ISO 27001 · Evidence-Trail
Vom Risikoregister bis zum verifizierbaren Auditor-Export – ohne Nachweis-Chaos.
Zertifizierung ist der leichte Teil — der Nachweis über die Zeit ist der schwere.
„Ich kann es behaupten – aber nicht beweisen. Die BSI-Prüfung kann jederzeit kommen." So beschreiben CISOs unter Audit-Druck ihre Lage — und bei ISO 27001 gilt dasselbe Problem auch zwischen den Überwachungsaudits: Ein Zertifikat bescheinigt einen Zustand zu einem Stichtag, nicht die kontinuierliche Konformität nach Clause 9 und 10 in den Monaten dazwischen. Wer erst kurz vor dem nächsten Audit anfängt, Nachweise zu sammeln, hat de facto keine.
Dazu kommt die schiere Fläche: Die Statement of Applicability nach Annex A umfasst 93 Controls, jedes davon mit einer nachvollziehbaren Begründung, warum es anwendbar ist oder nicht — und mit einem Nachweis, dass es tatsächlich umgesetzt wird. Ohne strukturierte Ablage verteilt sich das über Ordner, Tickets und E-Mails, bis niemand mehr genau weiß, welcher Stand aktuell gilt.
ISO 27001 deckt zudem bereits rund 70 % der NIS2-Anforderungen ab — ein ISO-first-Ansatz baut die Brücke zu NIS2 also automatisch mit. Und ohne laufende Findings- und CAPA-Verfolgung wird die Rezertifizierung selbst zur Excel-Übung: Wer hat welche Abweichung wann geschlossen, und womit lässt sich das dem Auditor gegenüber belegen?
Vier Bausteine für lückenlose ISO-27001-Evidenz.
Risikoregister (27005) + 5×5-Heatmap
Risiken werden nach ISO 27005 strukturiert erfasst, bewertet und in einer 5×5-Heatmap visualisiert — statt in einer Tabelle zu verstauben, die niemand mehr aktuell hält. Die Bewertung fließt direkt in die Statement of Applicability ein.
Versiegelte Snapshots (WORM)
Der Stand von Risikoregister, SoA und Kontrollen wird zu jedem relevanten Zeitpunkt kryptografisch versiegelt und unveränderlich abgelegt — Sie können gegenüber dem Auditor exakt belegen, welche Lage zu welchem Zeitpunkt bestand.
Findings & CAPA, Attestation-Lifecycle
Abweichungen aus internen Audits oder Kontroll-Reviews werden als Findings erfasst, mit Corrective-Action-Plänen verknüpft und bis zur Attestation durch die Verantwortlichen nachverfolgt — statt in verstreuten Aktionslisten zu versanden.
Auditor-Export mit Offline-Verifier
Für das Rezertifizierungsaudit entsteht ein vollständiges Export-Paket, dessen Siegel der Auditor mit einem eigenständigen Offline-Verifier prüfen kann — ohne auf Ihr System zugreifen oder Ihnen vertrauen zu müssen.
Mehr zu ISO 27001 und zur Engine dahinter.
Zertifizierungszyklus, Annex-A-Controls und Primärquellen im Detail.
Regulierung im Detail →Wie die Kontroll-Bewertung funktioniert und wie sie ISO 27001, NIS2, DORA und den AI Act gleichzeitig abdeckt.
Funktion im Detail →Ihr erster versiegelter ISO-27001-Nachweis — noch heute.
Wir zeigen Ihnen in 30 Minuten, was ReportAct für diesen Use-Case konkret leistet – unverbindlich.