Welche Dokumente NIS2 tatsächlich verlangt
NIS2 schreibt kein starres „NIS2-Handbuch“ mit einer festen Anzahl von Dokumenten vor. Das deutsche BSIG verlangt jedoch, dass geeignete, verhältnismäßige und wirksame technische und organisatorische Risikomanagementmaßnahmen ergriffen und dokumentiert werden. Für die Praxis entsteht daraus eine Dokumenten- und Nachweisarchitektur aus Richtlinien, Standards, Prozessen, Registern, Freigaben, Testprotokollen und Managemententscheidungen.
Entscheidend ist nicht die Anzahl der Dateien. Entscheidend ist die Traceability: Welche Anforderung wird wo geregelt, wer ist verantwortlich, wie wird sie ausgeführt und welcher Nachweis zeigt, dass die Kontrolle tatsächlich funktioniert?
Dokumentenhierarchie: von Governance bis Evidenz
| Ebene | Zweck | Beispiel |
|---|---|---|
| Policy / Richtlinie | verbindliche Grundsätze, Ziele, Rollen und Freigabe | Cybersecurity Policy |
| Standard | verbindliche Mindestanforderungen | Backup- oder Access-Control-Standard |
| Prozess / Verfahren | Auslöser, Rollen, Ablauf, Eskalation und Abschluss | Incident- oder Risikomanagementprozess |
| Arbeitsanweisung | konkrete operative Durchführung | Restore-Test oder Benutzerrezertifizierung |
| Register | laufende Erfassung und Steuerung | Risikoregister, Lieferantenregister |
| Nachweis | belegt tatsächliche Umsetzung und Wirksamkeit | Testprotokoll, Freigabe, Review, Bericht |
Dokumentenlandkarte für die NIS2-Governance
| Bereich | Typische Governance-Unterlagen | Typische Nachweise |
|---|---|---|
| Governance | Security Policy, Rollenmodell, Eskalationsregeln | Freigaben, Management Reviews, Beschlüsse |
| Risikomanagement | Risikomethodik, Risikoregister, Behandlungsprozess | Risikoentscheidungen, Review-Protokolle |
| Incident Management | Incident-Verfahren, Meldeprozess, Eskalationsmatrix | Tickets, Vorfallsberichte, Übungen |
| Business Continuity | BCM-/DR-Regelungen, Wiederanlaufpläne | Restore-Tests, Krisenübungen, Maßnahmenlisten |
| Lieferkette | Supplier-Security-Regelung, Kritikalitätsmodell | Bewertungen, Vertragsklauseln, Reviews |
| Assets und Zugriff | Asset- und IAM-Regeln | Inventar, Rezertifizierung, Freigaben |
| Schwachstellen | Vulnerability-/Patch-Prozess | Scanreports, Ausnahmeentscheidungen, Verifikation |
| Schulung | Awareness- und Rollen-Schulungskonzept | Teilnahme, Tests, Wirksamkeitsauswertung |
Dokument und Evidenz sind nicht dasselbe
Eine freigegebene Policy zeigt, dass eine Regel definiert wurde. Sie beweist nicht automatisch, dass diese Regel im Betrieb funktioniert. Ein belastbares Governance-System verbindet daher Regelungsdokumente mit operativen Nachweisen.
Definiert
Was ist verbindlich geregelt?
Verantwortet
Wer entscheidet, führt aus und kontrolliert?
Ausgeführt
Welche tatsächliche Aktivität findet statt?
Nachgewiesen
Welcher Beleg zeigt die Durchführung?
Geprüft
Wie wird Wirksamkeit festgestellt?
Verbessert
Wie werden Abweichungen behandelt?
Traceability: die entscheidende Verbindung
Traceability bedeutet, dass eine gesetzliche oder organisatorische Anforderung über die gesamte Umsetzungskette nachvollziehbar bleibt.
Anforderung → Kontrollziel → Verantwortlicher → Regelungsdokument → Prozess → operativer Nachweis → Wirksamkeitsprüfung → Management Review.
Diese Verbindung reduziert drei typische Risiken: Anforderungen ohne Umsetzung, Dokumente ohne tatsächlichen Prozess und Kontrollen ohne belastbaren Nachweis.
Dokumentenlebenszyklus und Freigabe
- eindeutiger Dokumenteneigentümer
- Version und Freigabestatus
- Geltungsbereich und adressierte Rollen
- Reviewrhythmus und Änderungs-Trigger
- verknüpfte Prozesse, Register und Nachweise
- kontrollierte Archivierung abgelöster Versionen
- nachvollziehbare Freigabe durch die zuständige Rolle
Minimalset oder ausgebautes Governance-System?
Ein kleines Unternehmen benötigt nicht dieselbe Dokumentenlandschaft wie eine komplexe internationale Gruppe. Das BSIG betont Angemessenheit und Verhältnismäßigkeit. Trotzdem müssen alle relevanten Pflichtbereiche wirksam gesteuert werden. Dokumente können sinnvoll kombiniert werden, solange Verantwortlichkeit, Kontrollziel, Ablauf und Nachweis eindeutig bleiben.
Praxisregel: Weniger Dokumente sind nicht automatisch besser. Mehr Dokumente sind nicht automatisch reifer. Entscheidend ist, ob die Struktur verständlich, widerspruchsfrei, ausführbar und nachweisbar ist.
Typische Fehler bei NIS2-Dokumenten
- Vorlagen werden unverändert übernommen und passen nicht zur tatsächlichen Organisation.
- Policies, Standards und Prozesse widersprechen sich.
- Dokumente haben keinen eindeutigen Owner oder keinen Reviewtermin.
- technische Kontrollen existieren, aber operative Nachweise werden nicht aufbewahrt.
- Risikoakzeptanzen und Ausnahmen sind nicht befristet oder nicht freigegeben.
- Managemententscheidungen sind nicht mit dem zugrunde liegenden Risiko verknüpft.
- Dokumente werden erstellt, aber die Wirksamkeit der beschriebenen Prozesse nie getestet.
Von der Dokumentenliste zum Governance-System
Eine Dokumentenliste zeigt, was typischerweise benötigt wird. Die eigentliche Arbeit besteht darin, daraus ein konsistentes System aus Richtlinien, Standards, Prozessen, Rollen, Registern, Reviews und Nachweisen zu machen.
Das NIS2 Governance Toolkit stellt dafür eine zusammenhängende editierbare Arbeitsgrundlage bereit. Für Unternehmen, die zuerst ihren aktuellen Stand bewerten möchten, ist die NIS2-Gap-Analyse der vorgelagerte Schritt.
FAQ zu NIS2-Dokumenten und Nachweisen
Gibt es eine gesetzlich vorgeschriebene Dokumentenliste?
Nein. Das Gesetz definiert Pflichtbereiche und verlangt die Dokumentation der Risikomanagementmaßnahmen. Die konkrete Dokumentenarchitektur muss zur Organisation und zum Risiko passen.
Reicht eine Policy als Nachweis?
Eine Policy belegt die Regelung. Für die tatsächliche Umsetzung und Wirksamkeit sind zusätzliche operative Nachweise erforderlich.
Müssen alle Dokumente separat sein?
Nein. Inhalte können zusammengeführt werden, sofern Verantwortlichkeiten, Anforderungen und Nachweise weiterhin eindeutig und wartbar bleiben.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
NIS2-Gap-Analyse
Zuerst ermitteln, welche Fähigkeiten, Nachweise und Dokumente tatsächlich fehlen.
NIS2-Umsetzungsplan
Dokumentenbedarf in Owner, Prioritäten, Termine und belastbare Umsetzung überführen.
NIS2-Verantwortung und Delegation
Dokumente mit klaren Rollen, Mandaten, Freigaben und Reviews verbinden.
NIS2 Reference Edition
Der vollständige fachliche Überblick zu NIS2 in Deutschland.
NIS2 Executive Self-Assessment
Standort bestimmen, Executive Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollenmodelle, Vorlagen und Nachweise für die Umsetzung.
Quellen und Rechtsstand
Die Seite wurde am 9. August 2026 fachlich gegen den aktuellen deutschen Rechtsrahmen und die veröffentlichten Informationen des BSI geprüft. Maßgeblich bleibt der jeweils geltende Gesetzes- und Behördenstand.
- BSI-Gesetz (BSIG) – konsolidierter Gesetzestext
- BSI: NIS-2-regulierte Unternehmen
- BSI: NIS-2-Pflichten
Hinweis: Diese Seite dient der fachlichen Orientierung und ersetzt keine Rechtsberatung oder Einzelfallprüfung.