Für wen ist das Programm gedacht?
Mitarbeitende und Verantwortliche im Informationssicherheitsmanagement, angehende interne Auditorinnen und Auditoren sowie Prozessverantwortliche mit internen Auditaufgaben.
Curriculum & Prüfungsprogramm
Interner Auditor ISO/IEC 27001 – Curriculum und Prüfungsprogramm
ISO/IEC 27001 in einem internen Audit anwenden: von der begründeten Planung über das Interview bis zu Feststellungen, die andere nachvollziehen und bearbeiten können.
Zielgruppe und Zugang
Welche Voraussetzungen gelten?
Grundkenntnisse zu Informationssicherheit und zum Aufbau eines ISMS helfen beim Einstieg. Sie sollten einen betrieblichen Prozess beschreiben und zwischen einer Vorgabe und ihrer praktischen Umsetzung unterscheiden können. Vor der Buchung klären wir, welche Vorkenntnisse und Auditaufgaben Sie mitbringen. Vor dem Kurs werden die grundlegenden Normkenntnisse in einer kurzen Einstufung geklärt. Eine bestimmte Anbieterqualifikation ist nicht vorgeschrieben; fehlende Fachgrundlagen sind vor dem Audittraining aufzuarbeiten.
Umfang und Lernformat
24 UE à 45 Minuten = 18 Zeitstunden an 3 Kurstagen, einschließlich 3 UE (135 Minuten) Abschlussprüfung je Person. 21 UE dienen Unterricht, betreuter Übung und Falltransfer. Mündliche Teile werden in individuell zugeteilten, gegebenenfalls parallelen Prüfungsslots organisiert; Pausen zählen nicht zum Umfang.
Live-Online über alfaview oder in Präsenz; Lernmaterialien und Prüfungsinformationen im Odoo-Portal. Eine UE entspricht 45 Minuten. Pausen zählen nicht als UE. Vor dem Start werden Terminplan, Unterrichts- und Prüfungssprache sowie gegebenenfalls individuelle mündliche Prüfungsslots bestätigt.
Welche Kompetenzen weisen Sie nach?
- Einen überschaubaren Auditauftrag in einen begründeten Prüfplan mit passenden Gesprächspartnern übersetzen.
- Aus mehreren Quellen eine nachvollziehbare Nachweiskette erstellen und offene Punkte erkennen.
- Eine sachliche Feststellung schreiben, die Betroffene ohne zusätzliche Erläuterung verstehen können.
- Den nächsten Prüfschritt vorschlagen, ohne ungeprüfte Aussagen als gesicherte Ergebnisse darzustellen.
- Die eigene Aussagekraft begrenzen und fachlichen Klärungsbedarf nachvollziehbar benennen.
Das Curriculum
Auditgrundlagen und Auftrag
Auditprinzipien nach ISO 19011, Rollen, Integrität, Vertraulichkeit, Unabhängigkeit sowie Auditauftrag und -kriterien.
Umfang / Einordnung
3 UE
Nachweis und Ergebnis
Abgegrenzter Auditauftrag mit Kriterien.
Normbezogene Auditpfade
ISMS-Geltungsbereich, Informationssicherheitsrisiken, Risikobehandlung, Anwendbarkeit von Maßnahmen und Wirksamkeitsnachweise. Von einem Informationssicherheitsrisiko über die begründete Maßnahme bis zum tatsächlichen Berechtigungs- oder Vorfallnachweis.
Umfang / Einordnung
3 UE
Nachweis und Ergebnis
Zuordnung von Anforderungen, Risiken und Prüffragen.
Planung und Stichproben
Auditziele, Prozessauswahl, Zeitplan, risikobasierte Stichprobe, Dokumentensichtung und Besonderheiten von Live-Online-Audits.
Umfang / Einordnung
4 UE
Nachweis und Ergebnis
Auditplan und begründeter Stichprobenplan.
Interview und Nachweissichtung
Offene Fragen, aktives Zuhören, vertiefende Rückfragen und Abgleich von Aussagen mit Unterlagen. Relevante Nachweise: Risikobewertung, Behandlungsplan, Erklärung zur Anwendbarkeit, Freigaben, Zugriffsprotokoll und Vorfallbericht.
Umfang / Einordnung
4 UE
Nachweis und Ergebnis
Interviewleitfaden und nachvollziehbare Evidenznotizen.
Bewertung und Berichterstattung
Anforderung, Nachweis, Feststellung und Bewertung trennen; Konformität, Abweichung und offenen Klärungsbedarf sachlich formulieren.
Umfang / Einordnung
3 UE
Nachweis und Ergebnis
Zwei ausgearbeitete Feststellungen mit Kriterium und Nachweis.
Auditfall, Abschluss und Nachverfolgung
Ein Unternehmen betreibt einen Cloud-Dienst. Risikobehandlung, Berechtigungen, Lieferantensteuerung und ein Sicherheitsvorfall sind anhand einer abgegrenzten Akte zu prüfen. Abschlussgespräch, Nachverfolgung und Wirksamkeitskontrolle. Ein ISMS-Audit ersetzt keinen Penetrationstest und keine technische Vollprüfung. Vertrauliche Sicherheitsinformationen werden nur nach vereinbarter Freigabe verwendet.
Umfang / Einordnung
4 UE
Nachweis und Ergebnis
Zusammenhängendes Auditfalldossier.
Abschlussprüfung
Normbezogener Wissensteil, schriftlicher Auditfall und beobachtetes Interview mit Fachgespräch.
Umfang / Einordnung
3 UE
Nachweis und Ergebnis
Bewerteter Auditplan, Feststellungen und Kommunikationsleistung.
So wird die Leistung geprüft
Gewichtung: 30 %
Norm- und Auditwissen
20 Auswahl- und Kurzantwortaufgaben zu Auditprinzipien, dem gewählten Managementsystem, Stichproben und Nachweisen.
45 Minuten
- Fachliche Richtigkeit
- Verständnis des gewählten Normenschwerpunkts
- Nachvollziehbare Auswahl von Auditmethoden
Gewichtung: 50 %
Praktischer Auditfall
Auf Basis einer begrenzten Fallakte einen Auditplan, eine begründete Stichprobe und zwei belegte Feststellungen mit Nachverfolgung formulieren. Ein Unternehmen betreibt einen Cloud-Dienst. Risikobehandlung, Berechtigungen, Lieferantensteuerung und ein Sicherheitsvorfall sind anhand einer abgegrenzten Akte zu prüfen.
60 Minuten
- Risikogerechte Planung und Stichprobe
- Anforderungs- und Nachweisbezug
- Sachliche Feststellung und klare Grenzen
- Geeignete Nachverfolgung und Wirksamkeitsprüfung
Gewichtung: 20 %
Auditinterview und Fachgespräch
15 Minuten beobachtetes Interview im Rollenspiel und 15 Minuten Rückfragen zur Bewertung und Berichterstattung.
30 Minuten
- Offene und zielgerichtete Fragen
- Objektive Nachweisbewertung
- Respektvolle und klare Kommunikation
- Umgang mit Widersprüchen und Grenzen
Bestehensregeln
Bestanden sind mindestens 70 von 100 gewichteten Gesamtpunkten und mindestens 60 von 100 Punkten in jedem verpflichtenden Prüfungsteil. Im praktischen Teil muss das kritische Kriterium „Anforderungs- und Nachweisbezug“ mindestens 2 von 4 Rubrikpunkten erreichen. Diese Grenzen sind Festlegungen der Academy; ISO/IEC 17024 gibt keine solchen Punktwerte vor.
Praktische Leistungen werden je veröffentlichtem Kriterium auf einer Skala von 0 bis 4 bewertet: 0 = fehlt oder nicht verwertbar; 1 = erhebliche fachliche Lücken; 2 = fachlich brauchbar, mit erkennbaren Lücken; 3 = nachvollziehbar und fachlich schlüssig; 4 = vollständig, präzise und kritisch begründet. Kriterien werden innerhalb eines Prüfungsteils gleich gewichtet, sofern die Aufgabenstellung keine andere veröffentlichte Verteilung nennt. Die Teilbewertung wird auf 100 Punkte umgerechnet.
Anforderungs- und Nachweisbezug
Hilfsmittel und KI
Freigegeben sind die im Prüfungsplan benannte Normausgabe, eigene Kursnotizen, die bereitgestellten Fallunterlagen und ein einfacher Taschenrechner. Kommunikation mit Dritten, generative KI, automatische Antwortdienste sowie nicht freigegebene Internetrecherche sind während bewerteter Prüfungsteile ausgeschlossen. Textverarbeitung ist für das Falldossier zulässig; technische Hilfen zum Nachteilsausgleich werden vorab vereinbart.
Identität und Eigenständigkeit
Vor Beginn der Prüfung wird die Identität anhand eines amtlichen Lichtbildausweises abgeglichen. Bei Live-Online-Prüfungen werden Zugang, Aufsicht, erlaubte Arbeitsmittel und technische Ersatzverfahren vorher erläutert. Eine dauerhafte Ausweiskopie oder Prüfungsaufzeichnung ist damit nicht automatisch verbunden.
Für Wiederholungen, Nachteilsausgleich, Einsprüche, Vertraulichkeit und Zertifikatsfreigabe gelten ergänzend die gemeinsamen Prüfungsregeln.
Prüfungs- und ZertifikatsregelnWas Ihr Zertifikat nachweist
Academy-Kurszertifikat Interner Auditor ISO/IEC 27001 – 24 UE mit bestandener Prüfung
- Geltungsbereich
- Bescheinigt werden die im Kursprogramm genannten und in der dokumentierten Prüfung nachgewiesenen Kompetenzen, das Prüfungsdatum, der Umfang und die Programmfassung. Reine Anwesenheit genügt nicht für den Prüfungsnachweis.
- Einordnung des Abschlusses
- Academy-eigenes Kurszertifikat mit Prüfung. Kein PECB-, TÜV-, DEKRA- oder CQI/IRCA-Abschluss und kein Nachweis einer akkreditierten Personenzertifizierung. Eine Akkreditierung oder vollständige Konformität der Academy mit ISO/IEC 17024 wird nicht behauptet. Es bestätigt den gewählten Normenschwerpunkt. Es ist keine Zulassung als Drittparteien-Zertifizierungsauditor und keine automatische Berechtigung, Zertifizierungen von Organisationen auszustellen. Ein ISMS-Audit ersetzt keinen Penetrationstest und keine technische Vollprüfung. Vertrauliche Sicherheitsinformationen werden nur nach vereinbarter Freigabe verwendet.
- Prüfungsdatum und Aktualität
- Nach der Academy-Regel gilt dieses Zertifikat höchstens drei Jahre ab Ausstellung. Es wird erst ausgestellt, wenn sämtliche Programm- und Prüfungsanforderungen erfüllt und die Zertifikatsentscheidung dokumentiert sind. Die Frist beginnt nicht mit der Anmeldung oder dem Kursstart. Die konkrete Laufzeit und das Ablaufdatum werden im Zertifikat angegeben; eine kürzere Laufzeit gilt nur, wenn sie im jeweiligen Kurs- oder Prüfungsprogramm ausdrücklich ausgewiesen ist. Es gibt keine automatische Verlängerung. Eine Erneuerung setzt die dokumentierte Prüfung aktuellen Wissens und der zum Programm passenden Anwendungspraxis voraus, anhand aktueller Nachweise und/oder einer geeigneten Aktualisierungs- oder Kompetenzprüfung. Dafür ist nicht pauschal der erneute Kauf des vollständigen Kurses erforderlich. Auch ein erneuertes Academy-Zertifikat gilt höchstens drei Jahre ab seiner Ausstellung. Teilnahme und bestandene Prüfung bleiben als datierte historische Tatsachen nachweisbar; daraus folgt keine unbefristete Gültigkeit als aktueller Kompetenznachweis.
Dieses Programm gilt für Durchführungen, deren vereinbarter Kurs- und Prüfungsplan ausdrücklich auf diese Revision verweist. Bereits gebuchte Leistungen behalten ihre vereinbarten Bedingungen.
Fragen zum Programm
Gilt der Abschluss auch für andere Normen als ISO/IEC 27001?
Das Zertifikat nennt den tatsächlich geprüften Normenschwerpunkt. Übertragbare Auditmethoden ersetzen nicht die Fachkenntnisse und Prüfung eines anderen Managementsystems.
Kann ich nach drei Tagen sofort allein jedes Audit leiten?
Der Kurs weist definierte Kompetenzen in einem begrenzten Prüfungsfall nach. Für reale Aufträge sind zusätzlich passende Branchenkenntnisse, praktische Erfahrung, ein geeigneter Auditauftrag und die betriebliche Beauftragung erforderlich.
Welche konkrete Aufgabe bearbeite ich?
Ein Unternehmen betreibt einen Cloud-Dienst. Risikobehandlung, Berechtigungen, Lieferantensteuerung und ein Sicherheitsvorfall sind anhand einer abgegrenzten Akte zu prüfen. Bewertet werden Auditplanung, Stichprobe, belegte Feststellungen und die professionelle Gesprächsführung.
Was passiert, wenn ich einen Prüfungsteil nicht bestehe?
Sie erhalten eine Rückmeldung zu den bewerteten Kompetenzbereichen. Nicht bestandene Teile können nach den gemeinsamen Prüfungsregeln wiederholt werden; eine Wiederholung umfasst gleichwertige, neue Aufgaben. Termine, gegebenenfalls notwendige Vorbereitung und etwaige Entgelte werden vorher mitgeteilt.
Welche Aussagekraft hat das Academy-Zertifikat?
Es dokumentiert eine bestandene Kursprüfung mit benannten Kompetenzen, Umfang und Programmstand. Es ist keine akkreditierte Personenzertifizierung und ersetzt weder Berufserfahrung noch eine auftragsbezogene Eignungsprüfung.
Beratung & Terminplanung
Solo-selbstständig? Klären Sie eine mögliche KOMPASS-Förderung mit einer offiziellen Anlaufstelle vor der Buchung. Für die Auswahl des passenden Programms können Sie ein Beratungsgespräch mit uns vereinbaren.
Academy-eigener Kompetenznachweis mit Prüfung. Das Prüfungsprogramm orientiert sich an ausgewählten Grundsätzen der ISO/IEC 17024:2026. Eine Akkreditierung oder vollständig nachgewiesene Normkonformität wird damit nicht behauptet.