Wer das lesen sollte: wer die vier Wochen vor einem Audit mit dem Zusammensuchen von Bildschirmfotos verbracht hat und das im nächsten Jahr lieber vermeiden möchte.
Jedes ernstzunehmende Rahmenwerk verlangt am Ende dasselbe. Nicht „haben Sie ein Regelwerk“, sondern „zeigen Sie mir, dass das gelaufen ist“. ISO 27001 nennt es dokumentierte Information. NIS2 nennt es den Nachweis der Maßnahmen. Ein Kundenfragebogen sagt „Nachweise beifügen“. Dieselbe Frage, drei Vokabulare.
Es gibt zwei Wege zu antworten, und der Abstand dazwischen trennt ein funktionierendes Managementsystem von einem jährlichen Ausgrabungsprojekt.
Der Monat davor, und warum er wiederkehrt
Das Muster lässt sich beschreiben, ohne Ihr Unternehmen zu kennen.
Vier bis sechs Wochen vor dem Audit öffnet jemand die Maßnahmenliste und beginnt zu sammeln. Ein Bildschirmfoto der MFA-Einstellungen. Eine Kopie der Eintrittscheckliste. Ein Export des Patch-Status. Eine Lieferantenliste, aus der Erinnerung dreier Personen zusammengetragen. Ein Sicherungsbericht des laufenden Monats, weil die früheren niemand aufbewahrt hat.
Es funktioniert. Das Audit besteht. Dann geschieht es im nächsten Jahr erneut, denn an der Art, wie Arbeit aufgezeichnet wird, hat sich nichts geändert, nur die Frist.
Drei Dinge machen das über die offensichtlichen Stunden hinaus teuer.
Es trifft den falschen Zeitraum. Auditoren verlangen Nachweise über ein Fenster, keine Momentaufnahme. Zusammengesuchte Nachweise zeigen fast immer den aktuellen Stand, genau die Form, die die Rückfrage nach den anderen elf Monaten auslöst.
Es legt die Last auf die, die sie am wenigsten tragen können. Der Techniker, der das Bildschirmfoto liefern kann, ist der, der gerade etwas anderes tat.
Es entsteht eine Ablage, keine Aufzeichnung. Ein im März zusammengetragener Ordner beschreibt den März. Er beantwortet dieses Audit und trägt zum nächsten nichts bei, also wiederholen sich die Kosten vollständig.
Was Auditoren tatsächlich akzeptieren
Hier lohnt Genauigkeit, denn der Glaube, Nachweise müssten hübsch sein, erzeugt viel unnötige Arbeit.
Auditoren akzeptieren Aufzeichnungen, die als Nebenprodukt der Arbeit entstanden sind. Ein Ticket mit Datum. Ein Protokolleintrag. Eine Freigabe in dem Werkzeug, in dem Freigaben stattfinden. Eine abgezeichnete Prüfung mit Namen und Datum.
Sie sind darin geschult, für sie hergestellte Nachweise zu erkennen. Nicht aus Misstrauen, sondern weil es sichtbar ist: ein Satz Dokumente mit benachbarten Zeitstempeln, eine Ordentlichkeit, die reale Abläufe nicht haben, ein Bildschirmfoto einer Einstellung statt einer Aufzeichnung der Änderung, die sie gesetzt hat.
Und sie akzeptieren erklärte Lücken. Eine Patch-Aufzeichnung mit einer Lücke und einer begründenden Notiz ist ein funktionierendes System mit einem bekannten Problem. Eine Patch-Aufzeichnung ganz ohne Lücke, bei vierzig Beschäftigten, ist eine Behauptung, die niemand glaubt.
Der Maßstab ist nicht Perfektion. Er ist Gleichzeitigkeit. Wurde das aufgezeichnet, als es geschah.
Die vier Nachweisarten, und welche sich selbst erzeugen können
Ihre Nachweise nach Art zu sortieren zeigt, wo die Arbeit wirklich liegt.
1. Konfigurationszustand. MFA-Durchsetzung, Verschlüsselung, Zugriffsrichtlinien, Cloud-Posture. Das lässt sich laufend aus den Systemen selbst auslesen, ohne dass jemand ein Bildschirmfoto macht. Wer Einstellungen noch fotografiert, sollte hier beginnen.
2. Ereignisaufzeichnungen. Anmeldungen, Änderungen, Patches, Vorfälle, Alarme. Von Systemen ohnehin erzeugt. Die Arbeit ist nicht das Erzeugen, sondern die Aufbewahrung über das Auditfenster und die Fähigkeit, damit eine Frage zu beantworten.
3. Menschliche Entscheidungen. Risikoakzeptanzen, Freigaben, Ausnahmen, Protokolle der Managementbewertung, Lieferantenbewertungen. Diese können sich nicht selbst erzeugen, denn der Nachweis ist die Entscheidung. Sie brauchen einen Ort mit Datum und Verantwortlichem, damit man sie ein Jahr später findet.
4. Wiederkehrende Tätigkeiten. Zugriffsüberprüfungen, Schulung, Rückspieltests, Notfallübungen, interne Audits. Sie brauchen einen Terminplan, der eine datierte Aufzeichnung erzeugt, ob jemand an das Audit denkt oder nicht.
Arten 1 und 2 sollten automatisch sein. Art 3 braucht ein System of Record. Art 4 braucht einen verbindlichen Kalender. Fast der gesamte Vorbereitungsschmerz entsteht daraus, alle vier wie Art 3 zu behandeln und von Hand zu erledigen.
Die Uhr starten, bevor die Dokumente fertig sind
Das ist die Planungsfolge, und sie kostet ganze Quartale.
Ihr Managementsystem muss vor Stufe 2 einen Zeitraum in Betrieb gewesen sein, typischerweise etwa drei Monate, denn Stichproben brauchen Historie. Das ist Kalenderzeit. Weder Geld noch Aufwand komprimieren sie, die Randbedingung im Zentrum von Wie lange ISO 27001 wirklich dauert.
Also sollten die wiederkehrenden Dinge in Woche eins beginnen, unvollkommen. Zugriffsüberprüfungen, Patch-Aufzeichnungen, Protokollaufbewahrung, die ersten Lieferantenbewertungen. Die meisten Projekte perfektionieren zuerst die Dokumentation und starten die Nachweisuhr im vierten Monat, was die Zertifizierung ohne jeden Gewinn um ein ganzes Quartal verschiebt.
Eine unvollkommene, aber datierte Zugriffsüberprüfung schlägt eine perfekte, die noch nicht stattgefunden hat. Jedes Mal.
Wie es aussieht, wenn es funktioniert
Eine Maßnahme trägt vier Dinge: einen Verantwortlichen, einen Status, ihren Nachweis und ein Datum. Der Nachweis entsteht, weil die Arbeit geschah, nicht weil jemand danach gesucht hat.
Wenn ein Fragebogen, ein Auditor oder eine Behörde fragt, ist die Antwort schon da. Dass internes Audit und Managementbewertung so häufig zu Feststellungen führen, liegt daran, dass beide auf vorhandene Nachweise angewiesen sind und beide meist geplant werden, nachdem die Nachweisarbeit verschoben wurde.
Es ändert auch die Wirtschaftlichkeit. Der größte Posten in einem ISO 27001 Budget ist interne Zeit, und die Auditvorbereitung verbraucht davon den Großteil. Ihn zu senken wiegt schwerer als jede Verhandlung mit einer Zertifizierungsstelle, wie die Rechnung in Was ISO 27001 einen Mittelständler wirklich kostet zeigt.
Das ist auch der Sinn davon, Maßnahmensatz, Lückenliste und Nachweise an einem Ort statt an dreien zu halten. Nicht weil ein Werkzeug besser wäre als ein Ordner, sondern weil eine Maßnahmenaufzeichnung mit Verantwortlichem und Datum auch das nächste Rahmenwerk beantwortet.
Die technische Realität: erzeugte Nachweise belegen den Zeitpunkt, nicht die Wirksamkeit
Die ehrliche Grenze des Obigen.
Ein Nachweis, der sich selbst sammelt, belegt, dass eine Maßnahme lief. Er belegt nicht, dass sie wirkt. Das sind zwei Aussagen, und die zweite steht nicht auf dem Zertifikat.
Ein monatlicher Schwachstellenscanner, der seinen Bericht automatisch ablegt, erzeugt ausgezeichnete Nachweise für A.8.8. Er erzeugt genau dieselben ausgezeichneten Nachweise, ob die kritischen Feststellungen in drei Tagen behoben oder neun Monate ignoriert wurden. Laufende Protokollaufbewahrung erfüllt A.8.15, unabhängig davon, ob je jemand diese Protokolle abgefragt hat. Automatische Sicherungsberichte erfüllen die Aufzeichnungserwartung, ob je zurückgespielt wurde oder nicht.
Die Nachweiserhebung zu automatisieren beseitigt die Archäologie. Es schließt nicht die Lücke zwischen einer Maßnahme, die existiert, und einer Maßnahme, die schützt. Diese Lücke zu schließen heißt, dass die Feststellung irgendwohin muss, mit Verantwortlichem und Frist, und dass die Frist von etwas anderem durchgesetzt wird als vom Auditkalender. Welche Maßnahmen das betrifft und wo Aufzeichnen wirklich genügt, trennt Die Maßnahmen aus Anhang A, gruppiert für die tatsächliche Arbeit.
