Ein IT-Sicherheitsaudit ist die strukturierte Überprüfung, ob die Sicherheitsmaßnahmen eines Unternehmens den selbst gesetzten, vertraglichen oder gesetzlichen Anforderungen entsprechen. Anders als ein Penetrationstest, der praktisch angreift, prüft ein Audit auf Grundlage von Unterlagen, Interviews, Konfigurationsdaten und Stichproben, ob Regelungen vorhanden, geeignet und tatsächlich gelebt sind.
Unterschieden werden interne Audits durch das Unternehmen selbst und externe durch unabhängige Prüfer, wobei nur letztere für Zertifizierungen und den Nachweis gegenüber Dritten taugen. Als Prüfmaßstab dienen üblicherweise ISO/IEC 27001, branchenspezifische Vorgaben oder ein selbst festgelegter Katalog; ergänzend prüfen Auditoren die Umsetzung von Anforderungen aus DSGVO, NISG oder DORA.
Ergebnis ist ein Bericht mit Abweichungen, deren Schwere und Empfehlungen, dessen Wert erst durch die Behebung und einen Nachprüfungstermin entsteht. Ein häufiger Befund ist die Lücke zwischen Papier und Praxis, also eine gut geschriebene Richtlinie, an die sich im Alltag niemand hält. Für Unternehmen mit größeren Kunden wird ein Audit zunehmend zum Marktzugang, weil Auftraggeber Nachweise über die Sicherheit ihrer Lieferanten verlangen.