geräte mit deinen Systemen verbunden sind? Verwaiste Konten – also Zugangsdaten ehemaliger Mitarbeiter, die nie deaktiviert wurden – gehören zu den häufigsten Prüfungsfeststellungen und sind gleichzeitig am einfachsten zu vermeiden.
Zur Vorbereitung erstellst du eine vollständige Liste aller Benutzerkonten in deinen SaaS-Tools, E-Mail-Systemen und Cloud-Diensten. Gleiche diese mit deiner aktuellen Mitarbeiterliste ab. Deaktiviere alles, was nicht dazugehört. Erstelle oder aktualisiere dann dein Geräteverzeichnis: Jeder Laptop, jedes Smartphone und jedes Tablet, das auf Unternehmensdaten zugreift, sollte dort aufgeführt sein – zusammen mit dem Eigentümer, der Betriebssystemversion und dem Verschlüsselungsstatus.
Genau hier haben Unternehmen ohne eigenes IT-Team die größten Schwierigkeiten. Wenn Ein- und Austritte informell ablaufen, sammeln sich Konten an. Die weltweiten Durchschnittskosten einer Datenpanne erreichten im Jahr 2024 einen Rekordwert von 4,88 Millionen US-Dollar – ein Anstieg von 10 % gegenüber dem Vorjahr. (IBM) Verwaiste Konten und nicht verwaltete Geräte sind genau die Art von Lücke, die eine kleine Schwachstelle in der Kontrolle zu einer ausgewachsenen Datenpanne werden lässt.
Sammle Nachweise für Verschlüsselung, Offboarding und Patch-Management
Über die Dokumentation und die Überprüfung von Zugriffsrechten hinaus wollen Auditoren Belege dafür sehen, dass bestimmte technische Kontrollmaßnahmen tatsächlich funktionieren. Die drei Bereiche, auf die sie sich am stärksten konzentrieren, sind:
Verschlüsselung: Kannst du nachweisen, dass Laptops eine vollständige Festplattenverschlüsselung verwenden (FileVault unter macOS, BitLocker unter Windows)? Kannst du zeigen, dass Daten während der Übertragung über TLS verschlüsselt sind? Screenshots, MDM-Berichte (Mobile Device Management – Software, mit der du Sicherheitseinstellungen aus der Ferne durchsetzen kannst) oder Konfigurationsexporte dienen als Nachweis.
Offboarding: Gibt es beim Ausscheiden eines Mitarbeiters einen dokumentierten Prozess zum Entziehen von Zugriffsrechten, zur Rückgabe von Geräten und zum Löschen von Unternehmensdaten? Auditoren werden Nachweise für die letzten drei bis fünf Austritte verlangen. Wenn du noch keinen einheitlichen Prozess hast, fang jetzt damit an, einen aufzubauen.
Patch-Management: Sind Betriebssysteme und kritische Software auf dem neuesten Stand? Auditoren suchen nach Belegen, dass Patches innerhalb eines angemessenen Zeitraums eingespielt werden (in der Regel 30 Tage bei kritischen Sicherheitslücken). Eine automatisierte Update-Richtlinie über MDM oder Endpunktverwaltung ist der einfachste Weg, dies nachzuweisen.
Wenn du ein KMU ohne IT-Team bist, ist die manuelle Erstellung dieser Nachweise zeitaufwendig, aber nicht unmöglich. Entscheidend ist, jetzt mit der Sammlung zu beginnen – und nicht erst in der Woche vor dem Audit. Unternehmen im KMU-Sicherheitsbereich, die die Sammlung von Nachweisen als fortlaufenden Prozess und nicht als einmaliges Projekt betrachten, schneiden deutlich besser ab.
Wie reduzierst du Compliance-Risiken durch Automatisierung und Audit-Protokolle?
Tabellenkalkulationen funktionieren – bis sie es nicht mehr tun. Wenn ein Auditor dich auffordert nachzuweisen, dass ein bestimmtes Konto am Tag des Ausscheidens eines Mitarbeiters deaktiviert wurde, ist eine Tabelle mit einem Datum in einer Zelle nicht überzeugend. Überzeugend ist hingegen ein automatisiertes Protokoll, das das Deaktivierungsereignis mit Zeitstempel und dem Benutzer, der es ausgelöst hat, festhält.
Automatisierte Audit-Protokolle lösen drei Probleme auf einmal: Sie erstellen kontinuierlich Nachweise ohne manuellen Aufwand, sie sind manipulationssicher (im Gegensatz zu manuell bearbeiteten Dokumenten) und sie verkürzen die Vorbereitungszeit vor einem Audit von Wochen auf Stunden. Für KMUs, die ihre IT über mehrere SaaS-Tools hinweg verwalten, ohne einen zentralen Überblick zu haben, ist das Risiko von Lücken real. 88 % der Sicherheitsvorfälle bei KMUs im Jahr 2025 betrafen Ransomware, verglichen mit nur 39 % bei großen Unternehmen. (Verizon) Diese Diskrepanz besteht zum Teil deshalb, weil kleineren Unternehmen die Protokollierungs- und Überwachungsinfrastruktur fehlt, die verdächtige Aktivitäten frühzeitig erkennen würde.
Zentralisierte Geräteverwaltungsplattformen, die automatisch Prüfpfade erzeugen, werden in diesem Bereich immer verbreiteter – Tools wie deeploi vereinen Geräteverwaltung, Zugriffsprotokollierung und Compliance-Dokumentation auf einer einzigen Plattform. Wenn Kunden nach der Sicherheitslage deines Anbieters fragen, ist ein Anbieter, der selbst nach ISO 27001 zertifiziert ist (wie deeploi), ein hilfreicher Anhaltspunkt. Der wesentliche Punkt – unabhängig davon, für welches Tool du dich entscheidest – ist, dass die manuelle Nachverfolgung der Compliance zur Belastung wird, sobald du mehr als eine Handvoll Mitarbeiter und Geräte hast. Das Risiko durch Dritte und die Lieferkette hat sich verdoppelt und macht im Jahr 2025 30 % aller Sicherheitsverletzungen aus. (Verizon) Die Prüfer eurer Kunden schauen sich zunehmend eure Kontrollmaßnahmen an – nicht nur eure Versprechen.
Wichtige Erkenntnisse
Stell fest, um welche Art von Audit es sich handelt (Kundenfragebogen, Zertifizierung oder behördliche Überprüfung), bevor du mit den Vorbereitungen beginnst, da die Anforderungen an die Nachweise und die Zeitpläne jeweils unterschiedlich sind.
Erstelle noch diese Woche dein Verzeichnis der Verarbeitungstätigkeiten und deine IT-Richtlinien; diese beiden Dokumente sind die häufigsten Lücken, die Auditoren finden, und ihre Erstellung dauert Tage, nicht Monate.
Führe jetzt eine Überprüfung der Zugriffsrechte und eine Gerätebestandsaufnahme durch und plane sie anschließend vierteljährlich ein; verwaiste Konten sind der am leichtesten vermeidbare Prüfungsbefund.
Wechsle vor deinem nächsten Audit von Tabellenkalkulationen zu automatisierten Audit-Protokollen; allein die Zeitersparnis bei der Vorbereitung rechtfertigt den Wechsel.
Prüft die Anwendbarkeit von NIS2 auf Konzernebene, nicht nur für euer einzelnes Unternehmen, denn die Konzernklausel erfasst auch Unternehmen, die davon ausgehen, zu klein für den Geltungsbereich zu sein.
Häufig gestellte Fragen
Wie dokumentiere ich IT-Prozesse revisionssicher?
„Revisionssicher" bedeutet, dass deine Aufzeichnungen vollständig, mit Zeitstempel versehen, versionskontrolliert und vor unbemerkten Änderungen geschützt sind. In der Praxis bedeutet das, Systeme mit integrierter Versionshistorie und Zugriffskontrollen zu nutzen, anstatt Word-Dokumente per E-Mail hin und her zu schicken. Cloud-basierte Dokumentationsplattformen, IT-Management-Tools mit automatischer Protokollierung oder ein gut strukturiertes Wiki mit Änderungsverfolgung können diesen Standard erfüllen. Die Mindestanforderung ist, dass ein Auditor nachvollziehen kann, wann ein Dokument erstellt wurde, wann es zuletzt geändert wurde und von wem.
Wie lange dauert die Vorbereitung auf ein erstes IT-Audit?
Das hängt von der Art des Audits und deinem Ausgangspunkt ab. Für einen Sicherheitsfragebogen für Kunden sind zwei bis vier Wochen realistisch, wenn du bereits über eine grundlegende Dokumentation verfügst. Für eine ISO 27001-Zertifizierung solltest du sechs bis zwölf Monate von der Entscheidung bis zum Audit der Stufe 2 einplanen. Eine behördliche DSGVO-Überprüfung kann mit nur zwei Wochen Vorlaufzeit eintreffen, weshalb die kontinuierliche Pflege der Dokumentation wichtiger ist als kurzfristiges Nachholen. Unternehmen, die Compliance als fortlaufenden Prozess und nicht als einmaliges Projekt betrachten, berichten durchweg von reibungsloseren Audits.
Brauche ich Compliance-Management-Software, um ein Audit zu bestehen?
Nicht unbedingt – vor allem nicht bei deinem ersten Audit. Viele KMUs bestehen Kundenfragebögen mit gut organisierten Cloud-Dokumenten, einem übersichtlichen Gerätebestand und klaren Richtlinien. Manuelle Prozesse haben jedoch klare Grenzen. Sobald du mehr als etwa 20 Mitarbeiter und Geräte verwaltest, wird der Aufwand, Tabellenkalkulationen aktuell und auditbereit zu halten, untragbar. Compliance-Software oder eine IT-Management-Plattform, die automatisch Prüfpfade erstellt, spart erheblich Zeit und verringert das Risiko von Lücken, auf die Auditoren hinweisen würden.
Gilt NIS2 für mein Unternehmen, wenn wir weniger als 50 Mitarbeiter haben?
Im Allgemeinen gilt NIS2 nicht direkt für Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz unter 10 Millionen Euro. Es gibt jedoch zwei wichtige Ausnahmen. Erstens die Konzernklausel: Wenn dein Unternehmen eine Tochtergesellschaft eines größeren Konzerns ist, der die Schwellenwerte überschreitet, kannst du in den Geltungsbereich fallen, auch wenn dein Unternehmen allein klein ist. Zweitens der Druck durch die Lieferkette: Selbst wenn NIS2 nicht direkt für dich gilt, sind deine NIS2-regulierten Kunden verpflichtet, deine Sicherheitsmaßnahmen im Rahmen ihrer eigenen Compliance zu überprüfen. In der Praxis bedeutet das, dass viele Unternehmen unterhalb der Schwellenwerte dennoch Kontrollen nachweisen müssen.
Was passiert, wenn wir ein IT-Audit nicht bestehen?
Die Folgen hängen von der Art des Audits ab. Das Nichtbestehen eines Kundensicherheitsfragebogens bedeutet in der Regel, dass der Auftrag verloren geht oder ein Maßnahmenplan mit Frist auferlegt wird. Das Nichtbestehen eines ISO 27001-Zertifizierungsaudits bedeutet, dass du das Zertifikat nicht erhältst; du kannst es nach Behebung der Mängel erneut versuchen, doch das kostet zusätzliche Monate und Geld. Das Nichtbestehen einer DSGVO-Behördenprüfung kann zu Abhilfeverfügungen, formellen Verwarnungen oder Geldbußen führen. Europäische Aufsichtsbehörden verhängten in den zwölf Monaten bis Januar 2025 DSGVO-Bußgelder in Höhe von 1,2 Milliarden Euro, womit sich die Gesamtsumme seit 2018 auf 5,88 Milliarden Euro beläuft. Nach NIS2 können Bußgelder für wesentliche Verstöße durch „besonders wichtige Einrichtungen" (essential entities) bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen, und bereits das Versäumnis der Registrierung kann Strafen von bis zu 500.000 Euro nach sich ziehen.
Fazit
Vorbereitung schlägt Perfektion. Das Ziel deines ersten IT-Audits ist es nicht, eine makellose Infrastruktur zu präsentieren. Es geht darum zu zeigen, dass du deine IT-Umgebung verstehst, deine Kontrollmaßnahmen dokumentiert hast und nachweisen kannst, dass diese Kontrollmaßnahmen funktionieren. Auditoren sind weitaus nachsichtiger gegenüber einer ehrlich eingeräumten Lücke mit einem Maßnahmenplan als gegenüber einem Unternehmen, das sich offensichtlich überhaupt keine Gedanken über Sicherheit gemacht hat.
Beginne mit den oben beschriebenen Schritten zur Dokumentation und Überprüfung der Zugriffsrechte. Bringe dein Verzeichnis der Verarbeitungstätigkeiten in Ordnung. Bereinige deine Konten. Halte deine IT-Richtlinien schriftlich fest, auch wenn sie einfach sind. Diese Schritte kosten Zeit, aber kein Geld, und sie beheben genau die Probleme, an denen die meisten Unternehmen beim ersten Audit scheitern. Wenn du schnell wächst und die IT neben deinem eigentlichen Job verwaltest, überlege, ob eine zentralisierte IT-Management-Plattform dir die laufende Nachweissammlung vollständig abnehmen könnte.
