Wer unter die NIS2-Richtlinie fällt, steht schnell vor einer konkreten Frage: Was muss eigentlich schriftlich vorliegen? Die Richtlinie formuliert umfangreiche Anforderungen an Governance, Risikomanagement und technische Schutzmaßnahmen, doch der Teufel steckt im Detail der NIS2 Dokumentationspflichten. Fehlende oder unvollständige Nachweise können im Ernstfall nicht nur Bußgelder auslösen, sondern auch die Reaktionsfähigkeit bei Sicherheitsvorfällen erheblich einschränken.
Dieser Artikel gibt einen strukturierten Überblick darüber, welche NIS2 Dokumente Unternehmen tatsächlich benötigen, wo typische Lücken entstehen und wie eine praxistaugliche Dokumentationsstrategie aussieht.
Pflichtdokumente nach NIS2 im Überblick
NIS2 schreibt keine abschließende Dokumentenliste vor, die man einfach abhaken könnte. Stattdessen ergeben sich die Nachweispflichten aus den inhaltlichen Anforderungen der Richtlinie und ihrer nationalen Umsetzung. Im Kern geht es darum, dass Unternehmen ihr Sicherheitsniveau nicht nur behaupten, sondern belegen können.
Zu den zentralen Pflichtdokumenten gehören eine Risikoanalyse mit dokumentiertem Bewertungsverfahren, eine Sicherheitspolitik (Information Security Policy), Verfahrensanweisungen für den Umgang mit Sicherheitsvorfällen sowie ein Business-Continuity-Konzept. Hinzu kommen Nachweise über durchgeführte Schulungen und Sensibilisierungsmaßnahmen sowie eine Dokumentation der eingesetzten Sicherheitsmaßnahmen. Geschäftsführungen und Leitungsorgane tragen dabei persönliche Verantwortung, was bedeutet: Die Genehmigung und Kenntnisnahme zentraler Dokumente müssen nachweisbar sein.
Technische und organisatorische Maßnahmen dokumentieren
NIS2 verlangt, dass Unternehmen geeignete technische und organisatorische Maßnahmen (TOMs) umsetzen und deren Wirksamkeit belegen. Das geht über eine reine Auflistung hinaus: Gefragt ist eine Dokumentation, die zeigt, warum bestimmte Maßnahmen gewählt wurden und wie sie in den Betrieb integriert sind.
Konkret bedeutet das: Netzwerksegmentierungen, Patch-Management-Prozesse, Zugriffskontrollen und Verschlüsselungskonzepte müssen schriftlich beschrieben und regelmäßig aktualisiert werden. Auch der Einsatz von Monitoring-Lösungen wie SIEM-Systemen sollte dokumentiert sein, einschließlich der definierten Alarmierungsschwellen und Eskalationswege. Wer Maßnahmen bewusst nicht umsetzt, muss das Risiko dokumentiert akzeptiert haben, nicht stillschweigend ignoriert.
Organisatorisch sind Rollenbeschreibungen, Verantwortlichkeiten und interne Prozesse schriftlich festzuhalten. Dazu gehören auch Schulungsnachweise: Wer wurde wann zu welchem Thema sensibilisiert? Diese Nachweise können bei Behördenanfragen oder nach einem Vorfall entscheidend sein.
Meldepflichten und deren Dokumentationsanforderungen
Eine der konkretesten NIS2-Anforderungen betrifft die Meldung von Sicherheitsvorfällen. Unternehmen müssen erhebliche Vorfälle innerhalb enger Fristen an die zuständige Behörde melden: eine Frühwarnung innerhalb von 24 Stunden, einen detaillierten Bericht innerhalb von 72 Stunden und einen Abschlussbericht nach spätestens einem Monat.
Diese Fristen lassen sich nur einhalten, wenn die nötigen Prozesse und Dokumente bereits vorab existieren. Dazu gehört ein Incident-Response-Plan, der klare Zuständigkeiten, Kommunikationswege und Eskalationsstufen definiert. Ebenso nötig ist eine Vorlage für Meldungen an Behörden sowie eine interne Protokollierungspflicht: Was ist wann passiert, wer wurde informiert, welche Maßnahmen wurden ergriffen? Diese Aufzeichnungen bilden die Grundlage für die Abschlussberichte und müssen revisionssicher aufbewahrt werden.
Lieferkette und Drittanbieter: Welche Nachweise nötig sind
NIS2 dehnt die Sicherheitsverantwortung explizit auf die Lieferkette aus. Unternehmen müssen sicherstellen, dass auch ihre Dienstleister und Zulieferer angemessene Sicherheitsstandards erfüllen. Das setzt voraus, dass diese Anforderungen vertraglich verankert und deren Erfüllung überprüfbar ist.
In der Praxis bedeutet das: Verträge mit kritischen Dienstleistern müssen Sicherheitsklauseln enthalten, die konkrete Mindestanforderungen definieren. Zusätzlich sind Nachweise über durchgeführte Lieferantenbewertungen erforderlich, zum Beispiel in Form von Fragebögen, Zertifikatskopien oder Auditberichten. Wer mit Cloud-Anbietern oder Managed-Service-Providern arbeitet, sollte deren Sicherheitsdokumentation aktiv einfordern und archivieren. Ein Register kritischer Drittanbieter mit Bewertungsstatus ist eine sinnvolle Grundlage, die viele Unternehmen bisher nicht führen.
Häufige Dokumentationsfehler und wie man sie vermeidet
In der Praxis zeigen sich immer wieder ähnliche Schwachstellen. Der häufigste Fehler ist veraltete Dokumentation: Richtlinien und Prozessbeschreibungen, die einmal erstellt und dann nicht mehr gepflegt wurden. NIS2 verlangt ausdrücklich regelmäßige Überprüfung und Aktualisierung, was bedeutet, dass Dokumente mit Versionierung, Freigabedatum und Überprüfungsintervall versehen sein sollten.
Ein weiterer verbreiteter Fehler ist fehlende Nachvollziehbarkeit bei Entscheidungen. Wenn eine Risikomaßnahme als „akzeptiert“ eingestuft wird, muss dokumentiert sein, wer diese Entscheidung getroffen hat und auf welcher Grundlage. Generische Vorlagen, die unverändert übernommen werden, erfüllen diesen Anspruch in der Regel nicht. Dokumente müssen den tatsächlichen Betrieb widerspiegeln, nicht einen idealen Soll-Zustand.
Schließlich unterschätzen viele Unternehmen den Umfang der Schulungsdokumentation. Awareness-Trainings ohne Teilnehmerlisten, Inhaltsangaben und Datum sind im Zweifelsfall wertlos. Wer Schulungen durchführt, sollte diese systematisch erfassen und die Unterlagen mindestens drei Jahre aufbewahren.
Nächste Schritte zur NIS2-konformen Dokumentation
Der sinnvolle Einstieg ist eine ehrliche Bestandsaufnahme: Welche Dokumente existieren bereits, welche fehlen, und welche sind veraltet? Eine strukturierte Gap-Analyse zeigt, wo der größte Handlungsbedarf liegt, und verhindert, dass Ressourcen in Bereiche fließen, die bereits gut aufgestellt sind.
Anschließend empfiehlt sich eine Priorisierung nach Risiko und Fristdringlichkeit. Meldeprozesse und Incident-Response-Pläne sollten früh stehen, weil sie im Ernstfall unmittelbar gebraucht werden. Lieferantenbewertungen und Schulungsdokumentation können parallel aufgebaut werden. Wichtig ist dabei, Dokumente nicht als einmalige Aufgabe zu behandeln, sondern als lebendige Bestandteile eines Informationssicherheitsmanagementsystems, das regelmäßig überprüft und weiterentwickelt wird.
Wer die Dokumentation intern aufbaut, sollte klare Eigentümer für jedes Dokument benennen und Überprüfungszyklen verbindlich festlegen. Ohne diese Struktur veraltet selbst gut erstellte Dokumentation schnell.
So unterstützt UBESAFE bei der NIS2-Dokumentation
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsanalyse bis zur nachweisbaren, dauerhaften Umsetzung. Der Ansatz kombiniert Beratung und technische Implementierung, ohne dass Unternehmen zwischen verschiedenen Dienstleistern koordinieren müssen.
- NIS2-Audit mit GAP-Analyse: Bewertung des aktuellen Dokumentationsstands, Identifikation fehlender Nachweise und klare Priorisierung der nächsten Schritte
- Aufbau von Governance und Meldeprozessen: Erstellung und Implementierung aller Pflichtdokumente, angepasst an den tatsächlichen Betrieb des Unternehmens
- Technische Maßnahmen mit Dokumentationsbasis: Einrichtung von SIEM, 24/7-Monitoring, Schwachstellen-Scans und Patchmanagement inklusive der zugehörigen Nachweisdokumentation
- Managed Service für dauerhafte Compliance: Kontinuierliche Überwachung, regelmäßige Reviews und Aktualisierung der Dokumentation, damit NIS2 nicht einmalig, sondern fortlaufend erfüllt wird
Wer wissen möchte, wo das eigene Unternehmen aktuell steht, kann mit einem kostenlosen Erstgespräch starten. UBESAFE analysiert die Ausgangslage und zeigt konkret auf, welche NIS2-Anforderungen noch offen sind und wie sie sich strukturiert schließen lassen.