Fragen Sie ein Infrastruktur-Team, wie NIS2-Compliance-Nachweise aussehen, bekommen Sie meist ein Policy-Paket: eine Informationssicherheitsrichtlinie, einen Incident-Response-Plan, einen Lieferantenfragebogen, alles unterschrieben und versioniert. Diese Dokumente sind wichtig, aber sie sind kein Nachweis. Sie beschreiben, was Sie vorhaben zu tun. Nachweis ist die Aufzeichnung dessen, was Sie tatsächlich getan haben - wer die Firewall-Regel geändert hat, wann, in wessen Auftrag, und wie die Konfiguration davor aussah. Assessoren fragen nach der zweiten Sache, und in der Lücke zwischen beiden wird es für die meisten Teams unangenehm.
Eine kurze Auffrischung dessen, womit wir es zu tun haben. NIS2, formal die Richtlinie (EU) 2022/2555, hatte eine Umsetzungsfrist zum 17. Oktober 2024, und die nationalen Gesetze landen seither nach ihrem eigenen Zeitplan. Sie hat den Anwendungsbereich weit über die alten NIS-Kategorien hinaus erweitert, Lieferketten explizit einbezogen und Verpflichtungen persönlich den Leitungsorganen zugeordnet statt einer abstrakten Organisation. Wenn Sie einer betroffenen Einrichtung etwas liefern, rechnen Sie damit, dass deren Pflichten als Vertragssprache auf Ihrem Schreibtisch landen - unabhängig davon, ob Sie selbst direkt betroffen sind.
Was die Richtlinie tatsächlich verlangt
Artikel 21 listet die Risikomanagementmaßnahmen auf: Richtlinien zu Risikoanalyse und Sicherheit von Informationssystemen, Incident-Handling, Business Continuity und Backup, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Verfahren zur Bewertung der Wirksamkeit, grundlegende Cyberhygiene und Schulungen, Kryptographie, Zugriffskontrolle und Asset-Management, sowie Multi-Faktor-Authentifizierung. Lesen Sie diese Liste als eine Reihe von Fragen, die Sie mit Aufzeichnungen beantworten müssen. Jeder Punkt endet mit derselben Nachfrage eines Assessors: Zeigen Sie es mir. Zeigen Sie mir das Backup, das Sie wiederhergestellt haben, den Zugriff, den Sie widerrufen haben, die Änderung, die Sie freigegeben haben.
Artikel 23 ist derjenige, der das Engineering verändert, nicht das Papier. Eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben. Eine vollständigere Meldung innerhalb von 72 Stunden, inklusive einer ersten Einschätzung von Schwere und Auswirkung. Ein Abschlussbericht innerhalb eines Monats. Diese Uhren beginnen, sobald Sie Kenntnis erlangen, was Ihre Erkennungs-Timeline selbst zu einem Teil des Nachweises macht. Wenn Sie nicht sagen können, wann Sie es wussten, können Sie nicht belegen, dass Sie rechtzeitig gemeldet haben - und eine Incident-Timeline, eine Woche später aus dem Gedächtnis rekonstruiert, überzeugt niemanden.
NIS2-Compliance-Nachweise sind eine Aufzeichnung
Hier die praktische Form dessen, wonach ein Assessor fragt. Eine Liste der betroffenen Systeme und wer für jedes davon zuständig ist. Eine Aufzeichnung der Änderungen an sicherheitsrelevanter Konfiguration über einen genannten Zeitraum. Nachweis, dass Zugriff gewährt, überprüft und entzogen wurde, mit Datumsangaben. Belege, dass Backups nicht nur erstellt, sondern auch wiederhergestellt wurden. Und für jeden erheblichen Vorfall eine Timeline, die Sie verteidigen können: Erkennung, Eskalation, Eindämmung, Meldung. Alles datiert, einer namentlichen Identität zuordenbar, und erzeugt aus etwas anderem als der Erinnerung einer Person.
Die unbequeme Wahrheit ist, dass fast all das in jedem Unternehmen bereits irgendwo existiert. Es steckt in einem Ticket-System, einem Chat-Kanal, drei Konsolen, der Terminal-Historie eines Engineers und einer Tabelle. Compliance-Arbeit wird dann zur Archäologie: zwei Wochen, in denen jemand rekonstruiert, was passiert ist, aus Artefakten, die nie als Nachweis gedacht waren. Das ist teuer, es ist demoralisierend, und es erzeugt ein Dokument, dem niemand vollständig vertraut - auch nicht die Person, die es zusammengestellt hat.
Die Eigenschaft, die ein Log zum Nachweis macht
Ein Log wird zum Nachweis, wenn es append-only und manipulationserkennbar ist. Die Unterscheidung ist wichtiger, als sie klingt. Eine Tabelle, die ein Administrator aktualisieren kann, ist eine Aufzeichnung dessen, was dieser Administrator Sie glauben lassen will. Was ein Assessor will, ist eine Sequenz, in der jede Änderung an einem früheren Eintrag erkennbar ist, ohne demjenigen vertrauen zu müssen, der das System betreibt - uns eingeschlossen. Diese Eigenschaft macht aus „hier sind unsere Logs“ etwas, worauf sich ein Dritter verlassen kann, statt es nur entgegenzunehmen.
Sencais Audit-Trail ist append-only und hash-verkettet. Jeder Eintrag trägt seinen eigenen Hash und den Hash des vorherigen Eintrags, sodass die Aufzeichnungen eine Chain bilden statt eines Haufens. Der CSV-Export enthält beide Werte, entry_hash und prev_hash, was bedeutet, dass Ihr Auditor uns nichts glauben muss. Er kann die Chain selbst nachrechnen, offline, mit einem selbst geschriebenen Skript, und sehen, ob sie hält. Wäre ein einzelner Eintrag verändert oder entfernt worden, würde die Neuberechnung ab diesem Punkt nicht mehr übereinstimmen.
Lieferketten-Fragen, die Ihnen gestellt werden
Artikel 21 nimmt Lieferkettensicherheit in die Liste auf, und Artikel 20 macht die Unternehmensleitung persönlich verantwortlich für die Freigabe und Überwachung dieser Maßnahmen - weshalb diese Fragen inzwischen mit echtem Gewicht dahinter ankommen. Rechnen Sie damit, gefragt zu werden, welche Subprozessoren Ihre Daten berühren, in welchen Jurisdiktionen sie operieren, wie Sie eine Kompromittierung erkennen würden, die von einem davon ausgeht, und wie schnell Sie einen entfernen könnten. Wenn Sie Ihre Provider heute nicht aufzählen können, können Sie keine dieser Fragen beantworten - und ein unvollständiges Inventar ist der schnellste Weg, an diesem Abschnitt zu scheitern.
Hier hören Isolation pro Organisation und ein echtes Rollenmodell auf, Produktfeatures zu sein, und werden zu Audit-Antworten. Wer kann Infrastruktur erstellen, wer kann sie nur ansehen, wer hat wen wann eingeladen, und welche dieser Einladungen wurden tatsächlich angenommen statt nur verschickt - das sind Fragen mit Datumsangaben. Dasselbe gilt für die Konfiguration, die Sie wirklich schützt: Firewall-Regeln, Netzwerkgrenzen und DNS-Einträge, jeweils mit einer Aufzeichnung, wer sie beim Provider geändert hat, und wann.
Wie Sie sich ohne Compliance-Abteilung vorbereiten
Beginnen Sie damit, die Fragen aufzuschreiben, die Sie in einem Raum mit einem Assessor nur schwer beantworten könnten. Meist sind es vier: Was betreiben wir, wer kann es anfassen, was hat sich im letzten Quartal geändert, und wie belegen wir irgendetwas davon. Reparieren Sie dann die Aufzeichnung, nicht das Reporting. Ein System, das die Antworten erfasst, während die Arbeit passiert, kostet zu diesem Zeitpunkt fast nichts; sie nachträglich zu rekonstruieren kostet Wochen, jedes einzelne Mal. NIS2 hat diese Lücke nicht geschaffen - es hat sie nur teuer gemacht, sie offen zu lassen.
Nichts davon macht Compliance angenehm. Es verändert aber ihre Form. Nachweise, die Sie exportieren, einem Auditor übergeben und unabhängig verifizieren lassen können, sind ein ganz anderes Gespräch als ein Ordner voller Screenshots und das Versprechen, dass nichts bearbeitet wurde. Das ist die Messlatte, für die wir gebaut haben: Ihre Umgebung an einem Ort, Änderungen aufgezeichnet, während sie passieren, und ein Export, der darauf ausgelegt ist, von jemandem geprüft zu werden, dessen ganzer Job es ist, daran zu zweifeln.