Dokumentiert ist nicht bewiesen: Der Fall für kontinuierliches Compliance-Monitoring
15 Sep 2026
Prüfer möchten nicht nur wissen, ob eine Kontrolle existiert. Sie benötigen Compliance-Nachweise, dass sie tatsächlich funktioniert hat – für ein bestimmtes System zu einem bestimmten Zeitpunkt.
Die meisten regulierten Unternehmen können ihre Kontrollen detailliert erläutern. Wenn ein Prüfer jedoch nach einem Nachweis fragt, dass eine Kontrolle tatsächlich wirksam war, ist die Antwort oft deutlich schwieriger zu erbringen.
Dieser Unterschied ist entscheidend. Eine dokumentierte Kontrolle beschreibt, was geschehen sollte. Ein Nachweis zeigt, was tatsächlich geschehen ist, und eines ist klar: Der bereitgestellte Nachweis sollte aktuell sein, nicht nachträglich aktualisiert.
Dokumentation vs. Compliance-Nachweise: Was Prüfer tatsächlich benötigen
Regulatorische Rahmenwerke wie DORA, NIS 2, BAIT, VAIT und MaRisk legen großen Wert auf wirksame und nachvollziehbare Kontrollen. Eine Richtlinie oder Kontrollbeschreibung allein belegt nicht, dass diese Kontrollen in den von ihnen verwalteten Systemen abgebildet sind.
Eine Richtlinie kann beispielsweise SSO vorschreiben. Sie beweist jedoch nicht, dass SSO in einer bestimmten Anwendung korrekt konfiguriert ist. Ein Berechtigungskonzept kann definieren, wer einer administrativen Gruppe angehören sollte. Es zeigt nicht, wer dieser Gruppe heute tatsächlich angehört.
Traditionell werden diese Nachweise gesammelt, wenn eine Prüfung bevorsteht. Anwendungsverantwortliche sammeln manuell Screenshots, Exporte und Dokumente, oft mit unterschiedlicher Qualität und Vollständigkeit. Bis alles zusammengetragen ist, können einige Nachweise bereits veraltet sein.
Ein grüner Status auf einem Compliance-Dashboard löst dies ebenfalls nicht. Die zugrunde liegenden Nachweise sind es, die diesen Status vertretbar machen.
Compliance-Nachweiserfassung als Teil der täglichen Governance
Anstatt die Nachweiserfassung als Prüfungsübung zu behandeln, kann sie Teil der alltäglichen Governance werden.
Für jedes verwaltete Element definiert das Governance-Team, welche Nachweise erwartet werden, wie sie bereitgestellt werden sollen und welche Kriterien sie erfüllen müssen. Klare Arbeitsanweisungen teilen Anwendungs- und Objektverantwortlichen genau mit, was sie einreichen müssen.
NEXIS bettet diese Anforderungen direkt in die IAM-Governance-Dokumentation ein. Nachweise können bereitgestellt werden, während die Dokumentation gepflegt wird, anstatt sie Monate später zu rekonstruieren.
Dies verwandelt die Nachweiserfassung von einer periodischen Übung in einen fortlaufenden Prozess, bei dem Anforderungen, aktueller Status und Nachweishistorie zusammengehalten werden.
Nachweise haben auch eine Gültigkeitsdauer. Jede Anforderung kann definieren, wie lange ihr Nachweis gültig bleibt, und NICO fordert neue Nachweise an, wenn dieses Zeitfenster abläuft. Compliance bleibt aktuell, anstatt beim letzten Audit eingefroren zu sein.
Warum automatisierte Compliance-Nachweiserfassung weiterhin Validierung benötigt
Kontinuierliche Erfassung erzeugt auch mehr zu prüfende Nachweise. Wenn jeder Screenshot, Export oder jedes Dokument weiterhin manuell geprüft werden muss, geht ein Großteil der Effizienz verloren.
Hier kommt NICO, der NEXIS Intelligent Co-Pilot, ins Spiel. NICO bewertet eingereichte Nachweise anhand der vom Governance-Team definierten Kriterien und liefert eine Bewertung zusammen mit seiner Konfidenz und Begründung.
NICO entscheidet nicht, was „compliant“ bedeutet. Das entscheidet Ihr Governance-Team.
Das Team definiert diese Kriterien zentral, und NICO wendet sie konsistent an. Jede Bewertung bleibt nachvollziehbar, einschließlich des eingereichten Nachweises, des Bewertungszeitpunkts, der Konfidenz von NICO und seiner Begründung. Das ursprüngliche Artefakt wird unverändert bewahrt und vor Manipulation geschützt.
Das Ergebnis ist ein konsistenter und transparenter Validierungsprozess, ohne dass jeder Nachweis von einer manuellen Prüfung abhängig gemacht wird.
Auditfähige Nachweise an der Quelle erfassen
Die Nachweiserfassung wird noch praktischer, wenn Nachweise direkt an der Quelle erfasst werden können.
Mit dem NEXIS-Browser-Plugin können Anwendungsverantwortliche ihre offenen Nachweisanforderungen sehen, den relevanten Systemzustand erfassen und ihn direkt zur Bewertung durch NICO einreichen. Anstatt einen Screenshot zu erstellen, zu speichern, zu benennen und separat hochzuladen, wird der Nachweis Teil des Workflows selbst.
Derselbe Ansatz funktioniert für Anwendungen, die nicht mit einer IGA- oder PAM-Plattform verbunden sind. Anstatt für jedes System einen dedizierten Konnektor zu entwickeln, definiert das Governance-Team den erforderlichen Nachweis. Der Anwendungsverantwortliche stellt den relevanten Screenshot, Export, PDF oder das Dokument bereit, und NICO bewertet es anhand der definierten Kriterien.
Dies ermöglicht es Unternehmen, einen konsistenten Nachweisstandard über eine deutlich breitere Anwendungslandschaft anzuwenden, einschließlich Systemen, die andernfalls außerhalb der zentralisierten Governance bleiben würden. Es ist nicht mehr die Frage, ob das System eine IAM-verwaltete Anwendung ist oder nicht.
Von Prüfungsvorbereitung zu kontinuierlichem Compliance-Monitoring
Anforderungen werden im Voraus definiert. Nachweise werden als Teil der laufenden Governance erfasst. Einreichungen werden bei ihrem Eingang validiert. Die Prüfungsvorbereitung ändert sich dann grundlegend.
Anforderungen, Nachweise, Compliance-Status und Historie bleiben für jedes verwaltete Element verbunden. Fehlende akzeptierte Nachweise bleiben als Lücke sichtbar. Wenn ein Prüfer nach einem Nachweis fragt, müssen Unternehmen ihn nicht mehr von Grund auf rekonstruieren.
Dies legt auch die Grundlage für ein umfassenderes kontinuierliches Compliance-Monitoring: der Übergang von isolierten Compliance-Prüfungen hin zu einer fortlaufenden Sicht darauf, ob Governance-Anforderungen tatsächlich durch Nachweise gestützt werden.
Die Kernaussage: Nachweise beginnen mit Governance, nicht mit Prüfungen
Eine dokumentierte Kontrolle sagt Ihnen, was wahr sein sollte. Ein Nachweis zeigt, ob es wahr ist.
Nachweise zu einem Teil der laufenden Governance zu machen bedeutet, zu definieren, welcher Nachweis erforderlich ist, ihn nahe an der Quelle zu erfassen, ihn konsistent zu validieren und jede Entscheidung nachvollziehbar zu halten.
Das ist die Idee hinter dem NEXIS Evidence Collector: Prüfungsvorbereitung von Rekonstruktion zu Abruf zu verwandeln.
Möchten Sie es in der Praxis sehen? Buchen Sie eine Demo und erkunden Sie, wie der NEXIS Evidence Collector Sie von einer definierten Anforderung zu validierten, auditfähigen Nachweisen führt.