Eine Datei allein sagt noch nicht, was sie belegt oder ob sie aktuell ist. BlueProceedings ISMS hält den Nachweis dort, wo er für Anforderungen, Maßnahmen und Prüfungen gebraucht wird.
Der Bezug zur Anforderung, zum Objekt oder zur Prüfung gibt der Datei ihren Kontext.
Gültigkeitszeitraum und Ablaufdatum machen sichtbar, wann ein Nachweis erneut geprüft oder ersetzt werden muss.
Prüfstatus, prüfende Person, Zeitpunkt und Begründung bleiben beim Vorgang.
Eine Maßnahme braucht geprüfte Wirksamkeitskriterien, einen akzeptierten gültigen Nachweis und die erforderliche Freigabe. Fehlt etwas, bleibt der Abschluss gesperrt.
Im Beispiel stammt eine Maßnahme aus einer Audit-Feststellung. Sie ist in Umsetzung, aber die Kriterien für die Wirksamkeitsprüfung fehlen noch.
Die Anwendung nennt den fehlenden Schritt. Erst nach Prüfung und erforderlicher Freigabe kann die Maßnahme geschlossen werden.
Die Erwartungsliste der prüfenden Stelle kann importiert werden. So wird sichtbar, welche Unterlagen noch fehlen.
Nachweise und Prüfinformationen werden als Datei exportiert. Die Weitergabe erfolgt bewusst durch eine berechtigte Person, ohne Gastkonto.
Die zur Beurteilung herangezogenen Nachweise sind der jeweiligen Maßnahme eindeutig zuzuordnen. Bei automatisierter Prüfung sind Tool, Zeitpunkt und Ergebnis zu dokumentieren; Änderungen sollen in einer Historie nachvollziehbar bleiben.
Ein Nachweis hängt an Anforderung, Maßnahme oder Prüfung, mit Gültigkeit, Prüfstatus, prüfender Person und Zeitpunkt. Wird er ungültig oder läuft er ab, zählt er nirgends mehr als erfüllt.
Klare, messbare Kriterien für die Wirksamkeit jeder Maßnahme definieren, nach der Umsetzung gezielt prüfen und das Ergebnis dokumentieren.
Eine Maßnahme lässt sich erst abschließen mit geprüften Wirksamkeitskriterien, akzeptiertem gültigem Nachweis und der erforderlichen Freigabe durch eine zweite Person. Im Kleinunternehmen-Modus entfällt nur die personelle Trennung.
Der Auditteamleitung werden Ziele, Kriterien, Dokumente, Umfang, Methoden und Zeitrahmen übermittelt; Auditberichte, Nachweise und Feststellungen werden gepflegt und abgelegt.
Die Anwendung zeigt, welche dieser Bestandteile für die Übergabe an die Teamleitung noch fehlen. Ein eingereichtes Audit ist als Ergebnisstand eingefroren; Korrekturen laufen über einen protokollierten Rücksetzvorgang.
Derselbe Nachweis kann mehrere Verpflichtungen stützen; der Bericht je Verpflichtung zeigt, welche anderen ihn mitnutzen. Ohne gültigen Nachweis gilt eine Verpflichtung am Objekt nicht als erfüllt. Zur Geltungsmatrix.
Was ein Dienstleister übernimmt, braucht eine gültige Zusicherung mit Vertrauensstufe. Läuft sie ab, fällt die Anforderung auf „nicht zugesichert“ zurück. Zur Dienstleistersteuerung.
Eine Erwartungsliste als CSV oder JSON wird eingelesen; jede Position wird einer Grundschutz++-Anforderung oder einer ISO-27001-Stelle zugeordnet, und die Anwendung zeigt, was dazu vorliegt.
Die einem Audit zugeordneten Anforderungen als Checkliste. Ergebnisse, die etwas nachzubessern oder nachzuprüfen ergeben, führen zu Feststellungen.
Eine Aufzeichnung, die die Umsetzung einer Maßnahme oder Anforderung nachvollziehbar macht, etwa ein Prüfbericht, eine Konfiguration oder ein Protokoll. Der BSI-Standard 300-1 verlangt, sie der Maßnahme eindeutig zuzuordnen (Kapitel 4.3).
Nein. In BlueProceedings ISMS zählt ein Nachweis erst, wenn er geprüft, akzeptiert und gültig ist. Ob er eine Anforderung ausreichend belegt, beurteilen Menschen.
Er zählt nicht mehr, auch bei allen Compliance-Verpflichtungen, die ihn mitnutzen. Die Lücke wird sichtbar; vor dem Ablauf erscheint ein Fälligkeitshinweis.
Die Anwendung unterstützt die Dokumentation und Vorbereitung. Ob ein Nachweis eine Anforderung ausreichend belegt, beurteilen die zuständigen Personen und Prüfenden (BSI-Standard 300-1, Kapitel 5).
Weitere Funktionen sind bereits umgesetzt: alle Funktionen nach den fünf Prozessschritten, Dienstleister und Lieferkette und was sonst noch in der Pre-Alpha steckt.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Die Funktionsbeschreibung gibt den Stand der Pre-Alpha wieder; methodische Aussagen sind als solche benannt und belegt.
Damit aus „Datei vorhanden“ nicht vorschnell „Anforderung erfüllt“ wird.