Warum Nachweise entscheidend sind
Compliance bedeutet nicht nur, Maßnahmen umzusetzen, sondern nachzuweisen, dass sie umgesetzt sind. Bei einer Prüfung durch Behörden, Auditoren oder Versicherer zählt nicht, was Sie getan haben, sondern was Sie belegen können.
Nachweispflichten nach NIS2
Die NIS2-Richtlinie verlangt, dass betroffene Unternehmen die Umsetzung der zehn Mindestanforderungen nachweisen können. Dazu gehören:
- Dokumentierte Risikoanalysen und Sicherheitsrichtlinien
- Incident-Response-Pläne und Protokolle durchgeführter Übungen
- Schulungsnachweise für alle Mitarbeitenden und die Geschäftsleitung
- Dokumentation der Lieferantenbewertung
- Genehmigungsprotokolle der Geschäftsleitung
Nachweispflichten nach DSGVO
Die Rechenschaftspflicht nach Artikel 5 Absatz 2 verlangt den Nachweis der DSGVO-Konformität. Konkret bedeutet das:
- Verarbeitungsverzeichnis (Art. 30)
- Dokumentation technischer und organisatorischer Maßnahmen (Art. 32)
- Nachweise über Datenschutzschulungen
- Dokumentation von Datenschutz-Folgenabschätzungen (Art. 35)
- Protokollierung von Datenpannen und Meldungen (Art. 33/34)
Nachweispflichten nach ISO 27001
ISO 27001 definiert Pflichtdokumente für das ISMS:
- ISMS-Scope und Informationssicherheitspolitik
- Risikobeurteilung und Risikobehandlungsplan
- Statement of Applicability (SoA)
- Dokumentierte Verfahren und Arbeitsanweisungen
- Aufzeichnungen über Schulungen, Audits und Managementreviews
Gemeinsam dokumentieren statt dreifach
Viele Nachweisanforderungen überlappen sich. Eine Risikoanalyse erfüllt Anforderungen aus NIS2, DSGVO und ISO 27001 gleichzeitig. Titan nutzt diese Überschneidungen: Eine Maßnahme wird einmal dokumentiert und mehreren Frameworks zugeordnet.