NIS2 Komplettpaket

Beschreibung

Die NIS2-Pflichten gelten seit dem 6. Dezember 2025 – und § 30 Abs. 1 BSIG verlangt, ihre Einhaltung zu dokumentieren. 66 editierbare Vorlagen (54 Word-Dokumente + 12 Excel-Arbeitsmappen) und 10 Umsetzungs-Anleitungen als Wegweiser bringen Sie vom leeren Blatt zu einem strukturierten, an Art. 21 NIS2 und § 30 BSIG ausgerichteten Dokumentationssystem – als Grundlage für Ihren Vorstand und für Nachweisanfragen der Aufsicht.

Warum fehlende NIS2-Dokumentation Bußgelder von bis zu 10 Millionen Euro nach § 65 BSIG auslösen kann

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft und hat das BSI-Gesetz (BSIG) neu gefasst. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Aufsichtsbefugnisse. Das ist die sichtbare Aufgabe: Betroffene Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG ergreifen und deren Einhaltung dokumentieren (§ 30 Abs. 1 Satz 3 BSIG) – Risikoanalyse, Vorfallbewältigung, Lieferkettensicherheit, Überwachung durch die Geschäftsleitung, alles belegt und nachvollziehbar.

Aber die eigentliche Sorge sitzt tiefer als die Vorschrift selbst. Es ist das Bild, mit einem Ordner voller angefangener Word-Dateien dazustehen, wenn das BSI im Rahmen seiner Aufsicht (§§ 61, 62 BSIG) Nachweise anfordert – und nach einem Dokument gefragt wird, das es schlicht nicht gibt. Und es ist der Gedanke, dass am Ende Ihr Name unter der Entscheidung steht, es so lange aufgeschoben zu haben – nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und ihre Umsetzung überwachen; wer diese Pflicht schuldhaft verletzt, haftet der Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG).

Und ganz grundsätzlich: Niemand sollte ein Vierteljahr mit einer leeren Vorlage und einer Frist im Nacken verbringen müssen, nur weil keine fertige, auf Deutsch verfasste Dokumentation zur Hand ist, die NIS2-Richtlinie, CIR 2024/2690 und BSIG zusammenführt. Das ist der eigentliche Gegner in dieser Geschichte – nicht das Gesetz, sondern der Flickenteppich: die Sammlung halbfertiger Einzeldokumente, die bei der ersten Nachfrage auseinanderfällt, weil nichts miteinander verzahnt ist.

Fünf Realitäten, die diesen Gegner konkret machen:

1. Bußgelder bis zu 10 Millionen Euro (§ 65 BSIG): Für Verstöße u. a. gegen § 30 (Maßnahmen und deren Dokumentation) und § 32 (Meldungen) drohen bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen. Die umsatzbezogenen Obergrenzen von 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes gelten nur für Einrichtungen mit mehr als 500 Mio. € Gesamtumsatz.
2. Haftung der Geschäftsleitung (§ 38 BSIG): Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2).
3. Art. 21 NIS2-Richtlinie / § 30 Abs. 2 BSIG – 10 Mindestmaßnahmen: Von Risikoanalyse (Nr. 1) über Lieferkettensicherheit (Nr. 4) bis hin zu kryptografischen Verfahren (Nr. 8) – die Einhaltung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren.
4. BSI-Registrierungspflicht (§ 33 BSIG): Wichtige und besonders wichtige Einrichtungen müssen sich beim BSI registrieren; für bereits betroffene Einrichtungen lief die Frist am 6. März 2026 ab. Wer noch nicht registriert ist, sollte das unverzüglich nachholen – eine unterlassene Registrierung kann mit bis zu 500.000 € geahndet werden. Die Registrierung selbst erfordert Stammdaten (§ 33 Abs. 1); die Dokumentation nach § 30 brauchen Sie für die laufende Pflichterfüllung.
5. Meldepflicht mit 24-Stunden-Frist (§ 32 BSIG): frühe Erstmeldung spätestens 24 Stunden und Meldung spätestens 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, Abschlussmeldung spätestens einen Monat nach der Meldung. Vorbereitete Formulare helfen, diese Fristen auch unter Stress einzuhalten.

Viele Unternehmen kämpfen gerade gegen genau diesen Flickenteppich – einzelne Dokumente ohne System, die beim ersten Nachfragen zusammenfallen. Das NIS2-Komplettpaket ist kein weiteres Einzeldokument. Es ist das System, das den Flickenteppich ersetzt.

Wir kennen dieses Gefühl – und wir haben das System dagegen gebaut

Wir wissen, wie es sich anfühlt, am Freitagabend vor einer leeren Richtlinien-Vorlage zu sitzen, während die Frist näherrückt und niemand im Haus genau sagen kann, wie eine vollständige NIS2-Dokumentation überhaupt aussehen muss. Genau deshalb haben wir das NIS2-Komplettpaket nicht als lose Dokumentensammlung zusammengestellt, sondern als in sich geschlossenes System gebaut.

Das Ergebnis: 66 editierbare deutsche Vorlagen, die NIS2-Richtlinie, CIR 2024/2690 und die §§ 30–38 BSIG in einem aufeinander abgestimmten Dokumentensatz zusammenführen – ergänzt um ein NIS2–ISO-27001-Mapping (Excel) und Verweise auf BSI IT-Grundschutz-Bausteine in den Richtlinien, damit Sie bestehende ISO-27001- oder Grundschutz-Dokumentation einbinden können, statt sie doppelt zu pflegen.

66 Vorlagen, ein System – und drei Schritte zur nachweisbaren Dokumentation

Das NIS2-Komplettpaket enthält 66 editierbare Kernvorlagen (54 DOCX + 12 XLSX), verfasst auf Deutsch, mit Verweisen auf die einschlägigen Paragrafen des BSIG (in der Fassung des NIS2UmsuCG), die Artikel der NIS2-Richtlinie sowie die technischen Vorgaben des Durchführungsrechtsakts CIR 2024/2690 – verbindlich nur für die elf in § 30 Abs. 3 BSIG genannten Einrichtungsarten (z. B. Cloud- und Rechenzentrumsdienste, Managed (Security) Service Provider), für alle anderen eine Orientierungshilfe. Dazu erhalten Sie als benannten Bonus 10 Umsetzungs-Anleitungen – Masterplan, Rollenmatrix, Schnellstartkarten und Flussdiagramme –, die Ihnen zeigen, in welcher Reihenfolge Sie die 66 Vorlagen abarbeiten. Zusammen sind das 76 Dateien im Kernpaket.

Alle 76 Dateien im Kernpaket anzeigen (66 Vorlagen + 10 Anleitungen)

1. 00a — Willkommen & Übersicht (Anleitung)
2. 00b — Implementierungsleitfaden (Anleitung)
3. 00c — Masterplan (Anleitung)
4. 00d — Rollenmatrix (Anleitung)
5. 00e — Schnellstartkarte: NIS2-Beauftragter (Anleitung)
6. 00f — Schnellstartkarte: IT-Leiter (Anleitung)
7. 00g — Schnellstartkarte: HR-Manager (Anleitung)
8. 00h — Vorfallreaktion-Swimlane (Anleitung)
9. 00i — Implementierungs-Flussdiagramm (Anleitung)
10. 00j — Dokument-Abhängigkeitskarte (Anleitung)
11. 01 — Projektstart-Entscheidung
12. 02 — Projektplan
13. 03 — Erster Schulungsplan
14. 04 — Informationssicherheitsrichtlinie
15. 05 — Risikobeurteilungsmethodik
16. 06 — Risikobewertungstabelle
17. 07 — Risikobehandlungstabelle
18. 08 — Akzeptanz von Restrisiken
19. 09 — Risikobewertungs- & Behandlungsbericht
20. 10 — Risikobehandlungsplan
21. 11 — IT-Sicherheitsrichtlinie
22. 12 — Clean-Desk & Clean-Screen-Richtlinie
23. 13 — Mobiles Arbeiten & Homeoffice
24. 14 — BYOD-Richtlinie
25. 15 — Physische Sicherheitsrichtlinie
26. 16 — Informationsklassifizierungsrichtlinie
27. 17 — Verfahren zur Bestandsverwaltung (Asset-Management)
28. 18 — IT-Asset-Register
29. 19 — Netzwerksicherheitsrichtlinie
30. 20 — Schwachstellen- & Patch-Management
31. 21 — Verfahren zur Protokollierung & Überwachung
32. 22 — Verfahren zum IKT-Änderungsmanagement
33. 23 — Backup-Richtlinie
34. 24 — Informationstransfer-Richtlinie
35. 25 — Sichere Kommunikationsrichtlinie
36. 26 — Sichere Entsorgungsrichtlinie
37. 27 — Verschlüsselung & Kryptografie
38. 28 — Zugangssteuerungs-Richtlinie
39. 29 — Authentifizierungsrichtlinie (inkl. MFA)
40. 30 — Passwortrichtlinie
41. 31 — IKT-Beschaffungsrichtlinie
42. 32 — IKT-Sicherheitsanforderungen
43. 33 — HR-Sicherheitsrichtlinie
44. 34 — Erklärung zur Kenntnisnahme der Sicherheitsrichtlinien
45. 35 — BIA-Methodik
46. 36 — BIA-Fragebogen
47. 37 — Business-Continuity-Strategie
48. 38 — Business-Continuity-Plan
49. 39 — Krisenmanagementplan
50. 40 — Übungsplan
51. 41 — Übungsbericht
52. 42 — Lieferkettensicherheits-Richtlinie
53. 43 — Lieferanten-Sicherheitsklauseln
54. 44 — Vertraulichkeitserklärung
55. 45 — Lieferantenverzeichnis
56. 46 — Messkennzahlen-Methodik
57. 47 — Messkennzahlenbericht
58. 48 — Vorfallbehandlungsrichtlinie
59. 49 — Kleines Vorfallverfahren
60. 50 — Vorfallprotokoll
61. 51 — Vorfallmeldeformulare
62. 52 — Korrekturmaßnahmen-Register
63. 53 — NIS2–ISO-27001-Mapping-Tabelle
64. 54 — Lückenanalyse
65. 55 — Schulungsprotokoll
66. 56 — Interne Audit-Checkliste
67. 57 — CIR-2024/2690-Compliance-Matrix
68. 58 — Vorstandsbriefing-Paket
69. 59 — Vorstandsbeschluss
70. 60 — Lieferanten-Selbstbewertung
71. 61 — Lieferanten-Compliance-Checkliste
72. 62 — DSGVO–NIS2-Checkliste
73. 63 — BSI-Anmeldungsleitfaden
74. 64 — Desaster-Recovery-Plan
75. 65 — Audit-Verfahren
76. 66 — Auditberichtsvorlage

An welcher Art.-21-Maßnahme sich welche Vorlagen orientieren

Die Zuordnung zeigt, woran sich die Vorlagen orientieren. Ob die Maßnahmen im Einzelfall geeignet, verhältnismäßig und wirksam sind (§ 30 Abs. 1 BSIG), hängt von der Umsetzung in Ihrer Einrichtung ab.

Welches Paket zu Ihrem Ausgangspunkt passt

Wer das NIS2-Komplettpaket nutzt

CISO / NIS2-Beauftragter — Sie benötigen eine strukturierte Dokumentationsbibliothek, auf die Sie bei Nachweisanfragen der Aufsicht zurückgreifen können. Statt Vorlagen monatelang von Grund auf zu erstellen, starten Sie mit einem fertigen Gerüst, das Sie an Ihre Einrichtung anpassen. Die mitgelieferte Lückenanalyse (Dok. 54) zeigt Ihnen präzise, welche Bereiche noch Handlungsbedarf haben.

Geschäftsführer / Vorstand — Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei schuldhafter Pflichtverletzung droht die Haftung gegenüber der eigenen Einrichtung (§ 38 Abs. 2). Das Vorstandsbriefing-Paket (Dok. 58) und der Vorstandsbeschluss (Dok. 59) helfen, nachvollziehbar zu dokumentieren, wie Sie diese Pflichten wahrnehmen – eine Haftungsfreistellung sind sie nicht.

IT-Leiter in Unternehmen ohne dedizierten CISO — Sie tragen die operative Verantwortung, haben aber kein spezialisiertes Compliance-Team. Die Schnellstartkarte IT-Leiter (Dok. 00f) führt Sie in drei Schritten durch die kritischen ersten Wochen. Die 24 Dokumente des Moduls Kernsicherheitsrichtlinien geben Ihnen sofort einsetzbare Grundlagendokumentation.

Externe Berater und Datenschutzbeauftragte — Sie betreuen mehrere Mandanten gleichzeitig und benötigen eine Vorlage, die für jedes Unternehmen angepasst werden kann. Alle 54 Word-Vorlagen sind mit Platzhaltern versehen und in Word vollständig editierbar. Das NIS2–ISO-27001-Mapping (Dok. 53) vereinfacht die Integration in bestehende ISO-27001-Zertifizierungen Ihrer Mandanten.

Häufige Fragen zum NIS2-Komplettpaket

Gelten die NIS2-Pflichten auch für unser Unternehmen?

Die Pflichten des BSIG gelten für „wichtige“ und „besonders wichtige Einrichtungen“ der in den Anlagen 1 und 2 BSIG genannten Einrichtungsarten (u. a. Energie, Transport und Verkehr, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe). Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. € aufweist (§ 28 Abs. 2 BSIG); für einige Einrichtungsarten gelten größenunabhängige Sonderregeln. Prüfen Sie Sektor und Schwellenwerte für Ihre Einrichtung – einschließlich verbundener Unternehmen – und lassen Sie die Einstufung im Zweifel anwaltlich prüfen.

In welchem Format werden die Dokumente geliefert?

Die 66 Kernvorlagen werden als editierbare DOCX-Dateien (Microsoft Word, 54 Stück) und XLSX-Dateien (Microsoft Excel für Tabellen und Register, 12 Stück) geliefert, die 10 Umsetzungs-Anleitungen ebenfalls als Word-Dateien (DOCX). Nach dem Kauf können Sie die Dateien sofort öffnen, Ihr Unternehmenslogo einfügen, Platzhalter ausfüllen und mit Ihrem Team teilen. Keine zusätzliche Software erforderlich.

Wie lange dauert die Implementierung mit diesen Vorlagen?

Als Richtwert planen wir für mittelständische Unternehmen (50–250 Mitarbeitende) 4–8 Wochen für die Anpassung der Dokumentation ein; wie lange die technische und organisatorische Umsetzung der Maßnahmen dauert, hängt von Ihrer Ausgangslage ab. Die Erstellung dieser Dokumentation von Grund auf dauert in der Regel deutlich länger. Die mitgelieferten Schnellstartkarten und der Masterplan (Dok. 00c) geben Ihnen einen klaren Projektpfad.

Sind die Vorlagen auf das deutsche Recht (BSIG / NIS2UmsuCG) abgestimmt?

Die Vorlagen verweisen auf die einschlägigen Paragrafen des BSIG in der Fassung des NIS2UmsuCG (§§ 30–38), die Artikel der NIS2-Richtlinie sowie den Durchführungsrechtsakt CIR 2024/2690 (verbindlich nur für die elf in § 30 Abs. 3 BSIG genannten Einrichtungsarten, für alle anderen eine Orientierungshilfe). Sie stellen jedoch kein Substitut für rechtliche Beratung dar – bitte lesen Sie unseren Haftungsausschluss am Ende dieser Seite und lassen Sie die finale Umsetzung von einem qualifizierten Fachmann prüfen.

Was ist der Unterschied zwischen diesem Paket und dem Schnellstart-Paket?

Das Schnellstart-Paket (8 Vorlagen + 10 Umsetzungs-Anleitungen, €249) ist für Unternehmen gedacht, die sofort mit der Compliance beginnen müssen und sich auf die kritischsten Bereiche konzentrieren wollen. Das Komplettpaket (66 Vorlagen + 10 Umsetzungs-Anleitungen, 76 Dateien, €497) orientiert sich an allen 10 Maßnahmen nach Art. 21 NIS2 / § 30 Abs. 2 BSIG und enthält Lieferkettendokumentation, Vorstandsbriefing und -beschluss (§ 38), die BSI-Registrierungshilfe und Vorlagen für interne Audits. Wenn Sie den vollen Umfang der Maßnahmen nach § 30 Abs. 2 BSIG dokumentieren wollen, empfehlen wir das Komplettpaket.

Können wir die Vorlagen für mehrere Tochtergesellschaften verwenden?

Die Lizenz gilt für eine juristische Person (ein Unternehmen). Für Konzerne und Berater gibt es die Enterprise-Lizenz für bis zu 5 Rechtsträger (AGB § 6 Abs. 4).

Wie funktioniert die BSI-Registrierung, und hilft das Paket dabei?

Wichtige und besonders wichtige Einrichtungen müssen sich beim BSI registrieren (§ 33 BSIG). Für bereits betroffene Einrichtungen lief die Frist am 6. März 2026 ab; wer noch nicht registriert ist, sollte das unverzüglich nachholen. Die Registrierung erfolgt über das BSI-Portal (portal.bsi.bund.de) mit einem ELSTER-Organisationszertifikat („Mein Unternehmenskonto“). Der BSI-Anmeldungsleitfaden (Dok. 63) hilft Ihnen, die nach § 33 Abs. 1 BSIG zu übermittelnden Angaben zusammenzustellen und Änderungen nachzuhalten (unverzüglich, spätestens binnen zwei Wochen, § 33 Abs. 5). Den aktuellen technischen Ablauf prüfen Sie bitte vor der Registrierung auf bsi.bund.de.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Vom Flickenteppich zum strukturierten Dokumentationssystem – starten Sie heute

Stellen Sie sich den Unterschied vor: statt am Vorabend eines Nachweistermins einzelne Word-Dateien zusammenzusuchen, öffnen Sie einen Ordner mit 66 aufeinander abgestimmten Vorlagen und beginnen sofort mit der Anpassung – damit Sie Ihrem Vorstand und, auf Anforderung, dem BSI ein strukturiertes, an Art. 21 NIS2 und § 30 BSIG ausgerichtetes Dokumentationssystem vorlegen können. Nicht erst in sechs Monaten. Ab dieser Woche.

Solange die nach § 30 Abs. 1 BSIG geforderte Dokumentation fehlt, bestehen für betroffene Einrichtungen Bußgeldrisiken nach § 65 BSIG – und für die Geschäftsleitung das Haftungsrisiko gegenüber der eigenen Einrichtung nach § 38 Abs. 2 BSIG. Das NIS2-Komplettpaket gibt Ihnen das Werkzeug für den Aufbau: 66 editierbare deutsche Vorlagen, 10 Umsetzungs-Anleitungen als Wegweiser, dreifache Quellenabbildung (NIS2-Richtlinie + CIR 2024/2690 + BSIG) und Vorlagen für interne Audits.