Pflichtaudit nach KSC: Welche wesentlichen Einrichtungen sich auf die erste Konformitätsbewertung vorbereiten müssen

Die Vorbereitung auf ein verpflichtendes KSC-Audit beginnt weder mit der Auswahl des Auditors noch mit dem Zusammenstellen von Verfahrensanweisungen. Zunächst sind der Status der konkreten juristischen Person, der Geltungsbereich der regulierten Dienste sowie die Verantwortung für Risiken, Sicherheitsmaßnahmen und deren Wirksamkeitsnachweise verbindlich zu klären. Ohne diese Entscheidungen besteht die Gefahr, Budgets in den falschen Bereichen einzusetzen, kritische Abhängigkeiten zu übersehen oder mit einer Dokumentation in das Audit zu gehen, die nicht der tatsächlichen Leistungserbringung entspricht. Für die Bereitschaft zur ersten Bewertung ist daher nicht die Anzahl der Verfahren entscheidend, sondern die Konsistenz zwischen rechtlicher Einordnung, operativem Geltungsbereich, Risikosteuerung und gelebter Praxis.

Welche Organisationen vom ersten Audit betroffen sind

Zu Beginn ist festzustellen, ob die jeweilige juristische Person dem KSC unterliegt, welcher Kategorie sie zugeordnet ist und welche Auditpflichten sowie Fristen für sie gelten. Bei dieser Einordnung sind der Sektor, die tatsächlich ausgeübte Tätigkeit, die Größe der Organisation und besondere Tatbestände nach den jeweils geltenden Vorschriften zu berücksichtigen. Wesentliche Einrichtungen dürfen nicht pauschal mit den früheren Betreibern wesentlicher Dienste gleichgesetzt werden. Ebenso wenig lässt sich ihr Status allein anhand eines PKD-Codes bestimmen. Der Code kann ein Indiz sein, ersetzt aber keine Analyse der erbrachten Dienste, ihrer Nutzer und der Rolle des Unternehmens im jeweiligen Sektor.

Das erste Arbeitsdokument sollte eine formell freigegebene Einordnungsanalyse sein. Darin sind die regulierten Tätigkeiten, die ausführenden Organisationseinheiten, die erbrachten Dienste, die unterstützenden Informationssysteme sowie die Grundlage der gewählten Einstufung zu dokumentieren. Die Verantwortung für den KSC-Compliance-Prozess kann bei Recht, Compliance oder Cybersicherheit liegen. Die Einordnung selbst sollte jedoch durch das Organ genehmigt werden, das rechtsverbindliche Entscheidungen für die betreffende juristische Person treffen darf. Bei unklarer Ausgangslage ist eine juristische Bewertung sinnvoller, als das Vorbereitungsprogramm auf eine nicht dokumentierte Annahme zu stützen.

Innerhalb einer Unternehmensgruppe erstreckt sich der Status einer Gesellschaft nicht automatisch auf andere Gesellschaften. Jede juristische Person ist hinsichtlich ihrer Tätigkeit, Größe und der besonderen Tatbestände separat zu bewerten. Erst anschließend sollten gemeinsam genutzte Servicezentren, Infrastrukturen, Systeme und Lieferanten identifiziert werden. Diese Trennung ist erforderlich, um Risikoverantwortung eindeutig zuzuordnen, Auditgrenzen festzulegen und zu planen, wie sich ein Unternehmen auf ein Second-Party-Audit bei einem kritischen Lieferanten vorbereitet.

Konkrete Schwellenwerte, Ausnahmen, Identifizierungs-, Registrierungs- oder Meldeverfahren sowie Auditfristen sind anhand der jeweils geltenden Fassung des polnischen Gesetzes über das nationale Cybersicherheitssystem und der einschlägigen Durchführungsrechtsakte zu prüfen. Das Ausbleiben einer behördlichen Mitteilung sollte die interne Analyse nicht automatisch stoppen, wenn das Tätigkeitsprofil eine mögliche Einbeziehung in den Anwendungsbereich erkennen lässt. Erst der bestätigte Status schafft eine belastbare Grundlage für Geltungsbereich und Zeitplan des ersten Audits.

Der Geltungsbereich entscheidet über die Aussagekraft des Audits

Ein besonders folgenreicher Vorbereitungsfehler besteht darin, den Geltungsbereich des KSC-Audits mit der IT-Abteilung gleichzusetzen. Bewertet wird das Management der Sicherheit von Diensten und Systemen. Deshalb müssen die Auditgrenzen auch operative Prozesse, Instandhaltung, Einkauf, Personal, Business Continuity, Incident Management und die Leitungsebene einschließen. Ein zu enger Geltungsbereich blendet Abhängigkeiten aus, die für die Resilienz des Dienstes wesentlich sind. Eine unbegründete Ausdehnung auf die gesamte Organisation erhöht dagegen den Aufwand und erschwert die Unterscheidung zwischen wesentlichen und nachrangigen Feststellungen.

Der Geltungsbereich sollte von den regulierten Diensten ausgehend entwickelt werden. Von dort führt die Analyse über die unterstützenden Prozesse und Informationen zu Anwendungen, Infrastruktur, Standorten, Personal und externen Parteien. Ein reines Geräteinventar zeigt weder, welche Ressourcen für die Leistungserbringung unverzichtbar sind, noch wer die damit verbundenen Risiken trägt. Für jeden Dienst sind daher ein verantwortlicher Owner, abhängige Prozesse, wesentliche Informationswerte, Systeme, Lieferanten und Nachweise für die Umsetzung der Sicherheitsmaßnahmen zu benennen. Die Abhängigkeitslandkarte muss die Folgen von Nichtverfügbarkeit oder Sicherheitsverletzungen nachvollziehbar machen, ohne Beziehungen zu dokumentieren, die keinen Einfluss auf den bewerteten Dienst haben.

Der praktische Nutzen dieses Ansatzes zeigt sich etwa bei Datensicherungen. Backups können fristgerecht, überwacht und verfahrenskonform erstellt werden. Hat der operative Prozessverantwortliche jedoch keine erforderliche Wiederherstellungszeit festgelegt, lässt sich nicht belegen, dass die technische Maßnahme den geschäftlichen Bedarf erfüllt. Ebenso muss ein von mehreren Gesellschaften gemeinsam genutztes System in den Geltungsbereich jeder Gesellschaft einbezogen werden, deren regulierten Dienst es unterstützt. Dabei ist die Verantwortung für Administration, Risiko, Vorfälle und die Bereitstellung von Nachweisen eindeutig zu regeln.

Die organisatorischen und technischen Grenzen sollten in einem Workshop mit den Verantwortlichen für Dienste und Prozesse sowie den Zuständigen für Business Continuity, Cybersicherheit und kritische Lieferanten bestätigt werden. Eine Abstimmung ausschließlich mit der Infrastrukturadministration reicht nicht aus. Als Ergebnis sollten eine Liste der betrachteten Dienste, der unterstützenden Systeme, Standorte und Lieferanten, der gemeinsam genutzten Abhängigkeiten sowie der begründeten Ausschlüsse vorliegen. Für jeden Ausschluss sind Grundlage, Auswirkung auf den Dienst und verantwortlicher Entscheider festzuhalten.

Diese Landkarte bildet zugleich die Grundlage für die Aufwandsschätzung, die im Beitrag Was kostet die Umsetzung von NIS2 und uKSC – Budget für Audit, Dokumentation, Schulungen und Sicherheitsmaßnahmen ohne kostspielige Fehlentscheidungen planen behandelt wird.

Bei der Festlegung von Rollen, Unabhängigkeit und Umgang mit Feststellungen kann die Unterscheidung zwischen internen und externen Audits unterstützend herangezogen werden. Am Grundsatz ändert dies nichts: Das KSC-Audit hat eine eigene rechtliche Grundlage sowie eigene Kriterien und einen aus den Pflichten der geprüften Einrichtung abgeleiteten Geltungsbereich. Es ist kein gewöhnliches Zertifizierungsaudit eines Managementsystems, auch wenn vergleichbare Methoden zur Erhebung von Nachweisen und zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen eingesetzt werden.

Kosten entstehen vor allem an unklaren Verantwortungsgrenzen

Die größten Vorbereitungskosten entstehen meist nicht dort, wo lediglich ein Dokument fehlt, sondern an den Schnittstellen verteilter Verantwortung. Typische Beispiele sind die Übergänge zwischen IT und Betrieb, Gesellschaft und Unternehmensgruppe, Auftraggeber und Dienstleister sowie Prozess- und Systemverantwortung. Ist nicht eindeutig geregelt, wer Risiken, Vorfälle, Business Continuity und die Bereitstellung von Nachweisen verantwortet, bleibt die Lücke trotz formal zugewiesener Rollen bestehen.

Die Budgetierung sollte sich an den Auswirkungen der Lücken auf den Dienst und am Risiko fehlender Wirksamkeitsnachweise orientieren, nicht an der Zahl der noch zu erstellenden Verfahren. Sinnvoll ist eine getrennte Betrachtung von Gap-Analyse, organisatorischen Maßnahmen, technischen Sicherheitsmaßnahmen, Tests, Kompetenzentwicklung, Lieferantensteuerung und dem eigentlichen Audit. Drei Kennzahlen unterstützen die Investitionssteuerung:

• Anzahl kritischer Lücken, deren Schließung eine Investition oder Vertragsänderung erfordert;
• voraussichtliche Umsetzungsdauer für Sicherheitsmaßnahmen, die getestet werden müssen;
• Anteil der Infrastrukturmodernisierungskosten, die unabhängig von der eigentlichen Compliance-Verpflichtung anfallen.

Besonders anspruchsvoll sind Defizite, die technische Änderungen, Vertragsnachverhandlungen, Wiederherstellungstests, eine Neuordnung privilegierter Zugriffe oder einen Umbau der Melde- und Eskalationswege für Sicherheitsvorfälle erfordern. Solche Lücken lassen sich nicht glaubwürdig durch die Freigabe eines Verfahrens schließen. Ein Cloud-Anbieter kann beispielsweise umfangreiche Sicherheitsvorkehrungen erklären, während die Organisation weiterhin weder die Verantwortungsaufteilung noch Informationsrechte bei Vorfällen oder den Zugang zu auditrelevanten Nachweisen belegen kann. Das Problem betrifft dann gleichzeitig Vertrag, Lieferantensteuerung, Dienstearchitektur und Nachweisfähigkeit.

Vor dem Audit sind insbesondere diejenigen Lücken zu schließen, die die Fähigkeit zur Leistungserbringung, zur Reaktion auf Vorfälle oder zum Nachweis einer wesentlichen Sicherheitsmaßnahme infrage stellen. Für andere Lücken kann ein kontrollierter Maßnahmenplan vertretbar sein, sofern er Verantwortliche, Termin, Ressourcen, die vorläufige Risikobehandlung und die Genehmigung des Restrisikos auf angemessener Leitungsebene festlegt. Priorität sollten nicht die Aufgaben erhalten, die sich am einfachsten als erledigt markieren lassen. Auch die Entscheidung zwischen dem Kauf eines Werkzeugs und der Verbesserung eines Prozesses muss auf der Ursache der Lücke beruhen und nicht auf der bloßen Verfügbarkeit eines Investitionsbudgets.

Eine vergleichbare Disziplin bei der Verantwortungszuordnung ist auch für das Thema Wie bereitet man ein Team auf ein Kundenaudit mit APQP, PPAP und Ursachenanalyse vor? relevant, auch wenn Kriterien und Bewertungsgrundlage unterschiedlich bleiben.

Der Auditor bewertet die gelebte Praxis, nicht den Aktenordner

Ein Dokument ist nur der Anfang der Nachweiskette. Der Auditor muss von einer Anforderung und einem identifizierten Risiko zum Prozessverantwortlichen, zur umgesetzten Sicherheitsmaßnahme, zum Ausführungsnachweis, zum Überwachungsergebnis und zur Reaktion auf festgestellte Abweichungen gelangen können. Eine Richtlinie, ein Verfahren oder eine Arbeitsanweisung allein belegt keine Wirksamkeit. Erforderlich sind objektive Nachweise aus dem regulären Betrieb: Tickets, Ereignisprotokolle, Freigaben, Testprotokolle, Review-Ergebnisse, Risikoentscheidungen und abgeschlossene Korrekturmaßnahmen.

Das Vorbereitungsprogramm sollte deshalb die Auswahl realer Stichproben festlegen und sich nicht auf eine Liste vorzulegender Dokumente beschränken. Die Stichprobe sollte unter anderem die Erteilung und Entziehung von Berechtigungen, das Schwachstellenmanagement, einen Sicherheitsvorfall, eine Datenwiederherstellung, eine Systemänderung, eine Mitarbeiterschulung, die Lieferantenqualifizierung und eine Managementbewertung umfassen. Für jede Stichprobe sind Nachweisquelle, Verantwortlicher und Wirksamkeitskriterium festzulegen.

Sinnvoll ist eine Gegenüberstellung konformer Fälle, festgestellter Abweichungen und fehlender Nachweise. Soweit Messdaten vorliegen, sollten auch Reaktions- und Abschlusszeiten bei Vorfällen sowie die Ergebnisse von Wiederherstellungstests, Übungen und Berechtigungsreviews berücksichtigt werden. Die Aufbewahrungsdauer der Nachweise muss eine Bewertung der Prozessstabilität ermöglichen und risikorelevante Ereignisse abdecken. Sie sollte nicht ausschließlich auf den Audittermin ausgerichtet werden.

Ein Verfahren zum Entzug von Zugriffsrechten ist kein ausreichender Nachweis, wenn die Stichprobe ehemaliger Beschäftigter Verzögerungen, weiterhin aktive Konten oder fehlende Ausführungsbestätigungen zeigt. Der Auditor kann Personaldaten, Service-Tickets, Verzeichnisdiensteinträge und Aktivitätsprotokolle miteinander abgleichen. Automatisch erzeugte Nachweise sind wertvoll, wenn ihre Vollständigkeit, verlässliche Zeitkennzeichnung und Zuordnung zu einem konkreten Vorgang belegt werden können. Entscheidungen über Risikoakzeptanz, Ausnahmen, den Abschluss von Vorfällen oder die Lieferantenqualifizierung benötigen dagegen einen freigegebenen Datensatz mit eindeutig nachvollziehbarer Verantwortung.

Ein internes Probeaudit sollte den Prüfpfad eines externen Auditors nachbilden: vom Kriterium über die Stichprobe bis zur Bewertung von Umsetzung und Wirksamkeit. Personen dürfen dabei nicht ihre eigene Arbeit auditieren. Für die Prüfung der Steuerung externer Parteien bietet der Beitrag Lieferantenaudit in der Kernenergie – Prüfinhalte und Vorbereitung vor der Qualifizierung einen nützlichen Kontext, wobei die jeweiligen Bewertungskriterien getrennt zu betrachten sind.

Ein vorhandenes Managementsystem kann bereits Mechanismen für Dokumentenlenkung, interne Audits, Korrekturmaßnahmen und Managementbewertungen bereitstellen. Diese sollten genutzt werden, statt einen parallelen Ablauf aufzubauen. Ein bestehendes Zertifikat ersetzt jedoch nicht den Nachweis der Konformität mit den einschlägigen KSC-Kriterien. Entscheidend ist, ob die Sicherheitsmaßnahmen im festgelegten Geltungsbereich wirksam betrieben werden und ob die Organisation konsistente, belastbare Nachweise für ihre Anwendung vorlegen kann.

Auch Lieferanten gehören in den Geltungsbereich

Die Auslagerung von Systembetrieb, Datenverarbeitung oder Sicherheitsüberwachung überträgt die Verantwortung einer wesentlichen Einrichtung nicht auf den Auftragnehmer. Der Dienstleister kann Sicherheitsmaßnahmen umsetzen und Vorfälle bearbeiten. Die Organisation muss die mit dem Dienst verbundenen Risiken dennoch verstehen, Anforderungen festlegen und eine wirksame Überwachung nachweisen. Die Auditvorbereitung muss daher auch externe Leistungen erfassen, von denen Business Continuity, Vertraulichkeit von Informationen oder Systemverfügbarkeit abhängen.

Die Bewertungstiefe sollte sich nach der Kritikalität des Lieferanten richten. Relevant sind die Auswirkungen eines Ausfalls auf den Dienst, der Umfang des Zugriffs auf Informationen und Systeme, die Austauschbarkeit des Anbieters, der Einsatz von Unterauftragnehmern, der Verarbeitungsort und die tatsächliche Möglichkeit, Nachweise zu erhalten. Lieferanten mit begrenztem Einfluss können anhand eines Fragebogens und einer Dokumentenprüfung bewertet werden. Bei strategischen Partnern können Interviews, Kontinuitätstests, die Analyse operativer Aufzeichnungen oder ein Second-Party-Audit angemessen sein.

Verweigert ein Lieferant ein Auditrechte, sollte die Organisation alternative Nachweise festlegen, das Restrisiko bewerten und entscheiden, ob zusätzliche Sicherheitsmaßnahmen, Vertragsnachverhandlungen oder ein Exit-Plan erforderlich sind. Eine Eigenerklärung oder ein Zertifikat des Lieferanten kann unzureichend sein, wenn es nicht den relevanten Dienst, Standort oder operativen Geltungsbereich abdeckt.

Eine typische Lücke liegt vor, wenn der Vertrag zwar die Verfügbarkeit des Dienstes regelt, jedoch weder Fristen für die Meldung von Sicherheitsvorfällen noch die Zusammenarbeit bei der Ursachenanalyse oder Rechte zur Überprüfung der Lieferantenmaßnahmen festlegt. Dies ist nicht nur ein formaler Mangel. Ohne solche Regelungen erhält die Organisation möglicherweise nicht rechtzeitig die Informationen, die sie für die Folgenbewertung, Entscheidungen und eine konsistente Darstellung des Reaktionsverlaufs gegenüber dem Auditor benötigt. Eine vertragliche Lücke lässt sich nicht durch ein internes Verfahren kompensieren.

Die Prüfung von Verträgen und Sicherheitsanlagen sollte Pflichten zum Informationsschutz, die Meldung von Vorfällen, Business Continuity, Unterauftragnehmer, die Beendigung der Zusammenarbeit, Rückgabe oder Löschung von Daten, Zugang zu Nachweisen und Verifizierungsrechte umfassen. Geeignete Fortschrittskennzahlen sind die Anzahl kritischer Lieferanten, der Anteil der Partner mit aktueller Risikobewertung und Überwachungsnachweisen, die Zahl ergänzungsbedürftiger Verträge sowie die Zahl der Dienste ohne bestätigten Kontinuitäts- oder Exit-Plan. Eine vertiefte Methodik bietet der Beitrag Wie bereitet man ein Unternehmen auf ein Second-Party-Audit bei einem kritischen Lieferanten vor?

Planung bis zur ersten Bewertung

Das Vorbereitungsprogramm sollte in einer klaren Reihenfolge durchgeführt werden: Status der juristischen Person und einschlägige rechtliche Kriterien bestätigen, Grenzen des Bewertungsumfelds festlegen, Verantwortung zuordnen, Risiko- und Gap-Analyse durchführen und anschließend den Maßnahmenplan genehmigen. Erst nach Umsetzung der Maßnahmen und nachdem aussagefähige Aufzeichnungen aus dem laufenden Betrieb vorliegen, ist ein Probeaudit sinnvoll. Dessen Ergebnisse sollten zur Beseitigung der Ursachen von Nichtkonformitäten führen und nicht nur deren Symptome behandeln. Den Abschluss bildet eine Bereitschaftsbewertung durch die Leitung.

Der Zeitplan ist rückwärts von der Frist zu entwickeln, die sich aus den aktuell geltenden Vorschriften oder einer formellen Entscheidung für die betreffende Einrichtung ergibt. Einen für alle Organisationen gleichermaßen sicheren Starttermin gibt es nicht. Er hängt vom rechtlichen Status, technischen Geltungsbereich, Reifegrad der Sicherheitsmaßnahmen, der Zahl externer Abhängigkeiten und der Zeit ab, die für belastbare Wirksamkeitsnachweise benötigt wird. Die Unternehmensleitung sollte Prioritäten anhand der Risikobedeutung und der Abhängigkeiten zwischen den Aufgaben freigeben – nicht danach, welche Positionen sich im Terminplan am schnellsten schließen lassen.

Eine Aufgabe, die nach Veröffentlichung eines Verfahrens als erledigt markiert wird, ist tatsächlich weiterhin offen, bis das Verfahren umgesetzt, anhand einer repräsentativen Stichprobe geprüft und durch Aufzeichnungen bestätigt wurde. Dies gilt ebenso für technische Sicherheitsmaßnahmen, Incident Management, Kontinuitätspläne und Lieferantensteuerung. Auditbereitschaft verlangt den Nachweis des vollständigen Regelkreises: Entscheidung, Umsetzung, Ergebniskontrolle und Reaktion auf festgestellte Abweichungen. Betrifft eine Lücke die Zusammenarbeit mit einer externen Partei, bietet der Beitrag Lieferantenaudit vor Vertragsabschluss – Risiken für Qualität und Termintreue begrenzen einen hilfreichen Kontext.

Die Berichterstattung an die Unternehmensleitung sollte sich nicht auf den prozentualen Umsetzungsstand beschränken. Managementinformationen sollten mindestens Folgendes enthalten:

• Anzahl der Lücken nach Kritikalität, jeweils mit Verantwortlichem und Abschlusstermin;
• Anteil der durch Aufzeichnungen bestätigten Sicherheitsmaßnahmen;
• offene Risiken, die durch die zuständige Leitungsebene akzeptiert wurden;
• Hindernisse wie fehlende Verantwortliche, nicht umgesetzte Sicherheitsmaßnahmen, ungetestete Pläne, nicht abgestimmte Verträge oder Lücken ohne belastbaren Abschlussnachweis.

Die Auswahl der auditierenden Stelle sollte rechtzeitig beginnen, allerdings erst nach Prüfung der aktuellen KSC-Anforderungen an den Auftragnehmer und die Dokumentation der Ergebnisse. Der Preis darf nicht das einzige Auswahlkriterium sein. Zu bewerten sind die erforderlichen Befugnisse, Unabhängigkeit, sektorbezogene Kompetenz, Methodik und die Fähigkeit, die reale technische Umgebung zu untersuchen. Die Beauftragung ersetzt weder das Probeaudit noch die Managementbewertung. Sie schließt lediglich den organisatorischen Teil der Vorbereitung auf die formelle Bewertung ab.

Das erste KSC-Audit sollte als Bewertung der Fähigkeit verstanden werden, die Sicherheit der Dienste systematisch zu steuern – nicht als einmalige Dokumentenprüfung. Auditbereit ist eine Einrichtung erst dann, wenn sie ihren Status und Geltungsbereich nachvollziehbar begründen, Risikoverantwortliche benennen, die Wirksamkeit ihrer Sicherheitsmaßnahmen belegen und belastbare Nachweise für die Steuerung von Prozessen und Lieferanten vorlegen kann.