IT-Governance ca. 7 Min.
Audit-Vorbereitung für Microsoft 365: ISO 27001, TISAX und DORA.
Audit-Readiness endet nicht bei NIS-2. Aus derselben Microsoft-365-Governance-Methodik bereiten wir die Nachweise für ISO 27001, TISAX und DORA vor – dokumentationsfähig und ohne Doppelarbeit.
Grundlagen
Warum Audit-Vorbereitung mehr ist als NIS-2
NIS-2 ist der lauteste, aber nicht der einzige Audit-Anlass. Kunden fordern ISO 27001, die Automobil-Lieferkette TISAX, das Finanzwesen DORA. Alle fragen letztlich nach demselben: nachweisbar wirksamer Informationssicherheit.
Die gute Nachricht: Ein audit-fest konfigurierter Microsoft-365-Tenant liefert die Nachweise für mehrere Rahmenwerke gleichzeitig – wenn er einmal richtig aufgesetzt ist.
Worauf Audit-Vorbereitung in Microsoft 365 hinarbeitet:
-
ISMS-Fundament
Ein gelebtes Informationssicherheits-Managementsystem statt einer Ordner-Sammlung.
-
Belegbare Nachweise
Richtlinien, Logs und Reports, die im Audit auf Anfrage vorliegen.
-
Wirksamkeitskontrolle
Nicht nur eingerichtet, sondern messbar wirksam – über Secure Score und Reviews.
-
Kontinuität
Audit-Readiness als Dauerzustand, nicht als Nachtschicht vor dem Audit-Termin.
Ziel: zum Audit-Termin nichts mehr suchen müssen.
Rahmenwerke
Drei Rahmenwerke, eine Methodik
Was die drei wichtigsten Audit-Rahmenwerke verlangen – und welche Microsoft-365-Bausteine dabei tragen.
-
ISO 27001
Der internationale ISMS-Standard. Microsoft 365 liefert technische Controls und Nachweise für viele Annex-A-Maßnahmen.
- Purview
- Secure Score
- Entra ID
-
TISAX
Der Prüfstandard der Automobilindustrie (VDA-ISA). Pflicht für Zulieferer – Informationssicherheit auf Microsoft 365 abgebildet.
- Sensitivity Labels
- Conditional Access
-
DORA
Digital Operational Resilience Act für das Finanzwesen: IKT-Risikomanagement, Resilienz und Meldewege.
- Defender XDR
- Backup
- Audit-Logs
Im Audit ↔ Microsoft 365
Was geprüft wird – und womit Sie es nachweisen
Typische Prüffelder eines Informationssicherheits-Audits und der Microsoft-365-Nachweis, den wir dafür aufbereiten.
| Prüffeld im Audit | Nachweis in Microsoft 365 |
|---|---|
| Zugriffskontrolle & Berechtigungen | Entra ID, Conditional Access, PIM-Reports, regelmäßige Access Reviews. |
| Verschlüsselung & Datenschutz | Purview Sensitivity Labels, BitLocker, Verschlüsselungs-Nachweise. |
| Protokollierung & Monitoring | Unified Audit Log, Defender-/Sentinel-Auswertungen. |
| Incident Management | Defender XDR Incidents, dokumentierte Response-Playbooks. |
| Business Continuity & Backup | Backup-Konzepte, Wiederherstellungstests, Notfallpläne. |
| Lieferanten- & Drittparteien-Sicherheit | Gäste-Governance, Entra External ID, Vertrags- und Nachweisführung. |
Statement
Einen audit-fest konfigurierten Microsoft-365-Tenant bereiten Sie einmal auf – und tragen damit ISO 27001, TISAX und DORA, statt jedes Rahmenwerk von vorn zu beginnen.
Audit FAQ
Häufig gestellte Fragen zur Audit-Vorbereitung
Ihr Rahmenwerk oder Auditor ist nicht dabei? Im Erstgespräch ordnen wir Ihren Fall konkret ein.
Erstgespräch vereinbarenBrauchen wir ISO 27001, wenn wir schon NIS-2 umsetzen?
NIS-2 ist gesetzlich verpflichtend, ISO 27001 ist freiwillig – wird aber häufig von Kunden und Partnern gefordert. Beide bauen auf einem Informationssicherheits-Managementsystem auf, mit großer inhaltlicher Überschneidung. Eine einmal audit-fest konfigurierte Microsoft-365-Umgebung trägt beides gleichzeitig.
Was ist TISAX und wer braucht es?
TISAX (Trusted Information Security Assessment Exchange) ist der Prüf- und Austauschstandard der Automobilindustrie, basierend auf dem VDA-ISA-Katalog. Zulieferer benötigen in der Regel ein gültiges TISAX-Label, um mit OEMs und größeren Zulieferern zusammenzuarbeiten.
Für wen gilt DORA?
Der Digital Operational Resilience Act (DORA) gilt für den Finanzsektor – Banken, Versicherer, Zahlungs- und Wertpapierdienstleister – sowie für deren kritische IKT-Drittdienstleister. DORA ist seit Januar 2025 anwendbar und verlangt unter anderem IKT-Risikomanagement, Resilienztests und Vorfallmeldungen.
Kann Microsoft 365 ein Audit allein bestehen?
Nein. Ein Audit prüft Organisation und Technik. Microsoft 365 liefert die technischen Controls und die Nachweise; die Governance liefert Prozesse, Verantwortlichkeiten und Dokumentation. Erst beides zusammen besteht ein Audit – genau hier setzt unsere Methodik an.
Wie lange dauert die Audit-Vorbereitung?
Das hängt vom Reifegrad Ihres Tenants ab. Mit einem Assessment als Startpunkt lassen sich belastbare Nachweise in der Regel in Wochen statt Monaten aufbauen – priorisiert nach dem, was der jeweilige Auditor zuerst sehen will.
Aus dem Blog
Impulse aus der Praxis
IT-Governance ca. 6 Min.
IT-Governance ca. 6 Min.
Audit-Vorbereitung
Bald ein Audit – und der Tenant ist nicht bereit?
Im kostenlosen Erstgespräch ordnen wir ein, wo Ihr Microsoft-365-Tenant gegenüber ISO 27001, TISAX oder DORA steht – und was bis zum Audit-Termin zu tun ist.
Zur Beratung