Wo NIS2-Beratung endet: Kubernetes audit-fest betreiben, mit Nachweisen für NIS2 und DORA
Euer Prüfer fragt nach Belegen aus dem Betrieb, nicht nach einem Konzept. NIS2-Beratung endet dort, wo diese Belege entstehen. Wir liefern die Betriebsseite: Konfiguration gegen C5-Kriterien, Änderungshistorie, Zugriffsnachweise und den monatlichen Audit-Trail für euren Kubernetes-Cluster. Für regulierten Mittelstand, der keinen eigenen Compliance-Apparat hat. Servicezeit Mo-Fr 08:00-18:00 MEZ.
Pexon macht den Kubernetes-Betrieb audit-fest: Nachweis-Paket, C5-Kriterien und der monatliche DORA- und NIS2-Audit-Trail. Für regulierten Mittelstand, der keinen eigenen Compliance-Apparat hat. NIS2-Modul ab 1.500 EUR im Monat. Kein Prüfsiegel von uns, aber Nachweise, die einem Audit standhalten.
Kern-Themen: Nachweisdruck und Fristen · Was ihr bekommt · Preise · Wer liefert welchen Nachweis · ISO 27001 und DORA im Detail · So läuft der Nachweis · Häufige Fragen.
Unsere Lösungen
Drei Bausteine, einzeln buchbar. Sie setzen auf einen laufenden Kubernetes-Betrieb auf, den entweder euer Team oder wir führen.
Nachweis-Paket
Die Belege, die ein Audit für die Cluster-Ebene verlangt: Konfigurations-Report gegen den CIS-Benchmark, Änderungshistorie mit Zeitstempel und Verantwortlichen, Zugriffsnachweise für Cluster und Registry. Heute ist das ein Leistungsversprechen und kein Bestand: Das Paket entsteht gerade, ein Muster zeigen wir erst nach der Abnahme.
Audit-Support
Wenn der Prüfer, die interne Revision oder ein Bankkunde nachfragt, beantworten wir die Betriebsfragen aus den Unterlagen: Wer hat geändert, wann, mit welcher Freigabe, gegen welches Kriterium. Ihr führt das Gespräch, wir liefern die Belege und sitzen auf Wunsch dabei.
DR-Übung
Den Wiederanlauf einmal wirklich durchspielen, statt ihn zu beschreiben: Ausfall simulieren, Wiederherstellung fahren, Zeiten messen, Abweichungen protokollieren. Das Protokoll ist der Nachweis, den ein Auditor sehen will. 2.000 bis 4.000 EUR je Übung.
Offen und benannt: Das Nachweis-Paket entsteht gerade. Bis es steht, beschreibt diese Seite, was es enthalten wird, und zeigt kein Beispiel-Dokument. Wer heute startet, bekommt Audit-Support und DR-Übung sofort und das Paket, sobald es abgenommen ist.
Warum euer Betrieb jetzt unter Nachweisdruck steht
Vier Regelwerke bringen Kubernetes-Betreiber gerade in Erklärungsnot. Alle enden bei derselben Frage: Wer belegt, wie der Cluster tatsächlich betrieben wird?
Belegt über BGBl. 2025 I Nr. 301. Wer betroffen ist, führt seitdem Risikomanagement und Nachweise für seine Systeme. Der Kubernetes-Cluster ist eines davon, und er ist meist das System, für das am wenigsten Dokumentation existiert.
Deshalb landet der DORA-Fragebogen eines Bankkunden bei euch, auch wenn ihr selbst kein Finanzunternehmen seid. Euer Kunde meldet sein Informationsregister jährlich an seine Aufsicht, Stichtag ist der 31. Dezember des Vorjahres. Darin steht auch, wer eure Plattform betreibt und wo.
Die Einordnung hängt am Gesetzestext und am Einzelfall, nicht an unserer Meinung. Wir subsumieren das nicht für euch und geben dazu keine Auskunft. Diese Frage gehört an eure Rechtsberatung, bevor sie als Zusage in einem Fragebogen landet.
Verkündet im Bundesgesetzblatt am 16.03.2026, in Kraft seit dem 17.03.2026. Das Gesetz regelt die physische Resilienz kritischer Anlagen; die IT-Nachweise kommen weiter aus dem BSIG. Welche Anlagen erfasst sind, steht in einer Rechtsverordnung, die noch aussteht. Solange sie fehlt, nennen wir keine Schwellen.
Der Ablauf ist fast immer derselbe. Der Cluster läuft seit Jahren, das Team kennt ihn, beschwert hat sich nie jemand. Dann kommt der erste Fragebogen, von einem Bankkunden, von einem Prüfer oder von der eigenen Revision. Gefragt wird nicht, ob der Cluster läuft. Gefragt wird, wer wann was daran geändert hat, wer Zugriff hatte, gegen welchen Standard die Konfiguration steht und wann der Wiederanlauf zuletzt geprobt wurde.
Genau an dieser Stelle hilft das vorhandene Material nicht weiter. Ein ISMS-Berater hat ein Konzept geliefert: gutes Papier, aber es beschreibt einen Soll-Zustand. Der Plattformanbieter liefert Belege für seine eigene Infrastruktur, nicht für eure Konfiguration darauf. Was fehlt, ist der Nachweis aus dem laufenden Betrieb, und den kann nur führen, wer den Betrieb auch führt.
Wir sind keine akkreditierte Prüfstelle und keine Rechtsberatung. Wir liefern die Betriebsseite: die Belege, die euer Konzept bereits voraussetzt, und die Antworten auf die Fragen, die den Cluster betreffen.
Preise
Zwei bezahlte Bausteine, ein kostenloser Einstieg. Die Preise gelten je Cluster-Umgebung und setzen einen laufenden Betrieb voraus.
SLA-Gap-Analyse
- Ist-Aufnahme von Cluster und Betriebsablauf
- Abgleich mit euren Prüf- und Kundenanforderungen
- schriftliche Einordnung im Anschluss
NIS2-/C5-Modul
- monatlicher Audit-Trail für NIS2 und DORA
- Konfiguration gegen C5-Kriterien
- Änderungshistorie und Zugriffsnachweise
- Audit-Support bei Prüfer- und Kundenfragen
DR-Übung
- Szenario und Abnahmekriterium vorab festgelegt
- Übung im echten Cluster, nicht am Modell
- Protokoll mit Zeiten und Abweichungen
Stand 19.08.2026. Das Modul setzt einen laufenden Kubernetes-Betrieb voraus, den euer Team oder wir führen. Der NIS2-Self-Check mit 30 Punkten entsteht gerade als Selbsttest, bis dahin gehen wir die 30 Punkte im Termin gemeinsam durch.
NIS2-Beratung endet mit einem Konzept. Wer liefert den Nachweis aus dem Betrieb?
ISMS-Häuser liefern ein Dokument. Plattformanbieter liefern Belege für ihre eigene Infrastruktur. Den Nachweis über den Betrieb darauf liefert keiner von beiden. Das ist der Schnitt, an dem wir arbeiten: Wir liefern den Betrieb, den das Dokument fordert.
| Nachweis | ISMS-Haus | Plattformanbieter | Pexon |
|---|---|---|---|
| Konzept, Richtlinie, Risikoanalyse | Liefert das Dokument. Das ist die Kernleistung, und sie ist gut investiert. | Nicht Teil des Angebots. | Nicht unsere Leistung. Wir setzen auf euer Konzept auf. |
| C5-Bericht einer Wirtschaftsprüfung | Begleitet die Vorbereitung, erteilt den Bericht nicht. | Liegt je nach Anbieter für die eigene Infrastruktur vor. | Kein eigener Bericht. Wir betreiben nach C5-Kriterien. |
| Betriebs-Nachweis für die Cluster-Ebene | Endet mit der Übergabe des Dokuments. | Bezieht sich auf die Plattform des Anbieters, nicht auf eure Konfiguration darauf. | Konfigurations-Report gegen den CIS-Benchmark, Änderungshistorie, Zugriffsnachweise. |
| Audit-Trail, monatlich | Nicht im Leistungsumfang. | Rohdaten und Logs, keine Aufbereitung für die Prüfung. | Monatliche Aufbereitung für NIS2 und DORA als Betriebsleistung. |
Stand 19.08.2026. Die Einordnung stammt von Pexon Consulting und beschreibt Leistungsmuster, kein Anbieter-Ranking. Was in eurem Fall gilt, steht in euren Verträgen und gehört dort nachgelesen.
Zwei Regelwerke im Detail
Zwei der Regelwerke aus der Tabelle haben eine eigene Seite, weil sie im Gespräch am häufigsten konkret werden: ISO 27001, weil das Zertifikat den Betrieb nicht abdeckt, und DORA, weil der Fragebogen vom Finanzkunden direkt danach fragt. NIS2, C5 und KRITIS behandelt diese Seite selbst.
ISO 27001 als Anforderung an euren Kubernetes-Betrieb
Das Zertifikat liegt vor, der Auditor fragt trotzdem nach dem Betrieb. Anhang A führt 93 Maßnahmen, 34 davon technologisch, und ein Teil davon wird im Cluster nachgewiesen: Zugriffskontrolle, Änderungshistorie und ein Nachweis-Paket, das eine Prüfung durchgehen kann. Die Seite zeigt, was davon aus dem Betrieb kommt und was nicht. Ein Prüfsiegel erteilen wir nicht.
Was ISO 27001 vom Kubernetes-Betrieb verlangt →DORA-Compliance im Fragebogen vom Bankkunden
Der Eingang für SaaS-Anbieter mit Finanzkunden ist selten das Gesetz, sondern ein Fragebogen. Artikel 30 regelt die Vertragsbestimmungen, das Informationsregister nach Artikel 28 Absatz 3 nennt Betriebsorte und Subunternehmer. Die Seite zeigt, welche Antworten aus dem laufenden Kubernetes-Betrieb kommen müssen und wie sie belegt werden. Wenn euer Finanzkunde diese Antworten für Azure verlangt, zeigt eine eigene Seite, wie eine DORA-konforme AKS-Landing-Zone dafür aufgebaut ist.
Den Betrieb für den DORA-Fragebogen nachweisfähig machen →Stand 19.08.2026. Beide Seiten beschreiben dieselbe Betriebsleistung wie diese Seite, nur gegen das jeweilige Regelwerk gelesen. Preise und Grenzen bleiben identisch. Wo genau eure Plattform läuft, ist im Fragebogen eine eigene Frage; wie ihr souveränes Kubernetes in deutschen Rechenzentren betreibt, steht auf einer weiteren Seite.
Was wir nicht machen
Vier Dinge fehlen auf dieser Seite bewusst. Wer sie braucht, braucht dafür eine andere Stelle: eine Wirtschaftsprüfung, eine Zertifizierungsstelle oder eine Rechtsberatung.
Kein Prüfsiegel von uns
Ein C5-Bericht kommt von einer Wirtschaftsprüfung, eine ISO-27001-Zertifizierung von einer akkreditierten Zertifizierungsstelle. Beides erteilt kein Betriebsdienstleister. Wir betreiben nach C5-Kriterien und liefern die Belege, mit denen eure Prüfstelle arbeitet. Die Bescheinigung selbst kommt von ihr, nie von uns.
Keine Rechtsberatung
Ob NIS2, DORA oder das BSIG für euch gelten und in welchem Umfang, ist eine Rechtsfrage. Wir beantworten sie nicht, auch nicht nebenbei im Termin. Holt dafür eine anwaltliche Prüfung ein, bevor ihr eine Zusage in einen Fragebogen schreibt.
Keine Zertifizierungsbegleitung als Prüfstelle
Wir treten nicht als Prüf- oder Zertifizierungsstelle auf und auditieren nicht im eigenen Namen. Wenn euer ISMS-Haus oder eure Prüfstelle Belege aus dem Kubernetes-Betrieb braucht, liefern wir sie zu, als Betreiber und nicht als Prüfer.
Keine Aussage zu eurer Betroffenheit
Ob ihr unter NIS2 fallt, ob ihr Managed Service Provider nach Paragraph 2 Nr. 26 BSIG seid, ob DORA euch mittelbar trifft: Das hängt an Sektor, Größe und Rolle im Einzelfall und ist juristisch zu klären. Wir liefern die Betriebsfakten für diese Prüfung, nicht ihr Ergebnis.
Referenzen aus regulierten Umfeldern
Wir nennen hier nur, was belegt ist. Der Kundenname der ersten Referenz ist bis zur Freigabe anonymisiert, die Zahl dahinter ist es nicht.
Kubernetes-Plattform für ein reguliertes Haus
Eine Genossenschaftsbank, Plattform Azure AKS, Projektvolumen 102.700 EUR. Reguliertes Umfeld heißt hier vor allem eines: Jede Entscheidung im Cluster muss später erklärbar sein, gegenüber der internen Revision und gegenüber der Aufsicht. Genau diese Erklärbarkeit ist das, was wir seitdem als Betriebsleistung verkaufen.
Referenz im Termin einordnen →Genossenschaftsversicherer, Kubernetes im eigenen Rechenzentrum
Veröffentlichte Case Study aus dem BaFin-regulierten Umfeld: Kubernetes im eigenen Rechenzentrum, mit Rancher und Spinnaker. Der Fall zeigt, wie stark ein Aufsichtsumfeld die Plattformentscheidung mitbestimmt, lange bevor über Nachweise gesprochen wird.
Case Study lesen →Migration zu Azure Kubernetes Service
Der Weg von Azure App Services nach Azure AKS bei einem Industrieversicherer, mit neuen Build- und Release-Pipelines und ArgoCD für GitOps. Veröffentlicht und frei nachlesbar, ohne Freigabe-Vorbehalt.
Case Study lesen →So läuft der Nachweis
Fünf Schritte vom ersten Fragebogen bis zum monatlichen Audit-Trail. Der Ablauf endet nicht mit einem Dokument, sondern mit einem Abnahmekriterium, das ihr selbst prüfen könnt.
Bestandsaufnahme
Wir gehen euren Cluster und eure Prüfanforderungen durch: Wer fragt, was genau, mit welcher Frist. Ergebnis ist eine Liste der Nachweise, die euch heute fehlen.
Lücken-Abgleich
Die Liste gegen C5-Kriterien und die Betriebspflichten aus NIS2 legen. Wir trennen dabei sauber: Was ist eine Betriebslücke, was gehört in euer Konzept, was ist eine Rechtsfrage für eure Anwälte.
Umsetzung im Betrieb
Konfiguration härten, Änderungen über Freigaben führen, Zugriffe protokollieren. Das passiert im Betrieb, nicht im Dokument. Wenn euer Team das nicht selbst führen will, können wir den Betrieb übernehmen.
Nachweis-Lauf
Ab hier läuft der Nachweis monatlich: Konfigurations-Report, Änderungshistorie, Zugriffsnachweise und der Audit-Trail für NIS2 und DORA. Die DR-Übung kommt als eigener Baustein dazu, sobald ihr sie ansetzt.
Audit-Begleitung
Kommt die Prüfung oder der Fragebogen eines Kunden, beantworten wir die Betriebsfragen aus den Unterlagen. Ihr führt das Gespräch, wir liefern die Belege und die Herleitung dazu.
Abnahmekriterium: Abgenommen ist der Nachweis erst, wenn eure Compliance-Verantwortlichen eine Prüferfrage zum Kubernetes-Betrieb aus den Unterlagen beantworten können, ohne bei uns anzurufen. Solange der Anruf nötig ist, ist das Paket nicht fertig.
Häufige Fragen
Aus Gesprächen mit IT-Leitung, Compliance-Verantwortlichen und Geschäftsführung im regulierten Mittelstand.
Welche Nachweise verlangt ein NIS2-Audit für Container-Plattformen?
Sind wir als SaaS-Anbieter überhaupt NIS2-pflichtig?
Was kostet NIS2-konformer Kubernetes-Betrieb im Monat?
Was ist der Unterschied zwischen C5-testiert und C5-konform?
Was gehört in das DORA-Informationsregister eines Dienstleisters?
Wer haftet bei einem NIS2-Verstoß, Geschäftsführung oder Dienstleister?
Womit eure Prüfung arbeiten kann
Kein Vertrauensvorschuss, sondern Unterlagen, benannte Regelwerke und klare Grenzen.
Pexon als Betreiber
- ISO 27001 zertifiziert
- Microsoft Solutions Partner
- Google Cloud Partner
- AWS Partner
- Auftragsverarbeitung nach DSGVO
- Betrieb und Ansprechpartner aus Deutschland
- Servicezeit Mo-Fr 08:00-18:00 MEZ
Was aus dem Betrieb kommt
- Konfigurations-Report gegen den CIS-Benchmark
- Änderungshistorie mit Zeitstempel und Verantwortlichen
- Zugriffsnachweise für Cluster und Registry
- Protokoll der Wiederanlauf-Übung
- monatlicher Audit-Trail für NIS2 und DORA
- Antworten auf Prüfer- und Kundenfragen zum Betrieb
Regelwerke, gegen die wir arbeiten
- NIS2 über das BSIG, in Kraft seit 06.12.2025
- DORA, Artikel 30 und Informationsregister
- BSI C5 als Kriterienkatalog
- BAIT, nur noch außerhalb des DORA-Anwendungsbereichs; VAIT, KAIT und ZAIT sind seit 16.01.2025 aufgehoben
- ISO 27001
- KRITIS-Dachgesetz, in Kraft seit 17.03.2026, physische Resilienz, Schwellen stehen aus
So geht es weiter
Bringt den Fragebogen mit, der euch gerade auf dem Tisch liegt. In 30 Minuten sagen wir euch, welche Fragen der Betrieb beantworten muss, welche euer Konzept betreffen und welche an eine Rechtsberatung gehören. Die Einordnung bekommt ihr danach schriftlich.
Wenn der Nachweis allein nicht reicht
Die drei Themen, die im Compliance-Gespräch am häufigsten mit aufkommen:
Den Betrieb übernehmen
Wenn niemand mehr da ist, der Worker-Nodes, Upgrades und Day-2-Aufgaben führt: Wir übernehmen den Betrieb des Clusters, aus dem die Nachweise überhaupt erst entstehen.
Den Cluster gegen den CIS-Benchmark prüfen
Bevor ein Nachweis Sinn ergibt, muss die Konfiguration stehen: RBAC, Network Policies, Pod Security und CVE-Scan, mit Report, Ampel und Prioritäten.
KI-Workloads auf Kubernetes betreiben
Wenn auf demselben Cluster Inferenz laufen soll: Betrieb für vLLM, LiteLLM und GPU-Knoten, mit denselben Nachweisen und aus Deutschland.
Verwandte Inhalte
Zuletzt aktualisiert: 19. August 2026 · Kubernetes-Betrieb im Überblick
Sie suchen einen Partner für Ihr Projekt?
Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.
