NIS2-Dokumentation: Welche Dokumente sind Pflicht?

Das BSIG verlangt ausdrücklich, die Einhaltung der Risikomanagementpflicht zu dokumentieren (§ 30 Abs. 1 Satz 3), nennt aber keine feste Dokumentenliste. Belegt werden die zehn Mindestmaßnahmen aus § 30 Abs. 2. Fehlt die Dokumentation, drohen Bußgelder bis 7 Millionen Euro (wichtige) bzw. 10 Millionen Euro (besonders wichtige Einrichtungen). NIS2Compass ordnet Vorlagen diesen Paragrafen zu.

Welche Dokumentation schreibt NIS2 gesetzlich vor?

Das BSIG enthält eine ausdrückliche Dokumentationspflicht: Nach § 30 Abs. 1 Satz 3 müssen Einrichtungen die Einhaltung der Risikomanagementpflicht dokumentieren. Welche Dokumente das sind, regelt das Gesetz nicht. Ein Verstoß ist nach § 65 Abs. 2 Nr. 3 bußgeldbewehrt, auch wenn alle Maßnahmen umgesetzt sind.

Nach dem Wortlaut ist die Einhaltung "durch die Einrichtungen zu dokumentieren" (BGBl. 2025 I Nr. 301). Das ist die einzige ausdrückliche Dokumentationspflicht im Risikomanagement. Die zehn Mindestmaßnahmen in § 30 Abs. 2 sprechen von Konzepten, Prozessen und Verfahren, nennen aber keine bestimmte Dokumentart oder Form. Eine allgemeine Pflicht für Leitlinie, BCM-Plan oder Notfallhandbuch enthält § 30 nicht.

Den Umfang bestimmt die Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2: Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere sowie gesellschaftliche und wirtschaftliche Auswirkungen. Ein Betrieb mit 90 Mitarbeitern braucht nicht die Mappe eines Konzerns.

Die Begründung des Regierungsentwurfs (Bt-Drs. 21/1501, S. 148) vergleicht die Pflicht mit der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Einrichtungen sollen dem BSI nach § 61 Abs. 3 Nachweisdokumente vorlegen können. Als nicht abschließende Beispiele nennt sie unter anderem interne Richtlinien, Checklisten, Merkblätter und Auditberichte.

BSI-Auslegung: Die BSI-FAQ nennt beispielhaft interne Dokumentation, Berichte, Schulungsnachweise und Auditberichte als mögliche Nachweise. Prozesse, Zuständigkeiten und Sicherheitsmaßnahmen sollen schriftlich festgehalten und regelmäßig überprüft werden.

Diese Pflichten sollten Sie nicht vermischen:

• Risikomanagementmaßnahmen (Dokumentationspflicht): Die Umsetzung ist zu dokumentieren, die Form ist frei (§ 30 Abs. 1 Satz 3).
• Sicherheitsvorfälle (Übermittlungspflicht): Meldung binnen 24 Stunden, binnen 72 Stunden, Zwischenmeldung auf Anforderung, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall zunächst eine Fortschrittsmeldung (§ 32 Abs. 1 und 2). Die abgegebene Meldung ist selbst das Dokument.
• Registrierung (Übermittlungspflicht): Angaben an das BSI spätestens drei Monate nach Einstufung (§ 33 Abs. 1). Praxis: Einstufungsentscheidung und Bestätigung intern ablegen.
• Geschäftsleitung (Pflicht der Geschäftsleitung): Umsetzen und Überwachen (§ 38 Abs. 1), Schulungsteilnahme (§ 38 Abs. 3). Einen Nachweis verlangt der Wortlaut nicht. In der Praxis brauchen Sie ihn, weil das BSI die Schulungspflicht prüfen kann.

Die Bußgeldtatbestände stehen nebeneinander: Wer alles umgesetzt, aber nichts belegt hat, ist nicht fein raus (§ 65 Abs. 2 Nr. 3, Abs. 5). Der genannte Rahmen ist ein Höchstbetrag, keine Regelstrafe. Details im Überblick zu den Bußgeldstufen und in § 65 BSIG.

Welche Dokumente brauchen Sie in der Praxis, um die zehn Mindestmaßnahmen zu belegen?

Zu jeder der zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG sollten Sie ein Dokument haben, das Konzept, Zuständigkeit und Umsetzung belegt. Gesetzlich vorgeschrieben ist der jeweilige Dokumenttyp nicht. Als Nachweis nennt die BSI-FAQ beispielhaft interne Dokumentation, Berichte und Schulungsnachweise.

Wer eine Maßnahme nicht schriftlich belegen kann, kann die Dokumentationspflicht aus § 30 Abs. 1 Satz 3 schwerlich erfüllen. Die folgende Zuordnung ist Praxis, keine Behördenliste. Die Bezeichnungen der Maßnahmen folgen sinngemäß dem Gesetzestext, die Vorlagen sind je Nummer ein Beispiel aus der Vorlagen-Bibliothek von NIS2Compass.

• Nr. 1, Risikoanalyse und Sicherheit in der Informationstechnik: Risikoanalyse mit Bewertung und Entscheidungen sowie ein Sicherheitskonzept. Beispiel: Bedrohungsanalyse & Risikomatrix (Excel).
• Nr. 2, Bewältigung von Sicherheitsvorfällen: Richtlinie zur Vorfallbehandlung, Vorfallsregister, Übungsnachweise. Beispiel: Incident-Response-Richtlinie (Word).
• Nr. 3, Betriebsaufrechterhaltung, Backup und Krisenmanagement: Business-Impact-Analyse, Notfallhandbuch, Backup-Konzept, Restore-Tests. Beispiel: Business Impact Analysis (BIA) (Excel).
• Nr. 4, Sicherheit der Lieferkette: Lieferantenverzeichnis, Bewertung, Vertragsklauseln. Beispiel: Lieferantensicherheitsrichtlinie (Word).
• Nr. 5, Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement: Patch-Konzept, Schwachstellenregister, Netzwerkkonzept. Beispiel: Patch-Management-Richtlinie (Word).
• Nr. 6, Bewertung der Wirksamkeit: Prüfpläne, interne Audits, Übungsergebnisse. Beispiel: Gap-Assessment (Excel) mit eigenem Blatt zur Wirksamkeitsbewertung.
• Nr. 7, Schulungen und Sensibilisierung: Schulungsplan und Teilnahmenachweise. Beispiel: Schulungsnachweisregister (Excel).
• Nr. 8, Kryptographie: Kryptokonzept, Schlüssel- und Zertifikatsverwaltung. Beispiel: Kryptographierichtlinie (Word).
• Nr. 9, Personal, Zugriffskontrolle und Verwaltung der IKT-Systeme: Berechtigungskonzept, Inventar der Systeme. Beispiel: Zugriffskontrollrichtlinie (Word).
• Nr. 10, Multi-Faktor-Authentifizierung, gesicherte Kommunikation, Notfallkommunikation: Hier hat der Katalog keine eigene Vorlage. Sie dokumentieren die Verfahren am besten selbst, etwa als Abschnitt im Berechtigungskonzept.

Jedes dieser Dokumente braucht Datum, Version, Freigabe und einen Verantwortlichen. Ohne diese Angaben lässt sich später nicht zeigen, wer was wann entschieden hat. Zehn schlanke, gepflegte Dokumente belegen mehr als zwanzig, die niemand aktualisiert.

Weitere Vorlagen je Nummer finden Sie im NIS2-Vorlagen-Katalog. Welche Maßnahme Sie inhaltlich umsetzen müssen, zeigt die NIS2-Checkliste als Excel-Vorlage. Hier geht es nur um den Beleg.

Als oberstes Dokument bewährt sich eine Informationssicherheitsleitlinie. Bindend ist sie nur für die Einrichtungsarten der Durchführungsverordnung (EU) 2024/2690, etwa DNS-Anbieter, Cloud-Dienstleister und Managed Service Provider (§ 30 Abs. 3 BSIG). Für alle anderen ist sie Praxis.

Ein ISO-27001- oder IT-Grundschutz-Zertifikat kann den Nachweis erleichtern. Laut BSI-FAQ muss es aber gegen den gesetzlichen Maßnahmenkatalog geprüft und ergänzt werden, wie dieser Beitrag zu ISO 27001 und NIS2 zeigt.

Wer muss welche Nachweise wann vorlegen?

Ungefragt nachweisen müssen nur Betreiber kritischer Anlagen: Sie belegen ihre Maßnahmen nach § 39 BSIG alle drei Jahre. Bei allen anderen Einrichtungen kann das BSI Audits anordnen und bei einer Überprüfung Unterlagen verlangen (§ 61 BSIG). Bei wichtigen Einrichtungen setzt das einen Anlass voraus (§ 62).

Für Betreiber kritischer Anlagen gelten außerdem die zusätzlichen Anforderungen des § 31 BSIG. Ob Ihr Unternehmen besonders wichtig, wichtig oder gar nicht betroffen ist, bestimmt die Einstufung nach § 28; die Betroffenheitsprüfung klärt das. Ein allgemeines NIS2-Zertifikat gibt es nicht. Welche Nachweise ein Audit liefert und was es kostet, steht im Zertifizierungs-Artikel.

Praxisszenario: Wie bereitet ein Hersteller mit 90 Mitarbeitern seine Nachweismappe vor?

Ein Hersteller mit 90 Mitarbeitern ist in einem Anlage-2-Sektor in der Regel wichtige Einrichtung (§ 28 Abs. 2 BSIG) und muss seine Maßnahmen dokumentieren, ohne Nachweise ungefragt einreichen zu müssen. Registrierung und Meldungen bleiben aktive Pflichten. Sinnvoll ist eine Nachweismappe mit Index entlang der Paragrafen: Einstufung, Geschäftsleitung, zehn Konzepte, Meldeprozess, Überprüfung.

Das folgende Beispiel ist fiktiv und dient der Veranschaulichung. Ein Hersteller elektrischer Ausrüstungen (Anlage 2 Nr. 5.3 BSIG) beschäftigt 90 Mitarbeiter und betreibt keine kritische Anlage. Die IT-Leiterin übernimmt die NIS2-Verantwortung von einem ausgeschiedenen Kollegen. Sie findet Richtlinien in drei Ordnern, Schulungslisten bei HR und keine Zuordnung zu Paragrafen. Sie geht in fünf Schritten vor:

1. Einstufung und Registrierung (§ 28, § 33): Sie legt die Einstufungsentscheidung und die Registrierungsnachweis ab. Als Grundlage dient die Vorlage Einstufungsdokumentation.
2. Geschäftsleitung (§ 38): Sie sichert den Beschluss zur Umsetzung und je Mitglied einen Schulungsnachweis, etwa mit dem Beschluss der Geschäftsleitung zur NIS2-Compliance und dem Schulungsnachweis §38 Abs. 3 BSIG. Schulungsinhalt und Turnus erläutert der Beitrag zur Schulungspflicht der Geschäftsleitung.
3. Zehn Konzepte nach § 30 Abs. 2: Jedes Dokument erhält Datum, Version und Verantwortlichen. Die Reihenfolge bestimmt das Gap-Assessment: größte Lücke zuerst, nicht Nummer 1 zuerst. Das Vorgehen beschreibt der Artikel zur Gap-Analyse selbst oder beauftragen.
4. Meldeprozess (§ 32): Die Fristen sind 24 Stunden, 72 Stunden und ein Monat nach der 72-Stunden-Meldung bis zur Abschlussmeldung. Vorbereitet wird der Prozess mit der Meldeprozess-Richtlinie, laufend belegt ihn das Vorfallsregister. Inhalte der Meldungen zeigt das Meldung-Muster nach § 32 BSIG.
5. Überprüfung: Sie trägt Review-Termine in den Richtlinien Review-Kalender ein und legt ein Index-Blatt an: welche Pflicht, welches Dokument, wo abgelegt, Stand, Verantwortlicher.

Wer die Mappe später prüft, findet im Index je Pflicht das Dokument, seinen Stand und den Verantwortlichen. Das gilt für die Geschäftsleitung ebenso wie für das BSI im Anlassfall.

Sollten Sie NIS2-Dokumente selbst erstellen oder Vorlagen nutzen?

Das Gesetz schreibt keine Form vor, Sie können alle Dokumente selbst erstellen oder auf Vorlagen aufbauen. Vorlagen sparen Strukturarbeit und ordnen Dokumente den Paragrafen zu. Sie ersetzen weder die Anpassung an Ihr Unternehmen noch die Umsetzung der Maßnahmen noch eine Rechtsberatung.

Die Begründung des Regierungsentwurfs nennt neun mögliche Dokumentationsformen, darunter interne Richtlinien, Checklisten, Merkblätter und Vereinbarungen (Bt-Drs. 21/1501, S. 148). Ein amtliches Muster gibt es nicht. Selbst geschriebene Dokumente sind deshalb ebenso zulässig wie zugekaufte.

Fürs Selbstschreiben spricht die Passgenauigkeit. Ihre Mitarbeiter kennen den Inhalt, weil er ihre eigenen Abläufe beschreibt. Dagegen spricht der Zeitaufwand: Zehn Konzepte schreibt ein ISB nicht nebenbei.

Ohne festen Rahmen entstehen Lücken bei einzelnen Nummern aus § 30 Abs. 2 und uneinheitliche Versionsstände. Wer selbst schreibt, klärt vorab in einer Gap-Analyse, wo die größten Lücken liegen.

Vorlagen liefern die Struktur je Pflicht, inklusive Paragrafen-Zuordnung, in Word und Excel. Das Gegenargument bleibt dennoch bestehen: Eine Vorlage ist nicht fertig. Wer sie unverändert ablegt, dokumentiert nichts Eigenes. Maßstab ist weiterhin die Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2.

Papier ohne gelebte Umsetzung bleibt ein Verstoß gegen § 30 Abs. 1 Satz 1. Vorlagen sind eine Arbeitsgrundlage, keine Rechtsberatung und kein Versprechen von Auditsicherheit.

NIS2Compass ist ein Leitfaden mit Vorlagen-Bibliothek, die Umsetzung läuft in Word und Excel. Es gibt zwei Wege:

• Vorlagen-Bibliothek im Pro-Abo: 45+ Word- und Excel-Vorlagen, jede einem Umsetzungsschritt zugeordnet. Pro kostet 29 Euro pro Monat, ist monatlich kündbar und enthält auch die laufenden Aktualisierungen.
• Vorlagenpaket: 99 Euro einmalig, wahlweise Deutsch oder English (je eigene Variante). Der ZIP-Download läuft über Lemon Squeezy, ein Konto auf der Plattform brauchen Sie dafür nicht. Sie erhalten den Stand des Kaufdatums, Updates gibt es nur im Pro-Abo. Das Paket ersetzt das Abo nicht und enthält keinen Plattformzugang.

Alle Vorlagen mit Paragrafen-Zuordnung finden Sie im NIS2-Vorlagen-Katalog.

Wie lange müssen Sie Dokumente aufbewahren und wie halten Sie sie aktuell?

§ 30 BSIG nennt keine Aufbewahrungsfrist. Nach der BSI-FAQ sollen Prozesse, Zuständigkeiten und Sicherheitsmaßnahmen schriftlich festgehalten und regelmäßig überprüft werden. Als Praxisregel (keine Gesetzesvorgabe) gilt: Behalten Sie jede Dokumentenversion mit Freigabedatum, Verantwortlichem und Überprüfungstermin, solange sie für den Betrieb oder eine mögliche Prüfung relevant ist.

Fristen aus anderen Rechtsgebieten wie Steuer-, Handels- oder Datenschutzrecht können für einzelne Unterlagen gelten. Diese prüfen Sie getrennt. Einrichtungsarten, für die die Durchführungsverordnung (EU) 2024/2690 gilt, müssen in ihrer Leitlinie zusätzlich die aufzubewahrenden Unterlagen und die Aufbewahrungsdauer festlegen.

Einen Überprüfungsturnus nennen weder Gesetz noch BSI-FAQ, Sie legen ihn selbst fest. Überarbeiten Sie Dokumente zusätzlich nach Vorfällen, Systemwechseln und neuen Lieferanten, und lassen Sie die Geschäftsleitung die Ergebnisse in einem Management-Review abzeichnen. Als Raster eignet sich die Vorlage „Richtlinien Review-Kalender“ (Excel).

Feste Fristen setzt das Gesetz nur an anderer Stelle: Die Registrierung erfolgt spätestens drei Monate nach der Einstufung (§ 33 BSIG), die Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall folgt zuerst eine Fortschrittsmeldung (§ 32).

Nach der Begründung des Regierungsentwurfs (Bt-Drs. 21/1501) gelten Schulungen der Geschäftsleitung als regelmäßig, wenn sie mindestens alle drei Jahre angeboten werden. BSI-Auslegung: Dieses Mindestintervall reicht laut BSI-FAQ in den seltensten Fällen aus.

Legen Sie diese Woche drei Dinge an: ein Index-Blatt mit einer Zeile je Pflicht aus §§ 30, 32, 33 und 38, eine Spalte „Stand / Verantwortlich / nächster Review“ und die Ablage Ihrer Einstufungsentscheidung.

Häufig gestellte Fragen

Muss ich eine Informationssicherheitsleitlinie haben?

Nein, das BSIG schreibt sie nicht ausdrücklich vor. § 30 Abs. 2 Nr. 1 verlangt Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik, und die Leitlinie ist dafür der übliche Rahmen. Bindend verlangt wird sie nur von der DVO (EU) 2024/2690, und zwar für DNS-Anbieter, Cloud-Dienstleister, Managed Service Provider und weitere dort genannte Einrichtungsarten.

Muss ich NIS2-Dokumente beim BSI einreichen?

Nein, nur auf Anordnung des BSI; Betreiber kritischer Anlagen sind die Ausnahme. Meldungen nach § 32 und Registrierungsangaben nach § 33 übermitteln Sie dagegen aktiv. Wer wann prüft und was ein Audit kostet, steht im Zertifizierungs-Artikel.

Reicht ein ISO-27001-Zertifikat als Dokumentation?

Nein, allein genügt es nicht, erleichtert den Nachweis aber. Laut BSI-FAQ ist ein Zertifikat gegen den gesetzlichen Maßnahmenkatalog zu prüfen und gegebenenfalls zu ergänzen. Das BSI-Infopaket zu ISO 27001 sieht Lücken, etwa bei Meldepflichten, Registrierung und Geschäftsleitungspflichten. Die Antwort im Detail: Reicht ISO 27001 für NIS2-Compliance aus?.

Was passiert, wenn die Dokumentation fehlt?

Fehlende oder unvollständige Dokumentation ist eine Ordnungswidrigkeit nach § 65 Abs. 2 Nr. 3 BSIG, auch wenn alle Maßnahmen umgesetzt sind. Der Rahmen beträgt bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen. Das ist ein Höchstbetrag; die Höhe legt das BSI im Einzelfall fest (siehe § 65 BSIG: Bußgeldstufen).

Wie lange muss ich Dokumentation aufbewahren?

§ 30 BSIG nennt keine Aufbewahrungsfrist. Halten Sie Dokumente als Praxisregel so lange vor, wie sie den Betrieb oder einen möglichen Nachweis betreffen, und behalten Sie frühere Versionen. Fristen aus anderen Rechtsgebieten wie Steuer-, Handels- oder Datenschutzrecht prüfen Sie für die jeweiligen Unterlagen getrennt.