Nachweise in zwanzig Minuten: Was Auditor und Behörde wirklich sehen wollen

Jedes Audit hat einen Moment, in dem das Gespräch stockt. Der Prüfer fragt: Wie sah Ihr Patchstand vor sechs Monaten aus? Die Antwort kostet Zeit, wenn niemand sie damals dokumentiert hat. Dieser Beitrag zeigt den Aufbau einer Nachweisführung, die im Termin zwanzig Minuten kostet. Ihr Kern ist der Verlauf, nicht das Bildschirmfoto vom Audittag.

Die sieben Standardfragen

Audits, Zertifizierungen und Behördenanordnungen klingen unterschiedlich, laufen aber strukturell gleich. Sieben Standardfragen decken die Bereiche ab, die das BSI unter Dokumentationspflicht (§§ 30 und 31 BSIG), Nachweisen (§ 39 BSIG) und Aufsichtsmaßnahmen (§§ 61 und 62 BSIG) nennt.

Warum eine Liste von heute nicht genügt

Ein Export vom Audittag belegt den Moment, nicht den Betrieb. Genau hier setzt die Pflicht an: § 30 Absatz 1 Satz 3 BSIG verlangt, die Einhaltung der Risikomanagementmaßnahmen zu dokumentieren. Das BSI ergänzt: Prozesse, Zuständigkeiten und Maßnahmen sind schriftlich festzuhalten und regelmäßig zu prüfen. Bei kritischen Anlagen schreibt § 39 BSIG alle drei Jahre einen Nachweis durch Sicherheitsaudit, Prüfung oder Zertifizierung vor; das BSI weist jedem Betreiber ein individuelles Datum zu. In Aufsichtsverfahren nach §§ 61 und 62 BSIG prüfen unabhängige Stellen genau das: War die Maßnahme vor dem Befund da, oder danach gebaut?

Stichtag ist dabei nicht der Audittag. Stichtage sind die Monate davor. Wer eine monatliche Serie vorlegt, beantwortet die sieben Fragen in einem Durchgang. Wer am Audittag sammelt, beantwortet sie lückenhaft; aus Lücken werden Beanstandungen.

Was in die Akte gehört

Stichtagslisten. Inventar, Patchstand und Sicherungsprotokoll, an festem Monatstermin erzeugt, unverändert abgelegt. Ein nachträglich erzeugter Export ist keine Historie, nur eine neue Momentaufnahme.

Abweichungsliste mit Fristen. Jeder Befund bekommt drei Spalten: Auswirkung, Verantwortliche, Frist. Geschlossen wird erst mit Schließbeleg, nicht mit Haken.

Vorfallsbelege mit Zeitstempel. Für meldepflichtige Betreiber gilt die dreistufige Meldefrist des § 32 BSIG: Erstmeldung binnen 24 Stunden, Statusmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Ohne dokumentierte Zeitachse bleibt die fristgerechte Meldung unbelegbar, auch rückwirkend.

Wiedervorlage. Wer prüft bis wann was. Ohne Wiedervorlage altert die schönste Akte zur Momentaufnahme.

Die drei häufigsten Beanstandungen

Liste ohne Vergangenheit. Vorgelegt wird der aktuelle Export, die Frage nach dem Vormonat bleibt offen. Entstanden durch Export nur bei Bedarf. Gegenmittel: fester Stichtag, automatische Ablage.

Abweichung ohne Schluss. Die Findings-Liste existiert, aber ohne Frist, ohne Verantwortlichen, ohne Schließbeleg. Der Auditor liest daraus: Wer hier dokumentiert, beobachtet nur. Gegenmittel: drei Pflichtfelder je Befund.

Vorfall ohne Zeitachse. Die E-Mail-Kette existiert, die Reihenfolge nicht. Ob die Erstmeldung nach 20 oder nach 30 Stunden ging, ist nach Monaten nicht rekonstruierbar. Gegenmittel: Eintrag im Vorfallregister sofort bei Bearbeitung.

Aufbau in der Praxis: einmal erfassen, monatlich bestätigen, quartalsweise exportieren

Der belastbare Zyklus hat drei Stufen. Stufe eins: Der Bestand wird einmal erfasst und danach fortgeschrieben, nicht halbjährlich neu erfunden. Wie das ohne Erinnerungszettel funktioniert, beschreibt der Beitrag Dokumentation aus dem Ist-Stand; die Produktseite Inventar und Dokumentation nennt die Einzelheiten.

Stufe zwei: Monatliche Bestätigung. Am gleichen Tag jedes Monats werden Stichtagslisten erzeugt, Abweichungen abgeglichen und das Vorfallregister aktualisiert. Kurzer Termin im Kalender, kein Projekt.

Stufe drei: Quartalsweiser Export. Aus den Monatsbelegen entsteht das Nachweispaket für Audit, Zertifizierung und Behörde. Wer die Serie hat, exportiert; wer sie nicht hat, rekonstruiert.

PRAEMON unterstützt diesen Zyklus, indem es die Stichtagsstände automatisch erzeugt: Inventar, Zustände und Ereignisse laufen fortlaufend ins Portal, die Berichte entstehen daraus. PRAEMONai erklärt einzelne Befunde in Klartext und schlägt Maßnahmen vor; entschieden und dokumentiert wird weiterhin im Betrieb. Für die Alarmierung gilt übrigens dasselbe Prinzip: Baseline statt fester Schwellwert schlägt Momentaufnahme.

Die rechtliche Einordnung in Kürze

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Betroffene Unternehmen tragen die Dokumentationspflicht (§ 30 BSIG), die Meldepflicht (§ 32 BSIG) und die Pflicht zur Geschäftsleitungsschulung (§ 38 BSIG); das BSI empfiehlt zudem, die Prüfung der eigenen Betroffenheit (§ 28 BSIG) festzuhalten. Für Betriebe, die zum Start bereits betroffen waren, sind die Registrierungsfristen abgelaufen; die Registrierung im BSI-Portal ist seit 6. Januar 2026 möglich, spätestens drei Monate nach Betroffenheitsbeginn. Betreiber kritischer Anlagen erbringen ihren Nachweis alle drei Jahre nach § 39 BSIG, das Datum teilt das BSI individuell mit. Die Geldbußen nach § 65 BSIG reichen bis zu zehn Millionen Euro bei besonders wichtigen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen; die Literatur nennt teils abweichende Summen, maßgeblich ist der Gesetzestext. Was davon im eigenen Haus ankommt, schlüsselt der Beitrag NIS2 ist in Kraft für IT-Teams auf. Fachinformation, keine Rechtsberatung.

Grenzen: Was Monitoring nicht ersetzen kann

Ein Nachweissystem aus dem Betrieb liefert die Belege des Zustands, nicht seine Bewertung. Vier Punkte bleiben Menschenarbeit in der Akte: die Risikoanalyse mit Begründung, die Prozessdokumentation (wer handelt wann nach welchem Verfahren), die Schulungsbelege der Geschäftsleitung (§ 38 Absatz 3 BSIG) und die Verhältnismäßigkeitsentscheidung, also die begründete Ablehnung einer Maßnahme. Genau diese Begründungen will der Auditor sehen. Monitoring beantwortet die Frage nach dem Stand, nie die nach dem Warum.

Checkliste: einseitige Nachweis-Vorbereitung

Die Liste passt auf eine Seite, sortiert nach Häufigkeit.

Fazit: Zwanzig Minuten sind eine Frage der Vorarbeit

Die Zeit im Audittermin bestimmt nicht der Auditor, sondern die Vorbereitungsmonate. Sieben Standardfragen, ein fester Stichtag im Monat, eine Akte mit drei Spalten: Mehr braucht es nicht für eine Nachweisführung, die vor Dokumentation, Nachweis und Audit standhält. Und wenn der Prüfer nach dem Patchstand vor sechs Monaten fragt, dauert die Antwort zwanzig Sekunden, weil die Liste schon da war.