Was ist Compliance-Evidence?
Compliance-Evidence (Nachweise) sind dokumentierte, überprüfbare Belege dafür, dass eine geforderte Sicherheitsmaßnahme tatsächlich umgesetzt ist und wirkt. Sie machen aus einer Behauptung einen Nachweis: nicht nur die Aussage, dass eine Kontrolle existiert, sondern der konkrete Beleg dafür, verknüpft mit der jeweiligen Anforderung aus einem Rahmenwerk wie NIS2, DORA oder ISO 27001. Typische Belege sind Konfigurationsstände, Log-Auszüge, ein lückenloser Audit-Trail, Richtliniendokumente und Freigaben. Ein guter Nachweis ist aktuell, einer Anforderung eindeutig zugeordnet und vollständig. Ohne diese Eigenschaften bleibt er im Audit eine Behauptung, die Rückfragen und Nacharbeit auslöst.
Compliance-Evidence im Detail
Rahmenwerke wie NIS2, DORA oder ISO 27001 formulieren Anforderungen, sogenannte Controls. Für jede dieser Anforderungen muss der Betrieb zeigen können, dass sie umgesetzt ist. Genau diese Belege sind die Evidence. Sie reichen von harten technischen Artefakten wie Konfigurationsständen und Log-Auszügen bis zu organisatorischen Dokumenten wie Richtlinien, Freigaben und Tickets. Ein Screenshot kann dienen, taugt aber nur mit Zeitpunkt und Kontext.
Der Wert eines Nachweises hängt an drei Eigenschaften. Er muss aktuell sein, also den heutigen Stand abbilden und nicht einen längst überholten. Er muss nachvollziehbar sein, also Quelle, Zeitpunkt und Bezug zur Anforderung tragen. Und er muss vollständig sein, also die Kontrolle wirklich abdecken. Fehlt eine dieser Eigenschaften, entsteht im Audit eine Lücke: Der Prüfer sieht einen Beleg, kann ihn aber weder einordnen noch als wirksam anerkennen.
Warum ist Compliance-Evidence im Zscaler-Betrieb wichtig?
Ein Zscaler-Betrieb erzeugt fortlaufend genau die Signale, die als Nachweis taugen: Richtlinienstände, Änderungshistorien, Zugriffs- und Filterlogs, Freigaben im Vier-Augen-Prinzip. Das Problem ist selten, dass keine Belege existieren, sondern dass sie verstreut liegen und keiner Anforderung zugeordnet sind. Vor einem Audit beginnt dann die Suche: Screenshots werden gezogen, Exporte zusammengestellt, Stände rekonstruiert. Das kostet Zeit und liefert oft nur eine Momentaufnahme.
Wer Nachweise stattdessen laufend aus den realen Betriebssignalen ableitet und den Controls zuordnet, dreht das um. Der Nachweis ist dann kein Projekt vor der Prüfung, sondern ein Nebenprodukt des sauberen Betriebs. Das senkt den Aufwand, verringert das Risiko veralteter Belege und macht die Aussage gegenüber Prüfern belastbar. Die konkrete nationale Umsetzung von NIS2 ist dabei maßgeblich, weshalb die Zuordnung zu den Controls nachführbar bleiben sollte.
Typische Fehlerquellen
- Einmal gesammelt, dann veraltet: Ein Nachweis von vor einem Jahr belegt den heutigen Stand nicht mehr.
- Ohne Bezug zur Anforderung: Ein Beleg, der keinem Control zugeordnet ist, hilft im Audit wenig.
- Screenshot ohne Kontext: Ohne Zeitpunkt und Quelle bleibt ein Bild ein schwacher, angreifbarer Nachweis.
- Manuelle Sammlung kurz vor der Prüfung: Das erzeugt Stress, Lücken und nur eine flüchtige Momentaufnahme.
Compliance-Evidence in der Praxis: so hilft CentaurNexus
Compliance Mapping von CentaurNexus ordnet reale Signale aus dem Zscaler-Tenant den Anforderungen von NIS2, DORA und ISO 27001 zu und stellt daraus ein exportierbares Evidence-Pack zusammen. So entsteht der Nachweis aus dem laufenden Betrieb heraus, statt vor dem Audit mühsam gesammelt zu werden. Weil die Zuordnung an den realen Konfigurations- und Änderungsdaten hängt, bleiben die Belege aktuell und einer Anforderung eindeutig zugeordnet. Wie eine Aenderung ueberhaupt nachweisbar wird, zeigt der Beitrag Zscaler-Änderungen erst nach Read-back.
Verwandte Begriffe
Häufige Fragen zu Compliance-Evidence
Compliance-Evidence sind dokumentierte, überprüfbare Belege dafür, dass eine geforderte Sicherheitsmaßnahme tatsächlich umgesetzt ist und wirkt. Sie machen aus einer Behauptung einen Nachweis: nicht nur die Aussage, dass eine Kontrolle existiert, sondern der konkrete Beleg dafür, verknüpft mit der jeweiligen Anforderung aus einem Rahmenwerk.
Typische Nachweise sind Konfigurationsstände, Log-Auszüge, ein lückenloser Audit-Trail, Richtliniendokumente, Freigaben und Tickets. Auch Screenshots können dienen, wenn sie Zeitpunkt und Kontext tragen. Entscheidend ist, dass ein Beleg einer konkreten Anforderung zugeordnet ist und zeigt, dass die Maßnahme nicht nur geplant, sondern wirksam ist.
Vor allem für NIS2, DORA und ISO 27001. Alle drei verlangen keine bloßen Absichtserklärungen, sondern belegbare, wirksame Maßnahmen. Für den IT-Betrieb heißt das: Zu jeder geforderten Kontrolle muss sich zeigen lassen, dass und wie sie umgesetzt ist. Die konkrete nationale Umsetzung von NIS2 ist dabei maßgeblich.
Ein guter Nachweis ist aktuell, nachvollziehbar und vollständig. Aktuell heißt, er bildet den heutigen Stand ab, nicht den von vor einem Jahr. Nachvollziehbar heißt, er trägt Zeitpunkt, Quelle und Bezug zur Anforderung. Vollständig heißt, er deckt die Kontrolle wirklich ab und lässt keine Lücke, die im Audit auffällt.
Indem man sie laufend aus den realen Betriebssignalen ableitet, statt sie kurz vor dem Audit manuell zusammenzusuchen. Werden Konfigurationsstände, Logs und Audit-Trails fortlaufend den Controls zugeordnet, entsteht ein stets belastbares Bild. Das senkt den Stress vor Prüfungen und vermeidet veraltete oder unvollständige Belege.
- BSI: NIS-2-Richtlinie und Umsetzung in Deutschland - bsi.bund.de
- DORA (Verordnung EU 2022/2554), Anforderungen an das IKT-Risikomanagement - eur-lex.europa.eu
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.