NIS2 Dokumentation: welche Dokumente Ihr Unternehmen braucht
NIS2 verlangt, dass Sie Ihre Sicherheitsmaßnahmen dokumentieren (§ 30 Abs. 1 Satz 3 BSIG). Ausdrücklich „Konzepte“ nennt das Gesetz für Risikoanalyse und IT-Sicherheit, die Prüfung der Wirksamkeit, Kryptografie sowie Personal, Zugänge und Verwaltung der IT. Für den Rest reicht oft eine Liste. Ein bestimmtes Format schreibt das Gesetz nicht vor.
Was das Gesetz verlangt
Besonders wichtige und wichtige Einrichtungen ergreifen Maßnahmen in zehn Bereichen (§ 30 Abs. 2 BSIG). Dass sie das tun, halten sie schriftlich fest (§ 30 Abs. 1 Satz 3 BSIG).
Für vier Bereiche spricht das Gesetz ausdrücklich von Konzepten: Risikoanalyse und Sicherheit der IT (Nr. 1), Bewertung der Wirksamkeit (Nr. 6), Kryptografie (Nr. 8) sowie Personal, Zugriffskontrolle und Verwaltung der IT (Nr. 9).
Wie die Dokumente aussehen, wie lang sie sind und in welchem Programm Sie sie führen, legt das Gesetz nicht fest. Sie richten sich nach Risiko, Größe und Kosten Ihres Unternehmens (§ 30 Abs. 1 Satz 2 BSIG).
§ 30 Abs. 1 und 2 BSIG · Art. 21 NIS 2
Die Dokumente im Überblick
Diese sechs Dokumente decken die Bereiche ab, in denen ein geschriebener Text sinnvoll ist. Jedes gibt die Geschäftsleitung frei.
| Dokument | Was darin steht |
|---|---|
| Leitlinie zur Informationssicherheit§ 30 Abs. 2 Nr. 1 | Wie Ihr Unternehmen Informationssicherheit regelt: Ziele, Zuständigkeiten, wie Risiken bewertet werden. |
| Notfallplan für Sicherheitsvorfälle§ 30 Abs. 2 Nr. 2 | Wer bei einem Vorfall entscheidet, wen Sie anrufen, wie Sie sich ohne IT erreichen und wie Sie dem BSI melden. |
| Notfallplan für den Betrieb§ 30 Abs. 2 Nr. 3 | Was weiterlaufen muss, wenn die IT ausfällt, und wie Sie den Betrieb wiederherstellen. |
| Regeln für Kauf, Wartung und Schwachstellen§ 30 Abs. 2 Nr. 5 | Worauf Sie beim Kauf von IT achten, wie Updates eingespielt werden und wo andere Ihnen gefundene Schwachstellen melden können. |
| Kryptokonzept§ 30 Abs. 2 Nr. 8 | Wo und wie Sie verschlüsseln, zum Beispiel Laptops, E-Mail und Fernzugang. |
| Konzept für Personal, Zugänge und IT§ 30 Abs. 2 Nr. 9 | Wer welche Zugänge bekommt, wie Neue sie erhalten und Ausscheidende sie verlieren, und wie Sie Ihre IT verwalten. |
Wo eine Liste reicht
Für andere Bereiche brauchen Sie keinen Fließtext. Eine gepflegte Liste zeigt, was Sie tun.
| Liste | Was darin steht |
|---|---|
| Ihre Assets§ 30 Abs. 2 Nr. 1 und 9 | Womit Ihr Unternehmen arbeitet: Abläufe, Programme, Geräte, Räume, Netze, und wer sie liefert. |
| Ihre Lieferanten§ 30 Abs. 2 Nr. 4 | Wer für Sie arbeitet und was Sie mit ihnen zur Sicherheit vereinbart haben. |
| Ihre Datensicherungen§ 30 Abs. 2 Nr. 3 | Was gesichert wird, womit, und wann die Wiederherstellung zuletzt getestet wurde. |
| Ihre Schulungen§ 30 Abs. 2 Nr. 7 · § 38 Abs. 3 | Wer wann an welcher Schulung teilgenommen hat, die Beschäftigten und die Geschäftsleitung. |
| Zweiter Faktor und gesicherte Kommunikation§ 30 Abs. 2 Nr. 10 | Wo ein zweiter Faktor bei der Anmeldung schützt und über welche Wege Sie gesichert kommunizieren. |
| Managementbewertung§ 30 Abs. 2 Nr. 6 · § 38 Abs. 1 | Wann die Geschäftsleitung geprüft hat, ob die Maßnahmen wirken, was sie entschieden hat und wer was bis wann erledigt. |
Mehr für bestimmte digitale Anbieter
Für Anbieter wie Cloud, Rechenzentren, Managed Services und einige weitere digitale Dienste gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690. Ihr Anhang beschreibt viele Unterlagen genauer.
Für alle anderen Unternehmen bindet dieser Anhang nicht. Er kann als Orientierung dienen.
§ 30 Abs. 3 BSIG · Durchführungsverordnung (EU) 2024/2690
Wen die Durchführungsverordnung betrifftWas das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Sie brauchen keine Sammlung von Vorlagen für jede Einzelheit. Ein Dokument je Bereich, in dem ein Text nötig ist, und gepflegte Listen für den Rest.
Wichtiger als der Umfang ist, dass die Dokumente zu Ihrem Betrieb passen und dass das, was darin steht, auch geschieht.
Ein Zertifikat wie ISO 27001 verlangt das Gesetz nicht. Es kann den Nachweis aber stützen.
§ 30 Abs. 1 Satz 2 und 3 BSIG
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Verpackungsmaschinen mit 110 Beschäftigten. Maschinenbau steht in Anlage 2 des BSIG, also ist die Firma eine wichtige Einrichtung.
Der IT-Leiter schreibt auf, womit die Firma arbeitet: ERP, Konstruktion, Steuerung der Fertigung, E-Mail, Datensicherung. Daneben steht, wer was liefert.
Aus seinen Antworten zu den zehn Bereichen entstehen die sechs Dokumente. Im Notfallplan steht, dass der Geschäftsführer entscheidet und die IT-Leiterin meldet.
Lieferanten, Datensicherungen und Schulungen führt die Firma als Listen.
Der Geschäftsführer liest die Dokumente und gibt sie frei. Kommt ein neuer Dienstleister dazu, ergänzt die IT die Liste der Lieferanten.
So geht das im Durchgang
Im Durchgang auf nisd2.eu entstehen die Dokumente aus Ihren Antworten.
Aus Ihren Antworten entstehen sechs Dokumente: Leitlinie, Notfallplan für Vorfälle, Notfallplan für den Betrieb, Kryptokonzept, Konzept für Personal, Zugänge und IT sowie Regeln für Kauf, Wartung und Schwachstellen.
Jedes Dokument können Sie um eigene Regelungen ergänzen.
Wo eine Liste reicht, führen Sie eine Liste: Ihre IT, Ihre Lieferanten, Ihre Datensicherungen, Ihre Schulungen.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang. Name und Datum stehen danach auf jedem Dokument.
Der Export fasst alles in einem Dokument zusammen, das Sie im Browser als PDF speichern.
Häufige Fragen
Welche Dokumente verlangt NIS2?
Das BSIG verlangt, dass Sie die Umsetzung Ihrer Maßnahmen dokumentieren (§ 30 Abs. 1 Satz 3). Ausdrücklich Konzepte nennt es für Risikoanalyse und IT-Sicherheit, Wirksamkeit, Kryptografie sowie Personal, Zugänge und Verwaltung der IT (§ 30 Abs. 2 Nr. 1, 6, 8 und 9).
Gibt es ein vorgeschriebenes Format?
Nein. Das Gesetz legt weder Format noch Umfang fest. Die Dokumente richten sich nach Risiko, Größe und Kosten Ihres Unternehmens.
Müssen die Dokumente unterschrieben sein?
Eine Unterschrift schreibt das BSIG nicht vor. Die Geschäftsleitung muss die Maßnahmen aber umsetzen und überwachen (§ 38 Abs. 1 BSIG), und die EU-Richtlinie verlangt, dass sie sie billigt (Art. 20 Abs. 1 NIS 2). Eine festgehaltene Freigabe durch die Geschäftsleitung liegt deshalb nahe.
Brauchen wir eine Zertifizierung nach ISO 27001?
Das Gesetz verlangt keine. Ein Zertifikat kann den Nachweis stützen, deckt das BSIG aber nicht automatisch ab.
Quellen
- BSI-Gesetz (BSIG) §§ 30 und 38, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 20 und 21, EUR-Lex
- Durchführungsverordnung (EU) 2024/2690, Art. 1 und Anhang, EUR-Lex
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Die Leitlinie schreiben
Ein kurzes Grundsatzdokument, das die Geschäftsführung freigibt.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
