Was ein guter Nachweis zeigt
Ein Nachweis belegt, dass eine Maßnahme nicht nur beschlossen, sondern gelebt wird. Eine Richtlinie allein reicht dafür selten. Sie zeigt, was gelten soll. Der Auditor will zusätzlich sehen, dass es auch so gemacht wurde: das unterschriebene Dokument, der Screenshot einer Einstellung, das Protokoll einer Schulung, der Auszug aus dem Ticketsystem, das Prüfprotokoll mit Datum und Verantwortlichem.
Gute Nachweise haben einige Merkmale gemeinsam. Sie sind datiert, damit klar ist, wann der Zustand bestand. Sie lassen erkennen, wer verantwortlich war. Und sie passen zur Aussage, die sie belegen sollen. Beschreibt Ihre Antwort im Assessment eine vierteljährliche Zugriffsüberprüfung, erwartet der Auditor mehrere Protokolle, nicht eines.
Achten Sie auch auf den Umfang. Ein Export mit Hunderten Einträgen ist schwer zu prüfen. Besser ist ein Auszug, der den relevanten Teil zeigt, ergänzt um eine kurze Erklärung, wie er entstanden ist. In Sightadel tragen Sie diese Erklärung als Beschreibung direkt am Nachweis ein. Personenbezogene Daten, die für den Beleg nicht nötig sind, schwärzen Sie vor dem Hochladen.
Ordnung im Archiv: Typ, Zuständigkeit, Gültigkeit
Ein Archiv bleibt nur brauchbar, wenn jeder Nachweis beim Hochladen sauber beschrieben wird. Vergeben Sie einen Typ, eine verantwortliche Person und ein Gültigkeitsdatum. Der Typ hilft beim Filtern, die Zuständigkeit klärt, wer bei Ablauf handelt, und das Datum sorgt für die Erinnerung.
Das Gültigkeitsdatum richtet sich nach dem Rhythmus der Maßnahme. Bewährt haben sich jährliche Prüfungen für Richtlinien, Schulungen, Notfallübungen und Lieferantenbewertungen, vierteljährliche Zugriffsüberprüfungen und interne Audits, die jährlich über den ganzen Geltungsbereich verteilt werden. Setzen Sie das Datum etwas vor den tatsächlichen Termin, damit Zeit zur Vorbereitung bleibt.
Der Status zeigt, worauf Sie sich verlassen können. Neue Nachweise stehen in Prüfung, bis jemand sie inhaltlich bestätigt hat. Erst dann sind sie verifiziert. Abgelaufene Nachweise bleiben sichtbar, damit die Lücke nicht verschwindet.
Läuft ein Nachweis ab, laden Sie eine neue Version hoch, statt einen neuen Eintrag anzulegen. So bleiben alle Verknüpfungen zu Kontrollen und Maßnahmenplänen erhalten, und der Verlauf zeigt die Entwicklung über die Jahre.
Einmal belegen, mehrfach nutzen
Viele Frameworks verlangen ähnliche Dinge. Eine Leitlinie zur Informationssicherheit, ein Schulungskonzept, ein Notfallplan oder eine Lieferantenbewertung tauchen bei ISO 27001, NIS2, DORA, BSI C5 und SOC 2 in unterschiedlicher Form auf. Wer für jedes Framework eine eigene Kopie ablegt, pflegt bald mehrere Fassungen, die auseinanderlaufen.
In Sightadel verknüpfen Sie einen Nachweis mit allen Kontrollen, die er belegt, auch über Frameworks hinweg. Geändert wird er an einer Stelle. Kommt ein weiteres Framework hinzu, gehen Sie die vorhandenen Nachweise durch und verknüpfen sie erneut, statt bei null zu beginnen.
Prüfen Sie dabei genau, ob der Nachweis die jeweilige Anforderung wirklich abdeckt. Ähnliche Anforderungen sind nicht immer gleich. Ein Notfallplan, der für ISO 27001 genügt, kann für DORA zu allgemein sein, weil dort weitergehende Erwartungen an Tests und Szenarien bestehen. Dann ergänzen Sie den Plan oder verknüpfen einen weiteren Beleg.
Die Abdeckung über dem Archiv zeigt, welcher Anteil der aktiven Anforderungen schon belegt ist und wo Nachweise fehlen. Das ist der schnellste Weg, Lücken vor einem Audit zu finden.
Was der Auditor mit Ihren Nachweisen macht
In der ersten Audit-Stufe sichtet der Auditor vor allem die Dokumentation. In der zweiten zieht er Stichproben. Er wählt eine Kontrolle, liest Ihre Antwort und will den Beleg sehen. Passt der Beleg, geht er weiter. Passt er nicht, fragt er nach, und aus einer Nachfrage kann eine Feststellung werden.
Typische Gründe für Feststellungen sind abgelaufene Nachweise, fehlende Datumsangaben, Belege, die nicht zur Aussage passen, und Lücken im Zeitraum. Wer eine monatliche Prüfung der Datensicherung beschreibt, aber nur Protokolle aus zwei Monaten vorlegt, hat ein Problem, auch wenn die Prüfungen tatsächlich stattgefunden haben.
In Sightadel erhält der Auditor eine eigene Rolle. Er sieht Nachweise mit Version, Status, Gültigkeit und Verknüpfungen, kommentiert sie und legt nach Ihrer Freigabe Einträge an, etwa Nachweisanforderungen. Löschen kann er nichts. Das erspart den Export in Ordnerstrukturen und das Versenden großer Dateien. Gleichzeitig zeigt der Aktivitätsverlauf, wann ein Nachweis hochgeladen wurde. Belege, die erst am Vorabend des Audits entstanden sind, fallen damit ebenso auf wie Aufzeichnungen, die über das Jahr gewachsen sind.
