Audit Pack: Compliance-Nachweisberichte

Das Audit Pack ist ein On-Demand-Nachweisbericht auf Realm-Ebene, der über die Dashboard-Seite Audit-Paket (/audit-pack) erzeugt wird. Es erstellt ein lokalisiertes PDF aus der Telemetrie und dem Konfigurationszustand Ihres Realms, strukturiert für Audits nach NIS2/KSC/BSIG-Muster: eine Anforderungs-Abdeckungsmatrix, Nachweisanhänge, einen Abschnitt für organisatorische Erklärungen und eine Checkliste zur Wiederherstellungs-Demonstration.

Das Dokument ist ein Werkzeugnachweis, der ein Audit unterstützt. Es ist keine Compliance-Zertifizierung, keine Rechtsberatung und kein Konformitätsbeweis - dies steht auf dem Deckblatt jedes erzeugten PDF.

Voraussetzungen und Zugriffskontrolle

• Die Seite ist durch die Berechtigung realm.view_audit_logs geschützt. Benutzer ohne diese Berechtigung können den Extrakt weder laden noch das PDF erzeugen.
• Die Berichtserstellung selbst wird im Audit-Protokoll aufgezeichnet: Jede erfolgreiche Berichtserstellung schreibt einen Eintrag in den Audit-Trail des Realms und protokolliert den auslösenden Benutzer, den Berichtszeitraum und das gewählte Jurisdiktionsprofil. Auditoren können dadurch nachvollziehen, wann und von wem Nachweise erzeugt wurden.

Den Bericht konfigurieren

Die Karte Berichtskonfiguration bietet drei Einstellungen.

Jurisdiktionsprofil

Das französische Profil ist als ausstehend markiert: Frankreich hat die NIS2-Umsetzung noch nicht abgeschlossen, daher zitiert das Profil einen nicht verabschiedeten Gesetzentwurf und ein ANSSI-Arbeitsdokument. Bei Auswahl wird auf der Seite ein Warnhinweis angezeigt, auf dem PDF-Deckblatt ein Vorbehalt gedruckt und jede Matrixzeile mit einem Sternchen versehen, das darauf hinweist, dass die Rechtsverweise vorläufig sind und umnummeriert werden können.

Das Profil wählt nur Darstellung und Kennzeichnung - die Anforderungszeilen, ihre Rechtsverweise und die Sprache der Rechtsgrundlagenliste. Der zugrunde liegende Nachweisextrakt ist für alle Profile identisch.

Berichtssprache

Das PDF kann in Englisch, Polnisch, Deutsch oder Französisch erzeugt werden, unabhängig von der Sprache der Dashboard-Oberfläche. Die Voreinstellung folgt dem gewählten Profil (EN für die EU, PL für Polen, DE für Deutschland, FR für Frankreich) und kann frei geändert werden.

Zeitraum

Voreinstellungen decken die letzten 30, 90 (Standard) oder 365 Tage ab; ein benutzerdefinierter Datumsbereich ist ebenfalls verfügbar. Das Enddatum ist einschließlich. Das Backend verwendet standardmäßig die letzten 90 Tage, wenn kein Bereich angegeben wird, und begrenzt jeden Bereich auf 400 Tage.

Den Bericht erzeugen

1. Klicken Sie auf VORSCHAU LADEN. Das Dashboard ruft den Nachweisextrakt für den gewählten Zeitraum ab und rendert eine KPI-Leiste (Backup-Erfolgsquote, Mitglieder mit MFA, aktive Befunde, Scan-Abdeckung) sowie eine Live-Vorschau der Anforderungs-Abdeckungsmatrix.
2. Prüfen Sie die Matrix. Ein Wechsel des Jurisdiktionsprofils wertet die Matrix clientseitig gegen den bereits geladenen Extrakt neu aus - ein erneuter Abruf ist nicht erforderlich, da der Extrakt jurisdiktionsneutral ist.
3. Füllen Sie das Formular Organisatorische Erklärungen aus: Markieren Sie die Maßnahmen, die Ihre Organisation umgesetzt hat, und fügen Sie optionale Anmerkungen hinzu. Diese Eingaben bleiben clientseitig und werden nicht auf dem Server gespeichert; sie existieren nur im erzeugten PDF.
4. Klicken Sie auf PDF ERSTELLEN. Das PDF wird vollständig im Browser erstellt (kein serverseitiges Rendering). Wenn sich Zeitraum oder Profil seit der letzten Vorschau geändert haben, wird zuerst ein frischer Extrakt abgerufen, damit der Audit-Trail die korrekten Parameter aufzeichnet.

Die heruntergeladene Datei heißt statewarden-audit-pack-{profile}-{from}-{to}.pdf.

Was das PDF enthält

• Deckblatt: Realm-Name, Profil, Berichtszeitraum, Erstellungszeitstempel, erstellender Benutzer, Systemversionen (WebAPI und Agentenzahlen pro Version), die Rechtsgrundlage des gewählten Profils und ein Haftungsausschluss. Das Deckblatt trägt außerdem einen Extrakt-Fingerabdruck: einen SHA-256-Hash über den kanonisierten JSON-Nachweisextrakt. Der Fingerabdruck kann gegen den Quellextrakt neu berechnet werden, um die Integrität zu verifizieren.
• 1. Anforderungs-Abdeckungsmatrix - siehe unten.
• 2. Nachweisanhänge (2.1-2.8): Backup & Notfallwiederherstellung; Verschlüsselung; Zugriff & Identität; Vorfälle & Reaktion; Schwachstellen & Überwachung; Infrastruktur & Lokalisierung; Software-Integrität; Änderungsprotokoll-Auszug.
• 3. Organisatorische Erklärungen: die markierten Feststellungen und Anmerkungen, gedruckt als KUNDENERKLÄRUNGEN mit Unterschriftsfeld für den Kundenvertreter.
• 4. Checkliste zur Wiederherstellungs-Demonstration: eine Abschlussseite für die Live-Demonstration der Wiederherstellung vor dem Auditor, mit Feldern für Datum, Host, Backup-ID, Methode und Ergebnis. Der Bericht behauptet bewusst nicht die Durchführung von Notfallwiederherstellungstests; die Durchführung und Dokumentation der Live-Demonstration bleibt eine manuelle Audit-Aktivität.

Lange Listen werden gekürzt. Der serverseitige Extrakt ruft eine Zeile über seinem Limit ab und markiert den Abschnitt als gekürzt; das PDF gibt an, wenn eine Liste nur teilweise gezeigt wird ("Serverseitiger Extrakt gekürzt" oder "Liste für den Druck gekürzt").

Die Anforderungs-Abdeckungsmatrix

Die Matrix bildet rechtliche Anforderungen auf Plattformnachweise ab. Zwölf Kernanforderungen (R1-R12) decken die Maßnahmen aus NIS2 Artikel 21(2)(a)-(j), die Meldebereitschaft für Vorfälle und die Verantwortung der Geschäftsleitung ab; Jurisdiktionsprofile ergänzen eigene Zeilen (Polen: P1-P6, Deutschland: D1-D4, Frankreich: F1-F3), etwa für physische Sicherheit, Registrierungspflichten und informative Einträge zum Aufsichtsregime. Jede Zeile zeigt den wörtlichen Rechtsverweis (niemals übersetzt), eine aus dem Extrakt berechnete Nachweiszusammenfassung und einen Verweis auf den Anhang mit den zugrunde liegenden Daten.

Jede Zeile erhält einen von drei Status:

• Nachgewiesen (●): Im Berichtszeitraum liegt ein Systemnachweis vor.
• Teilweise (◐): Es liegen Nachweise vor, diese sind jedoch unvollständig oder müssen durch einen Kundenprozess ergänzt werden. Dies ist auch die Untergrenze für berechnete Zeilen, wenn der Zeitraum keine relevanten Daten enthält - die Matrix meldet bei fehlenden Daten niemals "Nachgewiesen".
• Organisatorisch (○): Die Maßnahme kann von der Plattform nicht nachgewiesen werden (zum Beispiel Schulungsprogramme oder physische Sicherheit). Diese Zeilen verweisen auf den Abschnitt KUNDENERKLÄRUNGEN.

Die Auswertungsregeln sind deterministisch und konservativ. Beispiel: Die Zeile Backup und Notfallwiederherstellung (R3) erreicht "Nachgewiesen" nur, wenn im Zeitraum mindestens ein Backup abgeschlossen wurde, mindestens 80 % der agentenfähigen Geräte von einer aktiven Backup-Richtlinie abgedeckt sind und mehr als die Hälfte der abgedeckten Geräte ein abgeschlossenes Backup besitzt; die Zusammenfassungszeile meldet in jedem Fall die tatsächlichen Zahlen.

Backend und Datenherkunft

Der Extrakt wird von einer einzigen schreibgeschützten Backend-Operation erzeugt, die die Berechtigung realm.view_audit_logs erfordert; die Berichtserstellung selbst wird wie oben beschrieben im Audit-Protokoll aufgezeichnet. Der Extrakt ist jurisdiktionsneutral: Das gewählte Profil ändert die zugrunde liegenden Daten nicht; das Profil wird in den Berichtsmetadaten gespiegelt und im Audit-Protokoll verzeichnet.

Der Extrakt aggregiert die folgenden zeitraumgebundenen Abschnitte: Realm-Konfiguration (Verschlüsselungsmodus, MFA-Richtlinie, Reaktionsrichtlinien, zulässige Regionen), Mitglieder, Sitzungen, Authentifizierungsereignisse, Änderungsprotokoll, Geräteprotokoll-Zusammenfassung, Backup-Status (Flotte und pro Gerät), Backup-Richtlinien, Wiederherstellungsverlauf, Sicherheitsstatus (Befunde, Scan-Abdeckung, Scan-Verlauf), Infrastruktur (Speicherknoten, Regionen, Nutzung) und Komponentenversionen (WebAPI- und Agentenversionen).

Hinweise zur Datengenauigkeit

Die Verlässlichkeit von Wiederherstellungsergebnissen hängt von der Agentenversion ab. Agenten ab Version 1.7.0 melden teilweise fehlgeschlagene Wiederherstellungen korrekt - eine Wiederherstellung, die für einige Datenträger fehlschlug, wird als fehlgeschlagen protokolliert, mit Angabe der betroffenen Datenträger. Bei älteren Agenten konnte eine teilweise fehlgeschlagene Wiederherstellung als erfolgreich protokolliert werden. Berichte, die Zeiträume mit Agenten vor Version 1.7.0 abdecken, müssen mit dieser Einschränkung gelesen werden; das Deckblatt listet die in der Flotte vorhandenen Agentenversionen auf, damit der Auditor dies beurteilen kann.

Umfang und Einschränkungen

Das Audit Pack weist technische Kontrollen nach, die StateWarden betreibt oder beobachtet: Backups, Wiederherstellungen, Verschlüsselungskonfiguration, Zugriffskontrolle, MFA, Überwachung, Schwachstellenbehandlung und den Audit-Trail selbst. Organisatorische Maßnahmen - Sicherheitsrichtlinien, Risikoanalysedokumente, Schulungsprogramme, HR-Prozesse, physische Sicherheit, Lieferantenbewertungen - bleiben in der Verantwortung des Kunden. Sie werden im Bericht als organisatorische (○) Zeilen dargestellt und durch die Erklärungs-Checkliste abgedeckt, die der Kunde als KUNDENERKLÄRUNGEN unterzeichnet.

Das Paket liefert Nachweise zur Unterstützung Ihres Audits; es zertifiziert keine Compliance. Ihre Organisation bleibt für ihre eigene Compliance-Position verantwortlich, einschließlich der Richtigkeit der im Erklärungsabschnitt abgegebenen Feststellungen und der Durchführung der Live-Wiederherstellungsdemonstration.