Anleitung für Auditoren

Was Sie nach dem Login sehen und worauf Sie achten sollten.

1. 1
   Login

   Öffnen Sie live.testengine.cloud, melden Sie sich mit Ihrer Live-E-Mail und dem zugesendeten Initial-Passwort an. Beim ersten Login werden Sie aufgefordert, Ihr Passwort zu ändern.
2. 2
   Header lesen

   Im oberen Balken: Kritix-Logo, Ihre Prüfstelle als farbiger Pill, Ihr Name + Rolle (auditor / reviewer / pruefungsleitung / admin). Das Prüfstelle-Pill ist die wichtigste Sicherheit gegen Vertauschungen — prüfen Sie es bei jedem Login.
3. 3
   Sidebar verstehen

   Links die Navigation. Die wichtigsten Tabs für den Audit-Alltag: Aufträge (laufende Prüfungen), Prüfungen (Kanban-Überblick nach Prüfphase), Mängel (alle Befunde quer), Berichte (PDF + Excel + ZIP-Export). Mandanten ist die Stammdaten-Pflege Ihrer KRITIS-Betreiber. Rollenabhängig zusätzlich sichtbar: Compliance, Assets, BCMS, Meldepflicht (siehe Abschnitt 9).
4. 4
   Dashboard lesen

   Nach dem Login landen Sie auf dem Dashboard: vier Kennzahlen-Kacheln (aktive Prüfungen, in Review, abgeschlossen, offene Mängel), eine Compliance-Übersicht pro Mandant und die Mängel mit anstehender oder überschrittener Frist unter „Aktion erforderlich".
5. 5
   Version-Footer

   Unten links steht die laufende Kritix-Version + Stand-Datum. Bei Support-Anfragen bitte diese Version mitschicken.

Sieben Phasen von der Mandant-Anlage bis zur Einreichung. Wichtig: der Workflow ist nicht rollen-, sondern personengebunden — an zwei Stellen (hervorgehoben) muss eine ANDERE Person tätig werden als beim vorherigen Schritt, unabhängig von deren Rolle (Vier-Augen-Prinzip).

Ein Mandant ist ein KRITIS-Betreiber, den Sie prüfen — z. B. Stadtwerke, Klinikum, Wasserwerk.

1. 1
   Mandanten-Liste öffnen

   Sidebar → Mandanten. Sie sehen alle Mandanten Ihrer Prüfstelle (Cross-Tenant-Trennung: andere Prüfstellen sehen ihre eigenen Mandanten — niemand sieht fremde Daten).
2. 2
   + Mandant

   Button oben rechts. Pflichtfelder: Name, Sektor (Energie / Wasser / Gesundheit / IT-TK / Transport / Finanzen / Ernährung / Staat / Medien), Ansprechpartner, Status (aktiv / pausiert / abgeschlossen).
3. 3
   Bearbeiten / Löschen

   Jede Mandant-Zeile zeigt rechts Aktions-Buttons. Löschen ist nur möglich, wenn kein offener Auftrag mehr am Mandanten hängt — sonst Fehler 409 mit Hinweis.

Ein Auftrag ist eine konkrete BSI-Prüfung an einer Anlage eines Mandanten.

1. 1
   Aufträge öffnen

   Sidebar → Aufträge. Liste aller laufenden + abgeschlossenen Prüfungen Ihrer Prüfstelle. Dieselben Aufträge erscheinen als Karten im Prüfungen-Kanban, gruppiert nach Prüfphase.
2. 2
   + Auftrag

   Pflicht: Auftragsnummer (frei wählbar, eindeutig — Konvention z. B. AUF-2026-001), Mandant, Anlage, Sektor, Prüfphase (Erstprüfung / Folgeprüfung / Wiederholungsprüfung / Anlassprüfung — BSI-Wortlaut), Frist. Ein neuer Auftrag startet immer in Prüfphase „Planung" und Status nicht „abgeschlossen" — dieser Status ist ausschließlich über den Einreichungsabschluss erreichbar (Abschnitt 8).
3. 3
   PD-Felder (Prüfungsdurchführung) ergänzen

   Auftrag-Detail → ausklappbarer Abschnitt „Bericht-Felder": Beginn/Ende der Prüfung, Personen-Prüftage, Art (Erst-/Folge-/Wiederholungs-/Anlassprüfung), Geltungsbereich, angewandte Normen (z. B. ISO/IEC 27001), Prüfgrundlage. Diese Werte fließen direkt in den Abschnitt PD des Nachweisdokuments.

Befunde der Prüfung werden BSI-konform mit Schwere, Themenbereich und Maßnahmenplanung abgelegt.

1. 1
   Mangel anlegen

   Im Auftrag-Detail → Tab Mängel → Button + Mangel. Pflichtfelder: Befund (Freitext, der eigentliche Audit-Befund), Themenbereich (ISMS / BCMS / OrgM / PersM / PhyM / TecM / SzA — BSI-7), Schwere (schwerwiegend / geringfügig / Empfehlung / keine Abweichung — BSI-Wortlaut). Dazu Frist, Verantwortlich und Umsetzungsstatus (%) — Letzteres ist Pflichtspalte in der BSI-Mängelliste (PE.A).
2. 2
   Maßnahmenplanung ausfüllen

   Im selben Formular, ausklappbarer Abschnitt „Maßnahmenplanung": Ursache des Mangels, Auswirkung auf die kritische Dienstleistung, die konkrete Maßnahme (Abhilfe) und deren Fälligkeitsdatum. BSI verlangt zur Mängelliste nicht nur den Befund, sondern auch die geplante Abhilfe.
3. 3
   KI-Vorschlag (optional)

   Wenn der KI-Provider aktiviert ist (Heuristik oder Claude): Button 🪄 KI-Vorschlag nach dem Befund-Text. Schickt einen pseudonymisierten Auszug an die KI, bekommt Schwere + Themenbereich vorgeschlagen — Sie entscheiden final. Jeder KI-Call landet im Audit-Log.
4. 4
   Beweisstücke hochladen

   Mangel-Detail → Beweise. Drag&Drop oder Datei-Picker. Max 50 MB pro Datei, MIME-Whitelist (PDF, PNG, JPEG, DOCX, XLSX, ZIP). SHA-256-Dedup: identische Dateien werden nicht doppelt gespeichert.
5. 5
   Status-Workflow + Vier-Augen-Prinzip

   Status-Buttons: offen → in_bearbeitung → behoben → verifiziert → geschlossen. Jeder Wechsel verlangt min. 10 Zeichen Kommentar (Pflicht), landet in Status-Historie und Audit-Log. Auf „verifiziert" wechseln darf jede Rolle — außer der Person, die diesen Mangel zuletzt auf „behoben" gesetzt hat. Das Prinzip ist personen-, nicht rollengebunden.
6. 6
   Mängel quer ansehen

   Sidebar → Mängel: alle Mängel über alle Aufträge Ihrer Prüfstelle. Filter nach Schwere / Themenbereich / Status.

Pro Auftrag bewerten Sie die sieben BSI-Themenbereiche auf einer Skala 1–5.

1. 1
   Tab Reifegrade öffnen

   Auftrag-Detail → Tab Reifegrade (RUN). Sieben Zeilen — eine pro Themenbereich (ISMS, BCMS, OrgM, PersM, PhyM, TecM, SzA). Bei zwei Bereichen wird die Bewertung als „Umsetzungsgrad" statt „Reifegrad" deklariert (BSI-Vorgabe).
2. 2
   Grad eintragen

   Pro Bereich Stufe 1 (initial) bis 5 (kontinuierlich verbessert) — Beschreibung der Stufen siehe RUN-1.0-Tooltip. Begründung ist Pflicht (mindestens 10 Zeichen). Diese Begründungen erscheinen 1:1 in den Abschnitten PE.1–PE.7 des Nachweisdokuments.

Drei Export-Formate, jedes einzeln versioniert und mit Vier-Augen-Freigabe abzunehmen — bevor es zur Einreichung taugt.

1. 1
   Nachweisdokument P (PDF)

   Auftrag-Detail → Tab Berichte → Nachweis P (PDF). Generiert ein PDF im exakten BSI-Layout (Abschnitte PD/PE/PS, Prüfstellen-Logo + Primärfarbe). Solange der Auftrag nicht abgeschlossen ist, trägt das PDF ein Wasserzeichen ENTWURF. SHA-256 wird gespeichert (Integrität).
2. 2
   Anlage PE.A (Excel)

   Daneben Anlage PE.A (Excel). Verwendet die BSI-Mängellisten-Vorlage v1.4 — exakte Spalten-Reihenfolge, Wortlaut der Schwere, Termin- und Status-Format. BSI verbietet Konvertierung in PDF — Excel muss Excel bleiben.
3. 3
   MIP2-Paket (ZIP)

   Hauptaktion: + MIP2-Paket (ZIP). Erzeugt PDF + Excel + Anlage PD.A + Anlage PD.C + README in einem Zug, packt sie alsnachweispaket_<auftragsnr>_<version>.zip. Die vier Pflichtdokumente entstehen dabei zusätzlich als eigene Bericht-Zeilen — jedes davon muss einzeln freigegeben werden (nächster Schritt). Den ZIP laden Sie am Ende händisch im BSI-MIP2-Portal hoch (BSI bietet keine API).
4. 4
   Vier-Augen-Freigabe

   Jede Bericht-Zeile zeigt „Freigeben" / „Ablehnen", solange die Freigabe aussteht. Freigeben oder ablehnen darf jede Rolle — außer der Person, die den Bericht erzeugt hat. Begründung ist Pflicht (mind. 10 Zeichen) und bleibt sichtbar direkt an der Bericht-Zeile, auch bei Ablehnung.
5. 5
   Bei Ablehnung: neue Version erzeugen

   Nach einer Ablehnung einfach denselben Export-Button erneut klicken — die nächste Version (v1.0 → v1.1 → v1.2 …) wird automatisch fortlaufend vergeben, keine manuelle Versionsnummer nötig. Die alte, abgelehnte Version bleibt inklusive Begründung erhalten.
6. 6
   Wasserzeichen entfernen

   Das „ENTWURF"-Wasserzeichen verschwindet erst, sobald der Auftrag-Status auf abgeschlossen steht — und dieser Status lässt sich nicht mehr manuell setzen. Er wird ausschließlich durch den Einreichungsabschluss gesetzt (nächster Abschnitt).

Der formale Schlusspunkt eines Auftrags — mit Checkliste, damit nichts Unvollständiges als eingereicht markiert wird.

1. 1
   Tab Einreichung öffnen

   Auftrag-Detail → Tab Einreichung. Zeigt eine Checkliste: „Alle Pflicht-Nachweisdokumente erzeugt" und „Vier-Augen-Freigabe aller Dokumente erfolgt". Solange ein Punkt rot ist, listet die Seite darunter, was konkret fehlt.
2. 2
   Übergabe an den Mandanten bestätigen

   Checkbox „Übergabe an den Mandanten bestätigt" — bestätigt, dass der Mandant das Nachweisdokument gesehen/erhalten hat. Ohne diesen Haken bleibt der Abschluss-Button gesperrt, selbst wenn die Checkliste oben grün ist.
3. 3
   Einreichung abschließen

   Bestätigungsnummer eintragen, Kanal wählen (MIP / Bundesportal / E-Mail), Button Einreichung abschließen. Das setzt gleichzeitig den Auftrag-Status auf abgeschlossen und entfernt ab dem nächsten Export das ENTWURF-Wasserzeichen. Wichtig: Kritix selbst reicht nichts automatisch beim BSI ein — das MIP2-ZIP wird weiterhin händisch im BSI-Portal hochgeladen, dieser Schritt dokumentiert nur, dass es geschehen ist.
4. 4
   BSI-Rückfragen festhalten

   Falls das BSI nach der Einreichung Rückfragen stellt: im selben Tab unter „BSI-Rückfragen" erfassen und nach Klärung beantworten — bleibt als Nachweis am Auftrag.

Stammdaten der Prüfstelle und User-Verwaltung.

1. 1
   Prüfstelle-Stammdaten

   Sidebar → Einstellungen. Pflegen Sie PS.1–PS.4 (Name, Anschrift, Eignung nach BSI, Prüfverfahrenskompetenz), Kontakt, Logo-Upload (PNG / JPEG / SVG, max 5 MB) und Primärfarbe (HEX). Diese Werte erscheinen im Bericht-Header. Bearbeitbar nur für Rolle admin oder pruefungsleitung.
2. 2
   Benutzer anlegen (Admin)

   Sidebar → Administration → User-Management. Rollen: admin und pruefungsleitung haben zusätzlich Zugriff auf User-Management, Audit-Log und Logo-Upload — der eigentliche Audit-Workflow (Mandant, Auftrag, Mängel, Bericht, Freigabe, Einreichung) steht allen vier Rollen offen und wird stattdessen über das Vier-Augen-Prinzip abgesichert (Abschnitt 2). Neue Benutzer bekommen ein Initial-Passwort per E-Mail.

Vollständige Nachverfolgbarkeit — BSI-Pflicht.

1. 1
   Audit-Log öffnen

   Sidebar → Administration → Audit-Log (sichtbar für admin + pruefungsleitung). Append-only Liste: Wer hat wann was geändert, mit IP-Adresse und Zeitstempel.
2. 2
   Filter nach Auftrag / User / Aktion

   Sucheingabe oben filtert nach Auftragsnummer, User-E-Mail oder Aktion (auftrag.created, mangel.status_changed, bericht.generated, bericht.freigabe, einreichung.abgeschlossen, ki.classification_request, …).
3. 3
   Export

   Button Export CSV — komplettes Log als CSV für externe Archivierung (z. B. zentrales SIEM oder revisionssicheres Storage).

Vier weitere Sidebar-Einträge, die es nur auf der Live-Plattform gibt — auf der Demo-Instanz ausgeblendet.

1. 1
   Compliance (KRITIS-Dachgesetz)

   Sidebar → Compliance. Tracker für die Anforderungen DG.1–DG.26 je Mandant, Status offen / in Arbeit / umgesetzt / nicht anwendbar, mit Excel-Export.
2. 2
   Assets

   Sidebar → Assets. Inventar kritischer Systeme je Mandant, inkl. Kritikalität und Schutzbedarf (Vertraulichkeit/Integrität/Verfügbarkeit).
3. 3
   BCMS

   Sidebar → BCMS. Notfallmanagement: Notfallpläne, Krisenstab-Mitglieder, Übungen je Mandant.
4. 4
   Meldepflicht (§ 32 BSIG)

   Sidebar → Meldepflicht. Erfasst und verfolgt einen Sicherheitsvorfall über die drei gesetzlichen Fristen: Erstmeldung (24h), Updatemeldung (72h), Abschlussmeldung (1 Monat).