Belege, die im Betrieb entstehen — nicht im Projekt.
Wenn der Fragebogen kommt, suchst du nicht — du exportierst. Die Belege, die § 30 Abs. 1 Satz 3 BSIG verlangt, entstehen im laufenden Betrieb und liegen als PDF bereit.
Vom Betrieb zum Prüfbericht in drei Schritten
Der Unterschied zu einer Tabellenkalkulation ist nicht der Inhalt, sondern dass niemand ihn pflegen muss.
Daten entstehen ohnehin
Agent und agentenlose Prüfungen laufen ohnehin. Dabei entsteht, was der Bericht braucht: Patch-Stand, Inventar, Backup-Zustand, Zugriffe. Jeder Eintrag trägt Zeitstempel und Historie.
Bericht auswählen
Fertige Vorlage nehmen oder aus rund 40 Widgets eine eigene bauen. Zeitraum und Umfang nach Kunde oder Standort festlegen.
Terminiert versenden
Als PDF im eigenen Branding, an eine feste Empfängerliste, mit Versandhistorie je Lauf. Oder auf Zuruf für einen Stichtag.
Sechs Berichte, die für Prüffragen taugen
Aus 17 mitgelieferten Vorlagen — dies sind die, nach denen im Zusammenhang mit NIS2 gefragt wird.
Patch-Compliance
Patch-Stand über den betreuten Bestand zu einem gewählten Zeitraum, je Kunde oder Standort. Deckt die Nachweisfrage zu § 30 Abs. 2 Nr. 5 BSIG ab.
Detaillierter Patch-Bericht
Einzelne Updates je Gerät mit Status und Zeitpunkt — für den Fall, dass die Zusammenfassung nicht ausreicht.
Backup-Status
Zustand der Sicherungsläufe über Herstellergrenzen hinweg, inklusive fehlgeschlagener Jobs.
Benutzeraudit
Lokale Konten über den Bestand: inaktive Konten, aktivierte Standard-Administratoren, Passwortalter.
Incident-Bericht
Vorfälle, Warnungen und betroffene Geräte über einen Zeitraum, mit Zeitleiste.
SLA-Bericht
Verfügbarkeit zeitgewichtet, mittlere Behebungsdauer, SLA-Vorfälle.
Anforderung, Fundstelle, Beleg
Damit du im Kundengespräch nicht auf eine Broschüre verweisen musst, sondern auf den Gesetzestext.
Vollständiges, aktuelles Inventar aller Systeme
DVO (EU) 2024/2690, Anhang 12.4
Hardware, Software, Dienste und Konten der verwalteten Endpunkte werden laufend erfasst. Die Inventarhistorie zeigt, was sich wann auf welchem Gerät geändert hat, inklusive Betriebssystem-Supportende.
Schwachstellen- und Patch-Management mit Begründung bei Nichtanwendung
§ 30 Abs. 2 Nr. 5 BSIG, DVO Anhang 6.6
Patch-Stand je Endpunkt mit Zeitstempel, Freigaben mit Entscheider, Ausschlüsse mit Begründung. Das Ganze als PDF-Bericht für den Stichtag.
Protokollierung, insbesondere privilegierter Zugriffe
DVO Anhang 3.2
Jede Fernwartungssitzung steht mit Person, Zeitpunkt und Aktion im Geräteprotokoll. Änderungen an Rechten und Einstellungen im Änderungsprotokoll über 26 Objektarten.
Backup und dokumentierte Wiederherstellungstests
§ 30 Abs. 2 Nr. 3 BSIG, DVO Anhang 4.2
Herstellerübergreifende Überwachung der Sicherungsläufe mit Statusbericht und Meldung fehlgeschlagener Jobs. Den Wiederherstellungstest selbst musst du durchführen — octoja belegt den Zustand, nicht die Übung.
Mehr-Faktor-Authentifizierung und Zugriffskontrolle
§ 30 Abs. 2 Nr. 10 BSIG, DVO Anhang 11.2–11.7
Zwei-Faktor je Konto, Single Sign-on und 17 getrennte Geräteaktionsrechte. Dazu eine Zugriffsübersicht, die zeigt, wer auf welches Gerät zugreifen darf und warum.
Erkennung von Vorfällen für die 24-Stunden-Frühwarnung
§ 32 BSIG, DVO Anhang 3.2.4
Alarmierung mit Servicezeiten je Kanal — nachts per Anruf an die Bereitschaft. Jeder Alarm trägt einen Zeitstempel, der die Meldefrist belegbar macht.
Schutz vor Schadsoftware, Erkennung nicht genehmigter Software
DVO Anhang 6.9
Schutzstatus gängiger Antiviren- und EDR-Produkte. Dazu ein Softwareinventar über den betreuten Bestand.
Konfigurations- und Änderungsmanagement
DVO Anhang 6.3 und 6.4
Konfigurationspakete dienen als Baseline. Prüfungen melden Abweichungen bei Verzeichnisrechten, Dateien und Registry-Werten.
Wer, wann, was — ohne Zutun protokolliert
Zugriffe
Jede Fernwartungssitzung mit Person, Zeitpunkt und Aktion. Verbindet sich ein Techniker ohne Benutzerabfrage, braucht er dafür ein gesondertes Aktionsrecht — und die Begründung steht im Protokoll daneben.
Änderungen
26 Objektarten im Änderungsprotokoll, jeweils mit Vorher-Nachher-Vergleich. Die Einträge entstehen im Verarbeitungsweg und lassen sich in der Anwendung nicht abschalten.
Freigaben
Jeder Patch-Zyklus hält fest, wer wann freigegeben hat und mit welcher Notiz. Auch die Art der Freigabe wird vermerkt: manuell, automatisch, weitergegeben oder Notfall.
Was du weiterhin selbst tun musst
Diese Punkte lassen sich nicht aus einer Software heraus erfüllen. Wir nennen sie, damit du im Kundengespräch nicht in eine Lücke läufst.
Diese Seite ist eine Einordnung, keine Rechtsberatung. Maßgeblich sind das BSIG in der Fassung des NIS2-Umsetzungsgesetzes und die Durchführungsverordnung (EU) 2024/2690.
Erzeuge den Bericht mit deinen eigenen Daten
Der nächste Fragebogen kommt. Teste vorher, nicht unter Frist: Testzugang sichern, Agent auf ein paar Geräten ausrollen, Patch-Compliance-Bericht ziehen. Danach weißt du, ob er deine Prüffragen trägt.