Das qualifizierte Audit-Team nutzt die abgestimmte Prüfungsgrundlage (B3S oder ISO 27001). Es wird zunächst der Geltungsbereich festgestellt, also welche Maßnahmen geeignet, erforderlich, wirksam und angemessen sind. Es wird geprüft, ob Schutzbedarf strukturiert festgestellt und Maßnahmen strukturiert abgeleitet wurden. Schließlich wird auditiert, ob die notwendigen Anforderungen vollständig umgesetzt wurden und ob die Funktionsfähigkeit der kritischen Infrastruktur dadurch gewährleistet bleibt.