NIS2 umzusetzen ist das eine. NIS2-compliant zu bleiben und das im Zweifel auch belegen zu können, ist das andere. Viele Unternehmen haben 2025 und 2026 Projekte gestartet, Richtlinien geschrieben und Maßnahmen eingeführt. Die entscheidende Frage lautet jetzt: Funktioniert das Ganze im Alltag, und könnten Sie es dem BSI morgen nachweisen?
Dieser Beitrag erklärt, was NIS2 Compliance konkret bedeutet, wie die Aufsicht durch das BSI funktioniert, welche Nachweise und Dokumentation Sie brauchen, wer im Unternehmen welche Rolle hat und wie Sie Compliance dauerhaft im Betrieb verankern. Die Grundlagen der Richtlinie finden Sie im Beitrag NIS2-Richtlinie einfach erklärt, die Prüfung der Betroffenheit im Beitrag Wer ist von NIS2 betroffen?.
Was bedeutet NIS2 Compliance?
NIS2 Compliance bedeutet, dass ein Unternehmen, das unter das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes fällt, alle daraus folgenden Pflichten erfüllt, dauerhaft aufrechterhält und nachvollziehbar dokumentiert. Es geht also um drei Ebenen:
| Ebene | Frage | Beispiel |
|---|---|---|
| Erfüllen | Sind die Pflichten umgesetzt? | Registrierung erfolgt, Multi-Faktor-Authentifizierung eingeführt, Meldeprozess vorhanden |
| Aufrechterhalten | Funktioniert es auch nach Monaten noch? | Backups werden getestet, Schulungen wiederholt, Risiken neu bewertet |
| Nachweisen | Lässt es sich belegen? | Dokumentation, Protokolle, Prüfberichte, Entscheidungen der Geschäftsleitung |
Die Pflichten selbst stehen im BSI-Gesetz. Kurz zusammengefasst:
- Registrierung beim BSI nach § 33 BSIG.
- Risikomanagementmaßnahmen nach § 30 BSIG in zehn Mindestbereichen, deren Einhaltung zu dokumentieren ist. Die Bereiche im Detail beschreibt unser Beitrag NIS2 Anforderungen.
- Meldepflichten für erhebliche Sicherheitsvorfälle nach § 32 BSIG: erste Meldung spätestens nach 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussmeldung nach einem Monat.
- Pflichten der Geschäftsleitung nach § 38 BSIG: Umsetzung überwachen, regelmäßig schulen lassen, haften bei schuldhafter Pflichtverletzung.
Compliance ist damit kein Zustand, den man einmal erreicht, sondern ein laufender Prozess.
Wie das BSI die Einhaltung überwacht
Viele Unternehmen fragen sich, ob und wann das BSI tatsächlich prüft. Die Antwort hängt von der Kategorie ab.
Besonders wichtige Einrichtungen
Für besonders wichtige Einrichtungen sieht § 61 BSIG eine umfassende Aufsicht vor. Das BSI kann unter anderem:
- Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen,
- Nachweise über die Erfüllung der Pflichten verlangen, einschließlich Prüfergebnissen, festgestellter Mängel und der zugrunde liegenden Dokumentation,
- einen Plan zur Beseitigung von Mängeln und den Nachweis der Beseitigung fordern,
- vor Ort prüfen, Unterlagen einsehen und Auskünfte verlangen,
- konkrete Maßnahmen anordnen, um Sicherheitsvorfälle zu verhindern oder Mängel zu beheben.
Wichtig für die Planung: Nachweise kann das BSI von besonders wichtigen Einrichtungen, die keine Betreiber kritischer Anlagen sind, frühestens drei Jahre nach Inkrafttreten der Regelung verlangen, bei zugelassenen Krankenhäusern frühestens nach fünf Jahren. Die Auswahl richtet sich nach Risikoexposition, Größe, Wahrscheinlichkeit und Schwere möglicher Vorfälle. Prüfungen vor Ort sind dagegen grundsätzlich jederzeit möglich. Gebühren entstehen nach dem Gesetz nur dann, wenn das BSI aufgrund begründeter Zweifel an der Einhaltung tätig geworden ist.
Wichtige Einrichtungen
Für wichtige Einrichtungen ist die Aufsicht nach § 62 BSIG anlassbezogen. Das BSI wird tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten zu Risikomanagement, Meldungen oder Schulung der Geschäftsleitung nicht oder falsch umgesetzt werden. Typische Anlässe sind ein gemeldeter Vorfall, Hinweise Dritter oder Auffälligkeiten bei der Registrierung. Dann stehen dem BSI dieselben Befugnisse zur Verfügung.
Betreiber kritischer Anlagen
Betreiber kritischer Anlagen müssen nach § 39 BSIG die Umsetzung ihrer Sicherheitsmaßnahmen regelmäßig im Dreijahresrhythmus durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen und die Ergebnisse einschließlich festgestellter Mängel an das BSI übermitteln.
Was passiert bei Verstößen?
Neben Bußgeldern nach § 65 BSIG von bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen, bei sehr großen Unternehmen auch umsatzabhängig, sieht das Gesetz eine Eskalation vor: Werden Anordnungen trotz Fristsetzung nicht befolgt, kann das BSI die zuständige Aufsichtsbehörde einschalten. Als letztes Mittel kann diese Genehmigungen vorübergehend aussetzen oder einer unzuverlässigen Geschäftsleitung die Ausübung ihrer Tätigkeit untersagen, bis die Anordnungen umgesetzt sind.
So läuft eine Nachweisanforderung ab
Fordert das BSI Nachweise an, sei es im Rahmen der regulären Aufsicht über besonders wichtige Einrichtungen oder nach einem Vorfall, folgt der Ablauf typischerweise diesem Muster:
- Anforderung: Das BSI fordert bestimmte Nachweise an, etwa Prüfberichte, die Risikoanalyse oder die Dokumentation zu einzelnen Maßnahmen, und setzt eine Frist.
- Zusammenstellung: Das Unternehmen trägt die Unterlagen zusammen. Wer hier erst suchen muss, verliert wertvolle Zeit. Eine zentrale, aktuelle Dokumentation macht den Unterschied.
- Prüfung: Das BSI oder eine beauftragte unabhängige Stelle wertet die Unterlagen aus, gegebenenfalls ergänzt durch Gespräche oder eine Prüfung vor Ort.
- Mängel und Plan: Werden Mängel festgestellt, kann das BSI einen Plan zur Beseitigung verlangen, mit Maßnahmen, Zuständigkeiten und Terminen.
- Nachweis der Beseitigung: Nach Umsetzung ist zu belegen, dass die Mängel behoben sind.
Wer diesen Ablauf intern einmal durchspielt, etwa als simulierte Nachweisanforderung im Rahmen eines internen Audits, erkennt schnell, wo Unterlagen fehlen oder veraltet sind.
Der Meldefall als Compliance-Test
Ein gemeldeter Sicherheitsvorfall ist für viele wichtige Einrichtungen der wahrscheinlichste Anlass, dass das BSI genauer hinsieht. Deshalb lohnt es sich, schon vor dem Ernstfall festzulegen, was während eines Vorfalls dokumentiert wird:
- Zeitpunkt der Kenntnisnahme und Zeitpunkte aller Meldungen,
- Einstufung des Vorfalls und Begründung, warum er erheblich ist oder nicht,
- getroffene Sofortmaßnahmen und Entscheidungen mit Uhrzeit und Verantwortlichen,
- betroffene Systeme, Daten und Dienstleister,
- Ursachenanalyse und Maßnahmen, damit sich der Vorfall nicht wiederholt.
Laut BSI kann eine abgegebene Meldung nicht storniert, aber durch Folgemeldungen korrigiert oder ergänzt werden. Eine saubere Dokumentation während des Vorfalls ist deshalb die beste Grundlage für korrekte Folge- und Abschlussmeldungen. Ein Alarmierungssystem mit automatischer Protokollierung hilft, die Abläufe lückenlos festzuhalten.
Welche Nachweise und Dokumentation Sie brauchen
Das Gesetz verlangt in § 30 BSIG ausdrücklich, dass die Einhaltung der Risikomanagementmaßnahmen dokumentiert wird. In der Praxis sollte eine NIS2-Dokumentation mindestens diese Bausteine enthalten:
| Baustein | Inhalt | Typischer Nachweis |
|---|---|---|
| Betroffenheit und Registrierung | Begründung der Einstufung, Registrierung im BSI-Portal | Prüfvermerk, Registrierungsbestätigung |
| Governance | Rollen, Verantwortlichkeiten, Berichtswege | Organigramm, Beschluss der Geschäftsleitung |
| Risikoanalyse | Werte, Bedrohungen, Bewertung, Behandlung | Risikoregister, Maßnahmenplan |
| Richtlinien | Informationssicherheitsleitlinie und Einzelrichtlinien | freigegebene Dokumente mit Versionsstand |
| Technische Maßnahmen | Umsetzung der zehn Bereiche | Konfigurationsnachweise, Berichte, Screenshots |
| Vorfallmanagement | Erkennung, Bewertung, Meldung | Prozessbeschreibung, Meldevorlagen, Übungsprotokolle |
| Betriebskontinuität | Backup, Wiederherstellung, Krisenmanagement | Notfallplan, Wiederherstellungstests |
| Lieferkette | Bewertung und Steuerung von Dienstleistern | Dienstleisterliste, Verträge, Fragebögen |
| Schulungen | Mitarbeitende und Geschäftsleitung | Teilnahmenachweise, Inhalte, Termine |
| Wirksamkeitsprüfung | interne Audits, Tests, Kennzahlen | Prüfberichte, Maßnahmenverfolgung |
Entscheidend ist nicht die Menge an Papier, sondern dass die Dokumente zum gelebten Alltag passen. Eine Richtlinie, die niemand kennt, ist im Prüfungsfall eher ein Risiko als ein Nachweis.
Wer ist verantwortlich?
Die Geschäftsleitung
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen, um Risiken beurteilen zu können, und haftet bei schuldhafter Pflichtverletzung gegenüber der Einrichtung nach den Regeln des Gesellschaftsrechts. Das bedeutet in der Praxis:
- Sicherheitsziele und Budget festlegen,
- sich regelmäßig über den Stand berichten lassen,
- wesentliche Entscheidungen dokumentieren, etwa zur Risikoakzeptanz,
- die eigene Schulung nachweisbar wahrnehmen.
Die Informationssicherheitsbeauftragte oder der Informationssicherheitsbeauftragte
Das Gesetz schreibt die Rolle nicht ausdrücklich vor, in der Praxis ist sie aber unverzichtbar. Diese Person koordiniert das Sicherheitsmanagement, steuert Risikoanalyse und Maßnahmen, bereitet Berichte für die Geschäftsleitung vor und ist Ansprechpartner für das BSI. In kleineren Unternehmen kann die Rolle auch extern besetzt werden.
IT, Fachbereiche und Dienstleister
Die IT setzt technische Maßnahmen um, Fachbereiche kennen ihre Prozesse und Risiken, der Einkauf steuert Dienstleister, die Personalabteilung organisiert Schulungen. Externe IT-Dienstleister übernehmen oft große Teile des Betriebs. Die Verantwortung bleibt trotzdem beim Unternehmen.
Compliance dauerhaft im Betrieb verankern
Die meisten Probleme entstehen nicht bei der Einführung, sondern im zweiten und dritten Jahr. Diese Elemente helfen, Compliance dauerhaft aufrechtzuerhalten:
Ein Managementsystem statt Einzelprojekten
Ein Informationssicherheits-Managementsystem, kurz ISMS, bündelt Risikoanalyse, Maßnahmen, Dokumentation und Verbesserung in einem festen Kreislauf. Ob es nach ISO/IEC 27001, nach IT-Grundschutz des BSI oder in einer schlankeren Form aufgebaut wird, hängt von Größe und Anforderungen ab. Wichtig ist der regelmäßige Rhythmus aus Planen, Umsetzen, Prüfen und Verbessern.
Ein Jahreskalender für Compliance
| Turnus | Aufgabe |
|---|---|
| laufend | Vorfälle bewerten und gegebenenfalls melden, Updates einspielen, Auffälligkeiten überwachen |
| monatlich | Stand der Maßnahmen prüfen, offene Punkte nachverfolgen |
| quartalsweise | Backup-Wiederherstellung testen, Berechtigungen prüfen, Bericht an die Geschäftsleitung |
| halbjährlich | Dienstleister bewerten, Meldeprozess üben |
| jährlich | Risikoanalyse aktualisieren, Richtlinien überprüfen, Schulungen für Mitarbeitende und Geschäftsleitung, internes Audit oder externe Prüfung |
| bei Änderungen | neue Systeme, Standorte oder Dienstleister in Risikoanalyse und Dokumentation aufnehmen |
Werkzeuge nutzen
Ab einer gewissen Größe wird die Steuerung mit Tabellen und Dokumentenordnern unübersichtlich. GRC-Lösungen bilden Risiken, Kontrollen, Nachweise, Zuständigkeiten und Fristen zentral ab und erinnern an fällige Aufgaben. Wie das funktioniert, zeigt unser Beitrag Commugen GRC: Compliance automatisieren.
Kennzahlen für die Geschäftsleitung
Damit die Geschäftsleitung ihrer Überwachungspflicht nachkommen kann, braucht sie verständliche Informationen. Bewährt haben sich wenige, aussagekräftige Kennzahlen, etwa:
- Anteil der Konten mit Multi-Faktor-Authentifizierung,
- Anteil der Systeme mit aktuellem Patchstand,
- Ergebnis des letzten Wiederherstellungstests,
- Schulungsquote,
- Anzahl und Bearbeitungsstand offener Maßnahmen aus Audits,
- Anzahl und Schwere von Sicherheitsvorfällen.
Compliance in der Lieferkette nachweisen
§ 30 BSIG verlangt, die Sicherheit der Lieferkette zu berücksichtigen, einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern. Für die Compliance bedeutet das: Sie müssen nicht nur selbst sicher sein, sondern auch zeigen können, dass Sie Ihre wichtigsten Dienstleister kennen, bewerten und steuern. Bewährt hat sich ein einfaches, abgestuftes Vorgehen:
| Schritt | Inhalt |
|---|---|
| Erfassen | Liste aller Dienstleister mit Zugriff auf Systeme oder Daten, insbesondere IT-Dienstleister, Cloud-Anbieter, Softwarehersteller und Fernwartung |
| Einstufen | Bewertung nach Kritikalität: Was passiert, wenn dieser Dienstleister ausfällt oder kompromittiert wird? |
| Prüfen | für kritische Dienstleister Fragebogen, Zertifikate oder Prüfberichte anfordern |
| Vertraglich absichern | Sicherheitsanforderungen, Meldepflichten bei Vorfällen, Zugriffsregeln und Prüfrechte vereinbaren |
| Überwachen | regelmäßige Neubewertung, insbesondere bei Änderungen oder Vorfällen |
Der Aufwand richtet sich nach der Bedeutung des Dienstleisters. Für den Lieferanten von Büromaterial braucht es keine Prüfung, für den IT-Dienstleister mit Administratorzugang sehr wohl.
Compliance in Unternehmensgruppen
Die Betroffenheit wird nach den FAQ des BSI für jede Einrichtung einzeln geprüft. In Konzernen und Unternehmensgruppen können deshalb mehrere Gesellschaften selbst NIS2-pflichtig sein, jede mit eigener Registrierung und eigenen Pflichten. Für die Compliance hat das praktische Folgen:
- Gemeinsame Standards, getrennte Verantwortung: Ein konzernweites ISMS ist sinnvoll, die Geschäftsleitung jeder betroffenen Gesellschaft bleibt aber selbst verantwortlich.
- Konzern-IT als Dienstleister: Erbringt eine zentrale IT-Gesellschaft Leistungen für die Töchter, sollte das wie ein Dienstleisterverhältnis dokumentiert und gesteuert werden.
- Einheitliche Meldewege: Bei Vorfällen, die mehrere Gesellschaften betreffen, muss klar sein, wer für welche Einrichtung meldet.
In fünf Schritten zur belastbaren NIS2 Compliance
- Ausgangslage klären: Betroffenheit dokumentieren, Registrierung prüfen, Stand der Maßnahmen mit einer Gap-Analyse erheben.
- Rahmen schaffen: Rollen festlegen, Leitlinie durch die Geschäftsleitung beschließen, Managementsystem aufsetzen.
- Lücken schließen: Maßnahmen nach Risiko priorisieren, zuerst Meldefähigkeit, Multi-Faktor-Authentifizierung, Backup und Zugänge.
- Nachweise aufbauen: Dokumentation zentral pflegen, Prüfungen und Tests protokollieren, Entscheidungen festhalten.
- In den Regelbetrieb überführen: Jahreskalender, Kennzahlen, interne Audits und regelmäßige Berichte an die Geschäftsleitung.
Eine ausführliche Checkliste für die Umsetzung finden Sie in unserer NIS2 Checkliste.
Was kostet NIS2 Compliance?
Die Kosten hängen stark von Ausgangslage, Größe und Sektor ab. Die Bundesregierung hat für die Wirtschaft insgesamt einen jährlichen Erfüllungsaufwand von rund 2,3 Milliarden Euro geschätzt, verteilt auf rund 29.500 Einrichtungen. Für das einzelne Unternehmen entstehen typischerweise diese Kostenblöcke:
| Kostenblock | Beispiele |
|---|---|
| Personal | Informationssicherheitsbeauftragte, Zeit von IT und Fachbereichen |
| Beratung und Prüfung | Gap-Analyse, Aufbau der Dokumentation, interne oder externe Audits |
| Technik | Multi-Faktor-Authentifizierung, Endgeräteschutz, Backup, Monitoring, Segmentierung |
| Schulung | Mitarbeitende und Geschäftsleitung |
| Werkzeuge | GRC-Software, Meldeprozesse, Alarmierung |
Wer bereits ein ISMS nach ISO/IEC 27001 oder IT-Grundschutz betreibt, hat einen deutlich geringeren Zusatzaufwand. Für einen schnellen Überblick über den eigenen Stand eignet sich eine Gap-Analyse, etwa unser NIS2-Check zum Festpreis.
NIS2 Compliance, ISO 27001 und DORA
| Merkmal | NIS2 Compliance | ISO/IEC 27001 | DORA |
|---|---|---|---|
| Charakter | gesetzliche Pflicht | freiwillige Zertifizierung | gesetzliche Pflicht im Finanzsektor |
| Aufsicht | BSI | Zertifizierungsstelle | BaFin |
| Nachweis | Dokumentation, auf Anforderung Audits und Prüfberichte | Zertifikat nach externem Audit | Aufsichtsprüfung, Informationsregister, Tests |
| Besonderheit | Registrierung, Meldepflichten, Geschäftsleiterpflichten | Managementsystem als Rahmen | detaillierte Dienstleistersteuerung |
Eine ISO-27001-Zertifizierung ist eine sehr gute Grundlage für NIS2 Compliance. Sie deckt aber nicht automatisch Registrierung, Meldefristen und die gesetzlich geregelten Pflichten der Geschäftsleitung ab. Für den Finanzsektor gilt vorrangig DORA, mehr dazu im Beitrag Was ist DORA Compliance?.
Praxisbeispiel: Vom Projekt zum Regelbetrieb
Ein Hersteller von Elektrotechnik mit 320 Beschäftigten hat 2025 ein NIS2-Projekt durchgeführt: Registrierung, Gap-Analyse, Richtlinien, Multi-Faktor-Authentifizierung, Meldeprozess. Ein Jahr später zeigt eine interne Prüfung typische Schwächen: Die Risikoanalyse wurde seit der Einführung nicht aktualisiert, zwei neue Cloud-Dienste fehlen in der Dienstleisterliste, die Geschäftsführung hat ihre Schulung nicht wiederholt, und der Wiederherstellungstest wurde zweimal verschoben.
Das Unternehmen führt daraufhin einen festen Jahreskalender ein, überträgt Risiken, Maßnahmen und Nachweise in eine GRC-Lösung und richtet einen quartalsweisen Bericht an die Geschäftsführung mit sechs Kennzahlen ein. Bei einem gemeldeten Vorfall einige Monate später kann es dem BSI innerhalb weniger Tage die Risikoanalyse, den Meldeverlauf und die Nachweise zu den betroffenen Maßnahmen vorlegen.
Typische Fehler
- Compliance als einmaliges Projekt. Nach der Einführung schläft das Thema ein, bis ein Vorfall oder eine Anfrage des BSI kommt.
- Dokumentation ohne Bezug zur Realität. Musterrichtlinien, die nicht zum Unternehmen passen, helfen im Prüfungsfall nicht.
- Geschäftsleitung nur informiert, nicht beteiligt. Die gesetzliche Überwachungspflicht verlangt aktive Steuerung und dokumentierte Entscheidungen.
- Dienstleister vergessen. Neue Cloud-Dienste und IT-Partner werden eingeführt, ohne sie zu bewerten und vertraglich einzubinden.
- Meldeprozess nie geübt. Im Ernstfall weiß niemand, wer die 24-Stunden-Meldung abgibt und welche Informationen nötig sind.
- Keine Wirksamkeitsprüfung. Ohne interne Audits oder Tests bleibt unklar, ob Maßnahmen tatsächlich wirken.
Fazit: Compliance heißt erfüllen, aufrechterhalten und belegen
NIS2 Compliance ist mehr als die Umsetzung einer Maßnahmenliste. Sie bedeutet, die Pflichten aus dem BSI-Gesetz dauerhaft zu erfüllen und jederzeit belegen zu können. Besonders wichtige Einrichtungen müssen mit Prüfungen und Nachweisanforderungen rechnen, wichtige Einrichtungen spätestens nach einem Vorfall oder Hinweis. Wer ein schlankes Managementsystem aufbaut, einen festen Jahresrhythmus etabliert, die Geschäftsleitung mit klaren Kennzahlen einbindet und die Dokumentation am Alltag ausrichtet, ist für beides gut vorbereitet.
Sie möchten wissen, wie gut Ihre NIS2 Compliance heute aufgestellt ist? Unser NIS2-Check zeigt Reifegrad und Lücken, unsere NIS2-Beratung begleitet Sie bis zum Regelbetrieb. Jetzt kostenlose Erstberatung buchen.
Quellen
- Gesetze im Internet: BSI-Gesetz (BSIG)
- § 38 BSIG: Pflichten der Geschäftsleitung
- § 39 BSIG: Nachweispflichten für Betreiber kritischer Anlagen
- § 61 BSIG: Aufsicht über besonders wichtige Einrichtungen
- § 62 BSIG: Aufsicht über wichtige Einrichtungen
- § 65 BSIG: Bußgeldvorschriften
- BSI: Infopaket NIS-2-Meldepflicht
- BSI: FAQ zu NIS-2
- BMI: Bundesregierung bringt neues IT-Sicherheitsgesetz auf den Weg
