Anlass: DORA/NIS2 steht an — und die Doku ist von gestern

Wenn DORA, NIS2 oder ein Kundenaudit ansteht und deine Doku veraltet ist, schreibst du sie nicht neu — du ziehst die prüffähige Audit-Doku aus deinem realen Ist-Zustand: Quellen benennen, gegen den Standard abgleichen, Ergebnis ziehen. Aus dem Quartals-Projekt wird ein Engine-Lauf in Tagen.

Der Anlass: Eine Frist rückt näher — DORA, NIS2, ein Kundenaudit. Der Stand der Doku: zuletzt vor dem letzten Audit angefasst. Zwischen damals und heute haben sich Prozesse, Tools und Zuständigkeiten verschoben. Die Lücke füllt erfahrungsgemäß ein Quartal Fleißarbeit.

Das Muster ist fast immer dasselbe: Nicht das Wissen fehlt, sondern die Form. Der Ablauf ist bekannt — er steht nur verstreut in Tickets, Wikis und Köpfen, statt in prüffähigen Kontroll-Mappings.

Wie machst du aus dem realen Ist-Zustand prüffähige Audit-Doku?

1. Quellen benennen — wo lebt der reale Ablauf heute? Tickets, Wikis, System-Exporte, die Köpfe der Verantwortlichen. Nichts davon muss vorab aufgeräumt werden.
2. Gegen den Standard abgleichen — Forge mappt den Ist-Zustand auf die geforderten Kontrollen und zeigt, wo Nachweise fehlen.
3. Ergebnis ziehen — Kontroll-Mappings, Risiko-Register und Nachweise, referenziert auf die Quelle. Prüffähig, nicht nur lesbar.

Ein konkretes Beispiel

Ein IT-Dienstleister steht vor dem NIS2-Nachweis. Die Zugriffs- und Incident-Prozesse sind gelebte Praxis, aber dokumentiert ist der Stand von vor zwei Jahren. Statt das alte Dokument zeilenweise zu aktualisieren, benennt das Team die realen Quellen — das Ticketsystem, das interne Wiki, zwei Verantwortliche. Forge gleicht den Ist gegen die NIS2-Kontrollen ab und liefert ein Mapping, das genau die Stellen markiert, an denen ein Nachweis fehlt. Aus „wir müssten mal alles neu schreiben” wird eine überschaubare Lückenliste.

Warum das den Stress nimmt

Der teure Teil eines Audits ist nie das Wissen — es ist die Übersetzung in die geforderte Form unter Zeitdruck. Wenn dieser Schritt ein Engine-Lauf statt ein Wochen-Projekt ist, verliert die Frist ihren Schrecken.

Aus dem lebenden Kontext, nicht aus der Doku von gestern.

Und beim nächsten Mal beginnst du nicht wieder bei null: Dieselbe Engine zieht die aktualisierte Version aus dem Stand, der dann gilt.

Tiefer ins Thema: Audit-Doku in Tagen statt Quartalen zeigt den Mechanismus im Detail, die NIS2-Checkliste für den Mittelstand gibt den konkreten Einstieg. Welche Formen Forge sonst noch aus demselben Kontext zieht, steht in Ergebnis statt Doku: die vier Formen.

Zum Ausprobieren: Bring deine anstehende Frist mit ins Demo-Gespräch — wir bauen an einer realen Quelle live das erste fertige Stück Audit-Doku daraus.