NIS2-Nachweise und Audits: Wie du dem BSI die Wirksamkeit belegst

Wer unter NIS2 fällt, muss nicht nur Maßnahmen umsetzen, sondern sie auch belegen können, und zwar so, dass ein fremder Prüfer sie ohne dich versteht. Das BSI wird das nicht bei allen gleichzeitig prüfen, aber die Pflicht zur Dokumentation gilt längst. In diesem Artikel klären wir, wer wann Nachweise liefern muss, was das BSI nach dem Gesetz verlangen darf und wie du eine Nachweisakte aufbaust, die einer Prüfung standhält.

Wer muss dem BSI was nachweisen? Drei Gruppen, drei Regime

Das deutsche NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten. Es hat das BSI-Gesetz (BSIG) neu gefasst. Für den Nachweis kommt es darauf an, in welche Gruppe deine Einrichtung fällt. Das Gesetz kennt drei, und sie werden sehr unterschiedlich beaufsichtigt.

Eine Anmerkung vorweg: Das ist keine Rechtsberatung. Klär Zweifelsfälle mit deiner Rechtsabteilung oder Kanzlei.

Betreiber kritischer Anlagen: Nachweis ohne Aufforderung

Für Betreiber kritischer Anlagen gilt § 39 BSIG. Sie müssen die Umsetzung ihrer Maßnahmen "zu einem vom Bundesamt festgelegten Zeitpunkt" und danach alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Früher lag der Zyklus bei zwei Jahren. Die Ergebnisse gehen samt aufgedeckter Sicherheitsmängel ans BSI. Das Amt kann die zugrunde liegende Dokumentation, einen Mängelbeseitigungsplan und später den Beleg über die Beseitigung verlangen.

Für bisherige KRITIS-Betreiber gibt es Übergangsregeln: Der neue Termin liegt frühestens drei Jahre nach dem letzten Nachweis nach altem Recht, und das BSI hat die Betreiber laut seiner FAQ individuell über ihre Termine informiert. Wer nicht sicher ist, ob er Betreiber einer kritischen Anlage ist, findet die Einordnung im Artikel zu den Pflichten nach dem KRITIS-Dachgesetz.

Besonders wichtige Einrichtungen: Nachweis auf Anordnung, frühestens Dezember 2028

Bei den übrigen besonders wichtigen Einrichtungen, also etwa Unternehmen aus den Sektoren der Anlage 1 ab 250 Mitarbeitenden (oder mit hohem Umsatz und hoher Bilanzsumme), ist das Gesetz zweistufig. § 61 Absatz 1 erlaubt dem BSI, gegenüber einzelnen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anzuordnen. § 61 Absatz 3 regelt die Vorlage von Nachweisen: Das BSI kann sie "frühestens drei Jahre nach Inkrafttreten dieses Gesetzes" anordnen. Gerechnet ab dem 6. Dezember 2025 ist das der 6. Dezember 2028. Für zugelassene Krankenhäuser nach § 108 SGB V gilt eine Frist von fünf Jahren, sofern keine Rechtsverordnung einen früheren Zeitpunkt bestimmt.

Zwei Dinge solltest du daraus nicht ableiten. Erstens: Die Dreijahresfrist steht im Wortlaut nur in Absatz 3. Die Prüfbefugnis nach Absatz 5, nämlich Einhaltung überprüfen, Räume betreten, Unterlagen und Auskünfte verlangen, nennt keine Frist. Ob das BSI sie vor Dezember 2028 nutzt, ist offen, ausschließen solltest du es nicht. Zweitens: "Anordnen können" heißt nicht "bei allen anordnen". Bei der Auswahl berücksichtigt das BSI die Risikoexposition, die Größe der Einrichtung, die Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle sowie die gesellschaftlichen und wirtschaftlichen Auswirkungen (§ 61 Absatz 4).

Wichtige Einrichtungen: reaktiv, aber nicht schutzlos

Für wichtige Einrichtungen ist § 62 kurz und deutlich. Rechtfertigen Tatsachen die Annahme, dass sie ihre Pflichten nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 oder § 38 Absatz 3 nicht oder nicht richtig umsetzen, kann das Bundesamt die Einhaltung überprüfen und Maßnahmen nach § 61 treffen. Das BSI muss also einen Anlass haben. Was als Anlass genügt, definiert das Gesetz nicht. Denkbar sind ein gemeldeter Vorfall oder ein Hinweis von außen. Die Dokumentationspflicht gilt aber von Anfang an, und im Anlassfall greift derselbe Werkzeugkasten wie bei besonders wichtigen Einrichtungen.

Unsere Beispielfirma in diesem Artikel ist ein Maschinenbauer mit 100 Mitarbeitenden. Wenn er einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeitende hat, gilt er nach § 28 Absatz 2 als wichtige Einrichtung. Wer sich noch nicht beim BSI registriert hat, sollte zuerst die verpasste NIS2-Registrierung nachholen. Ohne Registrierung verstößt du gegen § 33, und das BSI kann dich nach Absatz 3 sogar selbst registrieren.

Was darf das BSI verlangen? Audits, Prüfungen und Unterlagen

Das Gesetz gibt dem BSI einen gestuften Werkzeugkasten. Für besonders wichtige Einrichtungen, und über § 62 im Anlassfall auch für wichtige, sieht § 61 im Kern diese Befugnisse vor:

• Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (Absatz 1). Gegenstand sind die Pflichten aus § 30 (Risikomanagement), § 32 Absatz 1 bis 3 (Meldungen) und § 38 Absatz 3 (Geschäftsleitungsschulung).
• Nachweise und Ergebnisse verlangen (Absatz 3). Dazu gehören Auditergebnisse einschließlich Sicherheitsmängeln, die zugrunde liegende Dokumentation, ein Mängelbeseitigungsplan und der Beleg, dass die Mängel behoben sind.
• Selbst prüfen (Absatz 5). Das BSI darf sich eines qualifizierten unabhängigen Dritten bedienen. Die Einrichtung muss das Betreten der Geschäftsräume während der üblichen Betriebszeiten gestatten, Unterlagen vorlegen, Auskunft geben und Unterstützung gewähren.
• Anordnungen erlassen (Absätze 6 und 7). Das BSI kann Maßnahmen, Mängelbeseitigungspläne und die Umsetzung konkreter Empfehlungen aus einer Prüfung anordnen.

Wer zahlt die Prüfung? Bei einer Überprüfung nach Absatz 5 erhebt das BSI Gebühren und Auslagen nur, wenn es aufgrund von Anhaltspunkten tätig wurde, die berechtigte Zweifel an der Einhaltung von § 30 Absatz 1 begründen. Zu den Kosten eines nach Absatz 1 angeordneten Audits enthält § 61 keine Regel.

Die Dokumentation ist selbst eine Pflicht

Der wichtigste Satz für dieses Thema steht nicht in den Aufsichtsvorschriften, sondern in § 30 Absatz 1 Satz 3: "Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren." Das hat zwei Konsequenzen. Du musst nicht auf eine Anordnung warten, um mit der Nachweisführung anzufangen. Und wer nicht, nicht richtig oder nicht vollständig dokumentiert, begeht nach § 65 Absatz 2 Nummer 3 eine Ordnungswidrigkeit.

Der Bußgeldrahmen ist deutlich. Für fehlende oder fehlerhafte Maßnahmen, Dokumentation und Meldungen liegt er bei besonders wichtigen Einrichtungen bei bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bei bis zu 7 Millionen Euro. Erst ab einem Gesamtumsatz über 500 Millionen Euro kommen die Prozentgrenzen von 2 beziehungsweise 1,4 Prozent ins Spiel (§ 65 Absätze 5 bis 7). Wer dem BSI Unterlagen oder Zutritt verweigert, riskiert bis zu 100.000 Euro, wer einer vollziehbaren Anordnung nach § 61 Absatz 3 Satz 1 nicht folgt, bis zu 500.000 Euro. Die Details zu Haftung und Strafen stehen im Artikel zu den NIS2-Bußgeldern. Eine Nachweisakte ist also keine Kür, sondern die Erfüllung einer Pflicht.

Zählt ein ISO-27001-Zertifikat oder IT-Grundschutz als Nachweis?

Das ist die Frage, die in fast jedem Projekt kommt. Die Antwort des BSI ist eindeutig. In seinem Infopaket "ISO/IEC 27001 im Kontext NIS-2/BSIG" schreibt das BSI: Eine Zertifizierung nach ISO 27001 bedeute nicht automatisch, dass ein Unternehmen NIS-2-konform ist. Sie könne die Anforderungen aus §§ 30, 31, 32 und 38 nur unvollständig oder gar nicht beantworten und "nicht als Nachweis der NIS-2-Konformität betrachtet werden". Zugleich bilde sie "ein gutes Fundament", auf dem sich die Pflichten nach dem BSIG aufbauen lassen. Und: Eine Zertifizierung sei keine Voraussetzung, um die Anforderungen des BSIG zu erfüllen.

Warum die Lücke? Das BSI nennt drei Gründe:

1. Geltungsbereich. Bei ISO 27001 legst du den Scope selbst fest, er kann auf einen Standort oder Geschäftsbereich beschränkt sein. Das BSIG verlangt die Maßnahmen für den gesamten relevanten Einrichtungsbetrieb.
2. Risikobehandlung. Die Norm erlaubt Risikoakzeptanz und Risikotransfer. Das BSIG verlangt angemessene, wirksame und verhältnismäßige Maßnahmen. Pauschaler Risikotransfer oder generelle Risikoakzeptanz sind ausgeschlossen, nur für die Dienste der Einrichtung unbedeutende Risiken darfst du akzeptieren.
3. Zusätzliche Pflichten. Meldepflichten (§ 32), Registrierung (§ 33) sowie Verantwortung, Haftung und Schulung der Geschäftsleitung (§ 38) stehen nicht in der Norm.

Wie sich die beiden Regelwerke im Detail überlappen, steht im Vergleich NIS2 vs. ISO 27001. Hier zählt die Konsequenz für den Nachweis: Das Zertifikat ist ein Baustein in deiner Akte, nicht die Akte. Die BSI-FAQ sagt dasselbe: Ein Unternehmenszertifikat allein genüge nicht, könne aber ein Baustein für die Maßnahmen nach § 30 sein.

Für Betreiber kritischer Anlagen sieht es etwas anders aus. Die Orientierungshilfe des BSI zu Nachweisen nach § 39 lässt als Prüfgrundlage auch sonstige Standards wie ISO-27001-Zertifizierungsschemata zu, verlangt aber eine Prüfung, die auf die kritische Anlage, ihren dokumentierten Geltungsbereich und die Anforderungen des BSIG ausgerichtet ist. Wie ein solches Zertifizierungsprojekt abläuft, beschreibt der Artikel zum Ablauf einer ISO-27001-Zertifizierung.

Die zehn Mindestmaßnahmen als Nachweistabelle

Das Herzstück der Nachweisakte ist die Zuordnung von Anforderung, Nachweis und Ablageort. § 30 Absatz 2 Satz 2 BSIG nennt zehn Bereiche, die die Maßnahmen "zumindest" umfassen müssen. Sie folgen den Buchstaben a bis j von Artikel 21 Absatz 2 der NIS-2-Richtlinie. Die ISO-Verweise in der Tabelle stammen aus dem Mapping des BSI und dienen nur der Orientierung. Das BSI betont selbst, dass die Umsetzung dieser Controls nicht automatisch die Anforderungen des BSIG erfüllt.

Die sechste Zeile ist die, an der die meisten Akten dünn werden. Die Wirksamkeit der Maßnahmen, so sagt es § 30 Absatz 2 Satz 2 Nummer 6, braucht "Konzepte und Verfahren zur Bewertung". Ein Richtliniensatz sagt nur, was du vorhast. Erst das interne Audit, die Kennzahlen und der Beschluss im Management Review zeigen, dass es funktioniert. Wie du das aufsetzt, steht in den Artikeln zum internen ISMS-Audit und zum Management Review nach ISO 27001.

Die Nachweisakte aufbauen: So wird aus Dokumenten ein Nachweis

Eine Nachweisakte (im Englischen oft Evidence Pack) ist kein Ordner, in den du alles wirfst. Sie ist ein Index mit Stichtag, der zu jeder Anforderung zeigt, welcher Nachweis gilt, wer ihn verantwortet und wann er zuletzt geprüft wurde. Der Auditor soll sie ohne Rückfrage lesen können.

Wann ein Dokument ein Nachweis ist

Ein Dokument wird zum Nachweis, wenn fünf Dinge stimmen:

1. Datiert und versioniert. Man sieht, welcher Stand zu welchem Zeitpunkt galt.
2. Freigegeben. Eine benannte Person hat es in Kraft gesetzt. Entwürfe zählen nicht.
3. Zugeordnet. Es ist einer Anforderung zugeordnet, am besten über eine Verknüpfung statt über einen Dateinamen.
4. Wiederholt. Bei laufenden Pflichten gibt es eine Zeitreihe: nicht ein Restore-Test, sondern einer pro Zyklus.
5. Unverändert. Ein Bericht, der nachträglich überschrieben werden kann, beweist wenig.

Das BSIG nennt keine Aufbewahrungsfrist für die Dokumentation nach § 30 Absatz 1 Satz 3. Als Empfehlung gilt: mindestens einen Prüfzyklus, also drei Jahre, plus ein Jahr Puffer. Welche Unterlagen du darüber hinaus dauerhaft brauchst, zeigt der Überblick zur ISMS-Dokumentation.

Ein Ordnerschema für die Akte

Lege die Akte nach den Anforderungen an, nicht nach Abteilungen. Ein Prüfer geht die Gesetzesliste durch, nicht dein Organigramm.

00_Index (Stichtag, Verantwortliche, Versionsstand)
01_Geltungsbereich_und_Betroffenheit (Einstufung, Registrierung)
02_Governance (Leitlinie, Rollen, Management-Review-Protokolle)
03_Risikoanalyse (Methodik, Register, Behandlungsentscheidungen)
04_Maßnahmenstatus (offene und abgeschlossene Maßnahmen)
05_Richtlinien (freigegeben, mit Lesebestätigungen)
06_Vorfälle_und_Meldungen (Protokolle, Meldenachweise, Übungen)
07_Betriebskontinuität (BIA, Notfallpläne, Testprotokolle)
08_Lieferkette (Dienstleisterliste, Bewertungen, Verträge)
09_Schulung_und_Awareness (Mitarbeitende)
10_Geschäftsleitung (Schulungsnachweise, Beschlüsse)
11_Wirksamkeit (interne Audits, Kennzahlen, Feststellungen)
12_Technische_Nachweise (MFA, Kryptografie, Patch-Stand)

Wenn du ein ISMS-Werkzeug nutzt, brauchst du den Ordner nicht als Kopie. Dann ist die Akte ein Export oder ein eingefrorener Stand der lebenden Daten. In ISMS Lite hängen Maßnahmen, Risiken, Richtlinien und Schulungen an ihren Nachweisen, und mit SoA-Snapshots hältst du vor einem Audit den Stand fest, auf den sich Auditor und Management Review beziehen. Ein Audit-Protokoll zeichnet Statuswechsel und fachliche Schreibvorgänge auf. Es ergänzt die Fachnachweise, ersetzt sie aber nicht.

Risikoanalyse und Maßnahmenstatus: Entscheidungen sichtbar machen

Das BSI fordert in seinem Infopaket, dass Entscheidungen für oder gegen Maßnahmen nachvollziehbar dokumentiert und die Begründungen prüffähig festgehalten werden. Für die Akte heißt das: Neben dem Risikoregister brauchst du für jedes Risiko, das du nicht mit einer Maßnahme behandelst, eine Begründung, warum es für die Dienste deiner Einrichtung nicht von Bedeutung ist. "Akzeptiert" ohne Begründung reicht nicht.

Der Maßnahmenstatus gehört als Momentaufnahme mit Datum in die Akte: was ist umgesetzt, was läuft, was ist offen, wer ist verantwortlich, bis wann. Zeig dabei auch abgeschlossene Maßnahmen mit ihrer Wirksamkeitsprüfung. Offene Punkte sind kein Makel, wenn ein Plan dahintersteht. Ein Mängelbeseitigungsplan ist im Gesetz sogar ausdrücklich vorgesehen.

Geschäftsleitung: Schulung und Überwachung belegen

Nach § 38 Absatz 1 müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Nach Absatz 3 müssen sie regelmäßig an Schulungen teilnehmen. Das BSI hat dazu die Handreichung "Schulung für Geschäftsleitungen" veröffentlicht, in der aktuellen Fassung 1.0 vom 17. April 2026. Ihre wichtigsten Aussagen für die Akte:

• Wer schulungspflichtig ist. Alle Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind. Das BSI geht davon aus, dass das in den meisten Einrichtungen mehrere Personen trifft.
• Wie oft. Das Gesetz sagt nur "regelmäßig". Das BSI empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen und nennt als Anlässe einen Wechsel in der Geschäftsleitung, signifikante Änderungen bei Prozessen, Risikoexposition oder Maßnahmen.
• Welche Inhalte. Erkennung und Bewertung von Risiken, Risikomanagementmaßnahmen und die Beurteilung ihrer Auswirkungen. Eine Schulung nur über Maßnahmen bleibt nach Aussage des BSI hinter dem Gesetz zurück und würde in einer Aufsichtsmaßnahme als nicht ausreichend bewertet.
• Welche Formate. Es müssen keine mehrstündigen Frontalblöcke sein. Das BSI nennt unter anderem ein quartalsweises Risikomanagement-Treffen mit dem ISB, Planspiele und eine Audit-Simulation.
• Was die Dokumentation enthält. Anbieter oder interne Stelle, Teilnehmende mit Rolle, Datum, Uhrzeit und Dauer sowie die behandelten Inhalte mit Bezug zu § 38 Absatz 3. Eine Wissensprüfung ist weder gesetzlich noch vom BSI vorgesehen.

Der interessanteste Punkt der Handreichung: Eine Teilnahmedokumentation belegt nur die Teilnahme. Dass die Geschäftsleitung "ausreichende Kenntnisse" erlangt hat, zeigt sich nach Lesart des BSI daran, dass sie an Entscheidungen im Risikomanagement nachvollziehbar mitwirkt. Also gehören auch die Beschlüsse in die Akte: Freigabe von Leitlinie und Risikobehandlung, Budgetentscheidungen, Management-Review-Protokolle.

Vorfälle und Meldungen: die Zeitleiste zählt

Bei erheblichen Sicherheitsvorfällen verlangt § 32 Absatz 1 eine frühe Erstmeldung binnen 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung binnen 72 Stunden, auf Ersuchen eine Zwischenmeldung und spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. Der Nachweis ist hier die Zeitleiste: Wann wurde der Vorfall erkannt, wann bewertet, wann gemeldet, an welchen Kanal, mit welcher Referenz?

Nimm auch Vorfälle in die Akte, die nicht meldepflichtig waren, samt der Bewertung, warum nicht. Ein Prüfer, der zwölf bewertete Vorfälle ohne eine einzige Meldung sieht, fragt nach der Schwelle. Wer sie begründet hat, antwortet in einer Minute. ISMS Lite trennt dafür Meldetyp, tatsächlichen Versandzeitpunkt, Kanal, Referenz und Nachweis, damit die Zeitleiste im Vorfall selbst steht.

Zeitplan 2026 bis 2028 für ein Unternehmen mit 100 Mitarbeitenden

Zuerst die Rechtslage: Die Pflichten aus § 30, § 32, § 33 und § 38 gelten seit Inkrafttreten, und der früheste Termin für eine Anordnung nach § 61 Absatz 3 ist der 6. Dezember 2028. Der Zeitplan unten ist keine gesetzliche Frist, sondern eine Planungsempfehlung. Er geht davon aus, dass die Beispielfirma als wichtige Einrichtung bei null mit der Nachweisführung anfängt und dass Kunden früher nach Nachweisen fragen als das BSI. Für Lieferanten der Automobilindustrie kommen mit den neuen Assessments zusätzlich die Anforderungen von TISAX nach VDA ISA 2027 dazu. Die Akte lässt sich dafür wiederverwenden.

Rechne als Planungsannahme für die Beispielfirma mit einer verantwortlichen Person, die pro Quartal einige Tage in die Pflege der Akte steckt, und mit einem festen Quartalstermin der Geschäftsleitung zum Risikomanagement, wie ihn auch das BSI als Schulungsformat nennt. Der größte Zeitfresser ist nicht das Sammeln, sondern das Nachziehen fehlender Freigaben und Verknüpfungen. Je früher du damit anfängst, desto weniger fällt am Ende an.

Auch den Probelauf solltest du ernst nehmen. Spiel einmal durch: Das BSI fordert Unterlagen binnen kurzer Frist. Wer liefert, wer gibt frei, wo liegt die Akte, wer darf sie sehen? Die Antwort darf nicht "Das weiß nur der ISB" lauten.

Checkliste: Evidence Pack für das BSI

Grundlage

• Einstufung als besonders wichtige oder wichtige Einrichtung (oder Betreiber kritischer Anlagen) dokumentiert, mit Datum und Begründung
• Registrierung beim BSI bestätigt, Änderungsmeldungen binnen zwei Wochen organisiert
• Geltungsbereich des ISMS deckt den gesamten relevanten Einrichtungsbetrieb ab (nicht nur die IT-Abteilung)
• Index der Nachweisakte mit Stichtag, Verantwortlichem und Versionsstand angelegt

Die zehn Mindestmaßnahmen

• Risikoanalyse mit Methodik, Register und freigegebener Behandlung
• Begründung für jedes Risiko, das ohne Maßnahme bleibt
• Incident-Response-Richtlinie und Vorfallprotokolle vorhanden
• BIA, Notfallplan und mindestens ein Testprotokoll vorhanden
• Dienstleisterliste mit Bewertung der kritischen Lieferanten
• Patch- und Schwachstellenprozess mit Berichten
• Kryptografie-Richtlinie und Schlüsselinventar
• Berechtigungskonzept, Ein- und Austrittsprozess, Asset-Inventar
• MFA-Abdeckung als Export belegt

Governance und Geschäftsleitung

• Alle Personen der Geschäftsleitung identifiziert und zur Schulung angemeldet
• Schulungsdokumentation mit Anbieter, Teilnehmenden, Datum, Dauer und Inhalten
• Freigabe von Leitlinie und Maßnahmen durch die Geschäftsleitung mit Datum
• Management-Review-Protokoll mit Beschlüssen und Folgemaßnahmen

Meldewesen

• Meldeprozess für 24 Stunden, 72 Stunden und einen Monat beschrieben
• Kontaktliste und Vertretungsregel für die Meldung
• Übungsprotokoll, zum Beispiel aus einer Tabletop-Übung
• Bewertung von nicht meldepflichtigen Vorfällen dokumentiert

Wirksamkeit und Pflege

• Internes Audit durchgeführt, Bericht und Feststellungen vorhanden
• Mängelbeseitigungsplan für offene Feststellungen mit Terminen
• Kennzahlen für die Wirksamkeit festgelegt und mindestens zwei Mal erhoben
• Aufbewahrung festgelegt (Empfehlung: mindestens vier Jahre)
• Probelauf "BSI fordert Unterlagen" einmal durchgespielt
• Stichtagsstand eingefroren und Zugriff geregelt

Häufige Fehler bei NIS2-Nachweisen

Das Zertifikat als Freifahrtschein behandeln. Ein ISO-27001-Zertifikat mit einem Scope, der nur die IT-Abteilung umfasst, deckt die Pflichten einer Einrichtung nicht ab. Das BSI sagt ausdrücklich, dass Zertifizierung nicht NIS-2-Konformität bedeutet. Prüf Scope, Risikoakzeptanz, Meldewesen, Registrierung und Geschäftsleitung gegen das BSIG.

Dokumente ohne Datum, Freigabe und Version. Die Richtlinie liegt auf dem Laufwerk, aber niemand kann sagen, wer sie wann in Kraft gesetzt hat und was vorher galt. Für einen Prüfer ist das ein Entwurf. Gib Richtlinien formal frei und archiviere alte Stände, statt sie zu löschen.

Risiken pauschal akzeptieren. "Akzeptiert" in einer Spalte ersetzt keine Begründung. Das BSI schließt generelle Risikoakzeptanz und pauschalen Transfer aus. Schreib bei jeder Entscheidung dazu, warum das Risiko für deine Dienste unerheblich oder die Maßnahme unverhältnismäßig ist, und nimm die Kriterien aus § 30 Absatz 1 Satz 2 als Maßstab.

Die Geschäftsleitung als Randthema abhaken. Die Akte hat eine Schulungsbescheinigung für eine Person, obwohl die Geschäftsleitung aus drei besteht. Oder die Bescheinigung nennt keine Inhalte. Das BSI erwartet Teilnahmedokumentation für alle Schulungspflichtigen und zeigt Lernerfolg an Entscheidungen. Plane Beschlüsse als Nachweis ein.

Die Akte erst bei der Anordnung zusammensuchen. Wer Nachweise erst dann sammelt, wenn das Schreiben des BSI da ist, findet Lücken, die sich nicht mehr schließen lassen: einen Restore-Test, den es nie gab, ein Audit, das nicht stattfand. Nachweise entstehen im Betrieb, nicht nachträglich. Zeitreihen lassen sich nicht rückwirkend erzeugen.

Fazit: Die Akte wächst mit dem Betrieb

Das Gesetz verlangt die Dokumentation seit Dezember 2025 und die Vorlage frühestens ab Dezember 2028. Die Zeit dazwischen ist kein Aufschub, sondern der Zeitraum, in dem Zeitreihen entstehen können: zwei Auditzyklen, zwei Management Reviews, zwei Schulungsrunden. Fang diese Woche mit dem Index an, ordne die zehn Maßnahmen den Nachweisen zu und markiere, wo noch nichts liegt. Wenn die Lücken im Index stehen, weißt du, was als Nächstes zu tun ist.

Weiterführende Artikel

• NIS2-Checkliste: Alle Anforderungen auf einen Blick
• Audit-Feststellungen bewerten und Maßnahmen ableiten
• Schulungsnachweise im ISMS: Was dokumentiert werden muss
• NIS2-Erstmeldung ans BSI: Inhalt, Fristen und Vorlage
• Risikobewertung im ISMS: Methodik, Matrix und Praxisbeispiel