NIS2-Nachweise aus Microsoft 365 ziehen: In 5 Schritten zum Nachweisordner
NIS2-Nachweise entstehen nicht in dem Moment, in dem jemand danach fragt. Sie entstehen im laufenden Betrieb oder gar nicht. In den meisten Häusern liegt die Technik längst richtig eingestellt vor, nur lässt sich das im Zweifel nicht belegen, weil der Beleg ein Screenshot ohne Datum und ohne Verantwortlichen ist. Diese fünf Schritte führen zu einem Nachweisordner, der eine Prüfung übersteht.
Warum NIS2-Nachweise aus Screenshots nicht tragen
Das neu gefasste BSI-Gesetz gilt seit dem 6. Dezember 2025, und eine allgemeine Übergangsfrist kennt es nicht. Aus § 30 BSIG ergeben sich die Risikomanagementmaßnahmen samt Dokumentationspflicht, § 32 regelt die Meldung erheblicher Sicherheitsvorfälle mit Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden und Abschlussmeldung nach spätestens einem Monat, und § 38 nimmt die Geschäftsleitung persönlich in die Pflicht. Betreiber kritischer Anlagen weisen die Umsetzung nach § 39 BSIG regelmäßig alle drei Jahre nach, für weitere besonders wichtige Einrichtungen kann das BSI Nachweise anfordern.
In der Praxis kippt eine Prüfung selten an der fehlenden Maßnahme. Sie kippt daran, dass ein Bild aus dem Admin Center weder zeigt, wann die Einstellung galt, noch wer sie verantwortet hat, noch ob sie zwei Wochen später noch so aussah. Genau diese drei Angaben unterscheiden einen Beleg von einer Behauptung.
Microsoft 365 liefert die Rohdaten dafür. Es liefert sie nur nicht in der Form, in der ein Prüfer sie erwartet. Die folgenden Schritte schließen diese Lücke.
Nachweisliste aus den Pflichten ableiten, nicht aus dem Portal
Beginnen Sie bei den Maßnahmenbereichen aus § 30 BSIG und nicht bei den Funktionen, die Ihr Tenant zufällig bietet. Legen Sie eine Tabelle mit fünf Spalten an: Pflicht, konkreter Beleg, Quelle im System, Verantwortlicher, Rhythmus. Für die Zugriffskontrolle steht dort der Export der Richtlinien für bedingten Zugriff samt Auswertung der Anmeldeprotokolle, für die Multifaktor-Authentifizierung der Registrierungsbericht, für das Backup das Protokoll eines Wiederherstellungstests, für die Vorfallbehandlung der dokumentierte Meldeweg mit der 24-Stunden-Frist. Wo Sie in dieser Tabelle keinen Beleg benennen können, haben Sie eine Lücke gefunden, und zwar deutlich billiger als in der Prüfung.
Aktion: Eine Tabelle mit den Maßnahmenbereichen anlegen und je Zeile einen Beleg eintragen, der ohne Screenshot auskommt.
Protokollierung auf den Prüfzeitraum einstellen
Das Überwachungsprotokoll in Microsoft Purview hält Aktivitäten standardmäßig 180 Tage vor. Mit Audit Premium werden Datensätze aus Entra ID, Exchange, SharePoint und OneDrive ein Jahr aufbewahrt, alle übrigen weiterhin 180 Tage, und über eigene Aufbewahrungsrichtlinien lässt sich das gezielt verlängern. Für die Erstellung dieser Richtlinien brauchen Sie die passende Rolle im Purview-Portal, planen Sie das mit ein. Prüfen Sie außerdem, ob die Postfachüberwachung für alle Konten tatsächlich Ereignisse liefert, denn hier gibt es Ausnahmen. Der Punkt ist banal und wird trotzdem regelmäßig übersehen: Wenn Ihr Prüfzeitraum zwölf Monate umfasst, die Protokolle aber nach 180 Tagen enden, ist die Maßnahme umgesetzt und der Nachweis trotzdem weg.
Aktion: Aufbewahrungsdauer im Purview-Portal prüfen und für die Aktivitäten aus der Nachweisliste eine eigene Aufbewahrungsrichtlinie anlegen.
Belege erzeugen, die Datum, Quelle und Verantwortlichen tragen
Der Compliance Manager im Purview-Portal ist dafür gebaut: Zu jeder Verbesserungsaktion hinterlegen Sie ein Testergebnis, einen Verantwortlichen und eine Nachweisdatei. Damit hat der Beleg einen Kontext, den ein Bildschirmfoto nie bekommt. Ergänzend exportieren Sie die abgeschlossenen Zugriffsüberprüfungen aus Entra ID, sichern die Richtlinien für bedingten Zugriff über Microsoft Graph als Datei und legen den Verlauf des Secure Score als Zeitreihe ab. Wichtig ist die Formulierung im Beleg selbst: eine Zeile, die sagt, welche Pflicht er abdeckt, wer ihn erzeugt hat und wie lange er gilt. Diese Zeile schreibt niemand später nach.
Aktion: Für die fünf wichtigsten Maßnahmen je eine Nachweisdatei mit Datum, Quelle und Verantwortlichem erzeugen und im Compliance Manager hinterlegen.
Ablage mit Namensschema statt Sammelordner
Ein Nachweisordner ohne Struktur ist nach einem Jahr ein Archiv, in dem niemand etwas findet. Legen Sie eine SharePoint-Bibliothek an und arbeiten Sie mit einem festen Namensschema aus Datum, Maßnahme und Quelle sowie mit vier Metadatenspalten: Pflicht, Verantwortlicher, Gültig bis, Prüfzyklus. Über die Spalte Gültig bis sehen Sie mit einer Ansicht, welche Belege ablaufen, ohne dass jemand daran denken muss. Setzen Sie eine Aufbewahrungsrichtlinie auf die Bibliothek, damit nichts vorzeitig gelöscht wird, und beschränken Sie den Zugriff auf ISB, Geschäftsleitung und Revision. Diese Bibliothek ist später auch die Grundlage für die Berichterstattung an die Geschäftsleitung.
Aktion: Eine Bibliothek Nachweise mit vier Metadatenspalten anlegen, eine Ansicht für ablaufende Belege einrichten und die vorhandenen Dateien nach Schema einsortieren.
Rhythmus festlegen, damit der Ordner nicht altert
Drei Takte genügen. Monatlich: offene Zugriffsüberprüfungen, Auffälligkeiten aus den Anmeldeprotokollen, Änderungen an privilegierten Rollen. Quartalsweise: Export der Richtlinien für bedingten Zugriff, Prüfung der Administratorkonten, Stand der offenen Verbesserungsaktionen. Jährlich: Wiederherstellungstest, Managementbewertung, Aktualisierung der Nachweisliste selbst. Hinterlegen Sie jeden Takt als wiederkehrenden Termin mit einer festen Liste der Belege, die danach in der Bibliothek liegen müssen. Für Betreiber kritischer Anlagen zahlt dieser Rhythmus direkt auf den Nachweis nach § 39 BSIG ein, weil das Prüfteam dann keine Rekonstruktion aus Erinnerungen anfertigen muss.
Aktion: Drei wiederkehrende Termine anlegen und je Termin benennen, welche Belege danach mit Datum und Verantwortlichem in der Bibliothek liegen.
Faustregel: Nicht fragen, ob eine Maßnahme umgesetzt ist, sondern wer sie wann mit welchem Nachweis bestätigt hat.
Der Aufwand liegt im Aufbau, nicht im Betrieb. Wer die Nachweisliste einmal aus den Pflichten ableitet, die Protokollierung auf den Prüfzeitraum einstellt und die Ablage mit einem Schema versieht, braucht danach wenige Stunden im Monat. Der Unterschied zeigt sich erst, wenn eine Anfrage kommt: Dann liegt entweder ein Ordner bereit oder es beginnt eine Rekonstruktion, für die niemand Zeit eingeplant hat.
Compliance Retainer
Im Retainer erzeugen wir die Belege im festgelegten Takt, pflegen den Nachweisordner und melden, wenn eine Maßnahme ihre Gültigkeit verliert. Der ISB bekommt einmal im Quartal einen Stand, den er der Geschäftsleitung vorlegen kann.
Retainer besprechen