Record security evidence: certificate with scope and validity

Ein Nachweis hält fest, wofür ein Zertifikat oder Bericht gilt und wie lange. Die Seite zeigt Ihnen außerdem, welche Nachweise Ihre Richtlinie fordert (Soll und Vorwarnfenster festlegen).

Schritt 1: Die Beziehung öffnen

Öffnen Sie unter Mein Unternehmen den Eintrag Lieferanten, den Lieferanten und im Reiter Beziehungen die Beziehung. Im Abschnitt Zertifikate und Sicherheitsnachweise steht die Zeile „Soll laut Richtlinie“. Geforderte Arten ohne Eintrag zeigen das Zeichen fehlt.

Schritt 2: Den Nachweis anlegen

Klicken Sie bei einer Zeile mit fehlt auf Erfassen. Für eine weitere Art, auch für einen Unterauftragnehmer, klicken Sie auf Nachweis erfassen und wählen Art und Bezug.

Schritt 3: Geltung eintragen

Wählen Sie das Ergebnis, tragen Sie Gültig ab und Gültig bis ein, beim ISO-27001-Zertifikat auch den Geltungsbereich, die Normfassung und die SoA-Version, und hinterlegen Sie das Nachweisdokument. Mit gespeicherter Richtlinie gilt: Bei „bestanden“ sind Dokument und, bei Zertifikaten und Berichten, Gültig bis Pflicht, bei ISO 27001 zusätzlich der Geltungsbereich. „Gültig ab“ darf nicht nach „Gültig bis“ liegen.

Schritt 4: Freigabe einholen und speichern

Beantragen Sie die Freigabe im Dialog. Eine zweite Person stimmt unter Servicedesk, Freigaben zu. Danach klicken Sie auf Speichern. Die Zeile zeigt den Zustand, zum Beispiel läuft bald ab (20 Tage), darunter „ab“ mit dem Beginn und die Normfassung.

Werte erklärt

Jeder Wert, den Sie hier sehen, ist in knooing auch über sein Info-Symbol erklärt. Die Beispiele verwenden frei gewählte Zahlen.

| Wert | Bedeutung | Beispiel | | --- | --- | --- | | Hinweis auf der Beziehungsseite | Hier führen Sie Zertifikate und Sicherheitsnachweise dieser Beziehung. Sie sind keine Freigabevoraussetzung, werden aber überwacht: Die Zeile „Soll“ nennt die erwarteten Nachweisarten, jede Tabellenzeile zeigt Gültigkeit und Zustand. | Soll ist das ISO 27001-Zertifikat, es gilt bis 30.11.2026, das Vorwarnfenster beträgt 45 Tage. Ab dem 16.10.2026 steht „läuft bald ab“, nach dem 30.11.2026 „abgelaufen“. | | Soll laut Richtlinie / Soll für diese Beziehung | Die Zeile nennt die Nachweisarten, die für diese Beziehung gefordert sind (das Soll). „Soll laut Richtlinie“: Es gilt das Profil der Richtlinie. „Soll für diese Beziehung“: Sie haben es an dieser Beziehung angepasst. Regel: Das Profil richtet sich danach, ob die Beziehung eine kritische Funktion stützt. Ohne gespeicherte Richtlinie gibt es kein Soll und die Zeile fehlt. | „Soll laut Richtlinie: ISO 27001-Zertifikat, Auditbericht“. Fehlt eine dieser Arten in der Tabelle, steht dort „fehlt“. | | Soll anpassen (Richtlinie übersteuern) | „Soll anpassen“ ersetzt das Soll der Richtlinie nur für diese Beziehung. Ist „Richtlinie übersteuern“ aus, gilt wieder die Richtlinie. | Die Richtlinie verlangt für diese Beziehung nur das ISO 27001-Zertifikat. Wegen eines Vertragszusatzes übersteuern Sie und setzen zusätzlich Haken bei „Auditbericht“. Andere Beziehungen bleiben unverändert. | | Soll / freiwillig | „Soll“ heißt: Die Richtlinie (oder Ihre Anpassung an dieser Beziehung) verlangt diese Nachweisart. „freiwillig“ heißt: Sie haben den Nachweis erfasst, verlangt wird er nicht. Regel: Bei „freiwillig“ meldet das System nur den Ablauf, nie „fehlt“. | Das Soll nennt nur das ISO 27001-Zertifikat. Haben Sie zusätzlich einen Auditbericht erfasst, steht dort „freiwillig“; läuft er ab, sehen Sie „abgelaufen“, fehlen würde er nie. | | Nachweis (Spalte) | Die Nachweisart. Darunter stehen die Normfassung (zum Beispiel „ISO/IEC 27001:2022“) und „Soll“ oder „freiwillig“. | „ISO 27001-Zertifikat“ mit „ISO/IEC 27001:2022“ und „Soll“: Das Zertifikat wird verlangt und wurde nach dieser Ausgabe der Norm erteilt. | | Gilt für (Spalte) | Wem der Nachweis gehört: der Beziehung insgesamt oder einem Unterauftragnehmer der Kette. | „Beziehung insgesamt“ ist das Zertifikat des Lieferanten selbst. „Rechenzentrum A“ ist das Zertifikat dieses Unterauftragnehmers. Dieselbe Nachweisart kann mehrfach vorkommen, je einmal je Unterauftragnehmer. | | Ergebnis (Spalte) | Das Ergebnis der Bewertung: bestanden, nicht bestanden, mit Risiko angenommen oder offen. Regel: Nur „bestanden“ und „mit Risiko angenommen“ zählen als vorhandener Nachweis. Bei „offen“ oder „nicht bestanden“ gilt der Nachweis als fehlend. | Zertifikat hochgeladen, geprüft, Ergebnis „bestanden“: Es zählt, und sein „Gültig bis“ wird überwacht. | | Gültig bis (Spalte) mit Zeichen | Das Datum, bis zu dem der Nachweis gilt (Geltungsdauer). Daneben zeigt ein Zeichen den Zustand. Zeichen: „fehlt“ (rot): kein gültiger Nachweis vorhanden. „läuft bald ab (n Tage)“ (gelb): n Tage bis zum Ablauf, innerhalb des Vorwarnfensters. „abgelaufen“ (rot): das Datum liegt in der Vergangenheit. Ohne Zeichen: gültig. | „30.11.2026 läuft bald ab (12 Tage)“ am 18.11.2026 bei einem Vorwarnfenster von 45 Tagen. „unbefristet“ heißt: kein Ablaufdatum erfasst. | | fehlt | „fehlt“ heißt: Für einen Nachweis aus dem Soll liegt keine Bewertung mit dem Ergebnis „bestanden“ oder „mit Risiko angenommen“ vor. Regel: Ein Nachweis gilt erst als fehlend, wenn die Beziehung freigegeben ist (genehmigt, aktiv oder in Wiedervorlage). Vorher ist ein fehlendes Zertifikat normal. | Das Soll verlangt ein ISO 27001-Zertifikat, bei einer aktiven Beziehung wurde keines erfasst. Die Zeile zeigt „fehlt“, und es entsteht ein Klärfall. | | läuft bald ab (n Tage) | „läuft bald ab (n Tage)“ heißt: Der Nachweis gilt noch, sein Ablaufdatum liegt aber innerhalb des Vorwarnfensters. n sind die Tage bis zum Ablauf. Regel: Sobald die Tage bis zum Ablauf nicht mehr als das Vorwarnfenster betragen, erscheint das Zeichen und Sie erhalten eine Meldung (einmal je Ablaufdatum). | Vorwarnfenster 45 Tage, „Gültig bis“ in 40 Tagen: „läuft bald ab (40 Tage)“. Bei 46 Tagen Restzeit gilt der Nachweis noch ohne Zeichen. | | abgelaufen | „abgelaufen“ heißt: Das Datum „Gültig bis“ (bei Scan und Pentest die nächste Fälligkeit) liegt in der Vergangenheit. Der Nachweis zählt nicht mehr. Regel: Beim nächsten Abgleich entsteht ein Klärfall. Mit der Option „Wiedervorlage“ in der Richtlinie wird zusätzlich die Beziehung in die Wiedervorlage gesetzt. | „Gültig bis“ 30.09.2026, heute ist der 05.10.2026: Der Nachweis ist seit 5 Tagen abgelaufen. Ein neues, gültiges Zertifikat zu erfassen schließt den Klärfall. | | Geltung (Spalte) | Die Spalte „Geltung“ zeigt, was der Nachweis abdeckt: den Beginn der Gültigkeit („ab …“), den Geltungsbereich (Aufklappen) und bei ISO 27001 die SoA-Version. | „ab 01.12.2025“, Geltungsbereich „Rechenzentrum Standort A, Betrieb der Hosting-Plattform“, „SoA-Version: v3.1“. | | Zuletzt durchgeführt | Nur für Penetrationstests und Schwachstellenscans: das Datum, an dem der Test tatsächlich durchgeführt wurde. Bei anderen Arten steht „-“. | „10.05.2026“. Daraus errechnet sich die nächste Fälligkeit. | | Nächste Fälligkeit | Nur für Penetrationstests und Schwachstellenscans: das Datum, bis zu dem der nächste Test fällig ist. Es ersetzt dort „Gültig bis“. Regel: Scans monatlich, Penetrationstests alle 12 Monate bei kritischer Funktion, sonst alle 36 Monate. | Pentest durchgeführt am 10.05.2026, kritische Funktion: nächste Fälligkeit 10.05.2027. | | Prüfer | Nur für Penetrationstests und Schwachstellenscans: die prüfende Organisation und, falls erfasst, die Angaben zur Unabhängigkeit. | „Beispiel Sicherheitsprüfung GmbH“, unabhängig und extern. | | Art (Nachweis erfassen) | Die Nachweisart, die Sie erfassen. Es stehen nur Arten zur Auswahl, die in dieser Tabelle geführt werden. | „ISO 27001-Zertifikat (inkl. Geltungsbereich)“ für ein Zertifikat, „Auditbericht“ für den Bericht einer Prüfung. | | Gilt für (Nachweis erfassen) | Wählen Sie, ob der Nachweis für die Beziehung insgesamt oder für einen Unterauftragnehmer gilt. | Das Rechenzentrum, das der Lieferant als Unterauftragnehmer einsetzt, hat ein eigenes Zertifikat: Wählen Sie „Rechenzentrum A“, nicht „Beziehung insgesamt“. | | Ergebnis (Bewertungsdialog) | Das Ergebnis Ihrer Prüfung des Nachweises: bestanden, nicht bestanden, mit Risiko angenommen oder offen. Regel: Nur „bestanden“ und „mit Risiko angenommen“ zählen als Nachweis. Ein positives Ergebnis braucht eine erteilte Vier-Augen-Freigabe, bei „bestanden“ je nach Richtlinie ein Nachweisdokument und „Gültig bis“. | Sie haben das Zertifikat geprüft und stimmt alles: „bestanden“, Dokument angehängt, „Gültig bis“ 30.11.2027. | | Nachweisdokument | Das Nachweisdokument ist die Datei, die den Nachweis belegt, zum Beispiel das Zertifikat als PDF. Sie laden es hoch oder wählen ein beim Lieferanten schon abgelegtes Dokument. | „iso27001-zertifikat-2026.pdf“ als Nachweis für diese Bewertung verwenden. | | Gültig bis | „Gültig bis“ ist das Ablaufdatum des Nachweises. Davon hängen die Zeichen „läuft bald ab“ und „abgelaufen“, die Meldung und der Klärfall ab. Regel: Bei Zertifikaten und Berichten mit Ergebnis „bestanden“ ist es Pflicht, wenn die Richtlinie es verlangt. Leer lassen nur bei dauerhaften Feststellungen (dann „unbefristet“). | Zertifikat gilt drei Jahre ab Ausstellung 01.12.2025: „Gültig bis“ 30.11.2028. | | Gültig ab | „Gültig ab“ ist der Beginn der Gültigkeit, meist das Ausstellungs- oder Auditdatum. Es ist eine Angabe zur Dokumentation und darf nicht nach „Gültig bis“ liegen. | Zertifikat ausgestellt am 01.12.2025: „Gültig ab“ 01.12.2025. | | Geltungsbereich | Der Geltungsbereich beschreibt, WOFÜR das Zertifikat gilt: welche Standorte, Systeme oder Leistungen es abdeckt. Die Geltungsdauer dagegen sagt, WANN es gilt („Gültig ab“ bis „Gültig bis“). Regel: Bei ISO 27001 mit Ergebnis „bestanden“ ist der Geltungsbereich Pflicht, weil ein Zertifikat für einen anderen Standort Ihnen nichts nützt. | Geltungsbereich „Rechenzentrum Standort A, Betrieb der Hosting-Plattform“. Nutzen Sie den Lieferanten für Standort B, deckt das Zertifikat Ihre Leistung nicht ab. | | Normfassung | Die Normfassung nennt die Ausgabe der Norm, nach der zertifiziert wurde. | „ISO/IEC 27001:2022“. Steht dort „ISO/IEC 27001:2013“, wurde nach der älteren Ausgabe zertifiziert, die abgelöst ist. | | SoA-Version | Die SoA (Statement of Applicability, Erklärung zur Anwendbarkeit) listet, welche Maßnahmen der Norm der Lieferant anwendet und welche nicht. Die SoA-Version hält fest, auf welchem Stand dieses Dokuments das Zertifikat beruht. | „v3.1 vom 12.04.2026“. Ändert der Lieferant seine SoA, erfassen Sie die neue Version hier. |