Wer unter die NIS2-Richtlinie fällt, steht früher oder später vor einer konkreten Frage: Was muss ich eigentlich nachweisen können? Die Richtlinie schreibt nicht nur Maßnahmen vor, sondern verlangt, dass deren Umsetzung dokumentiert und belegbar ist. Behörden, Auftraggeber und Prüfer orientieren sich dabei an einem klaren Erwartungsbild. Wer dieses Bild kennt, kann gezielt vorbereiten statt reaktiv nachbessern.
Ein NIS2-Audit ist kein einmaliges Abhaken von Checklisten. Es geht darum, einen nachvollziehbaren, wiederholbaren Sicherheitsprozess zu belegen. Die folgenden Abschnitte zeigen, welche Nachweise konkret geprüft werden und wo typische Lücken entstehen.
Pflichtdokumente und technische Nachweise im Überblick
NIS2-Nachweise lassen sich grob in zwei Kategorien einteilen: organisatorische Dokumente und technische Belege. Beide müssen vorhanden, aktuell und aufeinander abgestimmt sein.
Zu den organisatorischen Pflichtdokumenten zählen eine Informationssicherheitsleitlinie, ein Risikoregister, Rollen- und Verantwortlichkeitsbeschreibungen sowie Nachweise zur Schulung und Sensibilisierung der Mitarbeitenden. Technische Belege umfassen Konfigurationsdokumentationen, Patch-Protokolle, Zugriffsrechteübersichten und Ergebnisse aus Schwachstellenscans. Wer beides getrennt pflegt, ohne einen erkennbaren Zusammenhang herzustellen, riskiert Nachfragen bei der Prüfung.
Besonders häufig wird geprüft, ob die dokumentierten Maßnahmen tatsächlich dem gelebten Betrieb entsprechen. Ein Dokument, das seit zwei Jahren nicht aktualisiert wurde, wirft mehr Fragen auf als keines.
Nachweise zu Risikomanagement und Sicherheitsmaßnahmen
Das Risikomanagement bildet das Herzstück der NIS2-Dokumentation. Prüfer wollen sehen, dass Risiken systematisch identifiziert, bewertet und mit konkreten Maßnahmen verknüpft wurden.
Ein belastbares Risikoregister enthält nicht nur eine Liste von Bedrohungen, sondern zeigt auch, wie jedes Risiko bewertet wurde, welche Maßnahme dagegen steht und wer die Verantwortung trägt. Ergänzend werden technische Nachweise erwartet: Firewall-Regelwerke, Netzwerksegmentierungskonzepte, Nachweise zum Einsatz von Multi-Faktor-Authentifizierung sowie Protokolle aus SIEM-Systemen oder Endpoint-Überwachung.
Wer technische Maßnahmen betreibt, ohne sie in das Risikomanagement einzubetten, zeigt zwar Aktivität, aber keine Systematik. Genau diese Systematik ist es, die NIS2 verlangt und die Prüfer bei der NIS2-Compliance-Prüfung beurteilen.
Meldeprozesse und Vorfallsdokumentation als Prüfschwerpunkt
Sicherheitsvorfälle müssen unter NIS2 nicht nur behandelt, sondern auch gemeldet und dokumentiert werden. Die Meldepflicht gegenüber der zuständigen Behörde gilt für erhebliche Vorfälle und ist an enge Fristen gebunden.
Prüfer erwarten einen schriftlich festgelegten Incident-Response-Prozess, der klar regelt, wer bei einem Vorfall was tut, wann gemeldet wird und wie die interne Kommunikation abläuft. Ergänzend werden Nachweise aus der Vergangenheit geprüft: Gibt es Vorfallsberichte, Ticket-Protokolle oder Nachweise zu durchgeführten Tests des Meldeprozesses? Wer noch nie einen Vorfall dokumentiert hat, kann auch nicht belegen, dass der Prozess funktioniert.
Besonders kritisch wird geprüft, ob die Meldefristen realistisch eingehalten werden können. Ein Prozess, der in der Theorie 24 Stunden vorsieht, aber in der Praxis keine automatisierten Erkennungsmechanismen hat, ist schwer zu verteidigen.
Lieferkettensicherheit: Nachweise gegenüber Dritten
NIS2 beschränkt sich nicht auf die eigene Organisation. Unternehmen müssen nachweisen, dass sie auch die Sicherheitsanforderungen gegenüber Lieferanten und Dienstleistern aktiv steuern.
Dazu gehören vertragliche Regelungen mit Dienstleistern, die Sicherheitsanforderungen verbindlich festschreiben, sowie Nachweise, dass diese Anforderungen regelmäßig überprüft werden. Risikobeurteilungen von Drittanbietern, Lieferantenbewertungen und dokumentierte Eskalationswege bei Sicherheitsproblemen in der Lieferkette sind typische Nachweisdokumente in diesem Bereich.
Viele Unternehmen unterschätzen diesen Prüfbereich. Wer selbst gut aufgestellt ist, aber keine Kontrolle über kritische Dienstleister nachweisen kann, hat eine relevante Lücke im NIS2-Nachweisbild.
Häufige Nachweislücken und wie man sie schließt
In der Praxis wiederholen sich bestimmte Lücken immer wieder. Die häufigsten betreffen nicht das Fehlen von Maßnahmen, sondern das Fehlen von Belegen für vorhandene Maßnahmen.
- Risikoregister existieren, wurden aber nie mit den tatsächlich eingesetzten technischen Maßnahmen abgeglichen.
- Schulungsnachweise fehlen oder decken nicht alle relevanten Mitarbeitenden ab.
- Patch-Protokolle werden nicht systematisch aufbewahrt, obwohl das Patchmanagement aktiv betrieben wird.
- Lieferantenverträge enthalten keine Sicherheitsklauseln oder wurden seit Jahren nicht aktualisiert.
- Der Meldeprozess ist beschrieben, aber nie getestet worden.
Diese Lücken lassen sich schließen, indem bestehende Prozesse nachträglich dokumentiert und mit dem übergeordneten Sicherheitskonzept verknüpft werden. Oft ist weniger Aufwand nötig als befürchtet, wenn die Maßnahmen bereits vorhanden sind und nur der Nachweis fehlt.
Audit-Vorbereitung: Schritte zur nachweisbaren NIS2-Konformität
Eine strukturierte Vorbereitung auf die NIS2-Prüfung beginnt nicht kurz vor dem Termin, sondern mit einem realistischen Bild des aktuellen Stands. Eine Gap-Analyse, die den Ist-Zustand mit dem NIS2-Anforderungskatalog abgleicht, zeigt, wo Nachweise fehlen und wo Prozesse angepasst werden müssen.
Darauf aufbauend empfiehlt sich eine priorisierte Maßnahmenplanung: Welche Lücken sind kritisch, welche lassen sich kurzfristig schließen? Technische Maßnahmen wie 24/7-Monitoring oder Schwachstellenscans liefern gleichzeitig Nachweise, wenn ihre Ergebnisse systematisch protokolliert werden. Governance-Dokumente wie Leitlinien und Prozessbeschreibungen müssen mit diesen technischen Belegen zusammenpassen.
Wer NIS2 nicht als einmaligen Kraftakt, sondern als dauerhaften Betriebsprozess begreift, wird bei einer Prüfung deutlich besser abschneiden als jemand, der kurz vorher alles zusammensucht.
So unterstützt UBESAFE bei der NIS2-Audit-Vorbereitung
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsanalyse bis zur nachweisbaren Umsetzung. Das beginnt mit einem strukturierten Audit, das den aktuellen Reifegrad bewertet und mit einer Gap-Analyse konkrete Handlungsfelder offenlegt. Darauf aufbauend übernimmt UBESAFE die Umsetzung, nicht nur die Beratung:
- Aufbau und Pflege eines belastbaren Risikoregisters mit Maßnahmenzuordnung
- Einrichtung und Betrieb technischer Nachweissysteme (SIEM, Schwachstellenscans, Patchmanagement)
- Dokumentation von Meldeprozessen und Unterstützung bei Incident-Response-Tests
- Vertragliche und prozessuale Absicherung der Lieferkette
- Kontinuierliches NIS2-Monitoring im Managed Service, damit Konformität dauerhaft erhalten bleibt
Einzelne Komponenten lassen sich flexibel beauftragen oder als vollumfängliches Paket nutzen. Für Unternehmen, die wissen wollen, wo sie aktuell stehen, bietet UBESAFE ein kostenloses Erst-Audit an. Wer den nächsten Schritt gehen möchte, findet auf der NIS2-Seite von UBESAFE einen direkten Einstieg in die strukturierte Umsetzung.