Wie bleiben ISMS-Nachweise aktuell und überprüfbar?

Der Auditordner ist vollständig. Trotzdem passt der Nachweis nicht mehr: Seit dem letzten Test läuft die Anwendung bei einem anderen Dienstleister. Die Datei ist vorhanden, ihr Inhalt beschreibt die alte Umgebung.

Ein aktueller ISMS-Nachweis beantwortet eine konkrete Prüffrage für den richtigen Geltungsbereich und Zeitraum. Sein Upload-Datum reicht dafür nicht. Du brauchst einen nachvollziehbaren Bezug zwischen Anforderung, umgesetzter Maßnahme, Beleg und der Entscheidung, die du darauf stützt.

Dieser erste Teil der Serie „Nachweise, die im Alltag tragen“ zeigt, wie du diesen Bezug pflegst. Am Ende steht ein kleines Nachweisinventar mit Verantwortung, Prüfanlass und Ergebnis. Teil zwei behandelt die Nutzung in mehreren Audits, Teil drei die Einführung geänderter Richtlinien.

Was soll der Nachweis überhaupt belegen?

Beginne mit einem Satz: „Wir wollen belegen, dass …“ Ergänze die konkrete Aussage, den betroffenen Bereich und gegebenenfalls den Zeitraum.

„Es gibt eine Regel zum Teilen von Dateien“ ist eine andere Aussage als „Externe Freigaben werden nach der vereinbarten Zeit beendet“. Für die erste Frage kann eine freigegebene Richtlinie passen. Für die zweite brauchst du Belege aus dem Betrieb, etwa eine nachvollziehbare Prüfung ausgewählter Freigaben.

In Kopexa liegen Nachweise direkt an den Maßnahmen. Die Maßnahmen sind den passenden Controls zugeordnet – also den Anforderungen, deren Umsetzung sie unterstützen. Der Zusammenhang lautet: Nachweis → Maßnahme → Controls. So bleibt erkennbar, welche konkrete Umsetzung der Beleg dokumentiert und für welche Anforderungen sie relevant ist.

Der BSI-Baustein ISMS.1, Edition 2023 behandelt unter A13 die geregelte Erstellung und Archivierung von Dokumentationen sowie deren Aktualität und Vertraulichkeit. Das folgende Inventar ist unsere praktische Arbeitshilfe, kein vorgeschriebenes BSI-Formular.

Trenne Erstellungsdatum, Bezugszeitraum und nächste Prüfung

Ein Bericht kann heute erstellt worden sein und Daten vom vergangenen Jahr auswerten. Eine Richtlinie kann seit Monaten unverändert gelten. Ein technischer Test kann nach einer Systemänderung seine Aussagekraft für den aktuellen Betrieb verlieren.

Halte deshalb getrennt fest:

• Erstellt oder freigegeben: Wann entstand diese Fassung?
• Bezugszeitraum: Für welchen Zustand oder Zeitraum liefert sie eine Aussage?
• Zuletzt geprüft: Wann hat jemand die Eignung für eure Prüffrage beurteilt?
• Nächster Prüfanlass: Welcher Termin oder welche Änderung löst eine neue Bewertung aus?

Es gibt kein einheitliches Ablaufdatum für sämtliche ISMS-Nachweise. Anforderungen, Verträge, Prüfzweck und Veränderungen bestimmen, was du benötigst. Erfinde keine jährliche Gültigkeit für alle Dateien, nur weil sich das bequem im Kalender abbilden lässt.

Ein Beispiel: Die Richtlinie stimmt, die Freigabe nicht

Fiktiver Fall für diese Serie: Ein Unternehmen betreibt ein Projektportal. Externe Beteiligte sollen Projektdokumente nur befristet erhalten. Die Maßnahme „Externe Freigaben steuern“ setzt die Vorgabe um. An ihr liegen die Richtlinie R-12 in Version 2 und das Prüfprotokoll P-07 zu ausgewählten Freigaben des alten Portals. Die Maßnahme ist den relevanten Controls zugeordnet.

Nach dem Wechsel des Portals bleibt die organisatorische Vorgabe zunächst gleich. Das alte Protokoll belegt aber nicht, dass die Befristung im neuen Portal funktioniert. Eine Prüfung muss diese Lücke klären.

Die Kennungen sind frei erfunden. Übernimm die Struktur, nicht die Beispielwerte. Ergänze im eigenen Inventar die zugehörige Maßnahme und deren Controls. Verlinke die konkrete Belegfassung und halte fest, wo die Originalquelle liegt. Begrenze den Zugriff auf sensible Belege auf die Personen, die ihn benötigen.

Prüfe bei Änderungen und zu geplanten Terminen

Wähle Prüfanlässe nach dem Gegenstand: Ein Systemwechsel kann technische Testergebnisse betreffen. Eine neue Zuständigkeit kann Freigaben und Ansprechpersonen verändern. Eine zusätzliche Gesellschaft kann außerhalb des bisher geprüften Geltungsbereichs liegen.

Ergänze regelmäßige Prüfungen dort, wo Änderungen sonst unbemerkt bleiben könnten. Der Termin schafft einen Anlass; die fachliche Prüfung liefert das Ergebnis. Ein automatisch verschobenes Datum ohne Prüfung macht einen Beleg nicht aktueller.

Für jeden Review reichen zunächst vier Fragen:

1. Beschreibt der Beleg noch den betroffenen Bereich und die richtige Fassung?
2. Passt sein Zeitbezug zur heutigen Prüffrage?
3. Hat sich seit seiner Erstellung etwas Wesentliches geändert?
4. Welche Aussage lässt sich damit treffen – und welche bleibt offen?

Dokumentiere das Ergebnis auch dann, wenn keine Änderung nötig ist. Damit ist erkennbar, dass jemand den Inhalt beurteilt hat und nicht nur die Datei erneut hochgeladen wurde.

Aus einer Lücke wird eine Aufgabe

„Nachweis fehlt“ ist als Arbeitsauftrag zu ungenau. Im Beispiel lautet die Aufgabe: „Befristete externe Freigaben im neuen Portal prüfen; Umfang, Ergebnis und offene Abweichungen dokumentieren.“ Dazu gehören eine verantwortliche Person, ein Termin und ein Kriterium für den Abschluss.

Ersetzt ein neuer Beleg den bisherigen, halte die Beziehung fest. Überschreibe die historische Aussage nicht stillschweigend. Das alte Protokoll kann für eine vergangene Prüfung weiter relevant sein, während für den aktuellen Betrieb bereits eine neue Fassung benötigt wird. Aufbewahrung und Zugriffe richten sich nach euren anwendbaren Vorgaben; nicht jede alte Datei muss unbegrenzt erhalten bleiben.

Wie du solche Belegketten bei einem Systemwechsel behandelst, zeigt der Artikel zur Nachweishistorie beim ISMS-Wechsel.

Starte mit einem wichtigen Nachweis

Nimm einen Beleg, auf den ihr euch bei einer aktuellen Entscheidung verlasst. Betrachte ihn zusammen mit seiner Maßnahme und den zugeordneten Controls. Schreibe Prüffrage, Geltungsbereich, Zeitbezug und Verantwortung daneben. Prüfe anschließend, ob die Datei diese Aussage tatsächlich trägt. Eine erkannte Lücke wird zur konkreten Aufgabe, nicht zum versteckten Kommentar im Auditordner.

Im zweiten Teil der Serie erfährst du, wie du denselben Beleg für mehrere Prüfungen nutzt und verbleibende Lücken sichtbar hältst.