NIS2-Audit vorbereiten: Warum nur 1.342 Einrichtungen einen Termin haben

In Deutschland gibt es kein einheitliches NIS2-Audit. Es gibt drei voneinander unabhängige Prüfwege mit unterschiedlichen Rechtsgrundlagen, unterschiedlichen Auslösern und völlig unterschiedlichem Ablauf – und nur einer davon hat einen Kalender. Nach den Registrierungszahlen des BSI betrifft dieser eine Weg 1.342 von 17.729 registrierten Unternehmen. Für alle anderen entscheidet nicht ein Termin darüber, wann geprüft wird, sondern ein Auslöser: eine Anordnung des Bundesamts, ein konkreter Verdacht – oder der Fragebogen eines Kunden, der selbst unter NIS2 fällt.

Drei NIS2-Audits in Deutschland – und nur eines hat einen Kalender

Kurz gefasst: Betreiber kritischer Anlagen legen dem BSI unaufgefordert alle drei Jahre Nachweise vor. Alle anderen nur auf Anordnung. Und davon unabhängig prüfen Kunden ihre Lieferanten, weil sie dazu selbst verpflichtet sind.

Das BSI formuliert die Grundregel in seinen NIS-2-FAQ unmissverständlich: „Unternehmen müssen nur auf Anfrage im Falle einer Anordnung durch das BSI nachweisen, dass sie die Vorgaben des Gesetzes umgesetzt haben.“ Und direkt daneben die Ausnahme: „KRITIS-Betreiber müssen auch ohne Aufforderung Nachweise in Form von Sicherheitsaudits, Prüfungen oder Zertifizierungen einreichen.“ [6]

Prüfweg	Rechtsgrundlage	Wer ist betroffen	Auslöser	Rhythmus
Nachweispflicht	§ 39 BSIG	Betreiber kritischer Anlagen	Gesetz – keine Aufforderung nötig	alle drei Jahre
Angeordnetes Audit	§ 61 Abs. 1 BSIG	besonders wichtige Einrichtungen	Anordnung des BSI	anlassbezogen, kein fester Termin
Vorlage von Nachweisen	§ 61 Abs. 3 BSIG	andere besonders wichtige Einrichtungen	Anordnung des BSI	frühestens ab Dezember 2028
Überprüfung vor Ort	§ 61 Abs. 5 BSIG	besonders wichtige Einrichtungen	Entscheidung des BSI	jederzeit möglich
Ex-post-Prüfung	§ 62 BSIG	wichtige Einrichtungen	Tatsachen, die auf Verstöße hindeuten	nur reaktiv
Kundenaudit	§ 30 Abs. 2 Nr. 4 BSIG (beim Kunden)	jeder Lieferant einer NIS2-Einrichtung	Beschaffungs- oder Vertragsprozess	laufend

Der praktische Unterschied liegt in der Vorlaufzeit. § 39 gibt einen Termin, auf den man hinarbeiten kann. § 61 und § 62 geben keinen. Wer seine Nachweisführung darauf ausrichtet, sie erst nach einer Aufforderung aufzubauen, hat sie zu spät. Welche zehn Maßnahmenbereiche überhaupt nachgewiesen werden müssen, ist in den NIS2-Anforderungen nach Artikel 21 im Einzelnen aufgeschlüsselt.

Welches Audit trifft Sie? Rechnen Sie mit den Zahlen des BSI

Kurz gefasst: Gut sieben Prozent der registrierten Einrichtungen haben eine gesetzliche Nachweispflicht mit festem Rhythmus. Die restlichen 93 Prozent werden geprüft, wenn es einen Anlass gibt.

Das BSI veröffentlicht den Registrierungsstand: „Bis zum 30.06.2026 haben sich dort insgesamt 17.729 Unternehmen registriert. Davon waren 11.501 wE und 6.215 bwE.“ Von den 6.215 besonders wichtigen Einrichtungen sind 1.342 Betreiber kritischer Anlagen. [9] Daraus ergibt sich eine Verteilung, die in keiner Audit-Checkliste steht:

• 1.342 Betreiber kritischer Anlagen unterliegen § 39 BSIG. Sie haben einen vom Bundesamt festgelegten Nachweiszeitpunkt und danach einen Drei-Jahres-Rhythmus. [3]
• 4.873 besonders wichtige Einrichtungen ohne kritische Anlage haben keinen Termin. Das Bundesamt „kann“ ihnen ein Audit durch eine unabhängige Stelle anordnen (§ 61 Abs. 1) – muss es aber nicht. [4]
• 11.501 wichtige Einrichtungen werden nur reaktiv geprüft. § 62 BSIG lautet vollständig: „Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.“ [5]

Ein Detail wird in der Beratungspraxis regelmäßig zu weit gelesen. § 61 Abs. 3 BSIG lautet: „Das Bundesamt kann auch gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen.“ [4] Das neue BSIG ist am 6. Dezember 2025 in Kraft getreten [7] – die breit angelegte Nachweisanordnung ist damit frühestens ab Dezember 2028 möglich, für nach § 108 SGB V zugelassene Krankenhäuser frühestens fünf Jahre nach Inkrafttreten.

Diese Frist gilt allerdings nur für die Vorlage von Nachweisen nach Absatz 3. Sie gilt nicht für die Audit-Anordnung nach Absatz 1 und nicht für die Überprüfung nach Absatz 5, bei der das Bundesamt Geschäftsräume während der üblichen Betriebszeiten betreten und einschlägige Aufzeichnungen und Unterlagen verlangen kann. Wer aus § 61 Abs. 3 ableitet, bis 2028 könne nichts passieren, verwechselt die Reichweite der drei Absätze.

Der § 39-Nachweis: der einzige Ablauf, den das BSI vollständig vorgibt

Kurz gefasst: Für Betreiber kritischer Anlagen existieren ein festes Dokumentenschema, eine definierte Auditorenqualifikation und eine vierstufige Mängelklassifikation. Wer nicht KRITIS ist, kann sich daran orientieren – verpflichtet ist er nicht.

§ 39 Abs. 1 Satz 1 BSIG legt den Rhythmus fest: der Nachweis ist zu erbringen „frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre“ – durch „Sicherheitsaudits, Prüfungen oder Zertifizierungen“. Satz 2 verlangt, dass die Betreiber dem Bundesamt die Ergebnisse „einschließlich Angaben über die dabei aufgedeckten Sicherheitsmängel“ übermitteln. [3] Der Nachweis ist damit ausdrücklich kein Erfolgsnachweis: gemeldet werden auch die Lücken.

Die operative Ausgestaltung steht in der Orientierungshilfe des BSI. Eingereicht werden ein Nachweisdokument KI (Erklärung des Betreibers) und ein Nachweisdokument P (Prüfung) mit den Anlagen PD.A (Geltungsbereich und Netzplan), PD.C (Prüfgrundlage) und PE.A (Mängelliste mit Beseitigungsplan). [7] Die Mängelliste ist als Excel-Datei einzureichen, nicht als PDF; der vollständige Prüfbericht nur auf Anforderung des BSI; und die zugrunde liegenden Prüfungen dürfen zu Beginn der Prüfung nicht älter als zwölf Monate sein. [8]

Die Mängelklassifikation ist der Teil, den sich auch Nicht-KRITIS-Einrichtungen für ihr internes Audit abschauen sollten, weil sie eine belastbare Priorisierung erzwingt:

Kategorie	Bedeutung	Konsequenz
Schwerwiegender Mangel	wesentliche Gefährdung von Vertraulichkeit, Integrität oder Verfügbarkeit	sofortiges Handeln erforderlich
Geringfügiger Mangel	Risiko vorhanden, aber begrenzt	zeitnahe Behebung
Empfehlung	Verbesserungshinweis ohne unmittelbare Gefährdung	optional, dokumentiert
Keine Abweichung	Anforderung umgesetzt und wirksam	keine

An die prüfende Stelle stellt das BSI klare Eignungsanforderungen: eine DAkkS-Akkreditierung für ISO/IEC 27001, eine BSI-Zertifizierung als IT-Sicherheitsdienstleister, eine Wirtschaftsprüferzulassung oder eine Prüfung nach IDW PS 983 beziehungsweise DIIR-Standard. Vier Kompetenzbereiche müssen im Team abgedeckt sein – Auditkompetenz, IT-Sicherheitskompetenz, Branchenkompetenz und Verfahrenskompetenz – und die Orientierungshilfe formuliert: „Das Prüfteam sollte zur Gewährleistung der Unabhängigkeit und Objektivität aus mindestens zwei Prüfenden bestehen.“ [7] Akkreditierungen anderer EU-Mitgliedstaaten nach der Verordnung (EG) Nr. 765/2008 gelten als gleichwertig. [8]

Zwei Einschränkungen gehören dazu: Die Orientierungshilfe trägt in Teilen noch die Paragrafenzählung des alten BSIG (§ 8a a. F.) – inhaltlich ist sie die aktuelle Handreichung zu § 39. Und § 39 Abs. 4 nimmt Betreiber aus, die auf Grundlage von § 5 Abs. 7 des KRITIS-Dachgesetzes bestimmt wurden. [3]

Wenn das BSI ohne Vorlauf prüft: § 61 und § 62 in der Praxis

Kurz gefasst: Bei besonders wichtigen Einrichtungen braucht das Bundesamt keinen Anlass, bei wichtigen Einrichtungen braucht es Tatsachen. Beides führt zur selben Anforderung an Sie: Ihre Nachweise müssen aktuell sein, nicht rekonstruierbar.

§ 61 Abs. 1 BSIG erlaubt dem Bundesamt, gegenüber einzelnen besonders wichtigen Einrichtungen „Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen“ anzuordnen – bezogen auf die Pflichten aus § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 und § 38 Abs. 3. Die Auswahl richtet sich nach Absatz 4 unter anderem nach Risikoexposition, Größe sowie Wahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle; Absatz 6 erlaubt zusätzlich die Anordnung eines Mängelbeseitigungsplans. [4]

Das entscheidende Wort in § 62 ist „Tatsachen“. Daraus folgt eine Konsequenz, die selten ausgesprochen wird: Der naheliegendste Auslöser einer Prüfung bei einer wichtigen Einrichtung ist ihr eigener gemeldeter Sicherheitsvorfall, denn § 62 nennt die Meldepflichten aus § 32 ausdrücklich als Prüfgegenstand. Wer eine Meldung absetzt, sollte damit rechnen, dass kurz darauf auch die Dokumentation zu § 30 gelesen wird. Wie diese Meldung sauber aufgesetzt wird, beschreibt der Leitfaden zu den NIS2-Meldepflichten.

Wer im Haus welchen Nachweis verantwortet, entscheidet darüber, ob er im Ernstfall in Stunden oder in Wochen vorliegt:

Rolle	Verantwortet	Rechtsbezug
Geschäftsleitung	Umsetzung und Überwachung der Maßnahmen, eigener Schulungsnachweis	§ 38 Abs. 1 und 3
CISO / IT-Sicherheit	Risikoanalyse, Wirksamkeitsmessung, technische Nachweise	§ 30 Abs. 2 Nr. 1 und 6
IT-Betrieb	Protokolle, Backup- und Wiederherstellungstests, Zugriffskontrolle	§ 30 Abs. 2 Nr. 3 und 9
Einkauf / Vertragswesen	Lieferantenverzeichnis, Sicherheitsklauseln, Selbstauskünfte	§ 30 Abs. 2 Nr. 4
Recht / Compliance	Meldefristen, Aufbewahrung, Kommunikation mit dem Bundesamt	§ 32, § 61 Abs. 5

Für die Geschäftsleitung ist § 38 der unangenehmste Paragraf: Absatz 1 verpflichtet sie, die Maßnahmen nicht nur umzusetzen, sondern ihre Umsetzung zu überwachen; Absatz 3 verlangt regelmäßige eigene Schulungen. [2] Beides ist prüfbar, und beides fällt in der Praxis häufig als Erstes auf – weil es keine technische, sondern eine Kalender- und Protokollfrage ist. Die Details dazu stehen im Beitrag zu den NIS2-Schulungsanforderungen.

Das Audit, das die meisten Einrichtungen zuerst erleben: der Kunde

Kurz gefasst: Der wahrscheinlichste NIS2-Prüfer ist nicht das BSI, sondern ein Kunde – weil dieser Kunde gesetzlich verpflichtet ist, Sie zu bewerten.

§ 30 Abs. 2 Nr. 4 BSIG verlangt Maßnahmen zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern“. [1] Diese Pflicht trifft Ihren Kunden, nicht Sie – aber er kann sie nur erfüllen, indem er Sie bewertet. Sicherheitsfragebögen, Auditklauseln in Rahmenverträgen und Nachweisanforderungen in Ausschreibungen sind deshalb keine Beschaffungsmode, sondern die Art, wie ein regulierter Kunde seine eigene gesetzliche Pflicht dokumentiert. Der Beitrag zur NIS2-Lieferkettensicherheit beschreibt dieselbe Mechanik aus Sicht des Auftraggebers.

Für Lieferanten hat das eine praktische Konsequenz: Dieses Audit hat kein gesetzliches Format. Es gibt kein Nachweisdokument P, keine Behördenfrist und keine vorgeschriebene Mängelklassifikation – sondern so viele Fragebögen wie Kunden. Sinnvoll ist deshalb ein vorbereitetes Nachweispaket, das die immer gleichen Fragen einmal sauber beantwortet: Geltungsbereich, Risikoanalysemethodik, Vorfallprozess mit Meldewegen, Backup- und Wiederherstellungstest mit Datum, Zugangs- und MFA-Konzept, Schulungsnachweise sowie der Stand der eigenen Registrierung beim BSI. Wer dieses Paket einmal aufbaut, beantwortet den nächsten Fragebogen in Stunden statt in Wochen – und hält nebenbei genau die Unterlagen bereit, die auch eine Überprüfung nach § 61 Abs. 5 verlangen würde.

Nachweise in 90 Tagen aufbauen – mit realistischem Aufwand

Kurz gefasst: Die Vorbereitung beginnt nicht mit Dokumenten, sondern mit einer Lückenanalyse. Erst danach lässt sich sagen, wo überhaupt Aufwand entsteht.

Das Grundmuster jeder Gap-Analyse ist dasselbe: Ist-Zustand je Maßnahmenbereich, Soll-Zustand nach § 30 Abs. 2, Differenz, geschätzter Aufwand, verantwortliche Rolle, Termin. Der folgende Plan ist eine Praxisempfehlung, keine gesetzliche Vorgabe – das BSIG schreibt weder eine Frist noch eine Reihenfolge für die interne Vorbereitung vor.

Zeitpunkt	Schritt	Ergebnis	Aufwand
Tag 1–15	Lückenanalyse über alle zehn Bereiche des § 30 Abs. 2	bewertete Lückenliste mit Prioritäten	mittel
Tag 15–30	Nachweisregister anlegen: je Anforderung ein benanntes Dokument, ein Eigentümer, ein Datum	Nachweiskette von der Pflicht zum Beleg	niedrig
Tag 30–45	Risikoanalyse aktualisieren und durch die Leitung freigeben lassen	datierter Freigabevermerk	mittel
Tag 45–60	Wirksamkeit messen statt Existenz behaupten (§ 30 Abs. 2 Nr. 6)	Kennzahlenbericht, Testprotokolle	hoch
Tag 60–75	Schulungsnachweise ergänzen – auch für die Geschäftsleitung (§ 38 Abs. 3)	Teilnahmelisten mit Datum	niedrig
Tag 75–90	Internes Audit als Probelauf, Mängel nach vier Kategorien klassifizieren	Auditbericht plus Mängelbeseitigungsplan	hoch

Für das interne Audit gilt in der Beratungspraxis eine Regel, die den Unterschied zwischen belastbarem und wertlosem Ergebnis ausmacht: nicht nur prüfen, ob etwas vorhanden ist, sondern ob es wirkt – und die prüfende Person nicht aus dem Team wählen, das die Maßnahme umgesetzt hat. [10] Genau diese Unabhängigkeit fordert das BSI für den § 39-Nachweis ausdrücklich; für das freiwillige interne Audit ist sie eine Empfehlung, erfüllt aber dieselbe Funktion. Methodisch anschlussfähig ist der Leitfaden zur NIS2-Risikobewertung, die Schritt-für-Schritt-Sicht bietet die NIS2-Compliance-Checkliste.

Fünf Nachweisfehler, die in jeder Prüfung auffallen

Die folgenden fünf Punkte kosten kaum Aufwand – sie werden nur regelmäßig übersehen, weil sie nichts mit Technik zu tun haben.

1. Undatierte Dokumente. Eine Richtlinie ohne Versionsstand und Datum belegt nicht, dass sie zum geprüften Zeitpunkt galt.
2. Fehlende Freigabe der Leitung. § 38 Abs. 1 verlangt Umsetzung und Überwachung durch die Geschäftsleitung. Ohne Freigabevermerk fehlt der Beleg für beides. [2]
3. Wirksamkeit nie gemessen. § 30 Abs. 2 Nr. 6 verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“. [1] Eine Richtlinie ohne Messung erfüllt die Nummern 1 bis 5, aber nicht Nummer 6.
4. Kein Schulungsnachweis der Geschäftsleitung. § 38 Abs. 3 adressiert ausdrücklich die Leitungsebene, nicht die Belegschaft. [2]
5. ISO 27001 als Vollnachweis missverstanden. Das BSI stellt klar: „Eine Unternehmenszertifizierung alleine ist nicht ausreichend, um sämtliche Anforderungen des BSIG zu erfüllen.“ [6]

Welche Unterlagen je Maßnahmenbereich üblicherweise erwartet werden, ist im Beitrag zu den NIS2-Dokumentationspflichten tabellarisch aufgeschlüsselt.

Häufig gestellte Fragen

Gibt es eine NIS2-Zertifizierung?

Nein. Das BSIG kennt keine NIS2-Zertifizierung, und das BSI weist ausdrücklich darauf hin, dass eine Unternehmenszertifizierung allein nicht genügt, um sämtliche Anforderungen des Gesetzes zu erfüllen. [6] ISO 27001 oder IT-Grundschutz können Bestandteil eines Nachweises sein – für den § 39-Nachweis allerdings nur unter den Zusatzbedingungen, die das BSI dafür formuliert hat. [8]

Wie oft prüft das BSI wichtige Einrichtungen?

Es gibt keinen Rhythmus. § 62 BSIG erlaubt eine Überprüfung nur, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden. [5] Ohne einen solchen Anhaltspunkt findet keine Aufsichtsprüfung statt – die Pflichten aus § 30 bestehen davon unabhängig weiter.

Wer darf einen NIS2-Nachweis prüfen?

Für den § 39-Nachweis verlangt das BSI eine nachgewiesene Eignung: DAkkS-Akkreditierung für ISO/IEC 27001, BSI-Zertifizierung als IT-Sicherheitsdienstleister, Wirtschaftsprüferzulassung oder Prüfung nach IDW PS 983 beziehungsweise DIIR-Standard, mit vier abgedeckten Kompetenzbereichen im Team. [7] Für ein angeordnetes Audit nach § 61 Abs. 1 nennt das Gesetz „unabhängige Stellen“; die fachlich-organisatorischen Anforderungen dafür kann das Bundesamt nach § 61 Abs. 2 durch öffentliche Mitteilung auf seiner Webseite festlegen. [4]

Was passiert, wenn im Audit Mängel gefunden werden?

Mängel sind Teil des Verfahrens, nicht sein Scheitern. § 39 Abs. 1 verlangt die Übermittlung der aufgedeckten Sicherheitsmängel und erlaubt dem Bundesamt, einen Mängelbeseitigungsplan sowie Nachweise über die Beseitigung zu verlangen. [3] Das BSI hält in seinen FAQ fest: „Eine Nachbesserung und Abstellung der Sicherheitsmängel ist jederzeit zulässig.“ [8]

Muss ich mich auf ein Audit vorbereiten, wenn ich noch nicht registriert bin?

Die Registrierung ist eine eigene Pflicht mit eigener Frist – nach den BSI-FAQ spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt. [6] Sie ersetzt keine Nachweisführung, und eine fehlende Registrierung schiebt die Pflichten aus § 30 nicht auf. Ob Ihr Unternehmen betroffen ist, klärt die NIS2-Betroffenheitsprüfung.

Das Wichtigste in Kürze

Die Frage „Wann kommt mein NIS2-Audit?“ hat für rund 93 Prozent der registrierten Einrichtungen keine Terminantwort, sondern eine Auslöserantwort. Das ist keine Entwarnung, sondern eine Verschiebung des Risikos: Wer keinen Termin hat, hat auch keine Vorlaufzeit. Daraus folgt: Das Nachweisregister gehört laufend gepflegt, nicht projektweise. Der wahrscheinlichste erste Prüfer ist ein Kunde – ein vorbereitetes Nachweispaket beantwortet beide Szenarien zugleich. Und die vier Mängelkategorien des § 39-Verfahrens sind auch dann die beste verfügbare Vorlage für ein internes Audit, wenn sie für Sie nicht verpflichtend sind.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Einrichtungsart, Sektor und Zuständigkeit abweichen. Für eine auf Ihre Situation bezogene Bewertung ziehen Sie bitte qualifizierten Rechtsbeistand oder eine Compliance-Fachkraft hinzu.

Quellen

1. § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, Bundesministerium der Justiz
2. § 38 BSIG – Pflichten der Geschäftsleitungen, Bundesministerium der Justiz
3. § 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen, Bundesministerium der Justiz
4. § 61 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen, Bundesministerium der Justiz
5. § 62 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen, Bundesministerium der Justiz
6. FAQ zu NIS-2, Bundesamt für Sicherheit in der Informationstechnik
7. Orientierungshilfe zu Nachweisen gemäß § 39 Absatz 1 BSIG, Bundesamt für Sicherheit in der Informationstechnik
8. Fragen und Antworten zu Nachweisen gemäß § 39 BSIG, Bundesamt für Sicherheit in der Informationstechnik
9. NIS-2 in Zahlen, Bundesamt für Sicherheit in der Informationstechnik
10. Internes Audit für NIS2 durchführen, activeMind AG