Welche Nachweise verlangt ein Audit von Ihrer IT?
Prüfer wollen Belege sehen, mit Datum und Ergebnis. Welche Nachweise rund um Netzwerk und Firewall gefragt sind und wie Sie sie ohne Hektik liefern.
Ein Audit steht an. Vielleicht eine ISO-27001-Zertifizierung, ein TISAX-Assessment, ein Kundenaudit oder die Vorbereitung auf NIS2. Auf der Liste des Prüfers stehen Punkte wie „Überprüfung des Firewall-Regelwerks“, „Netzsegmentierung“ oder „Kontrolle der Fernzugriffe“. Die Frage, die dann im Raum steht, ist einfach: Was legen Sie konkret vor?
Was wollen Prüfer beim Thema Netzwerk sehen?
Die Details hängen vom jeweiligen Standard ab. Beim Netzwerk laufen die Anforderungen aber meist auf dieselben Punkte hinaus:
- ein aktuelles Bild des Netzwerks: welche Bereiche es gibt und was mit was kommunizieren darf
- ein Firewall-Regelwerk, das nachvollziehbar ist und regelmäßig überprüft wird
- kontrollierte Zugänge von außen: VPN, Fernwartung, Zugriffe von Dienstleistern
- klare Verantwortlichkeiten: wer ändert Regeln, wer gibt Änderungen frei
- Belege dafür, dass all das gelebt wird und aktuell ist
Entscheidend ist der letzte Punkt. Eine mündliche Zusicherung zählt im Audit wenig. Prüfer wollen Dokumente sehen: mit Datum, mit Ergebnis und mit den Maßnahmen, die daraus abgeleitet wurden.
Warum reicht die eigene Dokumentation oft nicht?
Viele Unternehmen haben Dokumentation. Häufig beschreibt sie aber den Zustand, wie er einmal geplant war, und nicht den, der heute in der Firewall steht. Zwischen beiden liegen Jahre aus Projekten, Ausnahmen und Personalwechseln.
Eine Überprüfung durch einen externen Fachmann hat im Audit zudem ein anderes Gewicht. Sie zeigt, dass das Regelwerk mit Methode und unabhängigem Blick bewertet wurde, und liefert genau die Art von Beleg, nach der Prüfer fragen: Wann wurde geprüft, was wurde gefunden, was wurde daraus gemacht.
Welcher Check passt zu welchem Audit-Umfang?
Dafür gibt es bei uns zwei Wege.
Firewall-Check
Passt, wenn es um das Regelwerk und die Zugänge von außen geht. Toolgestützt für Palo Alto, Fortinet, Sophos, Check Point und Cisco, offline auf Basis eines Konfigurations-Exports. Ergebnis: Befunde nach Schweregrad, konkrete Maßnahmen, Zusammenfassung für Geschäftsführung und Prüfer.
Netzwerk-Security-Check
Passt, wenn der Prüfer weiter schaut als bis zur Firewall: Segmentierung, Netzwerkzugänge und die Betriebsprozesse samt Verantwortlichkeiten, manuell erhoben. Der komplette Firewall-Check ist darin enthalten.
Als Faustregel: Fragt das Audit nach der Firewall, reicht der Firewall-Check. Fragt es nach dem Netzwerk als Ganzem, ist der Netzwerk-Security-Check der passende Rahmen. Im Zweifel klären wir das in einem kurzen Gespräch anhand Ihrer Audit-Anforderungen.
Beispiel-Report ansehen?
Sie möchten vorab sehen, wie die Ergebnisse aufbereitet sind? Wir senden Ihnen gerne einen Beispiel-Report mit Musterdaten zu.
Wann sollten Sie anfangen?
Möglichst nicht erst, wenn der Audit-Termin steht. Befunde brauchen Zeit für die Umsetzung, und manche Maßnahmen wollen geplant sein, weil sie den laufenden Betrieb berühren. Der stärkste Auftritt im Audit ist eine dokumentierte Prüfung plus ein Maßnahmenstand, an dem erkennbar gearbeitet wird. Das überzeugt Prüfer mehr als ein Papier, das kurz vor dem Termin entstanden ist.
Häufig gestellte Fragen
Ersetzt der Check das Audit oder die Zertifizierung?
Für welche Standards eignet sich der Report?
Brauchen Sie dafür Zugriff auf unsere Systeme?
Was kostet das?
Ist das Audit schon angekündigt?
Dann klären wir am besten kurz, welche Nachweise Ihr Prüfer erwartet und welcher Check dafür passt.