DORA, NIS2, ISO: der Nachweis — das Dossier

↓ Als PDF laden PDF · 503 KB

Die Häuser, mit denen wir sprechen, wissen sehr genau, was verlangt wird. Woran es hängt, ist der Nachweis. Geprüft wird nämlich nicht, ob ihr heute einen guten Prozess habt, sondern welcher zum fraglichen Zeitpunkt galt — und wer davon wusste.

Dieses Dossier beschreibt, was daraus konkret folgt, in welchem Rhythmus es verlangt wird, warum der Rückstand strukturell wächst und was er rechnerisch kostet. Es enthält außerdem zwölf Fragen, die eine Prüfung stellen wird — als Selbsttest, bevor sie jemand anders stellt. Es ist so geschrieben, dass es auch dann trägt, wenn ihr nie mit uns sprecht.

Worum es geht

DORA gilt seit dem 17. Januar 2025. NIS2 läuft in der nationalen Umsetzung. ISO-Zertifizierungen kommen im Überwachungsrhythmus wieder, Prüfungsfeststellungen kommen ohne Rhythmus.

Was diese Anlässe verbindet, ist nicht die inhaltliche Anforderung — die ist in den meisten Häusern verstanden und dokumentiert. Es ist der Nachweis: die Fähigkeit, zu einem beliebigen zurückliegenden Zeitpunkt zu belegen, welcher Prozess galt, wer ihn verantwortet hat, wer die geänderte Fassung zur Kenntnis genommen hat und woran er hing.

Das ist ein Unterschied, der im Alltag nicht auffällt. Eine gepflegte Dokumentation und eine Nachweiskette sehen von außen gleich aus. Sie unterscheiden sich in genau dem Moment, in dem jemand nach einem Zeitpunkt fragt, der zwei Jahre zurückliegt.

Der Unterschied zwischen bestanden und nicht bestanden ist selten die Qualität der Dokumentation. Es ist die Zeit bis zur Antwort.

In welchem Rhythmus das verlangt wird

Der häufigste Planungsfehler ist, den Nachweis als Vorhaben mit einem Termin zu behandeln. Tatsächlich wird er in vier verschiedenen Rhythmen abgefragt, und nur einer davon steht im Kalender.

Anlass	Rhythmus	Was in diesem Moment gebraucht wird
Prozessänderung	laufend, ungeplant	Fassung, Datum, Freigabe, Kenntnisnahme — sofort, nicht nachträglich
Überwachungsaudit	jährlich, terminiert	Lückenlose Historie seit dem letzten Durchgang
Prüfungsfeststellung	ohne Rhythmus	Beleg zu einem zurückliegenden Stichtag, den niemand vorher kannte
Ad-hoc-Auskunft	ohne Vorwarnung, kurze Frist	Die Kette Prozess → Verantwortlicher → kritische Funktion, zusammengetragen

Die erste Zeile ist die, an der alles hängt. Sie hat keinen Termin, sie läuft immer, und sie erzeugt das Material, aus dem die anderen drei bedient werden. Wer nur auf die zweite Zeile hin plant — das Audit steht ja im Kalender —, baut vor jedem Termin einen Kraftakt und lässt den Bestand dazwischen zerfallen.

Die dritte und vierte Zeile sind die, die man nicht nachholen kann. Man kann nachträglich beschreiben, wie ein Prozess heute läuft. Man kann nicht nachträglich belegen, wer im März vorletzten Jahres eine Änderung zur Kenntnis genommen hat, wenn es damals niemand festgehalten hat.

Aufsichtsfristen rechnen dabei in Tagen, teils in Stunden. Ein Dokumentationsvorhaben rechnet in Quartalen. Diese beiden Zeitmaße treffen sich nie — das ist der ganze Punkt.

Vier Anforderungen, die für alle Nachweisanlässe gelten

Für DORA, NIS2, ISO-Fristen, Prüfungsfeststellungen und neue regulierte Umfänge gleichermaßen. Die Formulierungen unterscheiden sich, die vier Punkte nicht.

#	Anforderung	Woran sie in der Praxis scheitert
1	Jede Änderung mit Fassung und Datum	Versionierung existiert, wird aber nicht durchgängig genutzt
2	Belegte Kenntnisnahme der Betroffenen	Skaliert über Verteilerlisten nicht
3	Die Kette vom Prozess zur kritischen Funktion	Existiert nur in zwei, drei Köpfen
4	Auskunftsfähigkeit in Aufsichtsfrist	Jede Anfrage wird zur Recherche

1 · Jede Änderung mit Fassung und Datum

Die erste Frage einer Prüfung ist fast nie „wie sieht euer Prozess aus“. Sie lautet „welcher galt am Stichtag“. Ohne Versionsstand lässt sich das nicht beantworten, unabhängig davon, wie gut die aktuelle Fassung ist.

Der praktische Befund dabei: In den meisten Häusern gibt es Versionierung. Das Wiki kann sie, das Dokumentenmanagement kann sie, das QM-System sowieso. Was fehlt, ist die Durchgängigkeit — der Prozess ist in drei Systemen beschrieben, zwei davon versioniert, und die geltende Fassung liegt im dritten.

Wie das Artefakt aussieht. Nicht eine Datei mit Änderungsdatum. Gebraucht wird je Fassung: was galt, ab wann, wer hat freigegeben, was war der Unterschied zur Vorfassung. Der letzte Punkt wird fast immer weggelassen und ist in der Prüfung der wertvollste — er beantwortet die Anschlussfrage „was genau hat sich geändert“ ohne Diff-Arbeit.

Wem es gehört. Dem Prozessverantwortlichen im Fachbereich, nicht der Ablage. Ein Dokumentenmanagement kann Versionen halten; es kann nicht entscheiden, ab wann eine Fassung gilt. Diese Entscheidung ist fachlich und muss jemandem gehören.

Der Test, der zehn Minuten dauert: Nehmt eine beliebige Prozessänderung aus dem letzten Jahr und versucht zu belegen, ab wann sie galt. Die Zeit, die das braucht, ist die belastbarste Zahl, die ihr zu diesem Thema bekommen könnt — und sie ist zugleich die Antwort auf die Frage, wie eine unangekündigte Prüfung verlaufen würde.

2 · Belegte Kenntnisnahme der Betroffenen

Das ist der Punkt, an dem es in der Praxis hängt.

Den Prozess zu dokumentieren ist die eine Hälfte. Zu belegen, dass die Betroffenen die geänderte Fassung tatsächlich zur Kenntnis genommen haben, ist die andere — und sie skaliert nicht. Ein Verteiler beweist, dass eine Mail gesendet wurde. Er beweist nicht, dass jemand die Änderung verstanden hat, und in einer Prüfung ist genau das die Frage.

Der Aufwand hängt an einer Zahl, die in den meisten Häusern niemand führt: der Änderungsrate. Wer im Kerngeschäft mehrmals monatlich Prozesse ändert, erzeugt die Nachweiskette schneller, als eine manuelle Kenntnisnahme sie einholen kann.

Wie das Artefakt aussieht. Eine Zuordnung Person × Fassung × Zeitpunkt, die ohne Rückfrage lesbar ist. Nicht: ein Mailverteiler plus die Annahme, dass alle gelesen haben. Nicht: eine Schulungsliste ohne Bezug zur konkreten Fassung.

Wem es gehört. Das ist die Zuständigkeit, die in den meisten Häusern zwischen den Stühlen liegt. Der Fachbereich hält den Prozess, die Personalentwicklung hält Schulungen, Compliance hält die Anforderung — und die Verbindung der drei hält niemand. Wenn auf die Frage „wer belegt die Kenntnisnahme“ drei Bereiche aufeinander zeigen, ist die Antwort: niemand.

Woran ihr erkennt, dass der Punkt offen ist. Fragt, wie bei der letzten größeren Prozessänderung belegt wurde, dass die Betroffenen sie kennen. Wenn die Antwort „wir haben es kommuniziert“ lautet, existiert der Beleg nicht — Kommunikation ist ein Sendevorgang, Kenntnisnahme ein Empfangsbeleg.

3 · Die Kette vom Prozess zur kritischen Funktion

Gefragt wird selten nach einem einzelnen Prozess. Gefragt wird nach einem Zusammenhang: welche kritische Funktion an welchem Prozess hängt, wer ihn verantwortet, welche Dienstleister beteiligt sind, seit wann die aktuelle Fassung gilt.

Eine Prozesssammlung beantwortet das nicht, auch eine gute nicht — weil die Verknüpfung nirgends steht. Sie existiert im Kopf von zwei, drei Leuten und wird für jede Anfrage neu hergestellt. Das funktioniert, solange diese Leute da sind und Zeit haben.

Bei vielen Einheiten kommt hinzu, dass die Kette je Einheit anders aussieht. Sie einmal zentral zu ziehen ist der aufwendigste Weg — und vermutlich der einzige belastbare.

Wie das Artefakt aussieht. Eine Verknüpfung, keine Liste: kritische Funktion → beteiligte Prozesse → Verantwortliche → beteiligte Dienstleister → geltende Fassung je Prozess. Entscheidend ist, dass die Verknüpfung gepflegt wird und nicht bei jeder Anfrage neu entsteht. Eine Kette, die man jedes Mal neu zieht, ist keine Kette, sondern eine Recherche mit Ergebnis.

Wem es gehört. In der Regel dem Auslagerungs- oder Informationssicherheitsmanagement — dort, wo die kritischen Funktionen ohnehin geführt werden. Der häufige Fehler ist, die Kette im Prozessmanagement zu verorten: Dort kennt man die Prozesse, aber nicht die Kritikalitätseinstufung.

Der Beleg, dass sie fehlt, ist die Dauer. Wenn die Kette für eine kritische Funktion einen halben Tag Arbeit ist, existiert sie als Wissen und nicht als Dokument. Für eine Funktion ist das beherrschbar — die Frage ist, wie viele ihr habt.

4 · Auskunftsfähigkeit in Aufsichtsfrist, nicht in Projektzeit

Aufsichtsfristen rechnen in Tagen. Ein Dokumentationsvorhaben rechnet in Quartalen. Wer für eine Auskunft erst ein Projekt aufsetzen muss, ist zu spät — und zwar unabhängig davon, wie gut die Dokumentation ist, die am Ende dieses Projekts steht.

Das ist der Punkt, an dem Häuser mit sehr ordentlicher Dokumentation trotzdem Feststellungen kassieren. Nicht weil etwas fehlt, sondern weil niemand es in der Frist zusammenträgt.

Wie das Artefakt aussieht. Es ist kein Dokument, sondern eine Eigenschaft: Die drei anderen Anforderungen müssen so vorliegen, dass eine Auskunft eine Abfrage ist und keine Erhebung. Das ist der Grund, warum Anforderung 4 zuletzt steht — sie ist nicht die vierte Aufgabe, sondern das Ergebnis der ersten drei.

Wem es gehört. Der Stelle, die die Auskunft geben muss — meist Compliance oder die interne Revision. Wichtig ist, dass sie es vor der ersten Anfrage besitzt. Eine Zuständigkeit, die erst mit der Anfrage entsteht, ist keine.

Die ehrliche Selbsteinschätzung bekommt ihr über eine einzige Frage: Wie lange würdet ihr für die Auskunft brauchen, welcher Prozess an einem Stichtag vor achtzehn Monaten galt und wer davon wusste? Wenn die Antwort „das müssten wir zusammensuchen“ lautet, kennt ihr euer Ergebnis.

Wer macht was

Die vier Anforderungen scheitern selten am Können. Sie scheitern daran, dass zwei von ihnen keinem Bereich eindeutig gehören. Deshalb hier explizit.

Rolle	Verantwortet	Typischer Fehler
Compliance / Revision	Die Auskunftsfähigkeit und ihre Fristen	Erfährt von Prozessänderungen erst im Audit
Fachbereich	Fassung, Datum, Freigabe je Prozess	Ändert den Prozess und meldet die Änderung nirgends
ISB / CISO	Die Kette zur kritischen Funktion, Kritikalitätseinstufung	Führt kritische Funktionen ohne Bezug zu konkreten Prozessfassungen
Auslagerungsmanagement	Welche Dienstleister an welchen Prozessen hängen	Führt Verträge, nicht Prozessbezüge
Prozessmanagement	Dass die Beschreibungen überhaupt existieren	Bekommt die Kette zugeschoben, für die ihm die Kritikalitätsbewertung fehlt

Die beiden herrenlosen Punkte sind Kenntnisnahme und Kette. Sie liegen quer zu allen fünf Zeilen: Die Kenntnisnahme braucht den Fachbereich (wer ist betroffen), die Personalentwicklung (wie wird vermittelt) und Compliance (was muss belegt werden). Die Kette braucht ISB und Prozessmanagement gemeinsam.

Genau deshalb sind es die beiden, die in Prüfungen auffallen. Nicht weil sie schwerer wären, sondern weil eine Aufgabe ohne Eigentümer nicht schlecht erledigt wird — sie wird gar nicht erledigt.

Warum der Rückstand strukturell wächst

Der häufigste Erklärungsversuch für eine Lücke im Nachweis lautet: Es wurde nachlässig gearbeitet. In den meisten Fällen stimmt das nicht.

Rechnet zwei Zahlen gegeneinander:

Wie viele Prozessänderungen gab es im letzten Jahr?
Für wie viele davon existiert eine belegte Kenntnisnahme?

Ist die zweite Zahl deutlich kleiner, wächst der Rückstand strukturell und nicht organisatorisch. Er ist nicht die Folge davon, dass jemand seinen Job schlecht macht. Er ist die Folge davon, dass die Änderungsrate höher liegt als die Dokumentationsrate. In dem Fall hilft mehr Fleiß nicht, und Personalaufstockung hilft nur linear gegen ein Problem, das nicht linear wächst.

Das ist die unbequeme Hälfte. Die andere: Ein struktureller Rückstand ist leichter zu beheben als ein organisatorischer, weil man niemanden überzeugen muss. Es muss sich nur die Rate ändern, mit der Nachweise entstehen.

Wo handgepflegte Dokumentation regelmäßig bricht

Der typische Auditbefund ist nicht die fehlende Dokumentation. Es ist die Lücke zwischen Papier und Praxis:

Das Diagramm zeigt einen Freigabeschritt, den seit Monaten niemand mehr macht.
Die Verfahrensanweisung nennt ein System, das längst abgelöst wurde.
Das Risiko-Register steht auf dem Stand des letzten Zertifizierungslaufs.

Jede dieser Lücken ist eine Abweichung. Und keine davon entsteht aus Nachlässigkeit — sie entsteht, weil eine von Hand gepflegte Fassung in dem Moment veraltet, in dem sich der Prozess ändert.

Was der Nachweis auf drei Wegen kostet

Im Titel dieses Dossiers steht „ohne Beraterquartal“. Das verlangt eine Rechnung, sonst ist es eine Behauptung.

Der übliche Weg zum Nachweis ist ein befristetes Vorhaben mit externer Unterstützung: Erhebung, Abgleich gegen den Standard, Lückenliste, Nacharbeit. Das funktioniert und liefert ein Ergebnis. Die Frage ist nicht, ob es funktioniert, sondern wovon die nächste Fassung abhängt — und bei einer Nachweispflicht gibt es die nächste Fassung garantiert.

Vier Treiber entscheiden, nicht der Stundensatz:

Zeit bis zur Auskunftsfähigkeit. Aufsichtsfristen rechnen in Tagen. Ein Vorhaben rechnet in Quartalen. Wer für eine Auskunft erst beauftragen muss, ist zu spät.
Pflegeaufwand. Jede Fassung, die von Hand gepflegt wird, konkurriert mit dem Tagesgeschäft — und verliert unter Last zuerst dort, wo die Änderungsrate am höchsten ist.
Veralten. Der Nachweis ist zum Abnahmetag korrekt. Ab dem zweiten Tag beschreibt er einen Stand, der so nicht mehr gilt.
Abhängigkeit. Die entscheidende Frage ist nicht, was die Zertifizierung kostet, sondern wovon das Überwachungsaudit in achtzehn Monaten abhängt: von einem Lauf oder von Personen, die wieder Zeit haben müssen.

Die Rechnung, die selten gemacht wird

Rechnet sie mit euren eigenen Zahlen nach. Die Größenordnung überrascht die meisten, die es zum ersten Mal aufschreiben — vor allem, weil der teuerste Posten nicht die Dokumentation ist.

Teil 1 — Die Erhebung. Ein brauchbarer Anker stammt aus einem globalen Schienentechnik-Konzern: rund 5.000 verteilte Prozesse, Aufwand für die Erfassung von Hand rund 1.000 Personenmonate. Das sind grob vier Personentage je Prozess — durchgerechnet, nicht geschätzt.

Teil 2 — Die Kenntnisnahme, und hier wird es unangenehm. Die Erhebung ist einmalig. Die Kenntnisnahme fällt bei jeder Änderung an, für jeden Betroffenen.

Änderungen/Jahr	Betroffene je Änderung	Kenntnisnahmen/Jahr	bei 10 Min. je Beleg
200	15	3.000	~63 PT
500	25	12.500	~260 PT
2.000	25	50.000	~1.040 PT

Zu den Annahmen: Zehn Minuten je Beleg ist konservativ gerechnet — informieren, nachfassen, festhalten, für die Prüfung auffindbar ablegen. Setzt eure eigene Änderungsrate und eure eigene Zahl an Betroffenen ein; die Struktur der Rechnung ändert sich dadurch nicht.

Die dritte Zeile ist kein konstruierter Extremfall. Ein Finanzinstitut, mit dem wir gearbeitet haben, verzeichnet tausende Prozessänderungen im Jahr. Bei dieser Rate ist die manuelle Kenntnisnahme kein Aufwandsposten mehr, sondern schlicht nicht durchführbar — und genau das ist der Grund, warum der Rückstand dort strukturell wächst und nicht durch mehr Personal verschwindet.

Teil 3 — Der Wiederholfaktor. Eine Nachweispflicht kehrt wieder. Rechnet nicht die Zertifizierung, sondern die Zertifizierung plus zwei Überwachungsaudits plus eine ungeplante Feststellung über drei Jahre. Wenn jeder dieser Durchgänge dieselbe Erhebung auslöst, multipliziert sich Teil 1 mit vier — während Teil 2 ohnehin durchgehend läuft.

Rechnet für euer Haus die drei Zahlen: Wie viele Prozesse sind im regulierten Umfang. Wie viele Änderungen im Jahr. Wie viele Betroffene je Änderung. Das Produkt ist der Posten, der in keinem Prüfungsvorbereitungs-Budget steht.

Die drei Wege im Vergleich

	Beraterprojekt	Eigenbau	System
Zeit bis zur Auskunft	Quartale	Quartale, oft länger	Tage
Pflege zwischen zwei Prüfungen	findet nicht statt	konkurriert mit dem Tagesgeschäft	Neubau statt Nachbesserung
Veralten	ab Abnahme	ab der ersten Priorisierung	der Kontext bleibt, die Fassung wächst nach
Nächstes Überwachungsaudit	erneut beauftragen	erneut freiräumen	ein weiterer Lauf
Passt, wenn	einmalige Zertifizierung mit festem Stichtag	wenige Einheiten, niedrige Änderungsrate	wiederkehrende Prüfungen, hohe Änderungsrate, Verbund

Keiner der drei Wege ist grundsätzlich falsch — sie verteilen die Kosten nur unterschiedlich über die Zeit. Der Punkt ist, dass eine Nachweispflicht per Definition wiederkehrt: Das Überwachungsaudit kommt, die nächste Prüfung kommt, die nächste Feststellung kommt. Ein Weg, der für den ersten Durchgang optimiert ist, ist für den dritten der teuerste.

Ihr zahlt nie nur für den Nachweis, der heute entsteht. Ihr zahlt für jeden, der danach noch kommen muss.

Der Verbund-Hebel

Wer in einem Verbund arbeitet — Sparkassen, Genossenschaften, Konzerntöchter mit gemeinsamer Kernbanken- oder ERP-Plattform —, hat einen Vorteil, der selten gehoben wird.

Dieselben Kernsysteme, dieselbe Regulatorik, in weiten Teilen dieselben Prozesse. Trotzdem baut fast jedes Haus die Nachweiskette einzeln neu auf, mit eigenem Budget und eigenem Beraterprojekt.

Das ist die Stelle, an der sich ein Vorgehen wirtschaftlich am deutlichsten von einem Projekt unterscheidet: Was einmal aus den gemeinsamen Systemen gezogen wurde, lässt sich für das nächste Haus wiederholen, statt es neu zu beauftragen. Der Aufwand liegt dann in dem, was tatsächlich haus-spezifisch ist — und das ist meist weniger, als alle annehmen.

Die Zahl, die den Hebel beziffert, ist der Anteil der Prozesse, die aus der gemeinsamen Plattform stammen. Er liegt in den Häusern, mit denen wir gesprochen haben, regelmäßig deutlich über der Hälfte. Auf diesen Anteil bezogen zahlt jedes Haus im Verbund heute für dieselbe Arbeit — ein Posten, den man auf Verbundebene genau einmal tragen könnte.

Zwölf Fragen, die eine Prüfung stellt

Diese Fragen sind kein Fragenkatalog einer bestimmten Aufsicht. Sie sind die Fragen, an denen sich in der Praxis entscheidet, ob eine Nachweiskette trägt — und sie eignen sich als Selbsttest, weil man sie ohne Vorbereitung durchgehen kann.

Geht sie einmal in Ruhe durch. Jede Frage, bei der die ehrliche Antwort „das müssten wir zusammensuchen“ lautet, ist ein Befund.

Zu Fassung und Datum

Welcher Prozess galt am (beliebiger Stichtag vor 18 Monaten), und woraus geht das hervor?
Wer hat diese Fassung freigegeben, und wann?
Was war der Unterschied zur Vorfassung — ohne dass jemand zwei Dokumente vergleichen muss?

Zur Kenntnisnahme

Wer war von dieser Änderung betroffen, und woraus ergibt sich diese Liste?
Womit belegt ihr, dass diese Personen die geänderte Fassung zur Kenntnis genommen haben?
Wie viele Prozessänderungen gab es im letzten Jahr, und für wie viele davon existiert dieser Beleg?

Zur Kette

Welche kritischen Funktionen hängen an diesem Prozess?
Welche Dienstleister sind daran beteiligt, und mit welchem Leistungsbezug?
Wenn dieser Dienstleister morgen ausfällt: aus welchem Artefakt lest ihr ab, welche Prozesse betroffen sind?

Zur Auskunftsfähigkeit

Wie lange hat es gedauert, die Fragen 1 bis 9 zu beantworten?
Wer hätte sie beantwortet, wenn die zuständige Person drei Wochen ausfällt?
Welches dieser Artefakte entsteht automatisch, und welches entsteht, weil jemand daran denkt?

Frage 12 ist die, an der sich alles entscheidet. Alles, was entsteht, weil jemand daran denkt, hat eine Ausfallrate — und die steigt genau dann, wenn die Belastung steigt, also vor einer Prüfung. Alles, was aus dem Ablauf selbst entsteht, hat sie nicht.

Frage 10 ist die zweitwichtigste, weil sie die einzige mit einer Zahl als Antwort ist. Notiert sie. Sie ist die Kennzahl, gegen die ihr in einem Jahr messt.

Drei Schritte für die nächsten vier Wochen

Alle drei sind ohne externe Hilfe machbar und liefern Zahlen statt Eindrücke.

Woche 1 — Die Stichtags-Probe

Nehmt eine Prozessänderung aus dem letzten Jahr. Belegt: ab wann galt die neue Fassung, wer hat sie freigegeben, wer hat sie zur Kenntnis genommen. Stoppt die Zeit.

Das Ergebnis ist eine der wenigen belastbaren Kennzahlen zu diesem Thema. Es ist außerdem die Probe, die eine Prüfung als Erstes macht — nur unangekündigt.

Woche 2 — Die Ketten-Probe

Wählt eine kritische Funktion. Schreibt auf einer Seite auf: welche Prozesse daran hängen, wer sie verantwortet, welche Dienstleister beteiligt sind, seit wann die jeweils aktuelle Fassung gilt.

Wenn das länger als einen halben Tag dauert, existiert die Kette nicht als Dokument, sondern als Wissen. Für eine Funktion ist das beherrschbar. Rechnet es auf die Zahl eurer kritischen Funktionen hoch — das ist der eigentliche Befund.

Woche 3–4 — Die zwei Zahlen

Zählt für einen Bereich die Prozessänderungen der letzten zwölf Monate. Zählt, für wie viele davon eine belegte Kenntnisnahme existiert.

Die Differenz ist euer Rückstand pro Jahr. Sie beantwortet die Frage, die jede weitere Entscheidung strukturiert: Ist das ein Aufholvorhaben oder ein Ratenproblem? Bei einem Aufholvorhaben hilft ein Projekt. Bei einem Ratenproblem nicht.

Woran es in der Praxis scheitert

Die Nachweispflicht wird als Dokumentationsaufgabe behandelt. Dann entsteht eine sehr gute Dokumentation, und die Kenntnisnahme sowie die Ketten fehlen weiterhin — die beiden Punkte, nach denen tatsächlich gefragt wird.

Der Nachweis wird auf die Frist hin gebaut. Vor dem Termin entsteht ein Kraftakt, danach zerfällt der Stand wieder. Beim nächsten Überwachungsaudit beginnt dasselbe von vorn, und der Aufwand ist jedes Mal derselbe.

Es wird zentralisiert, was verteilt bleiben muss. Ein zentrales Register, das von den Fachbereichen befüllt werden soll, konkurriert mit deren Tagesgeschäft. Es gewinnt in den ersten Monaten und verliert danach.

Niemand kennt die Änderungsrate. Ohne diese Zahl lässt sich nicht entscheiden, ob ein Projekt reicht. Sie wird deshalb ersetzt durch die Annahme, dass es reicht.

Zwei Belege

Der Fall, an dem die Rate sichtbar wird

Ein Finanzinstitut mit tausenden Prozessänderungen im Jahr. Die Anforderung war nicht, die Prozesse zu beschreiben — das war weitgehend erledigt. Die Anforderung war, alle Betroffenen bei jeder Änderung schnell und verständlich zu erreichen, und zwar belegbar. Von Hand ist das bei dieser Rate nicht zu schaffen.

Was entstanden ist: Eine übergebene Prozessänderung wird Sekunden später als Hörformat erklärt — im richtigen Ton und für alle verständlich, aus denselben Quellen, in denen die Änderung ohnehin liegt.

„Wir haben eine Prozessänderung übergeben und nur Sekunden später wurde sie uns im Podcast erklärt. Im richtigen Ton, für alle verständlich.“

Bereichsleiterin Organisation, Finanzinstitut

Der Punkt daran ist nicht das Format. Der Punkt ist, dass aus der Kenntnisnahme ein Schritt im Ablauf wurde statt ein eigenes Vorhaben daneben — und damit die Rate stimmt, an der vorher alles hing. Anforderung 2 wird nicht dadurch erfüllt, dass man sie besser abarbeitet, sondern dadurch, dass sie an der Änderung selbst hängt.

Der Fall, in dem das Werkzeug selbst geprüft wurde

Bei einem KRITIS-Betreiber aus dem Bereich Energie und Entsorgung stand nicht die Prozessdokumentation im Vordergrund, sondern eine Frage davor: Darf ein KI-gestütztes Analysewerkzeug in dieser Umgebung überhaupt betrieben werden, und unter welchen Bedingungen? Die Freigabe kam vom Leiter Informationssicherheit, nicht vom Prozessmanagement.

„In der KRITIS zählt jede Anforderung. Wir brauchten KI-Analyse, die alle Vorgaben erfüllt — genau das liefert ProcessForge.“

Leiter Informationssicherheit, KRITIS-Betreiber (Energie/Entsorgung)

Warum dieser Fall in ein DORA-Dossier gehört: Unter DORA ist euer ICT-Dienstleister Teil dessen, was geprüft wird. Ein Werkzeug, mit dem ihr euren Nachweis erzeugt, ist damit selbst nachweispflichtig — es steht nicht neben der Regulatorik, sondern darin.

Das ist eine Frage, die man vor der Werkzeugentscheidung stellen sollte und meistens danach stellt. Wenn ihr eine Lösung für den Nachweis evaluiert, gehört sie in dieselbe Prüfung wie jeder andere Dienstleister an einer kritischen Funktion — und die ehrliche Antwort auf „wie wird das bei euch betrieben“ ist ein Auswahlkriterium, kein Anhang.

Wo ProcessForge hilft — und wo nicht

Wofür das System gebaut ist: Es zieht den realen Ist-Zustand aus euren vorhandenen Quellen — Systemexporte, Ablagen, Arbeitsanweisungen, Tickets, Gespräche — und erzeugt daraus die Form, die der Nachweis verlangt: Prozessmodelle, Kontroll-Mappings, Nachweise mit Referenz auf die Quelle, Arbeitsanweisungen, ein Hörformat für die Kenntnisnahme. Ändert sich der Prozess, entsteht die nächste Fassung aus demselben Material. Das ist der Unterschied, auf den es bei einer Nachweispflicht ankommt: nicht die erste Fassung, sondern die Rate.

Wann es sich lohnt: Hohe Änderungsrate. Viele Einheiten oder ein Verbund mit gemeinsamen Systemen. Großer, gewachsener Bestand. Wiederkehrende Prüfungen statt eines einmaligen Stichtags.

Wann es sich nicht lohnt — offen gesagt:

ProcessForge ist kein QM-System und kein Zertifikat. Es ersetzt weder euer ISMS noch die Prüfung. Es sorgt dafür, dass das, was ihr vorlegt, dem entspricht, was tatsächlich passiert.
Wenn ihr eine einmalige Zertifizierung mit festem Stichtag braucht und danach zwei Jahre Ruhe erwartet, ist ein Beraterprojekt ehrlich gesagt das passendere Werkzeug.
Wenn eure Prozessstandards vollständig von einer Konzernmutter kommen und ihr nichts entscheiden könnt, liegt die Arbeit dort und nicht bei euch.
Wenn tatsächlich nichts Schriftliches existiert und auch keine Systeme, aus denen sich etwas ziehen ließe, ist der erste Schritt eine Erhebung — ein anderes Vorhaben.
Bei einer niedrigen Änderungsrate und wenigen Einheiten ist Kenntnisnahme händisch beherrschbar. Dann löst ihr ein Problem, das ihr nicht habt.

Wenn ihr nach diesem Dossier zu dem Schluss kommt, dass es bei euch nicht passt, hat es seinen Zweck trotzdem erfüllt.

Auf einer Seite

Vier Anforderungen: Fassung und Datum je Änderung · belegte Kenntnisnahme · die Kette vom Prozess zur kritischen Funktion · Auskunftsfähigkeit in Aufsichtsfrist.
Vier Rhythmen, nicht ein Termin: laufende Änderung · jährliches Überwachungsaudit · Feststellung ohne Rhythmus · Ad-hoc-Auskunft. Wer nur auf den Termin plant, baut vor jeder Prüfung einen Kraftakt.
Der Punkt, an dem es praktisch hängt, ist die Kenntnisnahme — nicht die Dokumentation. Kommunikation ist ein Sendevorgang, Kenntnisnahme ein Empfangsbeleg.
Zwei Anforderungen haben typischerweise keinen Eigentümer: Kenntnisnahme und Kette. Sie liegen quer zu Fachbereich, ISB und Compliance — und genau sie fallen in Prüfungen auf.
Die Rechnung: Änderungen/Jahr × Betroffene je Änderung × Aufwand je Beleg. Bei 500 Änderungen und 25 Betroffenen sind das ~260 Personentage im Jahr, allein für die Kenntnisnahme.
Der Rückstand ist meist strukturell, nicht organisatorisch. Änderungsrate höher als Dokumentationsrate — dagegen hilft mehr Fleiß nicht.
Zwölf Prüfungsfragen als Selbsttest. Frage 12 ist die entscheidende: Was entsteht automatisch, und was entsteht, weil jemand daran denkt?
Drei Schritte, vier Wochen, ohne uns: Stichtags-Probe · Ketten-Probe für eine kritische Funktion · die zwei Zahlen zählen.
Im Verbund ist der Hebel am größten: Dieselben Systeme und dieselbe Regulatorik heißt, dass die Nachweiskette nicht in jedem Haus einzeln neu gebaut werden muss.

Wenn ihr wissen wollt, wo ihr auf diesen vier Anforderungen laut euren eigenen Angaben steht: Das Prozess-Lagebild stellt acht Fragen und zeigt das Ergebnis sofort — ohne E-Mail, ohne Bewertung.

Zum Prozess-Lagebild