Audit-Vorbereitung für Microsoft 365. Zum Termin nichts mehr suchen müssen.
Für Unternehmen, deren Kunden, OEMs oder Aufsicht ISO 27001, TISAX oder DORA verlangen. Wir prüfen Ihren Tenant (Ihre Microsoft-365-Umgebung) in einer Gap-Analyse gegen das Rahmenwerk, bauen die Nachweise auf und begleiten Sie bis zum Audit.
- Gap-Analyseals Einstieg, gegen Ihr Rahmenwerk
- Wochenwenn die Grundlagen im Tenant stehen
- Eine Grundlagefür ISO 27001, TISAX und DORA
ISO 27001, TISAX und DORA prüfen dasselbe. Sie wollen sehen, dass Ihre Informationssicherheit nachweisbar wirkt.
NIS-2 ist Gesetz und hat eine eigene Seite.
NIS-2 in Microsoft 365Wie lange Daten aufbewahrt und wann sie gelöscht werden, regelt das Löschkonzept.
Löschkonzept für Microsoft 365Was geprüft wird
Sechs typische Prüffelder und der Nachweis in Microsoft 365.
-
Zugriffe und Berechtigungen
Nachweis
-
Entra ID - Conditional Access
- PIM-Berichte
- Access Reviews
-
-
Verschlüsselung und Datenschutz
Nachweis
-
Purview - BitLocker
- Verschlüsselungsnachweise
-
-
Protokollierung und Monitoring
Nachweis
- Audit-Log
-
Defender - Sentinel
-
Umgang mit Vorfällen
Nachweis
- Defender XDR
- Response-Playbooks
-
-
Notfallbetrieb und Backup
Nachweis
- Backup-Konzept
- Wiederherstellungstests
- Notfallpläne
-
Lieferanten und Dritte
Nachweis
- Entra External ID
- Gäste-Governance
- Vertragsnachweise
-
Beispielhafte Zuordnung; der konkrete Prüfumfang hängt vom Rahmenwerk (ISO 27001 / TISAX / DORA) und Auditor ab.
Was Sie am Ende in der Hand halten
Vier Unterlagen, benannt und versioniert.
In der Mappe steht zu jeder Frage des Auditors der Nachweis und wo er im Tenant liegt.
- Nachweis-Mappe je PrüffeldFür jedes Prüffeld der Nachweis, wo er im Tenant liegt und wie er sich reproduzieren lässt.
- Berechtigungs-EntscheidungsvorlageWer worauf zugreift, warum, und wer es freigibt.
- Label- und DLP-RegelwerkKlassifizierung, Vertraulichkeitsstufen (Sensitivity Labels) und Regeln gegen Datenabfluss (DLP), dokumentiert.
- Governance-BetriebshandbuchKontrollen, Turnus, Verantwortliche und die bewussten Abweichungen vom Standard, mit Grund.
„Nach einem Zukauf habe ich eine Umgebung aus dem laufenden Betrieb rekonstruiert, weil kaum etwas dokumentiert war. Damit Ihnen das vor einem Audit erspart bleibt, halte ich für jedes Prüffeld fest, wo der Nachweis liegt.“
Einstieg mit der Gap-Analyse
Danach wissen Sie, was bis zum Audit-Termin zu tun ist.
- Einstieg
- Gap-Analyse gegen das Rahmenwerk, das Ihr Auditor oder Kunde verlangt
- Dauer
- In der Regel Wochen, wenn die Grundlagen im Tenant stehen; ein Aufbau von null dauert mehrere Monate
- Zusammenarbeit
- Mit Ihrem Informationssicherheitsbeauftragten und, wenn gewünscht, direkt mit dem Auditor
- Ergebnis
- Nachweis-Mappe, Berechtigungsvorlage, Label- und DLP-Regelwerk, Betriebshandbuch
- Phase 1Gap-Analyse: was belegt ist, was fehlt, was eingerichtet, aber nicht nachweisbar ist
- Phase 2Nachweise aufbauen und Lücken schließen, zuerst das, was der Auditor sehen will
- Phase 3Begleitung im Audit-Termin, danach Kontrollen im Turnus
Wann wir passen
Passt, wenn
- Ein Kunde, ein Zulieferer-Portal oder die Aufsicht ein Rahmenwerk verlangt und Ihr Microsoft 365 die Nachweise liefern muss.
- Der Tenant eingerichtet ist, aber niemand belegen kann, dass die Kontrollen wirken.
- Sie NIS-2 umgesetzt haben und ISO 27001 oder TISAX ohne Doppelarbeit aus derselben Grundlage bedienen wollen.
Passt nicht, wenn
- Sie den Auditor selbst oder eine Zertifizierungsstelle brauchen. Wir bereiten vor und begleiten, wir zertifizieren nicht.
- Ihr Managementsystem für Informationssicherheit (ISMS) neu geschrieben werden soll und Microsoft 365 dabei keine Rolle spielt. Dann passt eine reine ISMS-Beratung besser.
Häufige Fragen
Ihre Frage im ErstgesprächBrauchen wir ISO 27001, wenn wir schon NIS-2 umsetzen?
NIS-2 ist gesetzlich verpflichtend, ISO 27001 ist freiwillig, wird aber häufig von Kunden und Partnern gefordert. Beide bauen auf einem Managementsystem für Informationssicherheit auf und überschneiden sich stark. Eine richtig eingestellte Microsoft-365-Umgebung trägt beides.
Was ist TISAX und wer braucht es?
TISAX (Trusted Information Security Assessment Exchange) ist der Prüf- und Austauschstandard der Automobilindustrie, basierend auf dem VDA-ISA-Katalog. Zulieferer benötigen in der Regel ein gültiges TISAX-Label, um mit OEMs und größeren Zulieferern zusammenzuarbeiten.
Für wen gilt DORA?
Der Digital Operational Resilience Act gilt für den Finanzsektor, also Banken, Versicherer, Zahlungs- und Wertpapierdienstleister, sowie für deren kritische IKT-Drittdienstleister. DORA ist seit Januar 2025 anwendbar und verlangt unter anderem IKT-Risikomanagement, Resilienztests und Vorfallmeldungen.
Kann Microsoft 365 ein Audit allein bestehen?
Nein. Ein Audit prüft Organisation und Technik. Microsoft 365 liefert die technischen Kontrollen und die Nachweise; die Governance liefert Prozesse, Verantwortlichkeiten und Dokumentation. Erst beides zusammen besteht ein Audit.
Wie lange dauert die Audit-Vorbereitung?
Das hängt vom Reifegrad Ihres Tenants ab. Stehen Berechtigungsmodell, Klassifizierung und Protokollierung, lassen sich belastbare Nachweise in der Regel in Wochen aufbauen, zuerst das, was der jeweilige Auditor sehen will. Fehlen diese Grundlagen, geht es um einen Governance-Aufbau, und der dauert mehrere Monate.
Wann ist Ihr nächstes Audit?
Im Erstgespräch ordnen wir ein, wo Ihr Microsoft 365 gegenüber ISO 27001, TISAX oder DORA steht und was bis zum Termin zu tun ist.
- 15 Minuten
- per Teams
- kostenlos