ISO 27001 Auditor (TÜV)

Mit einem Auditor-Zertifikat für ISO/IEC 27001 weisen Fachleute nach, dass sie Audits von Informationssicherheits-Managementsystemen (ISMS) planen, durchführen und nachbereiten können. Einen einheitlichen Abschluss „Geprüfter Auditor ISO/IEC 27001 (TÜV)“ gibt es nicht. Die TÜV-Gesellschaften sind eigenständige Unternehmen und vergeben jeweils eigene Personenzertifikate mit eigener Bezeichnung. Ein international vergebenes Auditor-Zertifikat ist der ISO/IEC 27001 Lead Auditor von PECB.

Am nächsten an der Bezeichnung liegt das Personenzertifikat „ISO 27001 Auditor (TÜV)“ der TÜV NORD CERT GmbH. Die TÜV SÜD Akademie vergibt das Zertifikat „Information Security Lead Auditor – TÜV“, die TÜV Rheinland Akademie bereitet auf das Zertifikat „IT-Security-Auditor:in (TÜV)“ der Zertifizierungsstelle PersCert TÜV vor (Stand 19.10.2026).

Was ist ein ISO/IEC 27001 Auditor?

ISO/IEC 27001 legt Anforderungen an ein ISMS fest. Ein Auditor prüft, ob ein ISMS diese Anforderungen erfüllt. Laut dem Leitfaden zum Personenzertifizierungsprogramm von TÜV NORD CERT müssen Auditoren ein ISMS-Audit planen, durchführen und nachbereiten, Sicherheitsrisiken und Schwachstellen einschätzen und die relevanten Normen im Kontext eines Audits auslegen. Grundlage der Lehrgänge ist die ISO/IEC 27001:2022, für das Vorgehen im Audit die ISO 19011.

Unterschieden wird nach Art des Audits: First-Party-Audits prüfen das eigene ISMS, Second-Party-Audits Lieferanten, Third-Party-Audits erfolgen durch externe Stellen und sind häufig die Grundlage einer Systemzertifizierung. Die TÜV SÜD Akademie grenzt ihre Weiterbildung zum internen Auditor (First- und Second-Party-Audits) vom Lead Auditor ab, der auch externe Audits durchführt.

Für wen eignet sich das Zertifikat?

Die Anbieter nennen als Zielgruppe unter anderem IT-Sicherheits- und Informationssicherheitsbeauftragte, Managementbeauftragte, IT-Leiter und IT-Berater, interne Auditoren sowie künftige Auditoren von Zertifizierungsstellen. TÜV NORD richtet sich an Fach- und Führungskräfte, die ein ISMS aufbauen oder aufrechterhalten und First-, Second- oder Third-Party-Audits durchführen.

Anbieter und Abschlüsse

TÜV NORD: ISO 27001 Auditor (TÜV) und ISO 27001 Lead Auditor (TÜV)

Die TÜV NORD Akademie schult in einem fünftägigen Lehrgang auf Basis der ISO/IEC 27001:2022 und der ISO 19011. Das Personenzertifikat stellt TÜV NORD CERT aus. Für beide Stufen gilt dieselbe Prüfung, die Stufen unterscheiden sich in den Voraussetzungen für die Zertifikatserteilung:

• Auditor (TÜV): abgeschlossene Berufsausbildung oder ersatzweise fünf Jahre Berufserfahrung, mindestens zwei Jahre praktische Vollzeitberufserfahrung in Informationstechnologie oder Informationssicherheit, Lehrgang mit mindestens fünf Tagen (36 Unterrichtseinheiten) und bestandene Prüfung. Auditerfahrung ist nicht erforderlich.
• Lead Auditor (TÜV): Ausbildung auf einem mit einer universitären Ausbildung vergleichbaren Niveau oder ersatzweise zehn Jahre Berufserfahrung, mindestens vier Jahre Vollzeitberufserfahrung in IT oder Informationssicherheit, derselbe Lehrgang mit Prüfung sowie mindestens zwei Audits nach ISO 27001 als Lead Auditor, Auditor oder Co-Auditor mit zusammen mindestens vier Personentagen.

Berufs- und Auditerfahrung können bis 18 Monate nach bestandener Prüfung nachgereicht werden.

TÜV SÜD: Information Security Lead Auditor – TÜV

Die TÜV SÜD Akademie bietet die ISO/IEC 27001 Lead Auditor Schulung – TÜV als fünftägiges Seminar an. Behandelt werden die ISO 19011 sowie ausgewählte Anforderungen der ISO/IEC 17021-1, ISO/IEC 27006-1 und ISO/IEC 27007. Teilnahmevoraussetzung sind die Zertifikate „Information Security Officer – TÜV“ und „Information Security Foundation“ oder vergleichbare Qualifikationen. Für interne Audits und Lieferantenaudits bietet TÜV SÜD zusätzlich eine zweitägige Schulung zum Internal ISMS Auditor an, die mit dem Zertifikat „Internal ISMS Auditor“ abschließt.

TÜV Rheinland: IT-Security-Auditor (TÜV)

Der Lehrgang IT-Security-Auditor (TÜV) der TÜV Rheinland Akademie umfasst 16 Unterrichtseinheiten und behandelt den Auditprozess nach ISO 19011 und die ISO/IEC 27001:2022. Vorausgesetzt werden die Zertifikate IT-Security-Beauftragter (TÜV) und IT-Security-Manager (TÜV) oder eine vergleichbare Qualifikation. Die Prüfung nimmt PersCert TÜV ab, die Personenzertifizierungsstelle von TÜV Rheinland. Nach Angabe der Akademie entspricht das Zertifikat den Anforderungen der ISO/IEC 17024.

Ablauf und Prüfung

Bei TÜV NORD ist die Prüfung schriftlich und dauert 90 Minuten. Sie besteht aus 30 Multiple-Choice-Aufgaben und einer Dokumentenprüfung, bei der ein Auszug aus einem Managementhandbuch auf Abweichungen von den Normen untersucht wird. Hilfsmittel sind nicht zugelassen, bestanden ist mit mindestens 60 Prozent der Punkte. Die Prüfung findet in der Regel am letzten Lehrgangstag oder am Tag danach statt und wird gesondert angemeldet. Bei TÜV SÜD besteht die Prüfung aus einem Multiple-Choice-Teil und einem auditpraktischen Teil und wird im Rahmen des Seminars abgelegt.

Gültigkeit und Rezertifizierung

Die Personenzertifikate von TÜV NORD CERT gelten drei Jahre. Für die Rezertifizierung verlangt TÜV NORD jährlich mindestens eine eintägige fachspezifische Weiterbildung. Hinzu kommen im Gültigkeitszeitraum beim Auditor mindestens zwei Audits nach ISO 27001 mit mindestens zwei Personentagen, beim Lead Auditor mindestens drei Audits mit mindestens drei Personentagen in dieser Rolle. Das Zertifikat IT-Security-Auditor (TÜV) von TÜV Rheinland gilt ebenfalls drei Jahre; für die Rezertifizierung sind der Nachweis aktiver Tätigkeit und mindestens eine Weiterbildung im Fachgebiet Informationssicherheit erforderlich.

Kosten

Stand Oktober 2026 nennen die Anbieter folgende Nettopreise: TÜV SÜD 3.313,00 Euro für die Lead Auditor Schulung, davon 339,00 Euro Prüfungsgebühr; TÜV Rheinland ab 1.755,00 Euro für den IT-Security-Auditor (TÜV); TÜV NORD ab 3.120,00 Euro für Lehrgangstermine 2027, die Prüfung wird dort zusätzlich berechnet.

Häufige Fragen zu ISO 27001 Auditor (TÜV)

Was ist ein geprüfter Auditor ISO/IEC 27001 (TÜV)?

Gemeint ist eine Person, die nach einem Lehrgang und einer Prüfung ein Personenzertifikat einer TÜV-Gesellschaft als Auditor für ISMS nach ISO/IEC 27001 erhalten hat. Die genaue Bezeichnung hängt vom Anbieter ab, etwa „ISO 27001 Auditor (TÜV)“ bei TÜV NORD CERT oder „IT-Security-Auditor:in (TÜV)“ bei PersCert TÜV.

Für wen ist eine Zertifizierung als geprüfter Auditor ISO/IEC 27001 besonders sinnvoll?

Für Personen, die ISMS-Audits durchführen oder leiten, etwa Informationssicherheitsbeauftragte, interne Auditoren, IT-Berater oder künftige Auditoren von Zertifizierungsstellen.

Welche Voraussetzungen müssen für die Ausbildung zum geprüften Auditor ISO/IEC 27001 erfüllt werden?

Das hängt vom Anbieter ab. TÜV NORD verlangt für den Auditor (TÜV) eine Berufsausbildung oder ersatzweise fünf Jahre Berufserfahrung und mindestens zwei Jahre Berufserfahrung in IT oder Informationssicherheit. TÜV SÜD und TÜV Rheinland setzen vorherige Zertifikate aus ihrem eigenen Lehrgangssystem oder vergleichbare Qualifikationen voraus.

Wie läuft die Ausbildung und Prüfung zum geprüften Auditor ISO/IEC 27001 ab?

TÜV NORD und TÜV SÜD schulen fünf Tage, TÜV Rheinland 16 Unterrichtseinheiten. Am Ende steht eine schriftliche Prüfung; bei TÜV NORD sind das 90 Minuten mit Multiple-Choice-Aufgaben und einer Dokumentenprüfung, bei TÜV SÜD ein Multiple-Choice-Teil und ein auditpraktischer Teil.

Welche beruflichen Perspektiven eröffnet das Zertifikat als geprüfter Auditor ISO/IEC 27001?

TÜV NORD nennt als Einsatzbereiche First-, Second- und Third-Party-Audits nach ISO/IEC 27001. Wer als Lead Auditor externe Audits leiten will, braucht bei TÜV NORD zusätzlich nachgewiesene Auditerfahrung.

Welche kontinuierlichen Verpflichtungen ergeben sich aus der Zertifizierung?

Die Zertifikate von TÜV NORD CERT und PersCert TÜV gelten drei Jahre. Für die Verlängerung verlangt TÜV NORD jährliche Weiterbildung und Audittätigkeit im Gültigkeitszeitraum, TÜV Rheinland den Nachweis aktiver Tätigkeit und mindestens eine Weiterbildung.