NIS2-Nachweispflichten: So dokumentieren KMU ihre IT-Sicherheit richtig
Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft – doch viele KMU unterschätzen, was „Compliance“ in der Praxis bedeutet. Es reicht nicht, Firewalls und Backups zu haben. Unternehmen müssen ihre IT-Sicherheitsmaßnahmen lückenlos dokumentieren und auf Verlangen des BSI nachweisen können. Wer das nicht kann, riskiert Bußgelder bis zu 10 Millionen Euro – selbst wenn die technischen Maßnahmen stimmen.
Warum Dokumentation unter NIS2 keine Kür mehr ist
Vor NIS2 war IT-Sicherheitsdokumentation in vielen KMU eine freiwillige Übung. Das hat sich grundlegend geändert. Das Gesetz verpflichtet betroffene Unternehmen in § 30 BSIG, angemessene und verhältnismäßige technische und organisatorische Maßnahmen zu ergreifen – und diese auch nachweisen zu können.
Der entscheidende Punkt: Bei einer BSI-Prüfung zählt nicht, was ein Unternehmen tatsächlich tut, sondern was es belegen kann. Wer eine saubere Backup-Strategie fährt, aber keine Restore-Tests protokolliert, hat im Audit ein Problem. Wer MFA eingeführt hat, aber keine Richtlinie dazu vorweisen kann, steht schlecht da.
Achtung: Geschäftsführer haften persönlich
Seit Inkrafttreten des NIS2-Umsetzungsgesetzes haften Geschäftsführer und Vorstände persönlich für die Einhaltung der Risikomanagement-Pflichten (§ 38 BSIG). Die Dokumentation ist dabei der zentrale Nachweis, dass die Leitungsebene ihrer Sorgfaltspflicht nachgekommen ist.
Die 10 Pflichtbereiche: Was dokumentiert werden muss
Das NIS2-Umsetzungsgesetz definiert zehn Bereiche, in denen Unternehmen Risikomanagementmaßnahmen umsetzen und dokumentieren müssen. Für KMU bedeutet das konkret:
| Pflichtbereich | Typische Nachweise |
|---|---|
| Risikoanalyse & Sicherheitskonzept | Risikoregister, Bewertungsmatrix, Behandlungsplan |
| Vorfallbewältigung | Incident-Response-Plan, Meldeprotokolle, Übungsdokumentation |
| Business Continuity & Backup | BCM-Plan, Backup-Konzept, Restore-Test-Protokolle |
| Lieferkettensicherheit | Dienstleisterbewertung, Verträge mit IT-Klauseln, Risikoprüfungen |
| Sicherheit bei Beschaffung & Entwicklung | Anforderungskataloge, Schwachstellenmanagement-Prozess |
| Wirksamkeitsbewertung | Audit-Berichte, Penetrationstest-Ergebnisse, KPI-Reports |
| Cyberhygiene & Schulung | Schulungspläne, Teilnahmenachweise, Phishing-Simulationen |
| Kryptografie & Verschlüsselung | Verschlüsselungsrichtlinie, Zertifikatsmanagement |
| Zugangskontrolle & Asset-Management | Berechtigungskonzept, Asset-Inventar, MFA-Policy |
| Sichere Kommunikation | Notfallkommunikationsplan, verschlüsselte Kanäle |
Die fünf häufigsten Dokumentationsfehler
In unserer Beratungspraxis sehen wir immer wieder dieselben Lücken. Typische Fehler, die KMU bei einer BSI-Prüfung in Schwierigkeiten bringen:
1. Dokumentation existiert nur in den Köpfen
Viele Unternehmen haben durchaus sinnvolle IT-Sicherheitsmaßnahmen etabliert – aber nirgendwo schriftlich festgehalten. Der Admin „weiß das alles“. Das reicht im Audit nicht. Jede Maßnahme braucht ein dokumentiertes Verfahren mit Verantwortlichkeit, Durchführungszyklus und Ergebnis.
2. Keine Versionierung und Änderungshistorie
Ein IT-Sicherheitskonzept von 2023, das seitdem nicht aktualisiert wurde, ist bei einer Prüfung wertlos. Dokumente müssen versioniert sein, Änderungen nachvollziehbar und regelmäßige Reviews belegt. Ein jährlicher Review-Zyklus ist das Minimum.
3. Fehlende Durchführungsnachweise
Ein Backup-Konzept ist gut. Aber ohne protokollierte Restore-Tests ist es nur Papier. Dasselbe gilt für Schulungen ohne Teilnahmenachweise, Risikoanalysen ohne Datum und Penetrationstests ohne Bericht.
4. Kein Zusammenhang zwischen Risiko und Maßnahme
Das BSI prüft, ob Maßnahmen aus einer Risikoanalyse abgeleitet sind. Wer MFA einführt, muss zeigen können, welches Risiko damit adressiert wird. Die Rückverfolgbarkeit von Risiko zu Maßnahme zu Nachweis ist entscheidend.
5. Lieferkette wird ignoriert
Viele KMU dokumentieren ihre eigene IT-Sicherheit, vergessen aber die Lieferkette. NIS2 verlangt eine Bewertung der IT-Sicherheitsrisiken bei Zulieferern und Dienstleistern – inklusive vertraglicher Regelungen.
Praxis-Leitfaden: So bauen KMU ihre Dokumentation auf
Der Aufbau einer NIS2-konformen Dokumentation muss kein Mammutprojekt sein. Mit einem strukturierten Ansatz können KMU in wenigen Wochen eine solide Basis schaffen.
Schritt 1: Asset-Inventar erstellen
Bevor Risiken bewertet werden können, müssen alle IT-Assets bekannt sein. Dazu gehören Server, Netzwerkgeräte, Endpunkte, Cloud-Dienste, Software und Datenbanken. Ein automatisierter Schwachstellenscan liefert eine gute Ausgangsbasis und deckt gleichzeitig unbekannte Assets auf.
Schritt 2: Risikoanalyse durchführen
Für jedes relevante Asset werden Bedrohungen und Schwachstellen identifiziert, Eintrittswahrscheinlichkeit und Auswirkung bewertet und Behandlungsoptionen festgelegt. Das Ergebnis ist ein Risikoregister – das zentrale Dokument für jede NIS2-Prüfung.
Schritt 3: Richtlinien und Verfahren dokumentieren
Für jeden der zehn Pflichtbereiche braucht es mindestens eine Richtlinie mit konkreten Verfahrensanweisungen. Wichtig: Die Dokumente müssen zum Unternehmen passen. Kopierte Vorlagen ohne Anpassung an die eigene IT-Landschaft fallen bei jeder Prüfung auf.
Schritt 4: Nachweisführung etablieren
Jede Maßnahme braucht einen Durchführungsnachweis: Protokolle, Screenshots, Berichte, Teilnehmerlisten. Idealerweise werden diese automatisiert erfasst – etwa durch SIEM-Logs, Ticket-Systeme oder spezialisierte ISMS-Software wie den TSMONDO NIS2-Manager.
Schritt 5: Regelmäßige Reviews einplanen
Dokumentation ist kein einmaliges Projekt. Das NIS2-Umsetzungsgesetz verlangt regelmäßige Wirksamkeitsprüfungen. Planen Sie vierteljährliche Reviews der Risikoanalyse und jährliche Audits der gesamten Dokumentation ein.
ISMS-Tools vs. Ordnerstruktur: Was sich für KMU lohnt
Grundsätzlich gibt es zwei Ansätze für die NIS2-Dokumentation: eine manuelle Ordnerstruktur mit Word-Dokumenten und Excel-Tabellen oder ein spezialisiertes ISMS-Tool (Information Security Management System).
| Kriterium | Ordnerstruktur | ISMS-Tool |
|---|---|---|
| Einstiegskosten | Gering | Ab ca. 200–500 €/Monat |
| Versionierung | Manuell, fehleranfällig | Automatisch |
| Rückverfolgbarkeit | Aufwendig | Risiko → Maßnahme → Nachweis verknüpft |
| Audit-Vorbereitung | Tage bis Wochen | Reports auf Knopfdruck |
| Skalierbarkeit | Begrenzt | Wächst mit dem Unternehmen |
Für Unternehmen ab 50 Mitarbeitenden lohnt sich ein ISMS-Tool in der Regel bereits nach der ersten Prüfung. Die Zeitersparnis bei der Audit-Vorbereitung und die automatische Rückverfolgbarkeit machen den Unterschied zwischen einer reibungslosen Prüfung und wochenlanger Hektik.
Was bei einer BSI-Prüfung passiert
Das BSI kann Unternehmen jederzeit zur Vorlage von Nachweisen auffordern oder Vor-Ort-Prüfungen durchführen. Typischerweise läuft eine Prüfung so ab:
- Vorab-Anforderung: Das BSI fordert bestimmte Dokumente an (z. B. Risikoanalyse, Incident-Response-Plan, Schulungsnachweise)
- Dokumentenprüfung: Sind die geforderten Nachweise vorhanden, aktuell und vollständig?
- Plausibilitätsprüfung: Passen die Dokumente zur tatsächlichen IT-Landschaft des Unternehmens?
- Stichproben: Einzelne Maßnahmen werden im Detail geprüft – z. B. werden Restore-Tests nachvollzogen oder Berechtigungen kontrolliert
- Mängelbericht: Festgestellte Lücken werden dokumentiert, Fristen zur Nachbesserung gesetzt
Der beste Schutz vor unangenehmen Überraschungen ist eine Dokumentation, die jederzeit vorzeigbar ist – nicht erst, wenn die Anfrage kommt.
NIS2-Dokumentation aufbauen – mit Struktur statt Panik
Sie wissen nicht, wo Sie anfangen sollen? Wir helfen KMU, ihre IT-Sicherheitsdokumentation NIS2-konform aufzubauen – pragmatisch, ohne Berater-Overhead und mit Tools, die den Aufwand dauerhaft reduzieren.
Kostenlose Erstberatung anfragen