NIS2- und KSC-Compliance-Prüfung: Dokumente, Register und Tests als konsistente Nachweiskette

Bei einer NIS2- und KSC-Compliance-Prüfung reicht es nicht aus, Richtlinien und Verfahrensanweisungen vorzulegen. Die Aufsichtsbehörde kann prüfen, ob die Organisation ihren Pflichtenumfang korrekt bestimmt, Verantwortlichkeiten eindeutig zugewiesen, Sicherheitsmaßnahmen umgesetzt und deren Wirksamkeit durch aktuelle Register, Testergebnisse und dokumentierte Managemententscheidungen nachgewiesen hat. Die Vorbereitung sollte deshalb einer durchgängigen Nachweiskette folgen: von der Verpflichtung und dem Risiko über die umgesetzte Maßnahme bis zum Ausführungsnachweis, zur Wirksamkeitsbewertung und zur Reaktion auf Abweichungen.

Geprüft wird das System – nicht der Aktenordner

Entscheidend ist nicht die Anzahl vorhandener Richtlinien und Verfahren, sondern die belastbare Bestimmung des Pflichtenumfangs. Die Organisation muss darlegen können, welche Dienstleistungen, Prozesse, Informationssysteme, Standorte und Lieferantenabhängigkeiten den Anforderungen des KSC unterliegen und auf welcher Grundlage diese Einordnung vorgenommen wurde. Bevor Dokumente geordnet werden, sollte die Geschäftsleitung daher den Status des Unternehmens und den Umfang der erbrachten Dienstleistungen bestätigen und anschließend eine verantwortliche Person für die Prüfungsvorbereitung benennen.

Das größte Nachweisrisiko entsteht, wenn die Dokumentation Regelungen beschreibt, die in der Praxis nicht angewendet werden oder sich nicht durch Aufzeichnungen belegen lassen. Dies betrifft insbesondere Berechtigungsüberprüfungen, Risikobewertungen, Datensicherungen, die Überwachung von Lieferanten und Business-Continuity-Tests. Die Nachweise sollten eine konsistente Kette bilden: Anforderung oder Risiko, Entscheidung, umgesetzte Sicherheitsmaßnahme, Verantwortung, Ausführungsnachweis, Ergebnis der Wirksamkeitsbewertung und Reaktion auf festgestellte Abweichungen.

Die Behörde kann mit einem übergeordneten Dokument beginnen und anschließend eine operative Stichprobe ziehen. Legt das Verfahren zur Behandlung von Sicherheitsvorfällen beispielsweise Klassifizierung und Eskalation fest, ist mit einer Prüfung von Meldungen, Reaktionszeiten, Entscheidungen, Kommunikation, Fallabschluss und Erkenntnissen aus dem Vorfall zu rechnen. Der Geltungsbereich des Systems wird nicht allein durch eine Beschreibung belegt, sondern auch durch eine Übersicht der Dienstleistungen und Abhängigkeiten, ein Asset-Verzeichnis, die Zuordnung von Verantwortlichen sowie die Übereinstimmung dieser Angaben mit den operativen Registern.

NIS2- und KSC-Dokumentation vor einer Prüfung: Welche Richtlinien, Register und Nachweise tatsächlich erforderlich sind sollte ein funktionierendes Managementsystem abbilden und keine bloße Sammlung von Vorlagen darstellen. Eine behördliche Kontrolle ist dabei von einem Managementsystemaudit zu unterscheiden. Beide können sich auf vergleichbare Nachweise stützen. Die behördliche Kontrolle bewertet jedoch die Erfüllung der Pflichten aus den einschlägigen Vorschriften und dem jeweiligen Aufsichtsbereich, während ein Audit die Konformität und Wirksamkeit des Systems anhand festgelegter Kriterien beurteilt. Ein positives Ergebnis des einen Verfahrens ersetzt das andere nicht.

Geltungsbereich und Verantwortung im Fokus

Die erste Nachweisgruppe sollte erklären, weshalb die Organisation bestimmten Pflichten unterliegt und wo die Grenzen des überwachten Umfelds verlaufen. Die Behörde kann eine Begründung der Unternehmenseinstufung, die Identifizierung der regulierten Dienstleistungen sowie die Zuordnung der damit verbundenen Prozesse, Informationswerte, Systeme, Standorte und Lieferanten erwarten. Der Geltungsbereich darf nicht lediglich durch die Bezeichnung der Geschäftstätigkeit beschrieben werden. Er muss es ermöglichen, die Leistungserbringung vom Geschäftsprozess über die unterstützenden Assets bis zu externen Abhängigkeiten nachzuvollziehen.

Grundlage der Vorbereitung ist eine aktuelle, von der Geschäftsleitung genehmigte Beschreibung des Geltungsbereichs. Diese sollte durch eine Übersicht der Dienstleistungen und Prozesse, ein Verzeichnis kritischer Assets sowie eine klare Verantwortungsstruktur ergänzt werden. Dokumente zur Festlegung von Rollen müssen neben Stellenbezeichnungen auch die Befugnisse zur Risikoakzeptanz, zur Aktivierung von Notfallmaßnahmen, zur Eskalation von Sicherheitsvorfällen und zu Entscheidungen gegenüber Lieferanten regeln. Verantwortliche für Dienstleistungen, Assets und Risiken sind entsprechend der tatsächlichen Kompetenzverteilung zu benennen.

Eine typische Inkonsistenz liegt vor, wenn das Register zwar einen formalen Risikoverantwortlichen nennt, die Risikoakzeptanz jedoch durch eine andere Person ohne entsprechende Befugnis oder dokumentierte Entscheidung erfolgt. Dasselbe Problem betrifft Ausnahmen von Sicherheitsmaßnahmen, die Betriebskontinuität und die Freigabe von Lieferanten. Sitzungsprotokolle, Beschlüsse, genehmigte Risikobewertungen, Budgetentscheidungen und Managementbewertungen sollten nachweisen, dass die Geschäftsleitung wesentliche Risiken kennt, über Themen außerhalb der operativen Befugnisse entscheidet und die Umsetzung ihrer Entscheidungen überwacht.

Die Einstufung, die Eintragung in das einschlägige Verzeichnis und die Zuständigkeit der Behörde sind stets anhand der aktuellen Rechtslage und der konkreten Situation des Unternehmens zu bestimmen. Eine praktische Vertiefung bietet NIS2: Selbsteinschätzung und Eintragung in das KSC-Verzeichnis – was muss ein Produktionsunternehmen tun? Hat die Organisation den Status einer wesentlichen Einrichtung, sollte die Bewertung des Geltungsbereichs außerdem mit dem Beitrag Verpflichtendes KSC-Audit: Welche wesentlichen Einrichtungen müssen sich auf die erste Konformitätsbewertung vorbereiten? abgeglichen werden. Der Status allein belegt jedoch nicht, dass die Geschäftsleitung die Verantwortungsgrenzen genehmigt und deren regelmäßige Überprüfung sichergestellt hat.

Register machen die gelebte Praxis sichtbar

Ein Register ist nur dann ein Nachweis für kontinuierliche Steuerung, wenn es die in den Prozessen tatsächlich getroffenen Entscheidungen und ausgeführten Tätigkeiten abbildet. Es darf kein lediglich in regelmäßigen Abständen ergänzter Anhang zu einem Verfahren sein. Vor der Auswahl eines Werkzeugs sind die erforderlichen Datenfelder, Datenquellen, Verantwortlichen für Einträge und Regeln zur Genehmigung von Änderungen festzulegen. Eine Tabellenkalkulation kann ausreichend sein, sofern sie Zugriffskontrolle, Änderungshistorie, eindeutige Verantwortung und Schutz vor unbefugten Änderungen gewährleistet. Auch ein komplexes System schafft keine verlässlichen Daten, wenn unklar bleibt, wer das Register wann und aufgrund welchen Ereignisses aktualisiert.

Das Risikoregister sollte Bedrohungsszenarien mit Dienstleistungen und Assets verknüpfen sowie Risikoverantwortliche, bestehende Maßnahmen, Bewertungsergebnisse, Behandlungsentscheidungen und den Umsetzungsstatus aufführen. Die Behörde kann prüfen, ob einem als zu reduzierend eingestuften Risiko eine Maßnahme, ein Termin und ein Ausführungsnachweis zugeordnet sind. Bei akzeptierten Risiken kann sie die Genehmigung durch eine entsprechend befugte Person erwarten. Sinnvolle Managementkennzahlen sind die Anzahl offener Risiken, nicht abgeschlossener Maßnahmen und Entscheidungen, deren erneute Überprüfung aussteht. Dabei handelt es sich um organisationsintern definierte Kennzahlen und nicht um gesetzliche Schwellenwerte.

Das Register für Sicherheitsvorfälle und Ereignisse sollte die vollständige Rekonstruktion der Bearbeitung ermöglichen: Erkennung, Klassifizierung, Eskalation, Entscheidung über eine Meldung, Kommunikation, Wiederherstellung des Betriebs und formaler Abschluss einschließlich der gewonnenen Erkenntnisse. Ergänzende Unterlagen umfassen Register zu Schwachstellen, Patches und genehmigten Ausnahmen, Berechtigungsüberprüfungen, Erstellung und Wiederherstellung von Backups, Konfigurationsänderungen, Administratoraktivitäten, Schulungen und Übungen.

Wird ein Patch zurückgestellt, muss die Nachweiskette von der identifizierten Schwachstelle über die Auswirkungsbewertung und die Ausnahmeentscheidung bis zu kompensierenden Maßnahmen, einem Termin für die Neubewertung und dem bestätigten Abschluss reichen. Eine bloße Liste überfälliger Patches zeigt nicht, ob die Verzögerung kontrolliert wird.

Dieselbe Konsistenz ist bei der Steuerung der Lieferkette erforderlich. Eine Vertragsliste ersetzt weder die Klassifizierung von Lieferanten noch die Bewertung der Abhängigkeiten von Dienstleistungen und Assets, die Festlegung von Sicherheitsanforderungen, dokumentierte Überprüfungen oder Entscheidungen zu nicht akzeptierten Defiziten. Das Register sollte erkennen lassen, wer einen Lieferanten freigegeben hat, welche Abweichungen genehmigt wurden und wann die nächste Bewertung stattfindet. Besonders zu überwachen sind Lieferanten ohne aktuelle Bewertung sowie überfällige Maßnahmen aus früheren Überprüfungen. Dieses Thema bleibt auch bei der Umsetzung des Programms NIS2-Umsetzung nach der Eintragung in das KSC-Verzeichnis – Maßnahmenplan bis zum 3. April 2027 relevant.

Aufbewahrungsfristen sowie Regeln für Zugriff und Änderungsgenehmigung sind nach Art der Aufzeichnung, ihrer Beweiskraft, rechtlichen und vertraglichen Anforderungen sowie dem Bedarf für Vorfallanalysen zu differenzieren. Ohne eine entsprechende Analyse sollte nicht pauschal dieselbe Aufbewahrungsfrist für alle Register festgelegt werden. Fristen für die Meldung von Sicherheitsvorfällen und das Verfahren zur Beweissicherung sind jeweils anhand der geltenden Vorschriften und Leitlinien der zuständigen Behörde zu prüfen. Einen umfassenderen Überblick bietet der Beitrag „NIS2- und KSC-Dokumentation vor einer Prüfung: Welche Richtlinien, Register und Nachweise tatsächlich erforderlich sind“. Maßgeblich für die operative Reife sind jedoch die im Tagesgeschäft entstehenden Aufzeichnungen und die erkennbare Kette von der Vorgabe über das Prüfergebnis bis zur Korrekturmaßnahme.

Tests müssen zu einer dokumentierten Entscheidung führen

Die Aufsichtsbehörde kann nicht nur nach dem Business-Continuity-Plan, dem Verfahren zur Reaktion auf Sicherheitsvorfälle oder der Bestätigung regelmäßig durchgeführter Backups fragen. Relevant sind auch Nachweise, dass diese Lösungen unter Bedingungen getestet wurden, die den realen Dienstleistungen, Technologien und Lieferantenabhängigkeiten entsprechen. Das Testprogramm sollte aus der Risikobewertung, der Kritikalität der Dienstleistung, Veränderungen im Umfeld sowie rechtlichen und vertraglichen Anforderungen abgeleitet werden. Es gibt keine einheitlich geeignete Prüffrequenz für sämtliche Sicherheitsmaßnahmen. Bereiche mit hohen Auswirkungen, raschen Veränderungen oder wesentlichen Abweichungen aus früheren Tests sollten häufiger geprüft werden.

Vor jedem Test sind Prüfgegenstand und Bestehenskriterien festzulegen. Die Aufzeichnung sollte Umfang, Szenario, Teilnehmende, Testumgebung, Bestehenskriterien und zulässige Toleranzen enthalten. Nach der Durchführung sind Ergebnis, Abweichungen sowie tatsächliche oder potenzielle Auswirkungen auf die Dienstleistung zu dokumentieren. Werden Defizite festgestellt, müssen die Nachweise Korrekturmaßnahmen, Verantwortliche, Umsetzungstermine und den Termin der erneuten Verifizierung ausweisen.

Sinnvolle Kennzahlen sind die tatsächlich erreichte Wiederanlaufzeit, der erreichte Wiederherstellungspunkt, die Eskalationszeit und der Anteil fristgerecht abgeschlossener Folgemaßnahmen. Einer der schwerwiegendsten organisatorischen Fehler besteht darin, Tests regelmäßig durchzuführen, ohne Erfolgskriterien festzulegen oder erkannte Nichtkonformitäten wirksam abzuschließen.

Zu den wesentlichen Prüfungen gehören die Wiederherstellung von Daten aus Backups, die Umschaltung auf Notfalllösungen, Übungen zur Reaktion auf Sicherheitsvorfälle, Tests der Krisenkommunikation, Berechtigungsüberprüfungen, die Wiederherstellung von Konfigurationen sowie technische Schwachstellenprüfungen einschließlich Scans und – risikogerecht – Penetrationstests. Ein Ergebnis des Dienstleisters kann Teil des Nachweises sein. Es ersetzt jedoch keinen Test aufseiten der Organisation, wenn deren Prozesse, Schnittstellen, Verantwortlichkeiten und Betriebsbedingungen nicht erfasst werden.

Nach jedem Test sollte der Serviceverantwortliche eine dokumentierte Entscheidung treffen: Ergebnis akzeptieren, Korrektur umsetzen, kompensierende Maßnahme einführen, Test wiederholen oder das Restrisiko im Rahmen der erteilten Befugnisse akzeptieren.

Ein erfolgreich erstelltes Backup einer Datenbank belegt noch nicht, dass die Dienstleistung wiederhergestellt werden kann. Im Test kann sich zeigen, dass die Anwendung eine nicht dokumentierte Konfigurationsversion benötigt, das Identitätsmanagement in der Notfallumgebung nicht funktioniert, Schlüssel nicht verfügbar sind oder nur eine einzelne Person die Startreihenfolge der Komponenten kennt und nicht an der Wiederherstellung beteiligt ist. Erst ein Test der vollständigen Abhängigkeitskette ermöglicht es, die tatsächlich erreichte Wiederanlaufzeit und den Wiederherstellungspunkt mit den festgelegten Kriterien zu vergleichen, die Auswirkungen auf die Dienstleistung zu bewerten und über die Einsatzbereitschaft oder notwendige Verbesserungen zu entscheiden.

Diese Form der Testdokumentation ist branchenunabhängig relevant, auch bei der Betrachtung des Themas NIS2 für Produktionsunternehmen: Wer ist betroffen, welche Pflichten gelten und wie lässt sich die Organisation vorbereiten, ohne das Thema auf die IT zu reduzieren? Der erwartete Nachweisumfang ist an den für die Organisation geltenden Pflichten, ihren Dienstleistungen und der aktuellen Rechtslage auszurichten. Entscheidend bleibt eine konsistente Kette: erkanntes Risiko, geplanter Test, messbares Kriterium, dokumentiertes Ergebnis, Entscheidung des Verantwortlichen und Bestätigung des wirksamen Maßnahmenabschlusses.

Inkonsistenzen erhöhen den Aufwand einer Prüfung

Formal vollständige Dokumentation verliert ihren Wert, wenn sie nicht dem tatsächlichen Zustand entspricht. Die Behörde kann Aussagen aus Richtlinien mit Systemkonfigurationen, Ticketdaten, Verträgen, Berechtigungslisten, Scan-Ergebnissen, Testprotokollen und Erläuterungen der Prozessverantwortlichen abgleichen. Dabei geht es nicht um redaktionelle Einheitlichkeit, sondern um die Nachvollziehbarkeit einer Entscheidung von der identifizierten Verpflichtung und dem Risiko über die umgesetzte Maßnahme und deren Betriebsnachweis bis zur Reaktion auf eine Abweichung.

Eine interne Prüfungssimulation vor Beginn der behördlichen Maßnahmen sollte auf gezielt ausgewählten Stichproben von Dienstleistungen, Sicherheitsvorfällen, Lieferanten und Berechtigungen beruhen. Von dort aus wird die Nachweiskette bis zu den Quelldaten verfolgt. So lassen sich veraltete Asset-Verzeichnisse, unterschiedliche Bezeichnungen derselben Dienstleistung, Risiken ohne Verantwortliche, nicht erfasste Vorfälle, Lieferanten ohne dokumentierte Bewertung und ohne Wirksamkeitsprüfung geschlossene Korrekturmaßnahmen erkennen. Abweichungen sollten durch Klärung des tatsächlichen Zustands und der Verantwortung für die jeweilige Aufzeichnung beseitigt werden – nicht durch kurzfristige redaktionelle Anpassungen.

In einem Produktionsunternehmen darf die Überprüfung nicht bei der Büro-IT enden. Für eine ausgewählte Dienstleistung kann sie Instandhaltung, Automatisierung, Fernwartungszugänge, Konfigurationsmanagement und Abhängigkeiten zwischen Produktionssystemen einschließen. Ein Berechtigungsverzeichnis kann beispielsweise ein vom Servicetechniker verwendetes Konto nicht ausweisen, obwohl Vertrag, Verbindungsprotokoll und Gerätekonfiguration dessen Existenz bestätigen. Die Bedeutung solcher Abhängigkeiten wird im Beitrag „NIS2 für Produktionsunternehmen: Wer ist betroffen, welche Pflichten gelten und wie lässt sich die Organisation vorbereiten, ohne das Thema auf die IT zu reduzieren?“ ausführlicher behandelt.

Die Zertifizierung eines Managementsystems kann Risikomanagement, Dokumentenlenkung, Audits und Korrekturmaßnahmen strukturieren. Sie ersetzt jedoch weder die Analyse des rechtlichen Geltungsbereichs noch operative Nachweise zur Erfüllung der KSC-spezifischen Pflichten. Diese Abgrenzung erläutert NIS2 und DIN EN ISO 27001: Was leistet ein Zertifikat – und was fehlt weiterhin für die KSC-Konformität? Das Fehlen einer einzelnen Aufzeichnung bedeutet nicht automatisch, dass eine Nichtkonformität vorliegt. Es erfordert jedoch eine Bewertung der Bedeutung des Nachweises, der Ursache der Lücke und der Möglichkeit, die Funktionsfähigkeit der Maßnahme durch andere verlässliche Aufzeichnungen zu bestätigen.

Der Prüfungsaufwand steigt vor allem dann, wenn Nachweise verteilt abgelegt sind, Vollmachten unklar bleiben und niemand die Antworten sowie die Freigabe der zu übermittelnden Unterlagen koordiniert. Die Teams müssen dann widersprüchliche Angaben erst während der Prüfung manuell abstimmen. Die frühzeitige Benennung eines Koordinators, der Verantwortlichen für einzelne Nachweise und der Regeln zur Klärung von Widersprüchen reduziert den Aufwand und das Risiko inkonsistenter Erläuterungen gegenüber der Behörde.

Prüfungsbereitschaft entsteht durch eine realistische Simulation

Eine interne Prüfungssimulation sollte mit der Bestätigung des Unternehmensstatus, des Umfangs der betroffenen Dienstleistungen sowie der Verantwortlichkeiten von Geschäftsleitung und Prozessverantwortlichen beginnen. Anschließend sollte der Koordinator für den Behördenkontakt eine Compliance-Matrix erstellen, die jede Verpflichtung mit einem Verantwortlichen und einem Nachweis verknüpft. Erst auf dieser Grundlage werden Stichproben geprüft, Gespräche mit den verantwortlichen Personen geführt und der Ablauf eines ausgewählten Vorfalls oder Tests rekonstruiert. Die Koordinationsrolle sollte einer Person übertragen werden, die Zugang zur Geschäftsleitung besitzt und Widersprüche klären kann, ohne die fachlich verantwortlichen Nachweiseigner zu ersetzen.

Jeder Verantwortliche für eine Verpflichtung sollte Folgendes benennen können:

• das übergeordnete Dokument, das die Vorgehensweise festlegt,
• die Aufzeichnung, die die Erfüllung der Verpflichtung belegt,
• die Kennzahl zur Bewertung der Wirksamkeit der Maßnahme,
• die zuletzt infolge einer Überprüfung getroffene Entscheidung.

Fehlt eines dieser Elemente, besteht eine Unterbrechung in der Nachweiskette. Ein Verfahren zur Reaktion auf Sicherheitsvorfälle genügt nicht, wenn die Organisation weder den Ereigniseintrag noch Reaktionszeiten, Folgenbewertung, Ursachenanalyse und die Entscheidung über Anpassungen der Sicherheitsmaßnahmen vorlegen kann. Die Fallrekonstruktion zeigt außerdem, ob die Aussagen der Mitarbeitenden mit den Aufzeichnungen und dem tatsächlichen Ablauf übereinstimmen.

Die Simulation sollte auch die organisatorische Abwicklung einer Kontrolle umfassen: Eingang und Registrierung einer Anforderung, Festlegung von Frist und Antwortverantwortlichem, Freigabe der Unterlagen, Schutz sensibler Informationen, Kennzeichnung der übermittelten Versionen und Dokumentation der Abstimmungen mit der Behörde. Sinnvoll ist auch die Simulation eines Falls, in dem eine angeforderte Aufzeichnung Daten außerhalb des Prüfungsgegenstands enthält oder eine erläuternde Einordnung benötigt. Dadurch wird geklärt, wer über den Umfang der Offenlegung entscheidet und wie die Organisation die Übermittlung nachvollziehbar dokumentiert.

Der Maßnahmenplan sollte Lücken nach Auswirkungen auf die Dienstleistung, rechtlicher Exposition, Wahrscheinlichkeit ihrer Feststellung und der erforderlichen Zeit bis zu einem belastbaren Wirksamkeitsnachweis priorisieren – nicht danach, wie einfach sich eine weitere Verfahrensanweisung erstellen lässt. Die Geschäftsleitung genehmigt Prioritäten, Ressourcen und das zulässige Risikoniveau. Eine Maßnahme darf erst nach erneuter Prüfung der Wirksamkeit abgeschlossen werden.

Der Zeitplan ist aus dem tatsächlichen Status des Unternehmens, der Korrespondenz mit der Behörde und den aktuell geltenden Vorschriften abzuleiten. Nach der Statusklärung können die Beiträge „NIS2: Selbsteinschätzung und Eintragung in das KSC-Verzeichnis – was muss ein Produktionsunternehmen tun?“ und „NIS2-Umsetzung nach der Eintragung in das KSC-Verzeichnis – Maßnahmenplan bis zum 3. April 2027“ die Analyse ergänzen. Die dort genannten Termine und Pflichten sind jeweils anhand der aktuellen Rechtslage zu bestätigen.