Gute Vorbereitung muss sich belegen lassen

NIS2 und die DSGVO verlangen von betroffenen Unternehmen, die Einhaltung ihrer Vorgaben nachweisen zu können. Mit zunehmender Cloud-Nutzung können sich die nötigen Nachweise zudem auf weitere Systeme und Anbieter verteilen. Wie gut die eigene Compliance-Organisation aufgestellt ist, merken viele Betriebe erst, wenn ein Audit ansteht. Wie lässt sich frühzeitig Ordnung schaffen?

Der Nachweisaufwand kann steigen, wenn Unternehmen geschäftskritische Anwendungen in die Cloud verlagern. Ist der deutsche Mittelstand dieser Herausforderung gewachsen?

Anhaltspunkte liefert die otris-Umfrage Cloud-Governance und Datenhoheit, für die im April 2026 518 Entscheidungsverantwortliche aus IT und Recht befragt wurden:

Für 71 Prozent prägen regulatorische oder rechtliche Anforderungen ihre Entscheidungen über Cloud-Modelle sehr oder eher stark.

Zugleich fühlen sich 81 Prozent sehr oder eher gut darauf vorbereitet, diese Anforderungen auch bei wachsender Cloud-Nutzung sicher einzuhalten.

81 Prozent der Befragten fühlen sich sehr oder eher gut darauf vorbereitet, regulatorische Anforderungen auch bei wachsender Cloud-Nutzung sicher einzuhalten. (© otris software AG )

Diese Zuversicht ist ein gutes Signal. Belastbar wird sie allerdings erst, wenn sich die Vorbereitung auch belegen lässt. Denn eine Maßnahme, die zwar umgesetzt, aber nicht dokumentiert ist, lässt sich vor Aufsichtsbehörden und Auditoren kaum als wirksam darstellen.

Warum Nachweise mit der Cloud-Nutzung verstreuter werden

In vielen Unternehmen entsteht die Dokumentation dort, wo die Arbeit anfällt. So führt die IT ihre Risikoliste, während der Datenschutz das Verzeichnis von Verarbeitungstätigkeiten pflegt. Lieferantenbewertungen liegen beim Einkauf, Freigaben dagegen häufig in E-Mails oder auf Netzlaufwerken. Mit der Cloud-Nutzung kommt eine weitere Ebene hinzu: Zertifikate und Prüfberichte stellt dann der Cloud-Anbieter bereit.

Wer personenbezogene Daten in seinem Auftrag verarbeiten lässt, bleibt dafür jedoch datenschutzrechtlich verantwortlich. Vor einem Audit beginnt deshalb oft eine Suche über mehrere Abteilungen und Systeme hinweg.

Welche Nachweise der Gesetzgeber erwartet

Für Unternehmen, die in den Anwendungsbereich des NIS2-Umsetzungsgesetzes fallen, ist die Dokumentation seit Dezember 2025 fester Teil der Pflichten. Dabei nimmt das Gesetz ausdrücklich auch die Geschäftsleitung in die Pflicht .

Das BSI hat Hinweise zur Dokumentationspflicht veröffentlicht, die von Risikomanagementmaßnahmen bis zu Schulungen der Geschäftsleitung reichen. Da zu den Maßnahmen auch die Sicherheit der Lieferkette gehört, rücken dabei auch Cloud-Anbieter in den Blick.

Eine gemeinsame Datenbasis vereinfacht die Audit-Vorbereitung

Nachweisbarkeit entsteht selten in einem einzelnen Bereich. Sie setzt voraus, dass Lieferantenprüfung, Risikomanagement, Richtlinien und Informationssicherheit ineinandergreifen. Das gelingt am besten, wenn Informationen zu Pflichten, Maßnahmen und Nachweisen zentral zusammengeführt werden.

Wie eine gemeinsame Datenbasis funktioniert

Eine gemeinsame Datenbasis hält fest, welche Pflicht mit welcher Maßnahme bzw. Kontrolle erfüllt wird, wer dafür zuständig ist und wo der Nachweis liegt. Dieser ist mit Datum, Version und Freigabe versehen. Das zeigt sich etwa bei der Prüfung eines Cloud-Anbieters: Der Einkauf legt den Anbieter einmal an. IT und Datenschutz ergänzen am selben Datensatz ihre Sicherheitsbewertung und den Vertrag zur Auftragsverarbeitung, ebenso die Zertifikate des Anbieters samt Ablaufdatum. Fragt ein Prüfer nach, lässt sich der vollständige Stand an einer Stelle abrufen.

Die Dokumente selbst können weiterhin in bestehenden Ablagen liegen, solange Version, Freigabe und Verknüpfung kontrolliert geführt werden.

Vier Schritte helfen dabei, eine solche Grundlage aufzubauen:

1. Pflichten und Maßnahmen zusammenführen

Am Anfang steht eine Übersicht, welche Anforderungen aus Gesetzen, Normen und Verträgen für das Unternehmen gelten. Für jeden genutzten Cloud-Dienst gehört dazu die Frage, welche Nachweise der Anbieter liefert und welche das Unternehmen selbst führen muss.

In der Übersicht werden auch Überschneidungen sichtbar. So lassen sich Maßnahmen wie die regelmäßige Überprüfung der Zugriffsrechte allen Regelwerken zuordnen, die sie abdecken.

Wer bereits ein Managementsystem für Informationssicherheit nach ISO 27001 oder dem IT-Grundschutz des BSI betreibt, kann dessen Struktur als Gerüst nutzen.

2. Zuständigkeiten klar verteilen

Jede Kontrolle braucht eine verantwortliche Person, die sie durchführt oder die Durchführung überwacht. IT, Datenschutz, Einkauf und Rechtsabteilung bringen dabei ihr Fachwissen ein, während die Geschäftsleitung den Gesamtstand im Blick behält. Das verhindert, dass Nachweise doppelt geführt werden oder ganz fehlen.

„Im Audit zählt, was ein Unternehmen transparent belegen kann. Führen die Fachbereiche ihre Nachweise auf einer gemeinsamen Grundlage, wird die Vorbereitung zur Routine. Zugleich erkennt die Geschäftsleitung früher, wo noch Lücken bestehen.“ – Volker Hofmann, Leiter Recht & Unternehmensentwicklung, otris software AG

3. Nachweise laufend führen

Ein Nachweis entsteht am besten in dem Moment, in dem eine Kontrolle durchgeführt wird, mit Datum und Freigabe. Für personenbezogene Daten verlangt die Rechenschaftspflicht nach Art. 5 DSGVO ohnehin, dass der Verantwortliche die Einhaltung der Datenschutzgrundsätze nachweisen kann. Prüfer fragen typischerweise nach Unterlagen wie diesen:

• freigegebene Richtlinien in der jeweils gültigen Fassung
• Risikobewertungen und Entscheidungen über Restrisiken
• Lieferantenprüfungen und Verträge zur Auftragsverarbeitung
• Schulungsnachweise, auch für die Geschäftsleitung

4. Regelmäßig prüfen und nachsteuern

Eine Datenbasis bleibt nur belastbar, wenn sie aktuell gehalten wird. Neue Cloud-Dienste und Funktionsupdates beim Anbieter müssen dabei genauso beachtet werden wie geänderte Gesetze. Feste Prüftermine und klar definierte Auslöser für eine Neubewertung bilden die Grundlage, um Aktualität zu sichern.

Fazit: Nachweisbarkeit ist eine laufende Aufgabe

Mit wachsender Cloud-Nutzung können sich Nachweise auf weitere Systeme verteilen, und ein geordnetes Compliance-Management gewinnt an Gewicht. Für die Audit-Fähigkeit entscheidend ist dabei weniger, dass eine gemeinsame Datenbasis existiert, als dass ein Unternehmen sie laufend führt.

Entsteht die Dokumentation im Arbeitsalltag, erleichtert das die Vorbereitung auf ein Audit und reduziert die zeitraubende Suche nach Nachweisen. Für die Geschäftsleitung ist das zudem eine Chance, die Erfüllung ihrer Pflichten nachvollziehbar zu belegen.