Wie Sie dem Auditor die Kenntnisnahme einer Richtlinie nachweisen

Der vierte und letzte Teil der Serie Dokumente in SharePoint. Im dritten Teil haben wir eine Bibliothek für gelenkte Dokumentation eingerichtet und sind bei der einen Sache stehen geblieben, die SharePoint allein nicht nachweist. Heute geht es darum.

Bei einem Audit der Informationssicherheit kommt früher oder später eine Frage, die auch Unternehmen mit sorgfältig geführter Dokumentation überrascht: „Wer hat die Sicherheitsrichtlinie in Version 2.1 zur Kenntnis genommen? Und wer noch nicht?“

Die Richtlinie ist genehmigt, liegt am richtigen Ort in der richtigen Version, und das Überwachungsprotokoll zeigt, wer sie geöffnet hat. Aber Öffnen ist keine Kenntnisnahme. Wer das Dokument geöffnet hat, hat es nicht unbedingt zu Ende gelesen, und wer es zu Ende gelesen hat, hat das nicht unbedingt irgendwo bestätigt. Die Antwort lautet dann meist: „Wir haben es per E-Mail verschickt“ – und der Auditor notiert eine Feststellung.

In diesem Teil geht es darum, wie Sie die Kenntnisnahme nachweisen. Wir vergleichen drei Wege, vom einfachsten bis zum stärksten, und sagen ehrlich, wann welcher ausreicht.

Was genau von Ihnen verlangt wird

ISO/IEC 27001

Die Norm verlangt in Abschnitt 7.3, dass sich die Personen, die für die Organisation arbeiten, der Sicherheitsrichtlinie bewusst sind, ebenso ihres Beitrags zum Funktionieren des Managementsystems für Informationssicherheit und der Folgen, wenn sie die Regeln nicht einhalten. Abschnitt 7.2 fordert dazu, dokumentierte Informationen als Nachweis der Kompetenz aufzubewahren. Und Anhang A verlangt laut dem üblicherweise zitierten Wortlaut von Maßnahme 5.1, dass Richtlinien den betroffenen Personen mitgeteilt und von ihnen zur Kenntnis genommen werden; laut demselben Wortlaut verlangt Maßnahme 6.3 außerdem Schulungen und regelmäßige Information über Richtlinien je nach Rolle.

Der Text der Norm sagt nicht, in welcher Form das nachzuweisen ist. In der Auditpraxis wird ein Nachweis der Kenntnisnahme aber erwartet – sei es eine Unterschrift, eine Bestätigungs-E-Mail oder ein Eintrag im System.

Das tschechische Cybersicherheitsgesetz (NIS2)

NIS2 ist eine EU-Richtlinie, die jeder Mitgliedstaat in eigenes Recht umsetzt, die genauen Anforderungen hängen also vom Land ab; als Beispiel dient hier die tschechische Umsetzung.

Seit dem 1. November 2025 gilt in Tschechien das neue Gesetz Nr. 264/2025 Slg. über die Cybersicherheit, das die europäische NIS2-Richtlinie umsetzt. Die Sicherheitsmaßnahmen regeln zwei Verordnungen im Detail: Verordnung Nr. 409/2025 Slg. für das Regime höherer Pflichten und Verordnung Nr. 410/2025 Slg. für das Regime niedrigerer Pflichten. Unter das Gesetz fallen vor allem mittlere und große Unternehmen in den aufgeführten Sektoren (laut der tschechischen Cybersicherheitsbehörde NÚKIB etwa ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz bzw. Bilanzsumme). Mit der Umsetzung der Maßnahmen muss spätestens ein Jahr nach Zustellung des Bescheids über die Registrierung des Dienstes begonnen werden.

Was die Verordnungen in dem Bereich verlangen, um den es in diesem Artikel geht:

• Über die Richtlinie informieren. Die Verordnung für das höhere Regime verlangt, dass Sicherheitsrichtlinie und Dokumentation so gelenkt werden, dass die betroffenen Personen „über die darin enthaltenen Rechte, Pflichten und Verfahren informiert“ sind (§ 6 Abs. 5 Buchst. b). Beide Verordnungen verlangen, die Richtlinie regelmäßig zu überprüfen; die Verordnung für das niedrigere Regime verlangt zusätzlich, eine Richtlinie für sicheres Verhalten der Benutzer festzulegen.
• Schulen und überprüfen. Das höhere Regime verlangt, die Benutzer in Einstiegs- und regelmäßigen Schulungen über ihre Pflichten und die Sicherheitsrichtlinie zu unterweisen und das Sicherheitsbewusstsein regelmäßig zu überprüfen (§ 10 Abs. 3). Das niedrigere Regime verlangt Einstiegs- und regelmäßige Schulungen zur Cybersicherheit (§ 5 Abs. 2).
• Übersichten führen. Beide Verordnungen verlangen Übersichten über Unterweisungen und Schulungen mit einer Liste der Personen, die sie absolviert haben (Verordnung Nr. 409/2025 Slg. § 10 Abs. 5, Verordnung Nr. 410/2025 Slg. § 5 Abs. 3). Die oberste Leitung muss die Schulung nachweislich absolvieren.

Ehrlich gesagt: Die Verordnungen verlangen keine Unterschrift unter jeder Richtlinie und legen keine Aufbewahrungsdauer für Schulungsübersichten fest. Sie verlangen, dass die Personen informiert und geschult sind und dass Sie das in einer Übersicht mit Namen zeigen können. Ein Eintrag über die Kenntnisnahme einer konkreten Version der Richtlinie ist ein naheliegender Weg, eine solche Übersicht zu führen – und mit Kontrollfragen kann er auch als einer der Nachweise für die Überprüfung des Sicherheitsbewusstseins dienen. Ob und in welchem Regime das Gesetz gerade Sie betrifft, ist eine eigene Frage; NÚKIB betreibt dafür ein Portal und eine Selbstidentifizierung.

Was ein guter Nachweis enthalten muss

Welchen Weg Sie auch wählen, der Auditor wird nach denselben Dingen fragen. Ein guter Eintrag über die Kenntnisnahme beantwortet sie alle:

• Wer – eine konkrete Person, nicht „die Abteilung“.
• Was – ein konkretes Dokument in einer konkreten Version. Die Bestätigung von Version 1.0 sagt nichts über Version 2.1.
• Wann – Datum und Uhrzeit der Bestätigung.
• Wer noch nicht – eine Liste derer, für die das Dokument gilt, die es aber nicht bestätigt haben. Das ist die Frage, die die meisten Unternehmen nicht beantworten können.
• Unveränderlichkeit – ein Eintrag, der sich nachträglich weder ändern noch am Tag vor dem Audit „ergänzen“ lässt.
• Wiederholung – bei Sicherheitsrichtlinien wird die Kenntnisnahme meist wiederholt, etwa einmal im Jahr, und eine neue Version des Dokuments bedeutet eine neue Runde.

Weg 1: Anwesenheitsliste oder E-Mail

Der einfachste und immer noch verbreitetste Weg. Eine Schulung mit erfasster Anwesenheit, eine Unterschrift auf einem Papierbogen oder eine E-Mail mit der Richtlinie im Anhang und der Bitte um die Antwort „gelesen“.

Wann es reicht: ein kleines Unternehmen, wenige Dokumente, wenige Änderungen. Ein paar Dutzend Personen, drei oder vier Richtlinien, eine Aktualisierung pro Jahr.

Wo es scheitert: Bei jeder neuen Version wiederholt sich alles von Hand. Die Übersicht „wer noch nicht“ setzt sich aus E-Mails und Tabellen zusammen. Eine Unterschrift auf dem Bogen beweist nicht, welche Version die Person gelesen hat. Und wenn die Person geht, die die Listen aufbewahrt hat, geht oft auch die Übersicht.

Weg 2: eigene Lösung in Power Automate

Wenn Sie Microsoft 365 haben, haben Sie auch Power Automate und SharePoint-Listen. Daraus lässt sich eine eigene Nachweisführung bauen: Ein Flow schickt bei der Veröffentlichung einer neuen Version den Personen eine Aufgabe oder eine E-Mail mit der Schaltfläche „Zur Kenntnis genommen“, schreibt die Antwort in eine Liste (wer, wann, Dokument, Version), und ein weiterer Flow schickt denen eine Erinnerung, die nicht bestätigt haben.

Wann es reicht: Sie haben jemanden, der Power Automate beherrscht, die Zahl der Dokumente ist überschaubar, und es stört Sie nicht, die Lösung selbst zu pflegen.

Woran Sie denken sollten:

• Unveränderlichkeit des Eintrags. In eine SharePoint-Liste kann jeder schreiben, der Bearbeitungsrechte hat – und der Flow schreibt unter dem Konto, unter dem seine Verbindung läuft. Damit der Eintrag besteht, braucht die Liste sorgfältig eingestellte Berechtigungen und idealerweise eine Aufbewahrung per Aufbewahrungsbezeichnung.
• Zielgruppen. Für wen gilt das Dokument? Für das ganze Unternehmen, eine Abteilung, eine Gruppe? Wenn sich die Zusammensetzung der Gruppen ändert, wer ergänzt die neuen Personen?
• Pflege. Flows brechen, wenn ihr Autor geht oder sich die Lizenz ändert. Wer repariert das in einem Jahr?
• Auswertungen. Wie viel Prozent der Personen haben die aktuelle Version bestätigt, nach Teams? Das ist schon eine Aufgabe für Power BI oder eine eigene Ansicht.

Das ist ein ehrlicher Weg und für viele Unternehmen ausreichend. Sie sollten nur wissen, dass Sie nicht einen Flow bauen, sondern eine kleine Anwendung, die Sie betreiben werden.

Weg 3: spezialisierte Anwendung

Für Unternehmen mit Dutzenden gelenkter Dokumente und Hunderten von Personen oder dort, wo die Kenntnisnahme Gegenstand regelmäßiger Kontrollen ist, ist eine fertige Anwendung sinnvoll. Von einer eigenen Lösung in Power Automate unterscheidet sie sich typischerweise in dem, was Sie sonst selbst bauen und im Blick behalten müssten:

• Veröffentlichung mit Genehmigung – das Dokument geht erst nach der Genehmigung an die Personen, mit einstellbarer Stellvertretung.
• Zielgruppen und Zuweisung von Dokumenten an Personen, die neu in eine Gruppe kommen – auch von Dokumenten, die bereits gelten.
• Prüfung des Verständnisses – bei wichtigen Dokumenten Kontrollfragen vor der Bestätigung.
• Wiederholte Kenntnisnahme im eingestellten Intervall und eine neue Runde bei einer neuen Version.
• Unveränderliche Nachweisführung mit Zeitstempel und eine Übersicht der Erfüllung nach Teams und Dokumenten.
• Aufbewahrung der Einträge für eine festgelegte Dauer und eine druckfertige Nachweisführung für den Auditor.

Fragen Sie bei der Auswahl vor allem nach zwei Dingen: wo die Daten liegen (in Ihrem Microsoft 365 oder auf dem Server des Anbieters) und was genau der Nachweis ist (wie sichergestellt ist, dass sich der Eintrag nicht ändern lässt). Der Vollständigkeit halber: Wir haben dafür die Anwendung Gelenkte Dokumente, die in Ihrem Microsoft 365 läuft und die Einträge in Ihrem SharePoint speichert – die Fragen oben sollten Sie aber jedem Anbieter stellen.

Was es nicht ist

Noch ein ehrlicher Hinweis, weil Sie oft danach fragen: Die Bestätigung der Kenntnisnahme ist keine qualifizierte elektronische Signatur. Sie ist ein belastbarer Eintrag für interne Kontrolle und Audit. Wenn ein Dokument eine Unterschrift mit Rechtswirkung tragen muss – typischerweise Verträge oder manche Personaldokumente –, ist das eine andere Kategorie von Werkzeugen.

Wie Sie wählen

Situation	Sinnvolle Wahl
Bis 30 Personen, wenige Richtlinien, Änderungen einmal im Jahr	Anwesenheitsliste oder E-Mail, sorgfältig archiviert
Dutzende bis Hunderte Personen, Kapazität für Power Automate vorhanden	Eigene Lösung auf Basis einer SharePoint-Liste
Hunderte Personen, Dutzende Dokumente, regelmäßige Wiederholung, Kontrollen	Spezialisierte Anwendung

Das Wichtigste in Kürze

1. Öffnen ist keine Kenntnisnahme. Der Nachweis muss sagen, wer, wann, welche Version – und wer noch nicht.
2. Der Weg richtet sich nach dem Umfang, nicht nach der Mode. Einem kleinen Unternehmen reicht eine Liste; mit der Zahl der Personen, Dokumente und Versionen steigen die Kosten der manuellen Nachweisführung schneller, als es scheint.
3. Der Nachweis muss auch in einem Jahr bestehen. Unveränderlichkeit des Eintrags, Aufbewahrungsdauer und der Ort, an dem die Daten liegen, sind wichtiger als der Komfort der Bestätigung.

---

Mit diesem Teil endet die Serie Dokumente in SharePoint. Wenn Sie die Überführung von Dokumenten, die Vorbereitung auf ein ISO-Audit oder Pflichten aus dem Cybersicherheitsrecht beschäftigen, gehen wir gern mit Ihnen durch, was Sie haben und was fehlt – meist im Rahmen unseres Governance-Entwurfs. Schreiben Sie uns.

Die ganze Serie: Was SharePoint sofort kann · Vom Dateiserver zu SharePoint Schritt für Schritt · ISO 27001 und ISO 9001 in SharePoint · Kenntnisnahme von Richtlinien nachweisen.