Wie erfülle ich Audit- und Compliance-Anforderungen mit elektronischen Signaturen?

Elektronische Signaturen liefern zwei Dinge, die Prüfer verlangen: den Nachweis, wer ein Dokument freigegeben hat, und den Nachweis, dass es seither unverändert ist. Für Rahmenwerke wie NIS2, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) und ISO/IEC 27001 ist zusätzlich entscheidend, dass diese Nachweise lückenlos protokolliert sind.

Sie müssen zudem über die gesamte Aufbewahrungsfrist prüfbar bleiben — also auch dann noch, wenn das ursprüngliche Signaturzertifikat längst abgelaufen ist. Genau hier trennt sich eine belastbare Signaturarchitektur von einer bloßen Klickbestätigung.

Was Prüfer konkret sehen wollen:

• Identitätsnachweis: Auf welchem Vertrauensniveau wurden Unterzeichner geprüft, und wie ist dieser Vorgang dokumentiert?
• Berechtigungsnachweis: Wer durfte welches Dokument mit welchem Signaturniveau signieren, und wie ist das technisch durchgesetzt?
• Integritätsnachweis: Ist die Signatur langzeitprüfbar mit qualifiziertem Zeitstempel angelegt, sodass sie über die Aufbewahrungsfrist trägt?
• Betriebsnachweis: Welche Zertifizierungen, Konformitätsberichte und Verfügbarkeitszusagen liegen für den Vertrauensdienst vor?
• Lückenlose Protokollierung: Sind Versand, Öffnen, Signatur und Ablehnung jeweils mit Zeitstempel dokumentiert?
• Drittdienstleistersteuerung: Für DORA-relevante Unternehmen: Sind Verfügbarkeit, Meldewege und Ausstiegsszenarien vertraglich geregelt?

Praktische Absicherung im Alltag:

• Niveau in der Vorlage verankern: Das erlaubte Signaturniveau gehört in die Dokumentenvorlage, nicht in eine Arbeitsanweisung — so ist Compliance technisch nachweisbar.
• Nachweise des Anbieters übernehmen: Qualifizierte Vertrauensdiensteanbieter werden regelmäßig durch eine Konformitätsbewertungsstelle geprüft; diese Berichte sind Teil Ihrer Nachweiskette.
• Ausstiegsszenario prüfen: Korrekt erzeugte PAdES-Dokumente mit LTV bleiben auch ohne den Anbieter prüfbar — ein Punkt, der in Audits zunehmend abgefragt wird.

primesign stellt Nachweise, Root- und CA-Zertifikate sowie Widerruflisten im primesign Trust Center bereit, sichert eine Verfügbarkeit von 99,8 Prozent zu und betreibt eine öffentlich zugängliche Statusseite mit Wartungsfenstern. Premium-Support ist auf Anfrage rund um die Uhr verfügbar — relevant für Unternehmen im DORA-Anwendungsbereich.