Warum Nachweise im Office-/VBA-Bereich fehlen
In vielen KMU, Kanzleien und Dienstleistern laufen heute geschäftskritische Excel-, Word-, Access- oder VBA-Lösungen. Wenn NIS2, Konzernvorgaben oder M365-/Intune-Härtungen greifen, wird aber plötzlich eine Freigabe- oder Änderungsdokumentation verlangt – und genau die gibt es nicht. Wir schließen diese Lücke mit einer technisch-organisatorischen Dokumentation, die weitergegeben werden kann, ohne interne Policy-Details offenzulegen. Keine Rechtsberatung; eine Kanzlei kann auf Wunsch eingebunden werden.
Gefordert, aber nicht da
Auditor oder Kunde fragt nach Freigabenotiz, aber die Datei wurde vor Jahren erstellt und nie sauber dokumentiert.
Policies bleiben streng
IT will bei nur signierte Makros bleiben – deshalb muss die Dokumentation zur Policy passen, nicht umgekehrt.
Lieferkette will Nachweis
Konzern oder öffentlicher Auftraggeber verlangt Nachweise auch für Office-Automatisierungen.
Schatten-IT sichtbar machen
Mit dem Nachweis wird klar, dass die Datei bewusst freigegeben wurde – nicht nur lokal entsperrt.
-
Freigabenotiz inkl. Version Datum, Zweck, verantwortliche Person.
-
Für Kunden/Auditoren Neutral, weitergebbar, ohne interne Details.
-
Technisch – keine Rechtsberatung Rechtliche Prüfung optional durch Kanzlei.
Was in einen Office-/VBA-Nachweis gehört
Prüfbar, wiederholbar, gegenüber Dritten weitergebbar.
Datei und Zweck
Welche Office-/VBA-Datei wurde geprüft und wofür wird sie im Unternehmen genutzt.
Verantwortliche Person
Wer hat die fachliche Nutzung freigegeben bzw. die Datei beauftragt – klar zuordenbar.
Signatur-/Publisher-Stand
Ob die Datei signiert ist, ob sie unter nur signierte Makros lauffähig ist und ob der Herausgeber verteilt wurde.
Versions- und Änderungsdoku
Wann wurde zuletzt geändert, was wurde geändert, wer hat die Änderung freigegeben.
Hinweis auf Geltungsbereich
Dokument bezieht sich auf den Office-/VBA-Betrieb unter M365/Intune/GPO – keine rechtliche Bewertung.
Format für Dritte
So geschrieben, dass es bei Kunden, Auditoren oder Versicherern eingereicht werden kann – ohne Redesign.
NIS2-Pakete für Office-/VBA-Umgebungen
Drei klar abgegrenzte Leistungen – technisch/organisatorisch, nicht juristisch.
Paket 1: Office-/VBA-Inventar für NIS2
Zweck: Wenn NIS2 für Ihr Unternehmen / Ihren Kunden bereits gilt und Sie jetzt wissen müssen, welche Office-/VBA-Dateien überhaupt erfasst werden sollen.
Leistung: 30–45 Min. Remote, Bereitstellung Inventar-Vorlage, Erfassung der produktiven Excel-/Word-/Access-/VBA-Dateien (Quelle, Speicherort, Fachbereich), Kennzeichnung „intern“, „extern/Kunde“, „unsigniert“.
Ergebnis: Eine Liste, die Sie in Ihre NIS2-/ISMS-Doku übernehmen können – ohne rechtliche Bewertung.
Größere Umgebungen auf Anfrage.
Paket 2: NIS2 Office Compliance-Set
Zweck: Wenn Auditor, Kunde oder Konzern Nachweise zu Ihren Office-/VBA-Tools haben will.
Leistung: Übernahme des Inventars (oder Paket 1), Ausarbeitung von Freigabenotiz- und Änderungsdoku-Mustern, Abgleich mit Ihren M365-/Intune-/GPO-Policies („nur signierte Makros“), Empfehlung für Trusted Publisher / interne Resignierung.
Ergebnis: Auditfähiges Office-/VBA-Paket, das Sie direkt beilegen können („so betreiben wir unsere Makros unter NIS2“).
Abhängig vom Umfang.
Paket 3: Managed NIS2 Makro-Betrieb
Zweck: Wenn regelmäßig neue oder geänderte Makros kommen und diese unter Ihren Policies weiterlaufen sollen.
Leistung: Laufende Prüfung & Re-Signatur von Office-/VBA-Dateien, Pflege der Freigabenotizen, Ticket-/Change-Doku, jährlicher Policy-/M365-Review („hat sich was geändert?“).
Ergebnis: Durchgängig dokumentierter, NIS2-orientierter Makro-Betrieb – ohne dass Sie intern Spezialwissen aufbauen müssen.
Abhängig von der Umgebungsgröße.
Häufige Fragen zu NIS2-Nachweisen für Office-/VBA-Dateien
Fokus: sicherer, dokumentierter Betrieb – nicht Gesetzesauslegung.
Ja. Die Dokumente sind technisch-organisatorisch formuliert und so aufgebaut, dass sie an Kunden, Auditoren oder Konzerne weitergegeben werden können. Interne Sicherheitsdetails werden nicht ungefragt offengelegt.
Nein. Wir setzen voraus, dass NIS2 oder eine gleichwertige Anforderung bereits vorliegt oder absehbar ist. Wir liefern die technische und organisatorische Basis, um Office-/VBA-Tools nachweisbar zu betreiben. Eine rechtliche Prüfung kann auf Wunsch durch eine Kanzlei erfolgen.
Externe oder von Kunden gelieferte Office-/VBA-Dateien werden als solche gekennzeichnet und mit einem entsprechenden Risikohinweis versehen. Danach kann entschieden werden, ob eine interne Resignierung oder ein Trusted-Publisher-Rollout notwendig ist.
Ja. Die Vorlagen sind so gestaltet, dass sie im Unternehmen weitergeführt werden können. Wer das nicht intern machen möchte, kann die Pflege an unseren Managed Service auslagern.
Ja. Genau dort werden Nachweise aktuell am häufigsten angefragt, weil Policies verschärft wurden und Makros nur noch signiert laufen dürfen.
