iso27001-audit-prep
von alirezarezvaniiso27001-audit-prep ist ein fokussierter Skill zur Vorbereitung auf ISO-27001-ISMS-Audits. Mit sechs gezielten Pflichtfragen prüft er vor internen Audits, Zertifizierungs- oder Überwachungsaudits kritisch den Geltungsbereich, die Aktualität des Risikoregisters, die Verknüpfung mit Annex A, Management Reviews, Korrekturmaßnahmen und stichprobenfähige Nachweise.
Dieser Skill erreicht 66/100 Punkte. Damit ist er für die Aufnahme ins Verzeichnis geeignet, sollte aber als leichtgewichtiges Fragewerkzeug zur ISO-27001-Auditbereitschaft dargestellt werden – nicht als vollständiges System zur Auditvorbereitung. Nutzer des Verzeichnisses können nachvollziehen, wann sie ihn einsetzen sollten und welche Prüfungsfragen er stellt. Der praktische Nutzen wird jedoch durch fehlende Begleitdateien und eine teilweise Abhängigkeit von externen Referenzen begrenzt, die nicht im Skill enthalten sind.
- Klarer Trigger und klare Anwendungsfälle: Frontmatter und Inhalt nennen `/cs:iso27001-audit-prep <scope>` und führen typische Einsatzzeitpunkte auf, darunter interne Audits nach Clause 9.2, Zertifizierungsbereitschaft, Überwachungsaudits, Änderungen des Geltungsbereichs und Reviews nach Sicherheitsvorfällen.
- Bietet konkrete Fragen zur ISO-27001-Bereitschaft, unter anderem zur Auditabdeckung über 3 Jahre, Aktualität des Risikoregisters, Verknüpfung mit Annex A Controls, Akzeptanz von Restrisiken und Unabhängigkeit der Auditoren.
- Der Skill enthält substanziellen SKILL.md-Inhalt ohne Platzhalter oder experimentelle Hinweise und gibt Agents damit mehr Struktur als ein generischer ISO-27001-Prompt.
- Es sind keine unterstützenden Skripte, Referenzen oder Ressourcen enthalten, obwohl der Skill Nutzer anweist, ein externes `isms_audit_scheduler.py` in einem anderen Pfad auszuführen.
- Der Skill wirkt eher wie eine gezielte Befragung bzw. Checkliste zur Auditbereitschaft und nicht wie ein vollständiger ISO-27001-Auditvorbereitungs-Workflow mit Vorlagen, Evidenz-Trackern oder Beispielausgaben.
Überblick über den iso27001-audit-prep skill
Was iso27001-audit-prep leistet
iso27001-audit-prep ist ein Compliance-Review-Skill, mit dem sich die Auditbereitschaft eines ISO 27001 ISMS vor einem internen Audit, Zertifizierungsaudit, Überwachungsaudit oder einer größeren Scope-Änderung gezielt unter Druck testen lässt. Statt eine breite Checkliste abzuarbeiten, nutzt der Skill einen erzwingenden Workflow mit sechs Fragen. Dadurch richtet der Agent den Blick auf die Nachweise, die Auditoren typischerweise hinterfragen: Audit-Scope, fortlaufende Control-Abdeckung, Aktualität des Risikoregisters, Verknüpfung mit Risikobehandlungen, Management Review, Korrekturmaßnahmen und stichprobenfähige Dokumentation.
Passende Nutzer und Audit-Zeitpunkte
Dieser Skill ist besonders nützlich für Compliance Leads, Security Manager, GRC-Verantwortliche, interne Auditoren und Startup-Operatoren, die sich auf ein internes Audit nach ISO 27001 Clause 9.2 oder auf eine externe Zertifizierungsprüfung vorbereiten. Verwenden Sie iso27001-audit-prep for Compliance Review, wenn bereits ISMS-Material vorhanden ist und Sie eine strukturierte Bereitschaftsprüfung benötigen — nicht, wenn Sie ISO 27001 von Grund auf lernen möchten.
Typische Einsatzfälle mit gutem Fit sind:
- jährliche Planung interner Audits
- Vorbereitung auf Stage 1 oder Stage 2 einer Zertifizierung
- Vorbereitung auf Überwachungsaudits in Jahr 2 oder Jahr 3
- ISMS-Review nach einem Sicherheitsvorfall
- Aufnahme eines neuen Produkts, Geschäftsbereichs, einer SaaS-Plattform oder Region in den Scope
Was ihn von einem generischen Prompt unterscheidet
Ein generischer Prompt wie „Bereite mich auf ISO 27001 vor“ liefert häufig eine lange Checkliste mit schwacher Priorisierung. Der iso27001-audit-prep skill verdichtet den Review auf auditnahe Fragen und fordert stichprobenbasierte Nachweise ein. Dadurch eignet er sich besser, um fehlende Evidence, veraltete Risikoeinträge, schwache Annex A-Zuordnungen, nicht unterzeichnete Akzeptanzen von Restrisiken und Lücken im Auditprogramm zu erkennen, bevor ein Auditor sie findet.
Wichtige Einschränkungen vor der Installation
Die Repository-Evidence zeigt eine einzelne Datei SKILL.md und keine mitgelieferten Scripts, Referenzen, Ressourcen oder Metadaten-Dateien. Der Skill erwähnt ein isms_audit_scheduler.py in einem anderen Pfad, aber dieser Skill-Ordner selbst enthält diesen Helper nicht. Behandeln Sie iso27001-audit-prep daher als fokussierten Prompting-Workflow, nicht als vollständiges Audit-Automatisierungspaket oder rechtliche Zertifizierungsdienstleistung.
So verwenden Sie den iso27001-audit-prep skill
Installationskontext für iso27001-audit-prep
Für iso27001-audit-prep install fügen Sie den Skill aus dem GitHub-Repository-Pfad hinzu, den Ihr AI Skill Runner oder Ihre Claude-Skills-Umgebung verwendet:
https://github.com/alirezarezvani/claude-skills/tree/main/compliance-os/skills/iso27001-audit-prep
Wenn Ihr Installer GitHub-Skill-Imports unterstützt, verweisen Sie auf das Repository und den Skill-Pfad und prüfen Sie anschließend, ob SKILL.md verfügbar ist. Da es in diesem Skill-Verzeichnis keine Support-Ordner gibt, lesen Sie zuerst SKILL.md; in diesem Ordner gibt es kein verborgenes Regelwerk und keine Script-Bibliothek, die zusätzlich geprüft werden müsste.
Welche Eingaben der Skill für brauchbare Ergebnisse braucht
Das Befehlsformat lautet:
/cs:iso27001-audit-prep <scope>
Übergeben Sie als Scope nicht nur „our ISMS“. Bessere Scope-Angaben enthalten die juristische Einheit, Standorte, Produkte, Systeme, Teams, Ausschlüsse, Audit-Typ und Zieldatum.
Schwacher Prompt:
/cs:iso27001-audit-prep SaaS company
Stärkerer Prompt:
/cs:iso27001-audit-prep Stage 1 readiness for Acme Ltd ISMS covering UK HQ, remote engineering, production AWS SaaS platform, customer support operations, and excluded corporate finance systems; audit in 6 weeks.
Die stärkere Variante hilft dem Skill zu prüfen, ob Audit-Abdeckung, Anwendbarkeit von Annex A, Risikobehandlung und Evidence-Stichproben tatsächlich zur Zertifizierungsgrenze passen.
Praktischer Workflow für die Nutzung von iso27001-audit-prep
Nutzen Sie diese Reihenfolge, um bessere Ergebnisse bei iso27001-audit-prep usage zu erzielen:
- Definieren Sie das Audit-Ereignis: internes Clause 9.2-Audit, Stage 1, Stage 2, Überwachungsaudit, Post-Incident-Review oder Scope-Change-Review.
- Geben Sie den ISMS-Scope und wesentliche Ausschlüsse an.
- Ergänzen Sie den aktuellen Evidence-Status: Datum des Risikoregisters, Version des Statement of Applicability, interner Auditplan, Datum des Management Reviews, Korrekturmaßnahmen-Log und Control-Verantwortlichkeiten.
- Bitten Sie den Skill, Lücken anhand der sechs ISMS-Fragen kritisch zu prüfen.
- Überführen Sie die Ausgabe in eine Evidence-Anforderungsliste, eine Owner-Liste und einen Maßnahmenplan vor dem Audit.
Ein hochwertiger Prompt kann zum Beispiel so aussehen:
Use iso27001-audit-prep to challenge our ISO 27001 surveillance audit readiness. Scope: EU SaaS platform, AWS production, product engineering, SRE, support, HR onboarding, and vendor management. Risk register last updated 5 months ago. SoA version 2024-03. Last management review 9 months ago. Internal audit covered access control and incident management, but not supplier security. Return likely findings, missing samples, urgent fixes, and questions an auditor may ask.
Dateien, die Sie vor der Nutzung lesen sollten
Lesen Sie SKILL.md vor der ersten Nutzung vollständig. Achten Sie besonders auf den Abschnitt „When to Run“ und die sechs ISMS-Fragen. Beachten Sie außerdem den dependency-artigen Verweis auf einen Audit Scheduler außerhalb dieses Skill-Ordners. Wenn Ihre Umgebung diesen anderen Skill-Pfad nicht enthält, bitten Sie den Agenten, manuell eine 3-Jahres-Tabelle zur Audit-Abdeckung zu erstellen, statt davon auszugehen, dass ein Script verfügbar ist.
FAQ zum iso27001-audit-prep skill
Reicht iso27001-audit-prep für eine ISO 27001-Zertifizierung aus?
Nein. iso27001-audit-prep hilft bei der Vorbereitung auf Audit-Gespräche und Evidence-Prüfungen, zertifiziert aber keine Organisation, ersetzt keinen akkreditierten Auditor und erzeugt kein vollständiges ISMS. Der Skill eignet sich am besten, um Bereitschaftslücken vor einer formalen Prüfung sichtbar zu machen.
Warum ist er besser als eine ISO 27001-Checkliste aus ChatGPT?
Der Wert liegt im Fokus. Der Skill strukturiert den Review rund um Pressure-Test-Fragen, die ein Auditor gegen Ihr ISMS verwenden kann: Scope-Disziplin, rollierende dreijährige Abdeckung, Verknüpfung von Risiken und Controls, Akzeptanz von Restrisiken, Unabhängigkeit und Evidence-Bereitschaft. Das führt zu deutlich handlungsnäheren Lücken als eine generische Checkliste.
Können Einsteiger den iso27001-audit-prep guide nutzen?
Ja, aber Einsteiger sollten mehr Kontext liefern und um Erklärungen zu ISO-Begriffen bitten. Wenn Sie Ihren ISMS-Scope, den Status des Risikoregisters, den SoA-Status oder den internen Auditplan noch nicht kennen, kann der Skill helfen, fehlende Grundlagen zu identifizieren. Seine größte Stärke liegt jedoch in der Auditbereitschaft, nicht in der Einführungsschulung.
Wann sollte ich diesen Skill nicht verwenden?
Verwenden Sie ihn nicht als einzige Grundlage für rechtliche, regulatorische oder zertifizierungsbezogene Entscheidungen. Er ist außerdem wenig geeignet, wenn noch keine ISMS-Artefakte existieren. In diesem Fall sollten Sie zuerst Scope-Definition, Asset-Inventar, Risikobewertung, SoA-Entwurf und Policy-Entwicklung angehen, bevor Sie eine Audit-Prep-Befragung starten.
So verbessern Sie den iso27001-audit-prep skill
iso27001-audit-prep mit evidenzreichen Eingaben verbessern
Die größte Qualitätssteigerung entsteht, wenn Sie dem Agenten konkreten Evidence-Status geben. Nennen Sie Daten, Dokumentnamen, Owner, offene Findings, noch nicht auditierte Control-Familien und bekannte Schwachstellen. Zum Beispiel ist „risk register refreshed quarterly“ weniger hilfreich als „risk register last approved 2024-11-15; 4 high risks; 2 residual acceptances unsigned; supplier risk treatment not mapped to Annex A.“
Nach stichprobenbasierten Audit-Challenges fragen
ISO 27001-Audits hängen stark von Stichproben ab. Verbessern Sie die Ausgabe des Skills, indem Sie nicht nur nach Lücken, sondern nach konkreten Stichprobenanforderungen fragen:
For each weakness, list the sample evidence an auditor may request, the likely ISO 27001 clause or Annex A area, the owner who should prepare it, and what would make the sample defensible.
So wird der iso27001-audit-prep guide zu einem umsetzbaren Vorbereitungsplan.
Auf typische Fehlermuster achten
Schwache Ausgaben entstehen häufig durch einen vagen Scope, einen fehlenden Audit-Typ oder die Annahme, dass Evidence bereits existiert. Wenn die erste Antwort zu positiv klingt, bitten Sie den Agenten, adversarial vorzugehen: “Challenge our readiness as an external auditor and identify likely minor or major nonconformities.” Wenn die Antwort zu breit ist, begrenzen Sie sie auf das nächste Audit-Ereignis und die fünf größten Evidence-Risiken.
In einen Maßnahmenplan iterieren
Bitten Sie nach dem ersten iso27001-audit-prep-Durchlauf um einen 30-Tage-Plan mit Schweregrad, Ownern, zu sammelnder Evidence und Entscheidungspunkten. Gute Follow-up-Prompts sind: “Separate must-fix before audit from nice-to-have,” “Map each issue to ISO 27001 clause or Annex A control where possible,” und “Create management review questions for unresolved residual risks.”