TISAX, NIS2 und ISO 27001: technische Nachweise in Microsoft 365
Ein Audit verlangt belastbare technische Nachweise.
Ein Prüftermin steht fest, aber technische Kontrollen und Dokumentation passen noch nicht zusammen. Ich unterstütze Ihre IT bei der vereinbarten technischen Umsetzung und Nachweisführung für TISAX, ISO 27001 oder Anforderungen im NIS2-Kontext.
Was heißt technische Umsetzung für ein Audit?
Normen wie ISO 27001, der TISAX-Fragenkatalog oder NIS2 beschreiben Anforderungen, keine Konfiguration. Technische Umsetzung heißt, jede Anforderung einer konkreten Einstellung in Microsoft 365 zuzuordnen, etwa MFA, Protokollierung, Geräteverschlüsselung oder Berechtigungsprüfungen, diese umzusetzen und mit Konfiguration und Prüfergebnis zu belegen.
Was ich vor Audits häufig finde
- MFA gilt als eingeführt, aber Ausnahmen sind nicht dokumentiert und niemand prüft sie regelmäßig.
- Geräte sind verschlüsselt, es gibt aber keinen Bericht, der das für alle Geräte belegt.
- Das Überwachungsprotokoll läuft, Aufbewahrung und Auswertung sind nicht festgelegt.
- Berechtigungen werden nie überprüft, obwohl die Norm regelmäßige Reviews verlangt.
- Die Richtlinie steht in einem Word-Dokument, die tatsächliche Konfiguration weicht davon ab.
- Es gibt ein Notfallkonzept, aber der Ablauf wurde nie getestet.
Was ich übernehme
- Abgleich der vorgegebenen Anforderungen mit den vereinbarten M365-Bereichen.
- Bearbeitung technischer Maßnahmen und dokumentierter Abweichungen.
- Zusammenstellung von Konfigurationen, Entscheidungen und Prüfergebnissen.
- Übergabe der Unterlagen und einer Liste noch offener Punkte.
Ablauf und Dauer
Bei vollem Umfang typischerweise rund acht Wochen. Liegt der Prüftermin früher, wird nach Risiko priorisiert und der Rest als offener Punkt dokumentiert.
Woche 1: Abgleich
Die relevanten Anforderungen werden den konkreten Microsoft-365-Einstellungen zugeordnet, Zielbild und Lücken festgehalten.
Woche 2–6: Umsetzung in Wellen
Identität, Conditional Access, Geräte, Protokollierung. Jede Welle wird getestet und dokumentiert.
Woche 7–8: Audit-Vorbereitung
Nachweise zusammenstellen, Durchlauf der Prüffragen mit Ihrer IT, Liste offener Punkte.
Grenze
Eine Zertifizierung oder rechtliche Konformität wird durch die technische Umsetzung nicht garantiert.
Was Ihre IT anschließend erhält
Sie erhalten technische Dokumentation mit erkennbarem Bearbeitungsstand. Umgesetzte Maßnahmen und verbleibende Lücken werden nachvollziehbar dargestellt. Eine Zertifizierung oder rechtliche Konformität wird dadurch nicht garantiert.
Abgeschlossenes Mandat
Ein früheres Mandat umfasste technische Arbeiten in einem Intune- und Modern-Workplace-Projekt mit TISAX- und ISO-27001-Anforderungen. Projekt und Mandat endeten im Juli 2026; es besteht keine laufende Betreuung.
Nachweis
- Microsoft Certified: Information Security Administrator Associate (SC-401)
- Microsoft Certified: Cybersecurity Architect Expert
- 21+ Jahre IT-Erfahrung, 50+ Microsoft-365-Projekte
Alle Zertifizierungen sind öffentlich prüfbar im Microsoft-Learn-Profil.
Häufige Fragen
Garantiert die technische Umsetzung die Zertifizierung?
Nein. Über eine Zertifizierung entscheidet die Prüfstelle, über rechtliche Pflichten Ihre Rechts- oder Compliance-Seite. Die technische Umsetzung liefert die Konfiguration und die Nachweise, auf die sich das Audit stützt.
Betrifft uns NIS2?
Ob ein Unternehmen unter NIS2 fällt, hängt von Branche, Größe und Tätigkeit ab und gehört in die rechtliche Prüfung. Ich setze die technischen Anforderungen in Microsoft 365 um, sobald diese Einordnung vorliegt.
Wie lange dauert die technische Vorbereitung auf ein Audit?
Bei vollem Umfang typischerweise rund acht Wochen: eine Woche Abgleich, fünf Wochen Umsetzung in Wellen, zwei Wochen Audit-Vorbereitung. Liegt der Prüftermin früher, wird nach Risiko priorisiert.
30 Min. Erstgespräch – kostenlos
Mehr über mich: Profil Philipp Schmidt · easym365.de