NIS2 und Prozessdokumentation: Aus Sicherheitsmaßnahmen nachweisbare Belege machen

Die meisten Unternehmen im Anwendungsbereich von NIS2 tun die Dinge längst. Backups laufen. MFA ist aktiv. Jemand patcht. Die Lücke liegt selten bei der Maßnahme selbst, sondern darin, dass niemand einer Behörde ein geschriebenes, datiertes, genehmigtes Verfahren vorlegen kann, das beschreibt, wie die Maßnahme funktioniert und wer dafür einsteht.

Artikel 21 Absatz 2 der Richtlinie nennt zehn Bereiche, und die Formulierung zählt: verlangt werden wiederholt Konzepte und Verfahren, nicht Fähigkeiten. Bewältigung von Sicherheitsvorfällen. Betriebskontinuität. Sicherheit der Lieferkette. Zugriffskontrolle und Sicherheit des Personals. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen. Ein Werkzeug, das etwas tut, ist nicht dasselbe wie ein Verfahren, das beschreibt, wie es getan wird.

Dies ist ein praktischer Blick auf die Dokumentationsseite von NIS2, geschrieben für europäische Ops- und IT-Teams. Volle Offenlegung: Wir entwickeln Loopyback, ein in der EU gehostetes Werkzeug für Prozessdokumentation, wir sind also nicht neutral. Wir sind auch keine GRC-Plattform, und die ehrlichen Grenzen davon stehen weiter unten.

Was die Richtlinie verlangt, in Dokumentation übersetzt

Artikel 21 Absatz 1 gibt den Ton vor: Maßnahmen müssen geeignet und verhältnismäßig sein, gemessen an Größe, Risikoexposition und Eintrittswahrscheinlichkeit. Von einem Logistiker mit sechzig Beschäftigten erwartet niemand, was eine Bank liefert. Aber verhältnismäßig heißt nicht abwesend, und "wir machen das, wir haben es nur nie aufgeschrieben" ist die schwächste denkbare Position in einer Prüfung.

Artikel 20 erhöht den Einsatz. Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, und sie können dafür haften. Billigung setzt etwas Billigungsfähiges voraus. Dieses Etwas ist ein Dokument mit Version, Datum und Namen.

Artikel 21 Absatz 2 Buchstabe g ergänzt grundlegende Cyberhygiene und Schulungen. Eine Schulung, die keine Spur hinterlässt, hat aus Nachweissicht nicht stattgefunden.

Die vier Eigenschaften, die eine Anleitung zum Nachweis machen

Ein Verfahren zählt erst, wenn es vier Fragen sofort beantworten kann.

Die dritte Zeile wird unterschätzt. Ein geschriebenes Verfahren altert lautlos: Der Text liest sich zwei Jahre nach dem Umbau der Adminkonsole immer noch gut. Eine screenshotbasierte Anleitung scheitert laut, weil der Bildschirm in der Anleitung nicht mehr dem Bildschirm davor entspricht. Für eine Nachweisakte ist lautes Scheitern ein Vorteil.

Wo die Dokumentation selbst zum Risiko wird

Bei Sicherheitsverfahren gibt es eine besondere Falle. Die Anleitung, die erklärt, wie man einen Schlüssel rotiert, ein Konto zurücksetzt oder auf die Produktion zugreift, ist bauartbedingt eine Landkarte Ihrer Kontrollen. Zwei Folgen.

Sie enthält, was nicht darin stehen darf. Ein Zugriffskontrollverfahren aufzuzeichnen bedeutet Screenshots von Benutzerlisten, E-Mail-Adressen, Rollen, mitunter einem Token in der Adresszeile. Nach der DSGVO ist das eine Verarbeitung personenbezogener Daten, nach NIS2 (21 Abs. 2 Buchst. i) zusätzlich ein Artefakt Ihrer Zugriffskontrolle. Eine Schwärzung, die erfolgt, bevor der Screenshot den Browser verlässt, hält ihn vollständig aus der Kette heraus. Eine nachträgliche nicht, weil das Original bereits unterwegs war.

Das Hosting ist eine Lieferkettenfrage. Artikel 21 Absatz 2 Buchstabe d betrifft die Sicherheit in der Beziehung zu direkten Anbietern. Ihr Dokumentationsanbieter ist ein direkter Anbieter, der eine Beschreibung Ihrer Sicherheitsmaßnahmen vorhält. Damit werden vier Fragen angemessen, stellen Sie sie auch uns:

• Wo liegen die Inhalte, und wo liegen die Backups?
• Wer sind die Unterauftragsverarbeiter, und ist die Liste aktuell?
• Welcher Übermittlungsmechanismus greift, wenn Verarbeitung außerhalb der EU stattfindet?
• Wie wird Teilen gesteuert, und lassen sich öffentliche Links organisationsweit abschalten?

Unser Vergleich europäischer SOP- und Dokumentationssoftware geht die Hosting-Frage Werkzeug für Werkzeug durch.

Häufige Fehler

Konzepte schreiben statt Verfahren. "Wir führen regelmäßig Backups durch" ist ein Konzept. Ein Verfahren nennt, wer den Wiederherstellungstest durchführt, auf welchem System, wie oft, und wie ein bestandenes Ergebnis aussieht. Artikel 21 Absatz 2 Buchstabe f fragt ausdrücklich nach der Bewertung der Wirksamkeit, dieser Test braucht also ein eigenes Verfahren.

Nur den Gutfall dokumentieren. Das Vorfallverfahren, auf das es ankommt, ist jenes, dem jemand um 2 Uhr nachts unter Druck folgt. Wenn nicht darin steht, wen man anruft und was gilt, wenn der Erstkontakt nicht abnimmt, überlebt es den ersten echten Vorfall nicht.

Keine Genehmigungsspur. Ein perfektes Verfahren, das niemand im Leitungsorgan je gezeichnet hat, erfüllt Artikel 20 nicht. Schreiben Sie Genehmigungsdatum und Genehmigenden in das Dokument selbst, nicht in einen E-Mail-Verlauf.

Das Dokumentationswerkzeug für das Compliance-System halten. Das ist es nicht. Eine Anleitungsbibliothek enthält Verfahren, kein Risikoregister, kein Asset-Inventar, kein Vorfallprotokoll. Wer Ihnen Dokumentationssoftware als NIS2-Compliance verkauft, übertreibt, wir eingeschlossen. Was sie beseitigt, ist die häufigste Ausrede für fehlende Verfahren: dass Aufschreiben zu lange dauert.

Sprache das Verständnis blockieren lassen. Liest die Schicht, die das Verfahren anwendet, kein Englisch, ist ein englisches Verfahren keine wirksame Maßnahme, egal was in der Datei steht.

Nie wieder hinschauen. Für das Audit geschriebene und danach vergessene Verfahren driften binnen zweier Quartale ab. Hängen Sie an jedes ein Überprüfungsdatum und behandeln Sie eine versäumte Überprüfung als kleinen Vorfall.

Häufige Fragen

Fallen wir unter NIS2?

Erfasst sind grundsätzlich mittlere und große Einrichtungen in den Sektoren der Anhänge I und II, die Details regelt die nationale Umsetzung. In Deutschland läuft das über das NIS2-Umsetzungsgesetz und das BSI, in Österreich über das NISG. Die genauen Schwellen stehen im nationalen Gesetz, nicht allein in der Richtlinie.

Wie viel Dokumentation ist genug?

Artikel 21 Absatz 1 sagt verhältnismäßig. Eine praktikable Untergrenze: ein geschriebenes Verfahren je Bereich aus Absatz 2, jeweils mit Verantwortlichem, Überprüfungsdatum und Genehmigung. Die Tiefe folgt Ihrem Risikoprofil, nicht einer Vorlage.

Können wir unsere ISO-27001-Dokumentation weiterverwenden?

Weitgehend ja. Die Überschneidung mit Anhang A ist erheblich und wird anerkannt. NIS2 betont zusätzlich Leitungsverantwortung, Lieferkette und Meldefristen, rechnen Sie also mit Erweitern statt Neubeginn.

Erzeugen Screenshots in Sicherheitsverfahren ein DSGVO-Problem?

Sie können es. Benutzerlisten, Postfächer und Adminkonsolen enthalten personenbezogene Daten, und ein jahrelang aufbewahrtes Verfahren überlebt die darin gezeigten Datensätze. Schwärzen Sie vor der Aufnahme, wo das Werkzeug es zulässt, und behalten Sie eine Möglichkeit, Screenshots bei einem Löschersuchen wiederzufinden. Unser Text zu SOPs erstellen, ohne Stunden zu verlieren behandelt die Strukturseite.

---

Loopyback nimmt ein Verfahren einmal auf, schwärzt personenbezogene Daten, bevor sie den Browser verlassen, führt Versionshistorie und veröffentlicht in 10+ Sprachen aus EU-Infrastruktur in Belgien. Die Preise beginnen bei einem kostenlosen Tarif, 16 € pro Monat für Einzelpersonen und 24 € pro Platz für Teams.