Das Wichtigste in Kürze

  • Die Frage hat sich verändert: Die zentrale Frage lautet heute: „Was können wir belegen, wenn wir dieses Tool einsetzen?
  • Haftung macht Nachweisbarkeit zur Pflicht: § 38 NIS2UmsuCG macht Entscheider persönlich verantwortlich, auch für die Wahl ihrer digitalen Lösung
  • Selbstauskunft reicht nicht: Externe Zertifizierungen, dokumentierte Prozesse und strukturierte Antworten auf Sicherheitsfragebögen sind der Maßstab.
  • Conceptboard ist in dieser Logik aufgestellt: BSI-registriert, ISO 27001/27017/27018 zertifiziert, Sicherheitsfragebögen werden beantwortet.
  • Prüfbarkeit ist kein Bonus: Für Organisationen unter NIS-2 ist sie Voraussetzung.

Wenn Vertrauen nicht mehr ausreicht

Vertrauen bleibt eine vernünftige Grundlage für Geschäftsbeziehungen. Unter NIS‑2 kommt für die Wahl einer Kollaborationslösung ein zusätzlicher Maßstab dazu: Entscheidungen müssen dokumentiert und im Zweifel gegenüber Prüfinstanzen begründet werden können. § 38 NIS2UmsuCG macht Geschäftsführungen und Vorstände persönlich verantwortlich für die Umsetzung von Risikomanagement-Maßnahmen. Das schließt die Bewertung und Überwachung von Drittanbietern explizit ein. Was das bedeutet: Die Entscheidung, welche digitale Arbeitsplattform eine Organisation einsetzt, ist dokumentationspflichtig.

Was Nachweisbarkeit strukturell bedeutet

Nachweisbarkeit heißt: Ein Anbieter kann berechtigte Sicherheits‑ und Compliance‑Anfragen strukturiert, substanziell und wiederholbar beantworten. Das braucht keine vollständige Offenlegung interner Details aber klare Prozesse, Zuständigkeiten und prüfbare Nachweise.

Drei Elemente machen den Unterschied:

Externe Zertifizierungen und unabhängige Audits. Eine Sicherheitsseite kann Orientierung geben. Für die Dokumentation zählt vor allem, was unabhängig geprüft ist, etwa ISO‑Zertifizierungen mit regelmäßiger Auditierung.

Dokumentierte Prozesse für Sicherheitsanfragen. Ein Anbieter, der auf eine Sicherheitsanfrage mit einem Gesprächsangebot antwortet, hat keinen Prozess. Ein Anbieter, der strukturiert antwortet, Fragebögen ausfüllt und Lieferantensicherheitsvereinbarungen unterzeichnet, hat einen. Für Entscheider ist das der relevante Unterschied.

Ein definierter Ansprechpartner für Audits. Wenn eine Aufsichtsbehörde fragt, braucht die eigene Organisation jemanden auf der anderen Seite, der antworten kann.

Was das für die Auswahl von Anbietern bedeutet

Für Entscheider unter NIS‑2 wird Nachweisbarkeit zu einem festen Auswahlkriterium. Das betrifft nicht nur die Technik, sondern auch die Frage, wie gut ein Anbieter in Dokumentation und Prüfungssituationen unterstützen kann.

Drei Fragen helfen als schnelle Orientierung bei der Auswahl einer digitalen Arbeitsplattform:

  • Gibt es externe Zertifizierungen oder Audit‑Nachweise, die unabhängig geprüft werden?
  • Gibt es einen dokumentierten Prozess für Sicherheitsfragebögen und Lieferantenaudits?
  • Gibt es einen klar benannten Ansprechpartner für Compliance‑Anfragen?

Wenn diese Punkte beantwortet sind, lässt sich eine Entscheidung deutlich einfacher begründen und dokumentieren.

Wie Conceptboard diese Anforderungen erfüllt

Im Folgenden sind die Nachweise zusammengefasst, die Conceptboard in diesem Rahmen bereitstellt.

  • Conceptboard ist beim BSI als wichtige Einrichtung unter NIS-2 registriert. Das bedeutet: Conceptboard unterliegt selbst den Anforderungen der Richtlinie und hat entsprechende Maßnahmen nachgewiesen.
  • Die ISO-Zertifizierungen 27001, 27017 und 27018 werden von unabhängigen Stellen auditiert. Sie decken Informationssicherheitsmanagement, Cloud-spezifische Sicherheitskontrollen und den Schutz personenbezogener Daten ab.
  • Sicherheitsfragebögen werden strukturiert beantwortet. Lieferantensicherheitsvereinbarungen können unterzeichnet werden.
  • Für Audits und Sicherheitsanfragen steht ein definierter Ansprechpartner zur Verfügung: informationsecurity@conceptboard.com

Was im nächsten Artikel folgt: “Digitale Souveränität: wo sie sich wirklich entscheidet“.

Sie möchten den Sicherheitsstatus von Conceptboard für Ihre Compliance-Dokumentation prüfen? Wir beantworten Sicherheitsfragebögen und stehen für Lieferantenaudits zur Verfügung unter informationsecurity@conceptboard.com.

Machen Sie Ihre digitale Strategie souverän und compliance-fähig

Mehr über souveräne digitale Zusammenarbeit erfahren
 

Dieser Artikel stellt keine Rechtsberatung dar. Ob und in welchem Umfang NIS-2 für Ihre Organisation gilt, ist im Einzelfall rechtlich zu prüfen.