Kontinuierliche Compliance: von jährlichen Audits zu kontinuierlicher Kontrollenüberwachung

Jährliche Audits zeigen, wie Kontrollen am Tag des Audits aussahen. Kontinuierliche Kontrollüberwachung zeigt, ob sie das restliche Jahr über funktionieren – vorausgesetzt, Sie sind sich im Klaren darüber, was Automatisierung beweisen kann und was nicht.

Bei vielen Organisationen läuft Compliance noch nach einem jährlichen Zyklus ab: sich auf das Audit vorbereiten, das Audit bestehen, dann zur normalen Arbeit zurückkehren bis zum nächsten. Dieses Modell war schon immer fragil, und die europäische Regulierung macht es schwerer aufrechtzuerhalten. NIS2, DORA und ISO/IEC 27001 erwarten alle, dass Organisationen das ganze Jahr über wissen, ob ihre Kontrollen funktionieren – nicht nur während der Audit-Saison. Dieser Artikel erklärt, was kontinuierliche Compliance in der Praxis bedeutet, wo die Automatisierung von Nachweisen hilft, wo nicht, und wie Sie vermeiden, dieselbe Kontrolle dreimal für drei Rahmenwerke umzusetzen.

Was „kontinuierlich" wirklich bedeutet

Der Begriff wird oft als „Echtzeitüberwachung von allem" missverstanden. Die NIST-Definition der kontinuierlichen Überwachung der Informationssicherheit ist bescheidener und nützlicher: Aufrechterhaltung eines laufenden Bewusstseins für Informationssicherheit, Schwachstellen und Bedrohungen zur Unterstützung von Risikomanagemententscheidungen ^[1]. NIST ergänzt, dass „kontinuierlich" bedeutet, dass Kontrollen und Risiken mit einer Häufigkeit bewertet werden, die ausreicht, um risikobasierte Entscheidungen zu unterstützen. ^[1].

Mit anderen Worten: Eine Firewall-Konfiguration könnte täglich überprüft werden, Zugriffsprüfungen vierteljährlich und ein Plan zur Geschäftsfortführung jährlich. Der Punkt ist, dass die Häufigkeit bewusst gewählt wird und zum Risiko passt, anstatt vom Audit-Kalender vorgegeben zu werden.

Was die Rahmenwerke erwarten

• NIS2 verlangt „Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit" (Artikel 21 Absatz 2 Buchstabe f) ^[2].
• DORA verlangt von Finanzunternehmen, ihr IKT-Risikomanagement-Rahmenwerk zu dokumentieren und mindestens einmal jährlich sowie nach schwerwiegenden IKT-bezogenen Vorfällen zu überprüfen (Artikel 6 Absatz 5) ^[3].
• ISO/IEC 27001:2022 verlangt von der Organisation, zu bestimmen, was überwacht und gemessen werden muss, wie und wann, sowie in geplanten Abständen interne Audits und Managementbewertungen durchzuführen (Abschnitte 9.1 bis 9.3) ^[4].

Keiner dieser Texte verwendet den Ausdruck „continuous compliance", aber alle gehen von einer laufenden Überwachung aus, nicht von einer einmaligen jährlichen Momentaufnahme.

Automatisierung kann Ihnen mitteilen, dass eine Kontrolle ausgeführt wurde; sie kann Ihnen aber nicht sagen, ob es die richtige Kontrolle war.

Die Grenzen der jährlichen Prüfung

Eine externe Prüfung ist eine Stichprobe zu einem bestimmten Zeitpunkt. Sie beantwortet die Frage „Hat der Prüfer ausreichend Nachweise dafür gefunden, dass die Kontrollen während des geprüften Zeitraums konzipiert waren und funktionierten?" Sie sagt dem Management nicht, ob eine Kontrolle am letzten Dienstag fehlgeschlagen ist.

Dies führt zu drei häufigen Problemen:

1. Drift: Konfigurationen, Zugriffsrechte und Lieferantenbeziehungen ändern sich ständig. Eine Kontrolle, die im März wirksam war, ist es möglicherweise im September nicht mehr.
2. Nachweise-Chaos: Teams verbringen Wochen damit, vor jedem Audit Screenshots und Exporte zu sammeln, oft um Nachweise zu rekonstruieren, die bereits anderswo vorhanden sind.
3. Späte Entdeckung: Schwachstellen kommen erst bei der Prüfung ans Licht, wenn wenig Zeit bleibt, sie angemessen zu beheben.

Was Automatisierung von Nachweisen leisten kann

Die automatisierte Erfassung von Nachweisen verbindet sich mit Systemen wie Identitätsanbietern, Cloud-Plattformen, Endpoint-Management, Ticketing- und HR-Tools und dokumentiert den Zustand einer Kontrolle in regelmäßigen Abständen. Richtig umgesetzt bietet dies klare Vorteile.

Starke Anwendungsfälle

• Konfigurationsprüfungen: Verschlüsselungseinstellungen, Protokollierung aktiviert, Multi-Faktor-Authentifizierung erzwungen, Sicherungsaufträge abgeschlossen.
• Bestandsdaten: Listen von Benutzern, Geräten oder Systemen, die eine Kontrolle abdecken sollte, damit Sie Lücken erkennen können.
• Aktualitätstests: ob Schwachstellen innerhalb des vereinbarten Zeitfensters behoben wurden oder ob ausgeschiedene Mitarbeiter innerhalb der vereinbarten Frist den Zugriff verloren haben.
• Nachweishistorie: eine datierte Dokumentation, die den Zustand einer Kontrolle im Zeitverlauf zeigt und für einen Auditor überzeugender ist als ein einzelner Screenshot.

Was Automatisierung von Nachweisen nicht leisten kann

Automatisierung kann zeigen, dass eine Kontrolle ausgeführt wurde; sie kann aber nicht zeigen, dass es die richtige Kontrolle war. Mehrere Aspekte der Compliance erfordern menschliches Urteilsvermögen.

• Angemessenheit des Designs: ob eine Richtlinie oder Kontrolle für Ihre Risiken geeignet ist. Ein Tool kann bestätigen, dass ein Richtliniendokument vorhanden ist; es kann aber nicht beurteilen, ob es zweckmäßig ist.
• Risikoentscheidungen: die Akzeptanz eines Risikos, die Wahl einer Behandlung oder die Festlegung einer Risikobereitschaft sind Managemententscheidungen. NIS2 legt den Managementorganen explizite Verantwortung für die Genehmigung und Überwachung von Risikomanagementmaßnahmen auf (Artikel 20) ^[2].
• Prozesskontrollen: Vorfallsbehandlung, Lieferanten-Due-Diligence, Wirksamkeit von Sensibilisierungsschulungen und Krisenübungen werden überwiegend durch Aufzeichnungen von durchgeführten Tätigkeiten nachgewiesen, nicht durch Systemzustände.
• Kontext und Ausnahmen: Eine Warnung, dass MFA für ein Konto deaktiviert ist, kann ein Fehler oder eine genehmigte Ausnahme für ein Service-Konto sein. Jemand muss das entscheiden.
• Abdeckung: Automatisierung erfasst nur Systeme, mit denen sie verbunden ist. Shadow IT, papiergestützte Prozesse und Lieferanten außerhalb der Integration bleiben Blindstellen.

Ein sinnvolles Ziel ist es, die technischen Nachweise zu automatisieren, die wiederkehrend und objektiv sind, und strukturierte, datierte Aufzeichnungen für urteilsbasierte Kontrollen zu führen. Beide sollten in denselben Kontrolldatensatz einfließen.

Kontrollen einmal entwerfen: einheitliche Kontrollsätze

Die meisten Organisationen im Geltungsbereich von NIS2 haben auch eine ISO/IEC 27001-Zertifizierung, DSGVO-Verpflichtungen und im Finanzsektor DORA. Viele Anforderungen überschneiden sich: Zugriffskontrolle, Protokollierung, Vorfallmanagement, Datensicherung, Lieferantensicherheit und Schulung finden sich in allen.

So funktioniert die Kontrollzuordnung

Ein einheitliches Kontrollset (manchmal auch als gemeinsames Kontrollrahmenwerk bezeichnet) definiert jede Kontrolle einmalig in Ihren eigenen Worten mit einem Verantwortlichen, einer Häufigkeit und den Nachweisen, die sie erbringt. Jede Kontrolle wird dann den Anforderungen zugeordnet, die sie in jedem Rahmenwerk erfüllt.

Beispiel: Eine einzelne Kontrolle „Privilegierter Zugriff wird vierteljährlich von Systemeigentümern überprüft" kann ISO/IEC 27001 Annex A Zugriffskontrolle, NIS2 Artikel 21 Absatz 2 Buchstabe i zu Zugriffskontrollrichtlinien ^[2] und die IKT-Risikomanagement-Anforderungen von DORA ^[3] zugeordnet werden. Eine Überprüfung, ein Nachweis, drei Rahmenwerke.

Öffentliche Zuordnungen helfen. Das National Online Informative References (OLIR)-Programm des NIST veröffentlicht strukturierte Beziehungen zwischen dem NIST Cybersecurity Framework und anderen Standards ^[5]. Die NIS2 Technical Implementation Guidance der ENISA enthält eine Zuordnungstabelle neben ihren Beispielen für Nachweise. ^[6].

Praktische Gestaltungsregeln

• Kontrollmaßnahmen als testbare Aussagen formulieren: wer was tut, wie oft, und welche Dokumentation entsteht.
• Viele-zu-viele-Zuordnungen vornehmen, aber die Begründung dokumentieren: eine Zuordnung ist eine Aussage, die ein Auditor überprüfen kann. Vermerken Sie, wo eine Kontrollmaßnahme eine Anforderung nur teilweise erfüllt.
• Rahmenwerk-spezifische Lücken sichtbar halten: DORAs Informationsregister oder die Fristen für die Meldung von Vorfällen nach NIS2 erfordern möglicherweise dedizierte Kontrollmaßnahmen ohne ISO-Äquivalent.
• Versionieren Sie Ihre Zuordnungen: Rahmenwerke ändern sich. CyberFundamentals wurde auf eine 2025-Version aktualisiert und NIST veröffentlichte 2024 das CSF 2.0. Ordnen Sie neu zu, wenn sich die Quellen ändern, und dokumentieren Sie die Historie.

Ein phasenweiser Ansatz

1. Inventar: Listen Sie Ihre Rahmenwerke, aktuellen Controls und die heutigen Fundorte von Nachweisen auf.
2. Rationalisieren: Führen Sie doppelte Controls in einem einzigen Set zusammen und ordnen Sie sie jedem Rahmenwerk zu.
3. Frequenzen festlegen: Weisen Sie jedem Control eine Überwachungsfrequenz basierend auf dem Risiko zu.
4. Selektiv automatisieren: Beginnen Sie mit technischen Controls mit hohem Volumen, bei denen die Integration unkompliziert ist.
5. Den Kreis schließen: Leiten Sie Fehler an Verantwortliche weiter, verfolgen Sie die Behebung und berichten Sie Trends an das Management.
6. Audits aus derselben Dokumentation vorbereiten: Prüfer sollten dieselben Controls und Nachweise sehen wie das Management während des Jahres.

Fazit

Kontinuierliche Compliance ist keine Produktfunktion und kein Dashboard. Es ist ein Betriebsmodell, in dem Controls einmalig definiert, in bewusst gewählten Abständen überwacht und als Nebenprodukt der normalen Arbeit dokumentiert werden. Automatisierung macht das bei technischen Controls kostengünstiger; menschliches Urteilsvermögen bleibt bei Design, Risiko und Prozess unverzichtbar.

Secrato hilft Organisationen, Rahmenwerke wie NIS2, DORA und ISO/IEC 27001 in einer EU-gehosteten Plattform zu verwalten – mit gemeinsamen Kontrollen, Nachweisen und Audit-Trails.