NIS2-Dokumentationspflichten: Warum Prüfungen nicht an fehlenden Maßnahmen scheitern, sondern an fehlenden Nachweisen

NIS2-Prüfer verlangen selten den Beweis, dass eine Maßnahme fehlt – sie verlangen den Beweis, dass sie existiert. Genau darin liegt der Unterschied zwischen einem Unternehmen, das eine BSI-Prüfung ohne Beanstandung übersteht, und einem, das nachbessern muss: Die Firewall-Regel, die Schulung, die Risikoanalyse mögen längst umgesetzt sein. Ohne ein Dokument, ein Protokoll oder eine Freigabe, die das belegt, existiert die Maßnahme für den Prüfer nicht.

Das Problem: Das BSI-Gesetz kennt nicht eine Dokumentationspflicht, sondern mindestens drei – mit unterschiedlichen Adressaten, unterschiedlichen Fristen und unterschiedlichen Rechtsfolgen. Wer sie durcheinanderwirft, dokumentiert entweder zu wenig oder monatelang an der falschen Stelle. Dieser Leitfaden trennt die drei Pflichten, zeigt, was konkret nachzuweisen ist, und was das Gesetz – anders als viele Checklisten suggerieren – ausdrücklich nicht regelt.

Drei verschiedene Dokumentationspflichten – und warum sie ständig verwechselt werden

Wer online nach „NIS2 Dokumentationspflicht“ sucht, landet meist bei langen Listen einzelner Dokumente. Das überspringt die wichtigere Frage: Welche gesetzliche Pflicht verlangt überhaupt, dass dokumentiert wird – und für wen gilt sie? Das BSI-Gesetz (BSIG) unterscheidet drei separate Mechanismen, die selten sauber von den zehn NIS2-Anforderungen nach §30 Abs. 2 getrennt dargestellt werden.

Der Unterschied ist mehr als juristische Feinheit. Ein mittelständischer Softwareanbieter, der als wichtige Einrichtung gilt, aber keine kritische Anlage betreibt, unterliegt nicht der Drei-Jahres-Prüfpflicht aus §39 – wohl aber der laufenden Eigendokumentation aus §30 Abs. 1 Satz 3, und im Verdachtsfall der Vor-Ort-Prüfung nach §62. Ein Energieversorger mit KRITIS-Anlage trägt dagegen alle drei Pflichten gleichzeitig. Wer diese Unterscheidung nicht macht, überträgt die Drei-Jahres-Logik aus dem KRITIS-Kontext fälschlich auf die eigene Dokumentation – und wiegt sich in falscher Sicherheit, weil „das hat ja noch drei Jahre Zeit“ gilt. Für die laufende Dokumentationspflicht nach §30 Abs. 1 gibt es diese Schonfrist nicht.

Was genau muss dokumentiert werden? Die 10 Maßnahmenbereiche nach §30 Abs. 2 BSIG

§30 Abs. 2 BSIG listet zehn Bereiche, in denen besonders wichtige und wichtige Einrichtungen Maßnahmen ergreifen – und laut Satz 3 dokumentieren – müssen. Das Gesetz selbst schreibt keine Dokumentvorlagen vor; es beschreibt nur, was inhaltlich abgedeckt sein muss. Die folgende Tabelle ordnet jedem gesetzlichen Bereich zu, welche Art von Nachweis in der Beratungspraxis üblicherweise erwartet wird, wenn das Bundesamt nach §61 Abs. 5 „einschlägige Aufzeichnungen, Schriftstücke und sonstige Unterlagen“ sehen will.

Die rechte Spalte ist keine gesetzliche Vorgabe, sondern die Auslegung, die sich in der Beratungspraxis etabliert hat und sich an der Struktur des Durchführungsrechtsakts CIR 2024/2690 orientiert. Dieser ist rechtlich nur für neun eng definierte Anbieterkategorien digitaler Infrastruktur bindend (u. a. DNS-, Cloud- und Rechenzentrumsanbieter) und dient für alle anderen Einrichtungen bestenfalls als Orientierung, nicht als bindende Vorgabe.

Wie lange und in welcher Form? Was das Gesetz nicht regelt

Eine der am häufigsten falsch beantworteten Fragen: Wie lange müssen NIS2-Dokumente aufbewahrt werden? Die klare Antwort: Weder §30 noch §39 noch §61 BSIG nennen eine Aufbewahrungsfrist für die allgemeine Compliance-Dokumentation. Das unterscheidet NIS2 von Bereichen wie dem Handels- oder Steuerrecht, wo feste Fristen von sechs oder zehn Jahren gelten.

Eine indirekte Orientierung liefert der Durchführungsrechtsakt CIR 2024/2690: Sein Anhang, Abschnitt 1.1 Buchstabe h, verlangt von den betroffenen Einrichtungen, in der eigenen Sicherheitsleitlinie selbst festzulegen, welche Dokumentation aufbewahrt wird und wie lange. Das gilt rechtlich verbindlich nur für die neun im CIR definierten Kategorien digitaler Infrastruktur- und Diensteanbieter. Für alle anderen besonders wichtigen und wichtigen Einrichtungen ist dieser Mechanismus nicht bindend – er zeigt aber ein sinnvolles Prinzip: Legen Sie die Aufbewahrungsdauer selbst fest, statt sie offenzulassen, und schreiben Sie das in Ihre eigene Leitlinie.

Als praktische Faustregel gilt in der Beratungspraxis: Dokumente mindestens bis zum nächsten planmäßigen Prüfzyklus aufbewahren – bei KRITIS-Anlagen also mindestens drei Jahre, bei allen anderen Einrichtungen so lange, wie die zugehörige Risikoanalyse oder Maßnahme gültig ist. Das Format schreibt das Gesetz nicht vor: §61 Abs. 5 verlangt lediglich, Unterlagen „in geeigneter Weise“ vorzulegen – ein durchsuchbares Dokumentenmanagementsystem erfüllt das ebenso wie eine sauber geführte Ordnerstruktur, solange Version und Aktualität nachvollziehbar sind.

Woran ein BSI-Audit tatsächlich scheitert: nicht an Maßnahmen, sondern an Nachweisen

§61 Abs. 5 BSIG verpflichtet besonders wichtige Einrichtungen, dem Bundesamt und den in dessen Auftrag handelnden Personen Zutritt zu den Geschäftsräumen zu gewähren und auf Verlangen „die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren“. Das ist die praktische Realität einer Prüfung: Es wird nicht abgefragt, ob eine Firewall-Regel existiert – es wird verlangt, sie zu zeigen.

In der Beratungspraxis wiederholen sich dieselben Lücken: Eine Risikoanalyse wurde erstellt, aber niemand kann belegen, wann sie zuletzt aktualisiert wurde. Schulungen fanden statt, aber Teilnahmenachweise fehlen. Zuständigkeiten sind benannt, aber die Freigabe durch die Geschäftsleitung wurde nie protokolliert. In allen drei Fällen existiert die Maßnahme – nur der Nachweis fehlt, und aus Sicht des Prüfers ist das im Ergebnis gleichbedeutend mit Nichteinhaltung.

Ein konkretes Beispiel macht den Unterschied greifbar: „Wir haben MFA eingeführt“ ist eine Behauptung. Ein Rollout-Protokoll mit Datum je Abteilung, Ausnahmeliste mit Begründung und dem Namen der freigebenden Person ist ein Nachweis nach §30 Abs. 2 Nr. 10. Dieselbe Logik gilt für jeden der zehn Bereiche: Nicht die Maßnahme selbst, sondern ihr dokumentiertes Gegenstück – mit Datum, Verantwortlichem und nachvollziehbarem Ergebnis – ist das, was bei einer Prüfung nach §61 Abs. 5 tatsächlich verlangt wird.

Für Compliance-Verantwortliche bedeutet das: Jede Maßnahme braucht ein Gegenstück in der Dokumentation, das Datum, Verantwortlichen und Ergebnis zeigt – nicht nur die Absicht. Für die Geschäftsleitung ist die Konsequenz noch direkter: §61 Abs. 1 erlaubt dem Bundesamt, gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anzuordnen – ohne dass zuvor ein Verdacht vorliegen muss. Wichtige Einrichtungen sind hier vorerst besser gestellt: Nach §62 BSIG darf das Bundesamt nur tätig werden, wenn „Tatsachen die Annahme rechtfertigen“, dass Pflichten nicht oder nicht richtig erfüllt werden – ein Anlass ist also Voraussetzung. Ein veraltetes, lückenhaftes Dokumentenarchiv kann genau ein solcher Anlass werden, sobald es im Rahmen eines Sicherheitsvorfalls oder einer Meldung nach §32 sichtbar wird.

Rollen: Wer bei Ihnen die Nachweise pflegt

Dokumentationspflicht wird in der Praxis oft als reine IT-Aufgabe missverstanden. Tatsächlich verteilt sich die Verantwortung auf mehrere Rollen mit unterschiedlichen Nachweispflichten:

Diese Verteilung ist besonders für die Geschäftsleitung relevant: §38 BSIG macht Geschäftsführer und Vorstände persönlich haftbar, wenn sie die Umsetzung der Sicherheitsmaßnahmen nicht überwacht haben – und diese Aufsicht selbst muss dokumentiert sein, getrennt von der technischen Dokumentation der IT-Abteilung.

Folgen fehlender oder unvollständiger Dokumentation

§65 BSIG sieht Bußgelder ausdrücklich auch für das Nichtvorlegen erforderlicher Dokumentation und Nachweise vor:

Eine vollständige Übersicht aller Bußgeldtatbestände und -höhen finden Sie in unserem Leitfaden zu NIS2-Sanktionen. Wichtig für die Praxis: Das Bußgeld knüpft nicht nur an das Fehlen einer Maßnahme an, sondern ausdrücklich auch an die verweigerte oder unvollständige Vorlage von Dokumenten und Nachweisen gegenüber dem Bundesamt.

Häufig gestellte Fragen

Muss ich für den NIS2-Nachweis ISO-27001-zertifiziert sein?
Nein, eine Zertifizierung ist gesetzlich nicht vorgeschrieben. §61 Abs. 1 erlaubt dem Bundesamt zwar, Audits, Prüfungen oder Zertifizierungen anzuordnen – die eigene Dokumentation nach §30 Abs. 1 ist davon unabhängig und auch ohne Zertifizierung zu führen. Eine bestehende ISO-27001-Zertifizierung deckt nach Praxiseinschätzungen einen erheblichen Teil der Nachweise ab, ersetzt aber nicht NIS2-spezifische Elemente wie die Meldefristen nach §32.

Ab wann kann das BSI konkret Nachweise verlangen?
Für besonders wichtige Einrichtungen kann das Bundesamt gezielte Audits jederzeit anordnen (§61 Abs. 1). Die allgemeine, nicht anlassbezogene Nachweisvorlage nach §61 Abs. 3 kann frühestens drei Jahre nach Inkrafttreten des Gesetzes verlangt werden – bei Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 also frühestens ab dem 6. Dezember 2028. Vor-Ort-Prüfungen nach §61 Abs. 5 sind davon unabhängig und nicht an diese Frist gebunden.

Reicht eine normale Ordnerstruktur oder ein internes Wiki?
Das Gesetz schreibt kein bestimmtes Format vor. §61 Abs. 5 verlangt, Unterlagen „in geeigneter Weise“ vorzulegen – entscheidend ist, dass die Dokumente vollständig, aktuell, versioniert und im Prüfungsfall zügig auffindbar sind, nicht das Werkzeug dahinter.

Was passiert, wenn Dokumentation vorhanden, aber veraltet ist?
Rechtlich zählt eine veraltete Dokumentation im Ergebnis oft wie eine fehlende: Sie belegt nicht mehr, dass die Maßnahme dem aktuellen Betrieb entspricht. In der Beratungspraxis gilt eine seit über einem Jahr nicht aktualisierte Risikoanalyse als klassisches Prüfungsrisiko.

Gilt die Dokumentationspflicht auch für wichtige, nicht nur besonders wichtige Einrichtungen?
Ja. §30 Abs. 1 Satz 3 BSIG gilt gleichermaßen für besonders wichtige und wichtige Einrichtungen. Der Unterschied liegt in der Aufsicht: Bei wichtigen Einrichtungen wird die Dokumentation nur bei einem konkreten Anlass nach §62 BSIG geprüft, nicht anlasslos wie bei besonders wichtigen Einrichtungen.

Eine vollständige, abhakbare Übersicht aller Umsetzungsschritte – nicht nur der Dokumentation – finden Sie in unserer NIS2-Compliance-Checkliste.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Sektor und Einzelfall abweichen. Konsultieren Sie für eine auf Ihr Unternehmen zugeschnittene Bewertung eine qualifizierte Rechts- oder Compliance-Fachkraft.

Quellen

• § 30 BSIG – Risikomanagementmaßnahmen (gesetze-im-internet.de)
• § 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen (gesetze-im-internet.de)
• § 31 BSIG – Zusätzliche Anforderungen für Betreiber kritischer Anlagen (gesetze-im-internet.de)
• § 32 BSIG – Melde- und Unterrichtungspflichten (gesetze-im-internet.de)
• § 61 BSIG – Besondere Überwachungsmaßnahmen für besonders wichtige Einrichtungen (buzer.de)
• § 62 BSIG – Überwachungsmaßnahmen für wichtige Einrichtungen (gesetze-im-internet.de)
• § 65 BSIG – Bußgeldvorschriften (gesetze-im-internet.de)
• Commission Implementing Regulation (EU) 2024/2690, Anhang Abschnitt 1.1 (advisera.com)
• OpenKRITIS, Struktur des Durchführungsrechtsakts CIR 2024/2690 (openkritis.de)
• secjur, NIS2 Audit & Nachweis: Was Unternehmen wissen müssen (secjur.com)