CISO-Due-Diligence-Akte: ISO 27001-Nachweise für 2026

Es ist 08:17 Uhr an einem Montagmorgen. Maria, CISO eines schnell wachsenden Fintech-SaaS-Anbieters, öffnet eine E-Mail des CEO: „Anfrage der Aufsichtsbehörde. Wir benötigen bis Freitag Nachweise, dass wir das Lieferantenrisiko vor dem Ausfall eskaliert haben, dass das Leitungsorgan das Restrisiko verstanden hat und dass unsere Entscheidung zur Vorfallsmeldung dokumentiert wurde.“

Sechs Wochen zuvor hatte ein kritischer Cloud-Service-Provider eine regionale Leistungsbeeinträchtigung erlitten. Es gingen keine Kundengelder verloren. Eine Exfiltration personenbezogener Daten wurde nicht bestätigt. Kunden konnten jedoch stundenlang nicht auf Dashboards zugreifen, Support-Tickets nahmen stark zu, und ein Unternehmenskunde verlangt nun den Nachweis, dass das Unternehmen NIS2, DORA und die Sicherheitsverpflichtungen nach GDPR Article 32 eingehalten hat.

Maria weiß, dass das Team verantwortungsvoll gehandelt hat. Es warnte das Management vor Konzentrationsrisiken. Es beantragte eine Ausnahme, als Tests der Backup-Region in Verzug gerieten. Es klassifizierte das Ereignis, zog die Rechtsabteilung hinzu, informierte Kunden und leitete Korrekturmaßnahmen ein. Doch 2026 lautet die Frage nicht mehr nur, ob die Informationssicherheitsfunktion verantwortungsvoll gehandelt hat.

Die Frage lautet, ob der CISO mit zeitgestempelten Nachweisen belegen kann, dass Risiken identifiziert, kommuniziert, nachverfolgt, vom richtigen Verantwortlichen akzeptiert und konsequent weiterverfolgt wurden.

Dieser Nachweis ist die CISO-Due-Diligence-Akte.

Für CISOs, Compliance-Manager, Auditoren und Unternehmensverantwortliche ist die Due-Diligence-Akte kein privater Dokumentenspeicher. Sie ist die operative Nachweisebene, die ISO/IEC 27001:2022, NIS2-Managementverantwortung, DORA-Governance und IKT-Risikomanagement sowie Sicherheit der Verarbeitung nach GDPR Article 32 zu einer schlüssigen Gesamtdarstellung verbindet. Richtig umgesetzt zeigt sie, dass die Sicherheitsleitung klare Empfehlungen gegeben hat, das Management informierte Entscheidungen getroffen hat und die Kontrollen der Organisation nicht nur beschrieben, sondern betrieben, überprüft und verbessert wurden.

Warum CISO-Due-Diligence 2026 relevant ist

Die regulatorische Landschaft hat sich von Richtlinienaussagen hin zu nachweisbarer Rechenschaftspflicht verschoben. Vage Zusicherungen reichen nicht mehr aus. Aufsichtsbehörden, Leitungsorgane, Kunden und Versicherer verlangen zunehmend Governance-Nachweise.

NIS2 weist den Leitungsorganen ausdrücklich Verantwortung zu. Article 20 verlangt von Leitungsorganen wesentlicher und wichtiger Einrichtungen, Maßnahmen zum Cybersicherheitsrisikomanagement zu genehmigen, deren Umsetzung zu überwachen und Cybersicherheitsschulungen zu absolvieren. Article 21 verlangt anschließend geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen, einschließlich Risikoanalyse, Verfahren zum Umgang mit Informationssicherheitsvorfällen, Aufrechterhaltung des Geschäftsbetriebs, Sicherheit der Lieferkette, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene, Schulung, Kryptografie, Zugriffskontrolle, Asset-Management und Authentifizierung.

Für erfasste Finanzunternehmen legt DORA die Messlatte höher. Article 5 macht das Leitungsorgan letztverantwortlich für das IKT-Risikomanagement. Article 6 verlangt ein solides, umfassendes und gut dokumentiertes IKT-Risikomanagementrahmenwerk. DORA verlangt außerdem Vorfallsklassifizierung und -meldung, Tests der digitalen operationalen Resilienz, Internes Audit für Nicht-Kleinstunternehmen, Nachverfolgung von Abhilfemaßnahmen und Governance von IKT-Drittparteien. DORA gilt seit dem 17. Januar 2025 und wirkt für erfasste Finanzunternehmen als sektorspezifischer Rechtsakt der Union für überschneidende NIS2-Risikomanagement- und Meldepflichten.

GDPR ergänzt eine separate, aber verbundene Rechenschaftsperspektive. Article 5(2) verlangt von Verantwortlichen, für die Einhaltung der Datenschutzgrundsätze verantwortlich zu sein und diese nachweisen zu können. Article 32 verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für SaaS-, Fintech- und Managed-Service-Organisationen, die personenbezogene Daten aus der EU verarbeiten, bedeutet dies, dass Nachweise zeigen müssen, wie Risiken für Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz bewertet und behandelt wurden.

Die persönliche Sorge von CISOs ist nachvollziehbar. Wenn Managementverantwortung, regulatorische Prüfung, Kundendue-Diligence und Prozessrisiken nach einem Ausfall oder einer Sicherheitsverletzung zusammentreffen, reicht ein Risikoregister allein nicht aus. Der CISO benötigt eine strukturierte Nachweisakte, die fachliche Bewertung, rechtzeitige Eskalationen, klare Empfehlungen, bei Bedarf abweichende Einschätzungen, akzeptierte Risiken und Prüfung der Kontrollwirksamkeit belegt.

Die Due-Diligence-Akte ist kein Schatten-ISMS

Ein häufiger Auditfehler besteht darin, die CISO-Due-Diligence-Akte als privates Archiv getrennt vom ISMS zu behandeln. Das erzeugt zwei Risiken. Erstens werden Nachweise inkonsistent. Zweitens kann der Eindruck entstehen, der CISO habe Risiken gekannt, sie aber nicht in die Governance integriert.

Der Ansatz von Clarysec ist anders. Die CISO-Due-Diligence-Akte ist eine kuratierte Sicht auf ISMS-Nachweise, die für Managementverantwortung relevant sind. Sie ersetzt weder Risikoregister, Anwendbarkeitserklärung, Vorfallsregister, Lieferantenregister, Auditberichte noch Protokolle der Managementbewertung. Sie indexiert sie, verknüpft sie und macht sie belastbar.

Die Zenith Blueprint: 30-Schritte-Roadmap für Auditoren liefert die praktische Grundlage. In der Phase ISMS-Grundlagen und Führung betont Schritt 4, dass der ISMS-Manager oder Security Officer Umsetzung, Audits und Sensibilisierung koordiniert und „direkten Zugang zur obersten Leitung haben muss, um Probleme zu eskalieren“. Außerdem wird festgehalten, dass Risikoverantwortliche für wesentliche Risiken benannt werden sollten und dass die Organisation festlegen sollte, wer Entscheidungen zur Risikobehandlung freigibt.

Das ist das erste Prinzip der CISO-Due-Diligence: Die Sicherheitsleitung berät und eskaliert, aber Risikoverantwortung und Risikoakzeptanz müssen ausdrücklich geregelt sein.

In der Phase Risikomanagement operationalisiert Schritt 13 des Zenith Blueprint dieses Prinzip:

Entscheidungen zur Risikobehandlung und die SoA sollten durch die oberste Leitung überprüft und genehmigt werden. Dies erfolgt häufig in einer Besprechung oder zumindest per Freigabe. Stellen Sie sicher, dass das Management zu folgenden Punkten informiert wird:

✓ die wesentlichen Risiken und vorgeschlagenen Behandlungen, ✓ alle Risiken, deren Akzeptanz Sie empfehlen (diese sollten formell akzeptiert werden), ✓ die Liste der Kontrollen, deren Umsetzung Sie planen (SoA-Schwerpunkte). Die Genehmigung durch das Management zeigt, dass die Organisation die erforderlichen Maßnahmen kennt und sich zu ihnen verpflichtet (dies ist zugleich dokumentierter Nachweis für das Audit).

Für einen CISO ist diese Vorgabe nicht nur Vorbereitung auf ein ISO-Audit. Sie ist Due-Diligence-Architektur. Wird ein hohes Risiko akzeptiert, zurückgestellt oder nicht ausreichend finanziert, sollte die Akte Risiko, Empfehlung, Geschäftsentscheidung, genehmigende Rolle, Bezug zur Risikobereitschaft und Überprüfungsdatum enthalten.

ISO 27001:2022 ist der Nachweismotor

ISO 27001 ist mehr als ein Zertifizierungsziel. Sie ist ein Betriebsmodell für Governance, Risikobehandlung, Assurance und kontinuierliche Verbesserung. Clause 0.1 stellt klar, dass ein ISMS in die Prozesse und die gesamte Managementstruktur der Organisation integriert werden soll. Diese Integration macht aus routinemäßiger Sicherheitsarbeit einen zuverlässigen Motor zur Erzeugung entscheidungsfähiger Nachweise.

Die zentralen ISO 27001:2022-Klauseln, die die CISO-Due-Diligence-Akte speisen, sind:

• Clauses 4.1 to 4.2, Kontext und interessierte Parteien, die gesetzliche, regulatorische, vertragliche und Stakeholder-Verpflichtungen dokumentieren.
• Clause 4.3, ISMS-Geltungsbereich, der die erfassten Services, Standorte, Systeme und Grenzen definiert.
• Clause 5.1, Führung und Verpflichtung, die verlangt, dass die oberste Leitung das ISMS unterstützt und sicherstellt, dass es die beabsichtigten Ergebnisse erreicht.
• Clause 5.3, organisatorische Rollen, Verantwortlichkeiten und Befugnisse, die klare Risikoverantwortung und Eskalationswege unterstützt.
• Clauses 6.1.2 and 6.1.3, Informationssicherheitsrisikobeurteilung und Risikobehandlung, die konsistente Risikokriterien, Genehmigung durch Risikoverantwortliche, Behandlungspläne, Restrisikoakzeptanz und die Anwendbarkeitserklärung verlangen.
• Clause 8.1, operative Planung und Steuerung, die verlangt, dass die Organisation die Prozesse plant, umsetzt und steuert, die zur Erfüllung der ISMS-Anforderungen erforderlich sind.
• Clauses 9.2 and 9.3, Internes Audit und Managementbewertung, die unabhängige Prüfung und Nachweise zur Aufsicht durch die Leitung erzeugen.
• Clause 10.1, kontinuierliche Verbesserung, und Clause 10.2, Nichtkonformität und Korrekturmaßnahme, die konsequente Nachverfolgung belegen.

Dieser systematische Ansatz stellt sicher, dass die von Marias CEO benötigten Nachweise nicht in Panik erstellt werden. Sie existieren bereits, sofern das ISMS so gestaltet wurde, dass es entscheidungsreife Aufzeichnungen erzeugt und bewahrt.

Was in eine CISO-Due-Diligence-Akte gehört

Eine gute Due-Diligence-Akte beantwortet sieben Fragen, die ein Auditor, eine Aufsichtsbehörde, ein Mitglied des Leitungsorgans oder ein Kunde nach einer Störung stellen kann:

1. Was wusste der CISO?
2. Wann wusste er es?
3. Welche Empfehlung gab er?
4. Wer war für das Risiko verantwortlich?
5. Was hat das Management genehmigt, abgelehnt, zurückgestellt oder akzeptiert?
6. Wie wurden Kontrollen getestet oder überwacht?
7. Was änderte sich nach Vorfällen, Audits, Lieferantenwarnungen oder Ausnahmen?

Die folgende Struktur eignet sich für SaaS-Anbieter, Fintech-Unternehmen, Managed Service Provider, Managed Security Service Provider, Betreiber digitaler Infrastrukturen und Technologielieferanten, die regulierte Kunden unterstützen.

Diese Akte ist besonders wichtig für NIS2-Sektoren wie Cloud Computing, Rechenzentren, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter öffentlicher Kommunikationsdienste und bestimmte Finanzinfrastruktureinrichtungen. Der NIS2-Geltungsbereich hängt von Sektor, Einrichtungstyp und Größe ab; die Mitgliedstaaten müssen Listen wesentlicher und wichtiger Einrichtungen erstellen. Auch Organisationen außerhalb des direkten Geltungsbereichs können vertragliche Weitergabepflichten von Kunden erhalten, die im Geltungsbereich liegen.

Für DORA sollte die Akte unterscheiden, ob die Organisation das regulierte Finanzunternehmen, ein IKT-Drittdienstleister oder in unterschiedlichen Beziehungen beides ist. Finanzunternehmen müssen Governance, IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Risikokontrollen für Drittparteien aufrechterhalten. IKT-Anbieter werden zunehmend aufgefordert werden, Nachweise, Auditrechte, Unterstützung bei Vorfällen, Tests und Exit-Planung bereitzustellen oder zu unterstützen.

Das Clarysec-Richtlinienrückgrat für belastbare Aufzeichnungen

Die Due-Diligence-Akte steht und fällt mit der Qualität der Aufzeichnungen. Clarysec-Richtlinien sind darauf ausgelegt, diesen Nachweispfad zur normalen Geschäftspraxis zu machen, nicht zu einer Notfallreaktion auf ein Schreiben der Aufsichtsbehörde.

Für KMU legt [P02S] Richtlinie zu Governance-Rollen und Verantwortlichkeiten – KMU in Klausel 5.5 fest:

Alle wesentlichen Sicherheitsentscheidungen, Ausnahmen und Eskalationen müssen aufgezeichnet und nachvollziehbar sein.

Für Unternehmen legt [P02] Richtlinie zu Governance-Rollen und Verantwortlichkeiten in Klausel 6.5 fest:

Alle Eskalationen sind zu protokollieren und nachzuverfolgen, einschließlich Nachweisen über Behebung oder formelle Akzeptanz.

Zusammen definieren diese Klauseln den Nachweisstandard. Eine wesentliche Schwachstelle, Lieferantenabhängigkeit, Kontrollverzögerung oder wiederholte Ausnahme darf nicht nur in Chat-Nachrichten oder im Gedächtnis existieren. Sie muss aufgezeichnet, zugewiesen, nachverfolgt und durch Behebung oder formelle Akzeptanz abgeschlossen werden.

Risikoakzeptanz erfordert dieselbe Disziplin. [P06S] Risikomanagement-Richtlinie – KMU verlangt in Klausel 5.1.2:

Jeder Risikoeintrag muss Beschreibung, Eintrittswahrscheinlichkeit, Auswirkung, Bewertung, Verantwortlichen und Behandlungsplan enthalten.

Dieselbe KMU-Richtlinie ergänzt in Klausel 7.2.1:

Jede Entscheidung, die Behandlung eines hohen oder mittleren Risikos zu akzeptieren oder zurückzustellen, muss im Risikoregister dokumentiert werden. Diese Dokumentation muss Folgendes enthalten:

Für größere Organisationen legt [P06] Risikomanagement-Richtlinie in Klausel 6.3.4 fest:

Risiken, die ohne Behandlung akzeptiert werden, sind schriftlich zu begründen, mit der Risikobereitschaft der Organisation zu verknüpfen und auf der angemessenen Ebene zu genehmigen.

Im NIS2- oder DORA-Kontext ist dies relevant, weil von Leitungsorganen erwartet wird, dass sie Entscheidungen zu Cybersicherheits- und IKT-Risiken genehmigen, überwachen und verstehen. Im Kontext von GDPR Article 32 hilft es nachzuweisen, dass Sicherheitsmaßnahmen durch einen dokumentierten risikobasierten Prozess ausgewählt, zurückgestellt oder angepasst wurden.

Nachweise zu Vorfällen müssen ebenso strukturiert sein. [P30S] Incident-Response-Richtlinie – KMU verlangt:

Alle Untersuchungen von Vorfällen, Feststellungen und Korrekturmaßnahmen müssen in einem vom General Manager geführten Vorfallsregister aufgezeichnet werden.

[P30] Incident-Response-Richtlinie verlangt:

Alle Vorfälle müssen im Security Incident Management System (SIMS) aufgezeichnet werden, einschließlich:

Diese Klauseln unterstützen die gestufte NIS2-Berichterstattung und die DORA-Governance für IKT-Vorfälle. NIS2 verlangt bei erheblichen Vorfällen eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach der Vorfallsmeldung. DORA verlangt formelles IKT-Vorfallmanagement, Klassifizierung nach Schweregrad und Kritikalität des betroffenen Dienstes, Eskalation an die obere Führungsebene, Kenntnisnahme durch das Leitungsorgan, Kundenkommunikation, soweit erforderlich, und gestufte Berichterstattung für schwerwiegende IKT-bezogene Vorfälle.

Auch Auditnachweise benötigen Integrität. [P33S] Richtlinie zur Audit- und Compliance-Überwachung – KMU legt fest:

Metadaten (z. B. wer sie erhoben hat, wann und aus welchem System) müssen dokumentiert werden.

[P33] Richtlinie zur Audit- und Compliance-Überwachung legt fest:

Alle Audittätigkeiten sind zu dokumentieren und im ISMS-Repository aufzubewahren.

Schließlich gibt [P01] Informationssicherheitsleitlinie der Berichterstattung an die Leitung eine praktische Verankerung. Klausel 4.2.4 lautet:

Berichtet ISMS-Status, Vorfälle, Auditergebnisse und Kennzahlen an die oberste Leitung.

Diese Klausel unterstützt das Due-Diligence-Prinzip, dass Vorfallsstatus, Kennzahlen, Auditergebnisse und ungelöste Risiken die oberste Leitung in einer Form erreichen müssen, die Aufsicht ermöglicht.

Zenith Controls als Kompass für übergreifende Compliance

Clarysecs Zenith Controls: Leitfaden zur übergreifenden Compliance unterstützt CISOs dabei, Kontrollen aus ISO/IEC 27002:2022 mit weitergehenden Compliance-Erwartungen zu verbinden. Es ist kein separates Kontrollrahmenwerk. Es ist Clarysecs Leitfaden zur übergreifenden Compliance, der erläutert, wie ISO/IEC 27001:2022 Annex A und Kontrollen aus ISO/IEC 27002:2022 andere Verpflichtungen, Audits und Nachweisanforderungen unterstützen.

Für die CISO-Due-Diligence-Akte sind drei Kontrollbereiche zentral.

ISO/IEC 27002:2022 control 5.4, Verantwortlichkeiten des Managements, ist eine präventive Governance-Kontrolle zur Unterstützung von Vertraulichkeit, Integrität und Verfügbarkeit. Zenith Controls ordnet sie dem Identify-Konzept zu, mit Governance als operativer Fähigkeit sowie Governance und Ökosystem als Sicherheitsdomänen. Die praktische Aussage ist klar: Managementverantwortung ist nicht symbolisch. Sie erfordert zugewiesene Rollen, Ressourcen, Richtlinienführung, Aufsicht und Nachverfolgung.

Zenith Controls verknüpft 5.4 direkt mit 5.2 Rollen und Verantwortlichkeiten für Informationssicherheit, 5.1 Richtlinien für Informationssicherheit, 5.35 unabhängige Überprüfung der Informationssicherheit, 5.36 Einhaltung von Richtlinien, Regeln und Standards für Informationssicherheit sowie 5.8 Informationssicherheit im Projektmanagement. Eine Due-Diligence-Akte, die Eskalationen enthält, aber keine Nachweise zu Rollenzuweisung, Richtliniengenehmigung, unabhängiger Überprüfung oder Projektintegration, wirkt unvollständig.

Control 5.35, unabhängige Überprüfung der Informationssicherheit, ist ebenfalls zentral. Zenith Controls beschreibt sie als präventiv und korrektiv, verbunden mit Informationssicherheits-Assurance. Sie verbindet sich mit 5.36 Compliance-Überwachung, 5.4 Managementverantwortlichkeiten, 5.27 Lernen aus Informationssicherheitsvorfällen, 5.33 Schutz von Aufzeichnungen sowie technischen Nachweisen wie 8.15 Protokollierung und 8.16 Überwachungsaktivitäten. In Due-Diligence-Begriffen beweist die unabhängige Überprüfung, dass das Management sich nicht allein auf Selbstauskünfte des Sicherheitsteams verlassen hat.

Control 5.36, Einhaltung von Richtlinien, Regeln und Standards für Informationssicherheit, stellt die Durchsetzungsebene bereit. Zenith Controls verknüpft sie mit Richtlinien, Disziplinarverfahren, unabhängiger Überprüfung, Rollen, Ereignisbewertung, Protokollierung, Überwachung, Schutz von Aufzeichnungen und Kontakt zu Fachgruppen. Für einen CISO bedeutet dies, dass die Akte nicht nur zeigen sollte, dass eine Richtlinie existiert. Sie sollte Überwachung der Einhaltung, Berichterstattung über Nichteinhaltung und Korrekturmaßnahmen belegen.

Cross-Compliance-Mapping: eine Nachweisakte, viele Perspektiven

Die effizienteste Due-Diligence-Akte ordnet dieselben Nachweise mehreren Verpflichtungen zu. Dadurch werden doppelte Compliance-Programme vermieden und das Risiko widersprüchlicher Darstellungen reduziert.

NIST CSF 2.0 ist nützlich, weil es eine gemeinsame Sprache für Governance, Lieferkettenrisiko, operative Resilienz, Vorfallmanagement und Wiederherstellung bietet. Seine GOVERN-Funktion umfasst organisatorischen Kontext, gesetzliche und regulatorische Verpflichtungen, Risikobereitschaft, Rollen, Richtlinien und Aufsicht. Die CSF-Profil-Methode unterstützt Ist-Zustandsbewertung, Zielzustandsdefinition, Lückenanalyse und priorisierte Maßnahmenplanung. Dies passt unmittelbar zum Clarysec-Due-Diligence-Ansatz: Akte abgrenzen, Nachweise sammeln, Verpflichtungen zuordnen, Lücken identifizieren, Maßnahmen umsetzen und kontinuierlich aktualisieren.

Ein praktisches Paket zur Risikoeskalation

Betrachten wir einen SaaS-Anbieter, dessen Authentifizierungsdienst von einem einzigen Cloud-Identitätsanbieter abhängt. Der CISO identifiziert ein Risiko mit hoher Auswirkung auf Verfügbarkeit und Zugriffskontrolle: Erleidet der Identitätsanbieter einen größeren Ausfall, können Kunden sich nicht anmelden, Workflows für privilegierten Zugriff können verzögert werden und Incident Response kann beeinträchtigt sein.

Ein belastbares Risikoeskalationspaket sollte fünf Teile enthalten.

Erstens: Erstellen Sie den Risikoeintrag. Nutzen Sie die Anforderung aus der Risikomanagement-Richtlinie – KMU, dass jeder Risikoeintrag Beschreibung, Eintrittswahrscheinlichkeit, Auswirkung, Bewertung, Verantwortlichen und Behandlungsplan enthalten muss. Der Eintrag sollte betroffene Assets und Services benennen, einschließlich Kundenportal, Administrationskonsole, Support-Werkzeuge und Notfallzugriffsprozess. Er sollte CIA-Auswirkung, Eintrittswahrscheinlichkeit, Auswirkung, Risikowert, Risikoverantwortlichen, vorgeschlagene Behandlung, Restrisiko, Zieldatum und Budget erfassen.

Zweitens: Verknüpfen Sie die Behandlung mit der Anwendbarkeitserklärung. Relevante Kontrollen können Lieferantensicherheit, Cloud-Service-Management, Identitäts- und Zugriffskontrolle, privilegierten Zugriff, Überwachung, Vorfallplanung, Bereitschaft zur Aufrechterhaltung des Geschäftsbetriebs, Backup und Protokollierung umfassen. Dies folgt Zenith Blueprint Schritt 13, wonach Entscheidungen zur Risikobehandlung und die SoA durch die oberste Leitung überprüft und genehmigt werden.

Drittens: Erstellen Sie den CISO-Beratungsvorgang. Der Vermerk sollte beantworten, was schiefgehen kann, welche regulierten Services oder Kundenverpflichtungen betroffen sein können, welche Auswirkungen sich aus NIS2, DORA und GDPR ergeben, welche Behandlung empfohlen wird, welche Kosten und welcher Zeitplan entstehen und welches Restrisiko verbleibt, wenn das Management zurückstellt.

Viertens: Dokumentieren Sie die Managemententscheidung. Genehmigt das Management die Behandlung, bewahren Sie die unterzeichnete Entscheidung, Budgetfreigabe und den Umsetzungsplan auf. Stellt das Management zurück, verlangt die Risikomanagement-Richtlinie für Unternehmen eine schriftliche Begründung mit Bezug zur Risikobereitschaft und Genehmigung auf angemessener Ebene. Die Akte sollte die CISO-Empfehlung und die Managemententscheidung als getrennte Artefakte ausweisen.

Fünftens: Ergänzen Sie Nachweise zur Wirksamkeitsprüfung. Nehmen Sie Testergebnisse zu Break-Glass-Konten, Kommunikationsplan für Lieferantenvorfälle, Vertragsprüfung, SLA-Nachweise, Tests von Überwachungswarnmeldungen, Notizen aus Tabletop-Übungen, Korrekturmaßnahmen und Feststellungen aus Internen Audits auf. In Zenith Blueprint Schritt 23 empfiehlt Clarysec, die Fähigkeiten des Vorfallmanagements zu validieren, indem ein aktuelles Ereignis ausgewählt oder eine Tabletop-Übung durchgeführt wird, Entscheidungen, Rollen und Kommunikation erfasst und protokolliert werden, der Plan anhand der Lessons Learned aktualisiert wird und Verfahren zur Sicherung forensischer Nachweise bestätigt werden. Genau diese Nachweise sollte die Akte bewahren.

Vorfallsentscheidungen: das Warum hinter Meldeentscheidungen belegen

Nach einem Cyberereignis ist der umstrittenste Punkt häufig nicht die technische Zeitachse. Es ist die Meldeentscheidung.

War es ein erheblicher Vorfall nach NIS2? War es ein schwerwiegender Vorfall nach DORA? War es eine Verletzung des Schutzes personenbezogener Daten nach GDPR? Wurden Kunden oder Empfänger benachrichtigt? Wer hat entschieden? Auf Grundlage welcher Fakten?

Die CISO-Due-Diligence-Akte sollte für jedes wesentliche Ereignis einen Entscheidungsnachweis zum Vorfall enthalten, selbst wenn die abschließende Entscheidung „nicht meldepflichtig“ lautet. Dieser Nachweis sollte enthalten:

• Datum und Uhrzeit der Kenntniserlangung.
• Zusammenfassung des Ereignisses und betroffene Systeme.
• Anfangsschweregrad und geschäftliche Auswirkung.
• Bekannte oder vermutete böswillige Ursache.
• Indikatoren für grenzüberschreitende Auswirkungen.
• Bewertung personenbezogener Daten.
• Auswirkung auf Kunden oder Leistungsempfänger.
• Analyse der DORA-Kriterien für schwerwiegende Vorfälle, falls anwendbar.
• Analyse der NIS2-Kriterien für erhebliche Vorfälle, falls anwendbar.
• Beteiligte aus Rechtsabteilung, DPO, Compliance und Management.
• Entscheidung, Begründung und Genehmigung.
• Auslöser für Neubewertungen, falls sich Fakten ändern.

NIS2 definiert erhebliche Vorfälle über schwere Betriebsstörungen, finanzielle Verluste oder erhebliche materielle oder immaterielle Schäden für andere Personen. DORA verlangt von Finanzunternehmen, IKT-bezogene Vorfälle und bedeutende Cyberbedrohungen aufzuzeichnen, Vorfälle anhand von Kriterien wie betroffene Kunden, Ausfallzeit, geografische Ausbreitung, Datenverlust, Kritikalität und wirtschaftliche Auswirkung zu klassifizieren und schwerwiegende Vorfälle an die obere Führungsebene zu eskalieren, während das Leitungsorgan informiert wird.

Die Due-Diligence-Akte sollte sowohl die zum Entscheidungszeitpunkt bekannten Fakten als auch die Begründung für Handlung oder Nichtmeldung bewahren. Ändern sich Fakten später, sollte die Akte die Neubewertung zeigen.

Lieferantenwarnungen sind der Härtetest für Sorgfalt

Nachweise zur Lieferkette werden zu einem der wichtigsten Abschnitte der CISO-Akte. NIS2 Article 21 verlangt Sicherheit der Lieferkette und erwartet, dass Organisationen lieferantenspezifische Schwachstellen, Produktqualität, Cybersicherheitspraktiken und Verfahren zur sicheren Entwicklung berücksichtigen. Erwägungsgründe empfehlen Maßnahmen zum Cybersicherheitsrisikomanagement in Verträgen mit direkten Lieferanten und Dienstleistern.

DORA ist für Finanzunternehmen präskriptiver. IKT-Drittparteienrisiko muss Teil des IKT-Rahmenwerks sein. Organisationen müssen ein Register vertraglicher Vereinbarungen führen, vorvertragliche Due Diligence durchführen, Konzentrationsrisiko bewerten, Unterauftragsketten und Abhängigkeiten von Drittstaaten berücksichtigen, Audit- und Zugriffsrechte aufnehmen, Unterstützung bei Vorfällen definieren, Exit-Strategien testen und Kündigungsrechte aufrechterhalten.

Für den CISO müssen Lieferantenwarnungen dokumentiert werden, bevor der Lieferant ausfällt. Die Akte sollte enthalten:

• Inventar kritischer Lieferanten und Service-Mapping.
• Risikoeinstufung des Lieferanten und Begründung.
• Sicherheitsfragebögen und Nachweisprüfungen.
• Vertragslückenanalyse zu Auditrechten, Vorfallbenachrichtigung, Datenstandort, Unterauftragsvergabe und Exit.
• Bewertung des Konzentrationsrisikos.
• Bekannte Schwachstellen oder öffentliche Sicherheitshinweise, die den Lieferanten betreffen.
• CISO-Empfehlungen an Rechtsabteilung, Beschaffung und Management.
• Akzeptierte Lücken und kompensierende Kontrollen.
• Testnachweise zur Exit-Strategie für kritische Lieferanten.

Dies stimmt eng mit NIST CSF 2.0 GV.SC überein, das Strategie für Lieferkettenrisikomanagement, Lieferantenrollen, Priorisierung nach Kritikalität, vertragliche Anforderungen, Due Diligence, laufende Überwachung, Vorfallplanung und Aktivitäten am Ende der Geschäftsbeziehung abdeckt.

Wie Auditoren und Aufsichtsbehörden die Akte lesen werden

Unterschiedliche Prüfer betrachten dieselben Nachweise aus verschiedenen Blickwinkeln. Eine starke Due-Diligence-Akte antizipiert diese Blickwinkel.

Ein ISO 27001-Auditor wird dokumentierte Information, die den Prozess der Risikobeurteilung und Risikobehandlung unterstützt, genau prüfen. Clauses 6.1.2 and 6.1.3 verlangen Risikoakzeptanzkriterien, konsistente Bewertungen, Risikoverantwortliche, Risikostufen, Priorisierung, Behandlungspläne, SoA-Abgleich und Restrisikoakzeptanz. Clauses 8.1 to 8.3 verlangen operative Steuerung, geplante erneute Risikobeurteilung oder Neubewertung nach wesentlichen Änderungen sowie Aufbewahrung der Ergebnisse.

Eine NIS2-Behörde oder ein Kundenassessor wird auf Managementverantwortung und Verhältnismäßigkeit achten. Sie wird fragen, ob die Maßnahmen angesichts Risikoexposition, Größe, Eintrittswahrscheinlichkeit, Schweregrad, gesellschaftlicher oder wirtschaftlicher Auswirkung, Stand der Technik und anwendbarer Standards angemessen waren.

Ein DORA-fokussierter Prüfer wird auf Governance-Nachvollziehbarkeit achten. Hat das Leitungsorgan IKT-Risikotoleranz festgelegt? Hat es Pläne zur Aufrechterhaltung des Geschäftsbetriebs und zur Reaktion genehmigt? Wurden schwerwiegende Vorfälle eskaliert? Waren Resilienztests risikobasiert und wurden Feststellungen behoben? Wurden IKT-Drittparteienverträge und Konzentrationsrisiken gesteuert?

Eine GDPR-Behörde wird den Schwerpunkt auf Rechenschaftspflicht und Sicherheit der Verarbeitung legen. Sie wird fragen, ob personenbezogene Daten klassifiziert wurden, ob Verarbeitungsrollen verstanden wurden, ob geeignete technische und organisatorische Maßnahmen umgesetzt wurden und ob Entscheidungen zu Datenschutzverletzungen evidenzbasiert waren.

Kennzahlen, die die Organisation und den CISO schützen

Kennzahlen sind keine Dekoration. In einer Due-Diligence-Akte zeigen sie, ob der CISO dem Management ausreichend Transparenz verschafft hat, um zu handeln.

Nützliche Kennzahlen sind:

• Akzeptierte, überfällige oder ohne Verantwortlichen geführte hohe und mittlere Risiken.
• Kritische Schwachstellen außerhalb des SLA.
• Ausnahmen nach Alter, Geschäftsbereich und genehmigender Rolle.
• Lieferantenrisiken nach Kritikalität und ungelösten Vertragslücken.
• Mittlere Zeit bis zur Erkennung, Reaktion und Wiederherstellung von Vorfällen.
• Innerhalb der erforderlichen Entscheidungsfenster abgeschlossene Bewertungen der Meldepflicht.
• Erfolgsquoten von Backup- und Wiederherstellungstests.
• Abschluss der Berechtigungsüberprüfung und Ausnahmen bei privilegiertem Zugriff.
• Feststellungen Interner Audits nach Schweregrad und überfälligen Korrekturmaßnahmen.
• Abschluss der Security-Awareness-Schulung für Management und Personal.

Diese Kennzahlen unterstützen die Leitungsberichterstattung nach ISO 27001, NIS2-Schulung und -Aufsicht, DORA-IKT-Risikoberichterstattung und GDPR-Rechenschaftspflicht. Sie schützen auch den CISO, indem sie zeigen, ob Ressourceneinschränkungen, ungelöste Ausnahmen oder wiederholte Kontrollausfälle für das Management sichtbar waren.

Die Due-Diligence-Akte sollte monatliche oder quartalsweise Snapshots bewahren. Überschreiben Sie alte Dashboards nicht, ohne Nachweise aufzubewahren. Hat das Management eine rote Kennzahl gesehen und die Behandlung zurückgestellt, gehört diese Entscheidung in die Akte.

Vom auditbereiten Toolkit zu CISO-reifen Nachweisen

In der Phase Audit, Überprüfung und Verbesserung empfiehlt Schritt 30 des Zenith Blueprint, ein auditbereites Toolkit zusammenzustellen:

Führen Sie alle wesentlichen ISMS-Dokumente und Aufzeichnungen in einem einzigen Repository oder Ordner zusammen. Dadurch lässt sich während des Zertifizierungsaudits schnell abrufen, wonach der Auditor fragt.

Die Checkliste umfasst die ISMS-Geltungsbereichserklärung, Richtlinien, den Risikobeurteilungsbericht, das Risikoregister, den Risikobehandlungsplan, die Anwendbarkeitserklärung, das Asset-Inventar, Schulungsnachweise, operative Aufzeichnungen wie Vorfallsprotokolle und Zugriffsanfragen, Berichte Interner Audits, Protokolle der Managementbewertung, Korrekturmaßnahmen und Aufzeichnungen zu Compliance-Verpflichtungen.

Die CISO-Due-Diligence-Akte ist eine spezialisierte Ebene innerhalb dieses Toolkits. Sie sollte nicht alles duplizieren. Sie sollte die Nachweise indexieren, die für fachliche Bewertung und Managementverantwortung am relevantesten sind.

Eine praktische Ordnerstruktur ist:

• 00 Readme und Nachweisindex.
• 01 Rolle, Befugnis und Berichtslinie.
• 02 Compliance-Verpflichtungen und Geltungsbereich.
• 03 Managementberichte und Empfehlungen.
• 04 Risikoakzeptanzen und Ausnahmen.
• 05 Vorfallsentscheidungen und Kommunikation.
• 06 Lieferantenwarnungen und Vertragsrisiken.
• 07 Nachweise zur Kontrollwirksamkeit und unabhängige Überprüfungen.
• 08 Kennzahlen und ungelöste Punkte.
• 09 Managementbewertung und CAPA-Nachverfolgung.
• 10 Legal Hold, Integrität von Nachweisen und Metadaten.

Jeder Eintrag sollte Verantwortlichen, Datum, Quellsystem, zugehörige Risikokennung, zugehörige Kontrolle, Entscheidungsstatus und Aufbewahrungsanforderung enthalten. Dies setzt das Clarysec-Nachweisprinzip aus der Richtlinie zur Audit- und Compliance-Überwachung – KMU um: Metadaten sind entscheidend.

Beginnen Sie vor dem nächsten Vorfall

Eine CISO-Due-Diligence-Akte ist am wertvollsten, wenn sie vor dem Ausfall, der Sicherheitsverletzung, dem Audit oder dem Schreiben der Aufsichtsbehörde existiert. Beginnen Sie diese Woche mit drei Maßnahmen.

Erstens: Erstellen Sie einen CISO-Due-Diligence-Nachweisindex und ordnen Sie ihn Ihrem ISO 27001-Risikoregister, der SoA, dem Vorfallsregister, dem Lieferantenregister und dem Paket für die Managementbewertung zu.

Zweitens: Überprüfen Sie Ihre letzten drei hohen oder mittleren Risiken. Bestätigen Sie, dass jedes Risiko einen Verantwortlichen, einen Behandlungsplan, eine Restrisikoentscheidung, einen Bezug zur Risikobereitschaft und Genehmigungsnachweise hat. Falls nicht, öffnen Sie den Governance-Datensatz erneut.

Drittens: Führen Sie eine 90-minütige Tabletop-Übung zu einem Lieferantenausfall oder einer vermuteten Datenschutzverletzung durch. Nutzen Sie Zenith Blueprint Schritt 23, um Entscheidungen, Rollen, Kommunikation und Lessons Learned zu erfassen, und legen Sie die Nachweise anschließend im Abschnitt zu Vorfallsentscheidungen ab.

Clarysec kann Sie dabei unterstützen, dies schnell zu operationalisieren. Unsere 30-Schritte-Umsetzungsmethode, Richtlinienbibliothek und das Zenith Controls Cross-Compliance-Mapping geben Ihnen eine belastbare, auditbereite Struktur für ISO 27001-Nachweise, NIS2-Managementverantwortung, DORA-Governance und Sicherheitsrechenschaft nach GDPR Article 32.

Um Ihre CISO-Due-Diligence-Akte sicher aufzubauen, beginnen Sie mit der Zenith Blueprint, richten Sie Ihre Governance- und Risikoaufzeichnungen an den Clarysec-Richtlinien aus und nutzen Sie Zenith Controls als Kompass für übergreifende Compliance.