Welche Nachweispflichten entstehen durch NIS2?

Mit dem Inkrafttreten der NIS2-Richtlinie und ihrer nationalen Umsetzung sind für viele Unternehmen konkrete Pflichten entstanden, die weit über allgemeine Sicherheitsempfehlungen hinausgehen. Besonders die NIS2 Nachweispflichten stellen Organisationen vor praktische Herausforderungen: Es reicht nicht mehr, Maßnahmen intern umzusetzen. Sie müssen dokumentiert, nachvollziehbar und im Zweifelsfall gegenüber Behörden belegbar sein. Wer die eigenen NIS2 Dokumentationspflichten unterschätzt, riskiert nicht nur Bußgelder, sondern auch den Verlust von Kundenvertrauen und Geschäftsbeziehungen.

Dieser Artikel gibt einen strukturierten Überblick darüber, welche Nachweispflichten konkret entstehen, wo typische Lücken in der Praxis liegen und wie eine auditfeste Dokumentation aufgebaut werden kann.

Dokumentation, Meldepflichten und Risikomanagement im Überblick

NIS2 verlangt von betroffenen Unternehmen einen systematischen Umgang mit Informationssicherheitsrisiken, der sich in drei Kernbereichen niederschlägt: Dokumentation, Meldepflichten und Risikomanagement. Diese drei Bereiche sind eng miteinander verknüpft und bedingen sich gegenseitig.

Auf der Dokumentationsseite müssen Unternehmen nachweisen, dass sie geeignete technische und organisatorische Maßnahmen getroffen haben. Dazu gehören Richtlinien zur Informationssicherheit, Verfahrensanweisungen, Protokolle zu Sicherheitsvorfällen und Nachweise über durchgeführte Schulungen. Diese Unterlagen müssen aktuell gehalten und auf Anfrage vorlegbar sein.

Bei den Meldepflichten sieht NIS2 klare Fristen vor: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung an die zuständige Behörde gemeldet werden, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden. Dieser Prozess muss vorab definiert, geübt und dokumentiert sein. Wer im Ernstfall erst anfängt, Verantwortlichkeiten zu klären, wird die Fristen nicht einhalten können.

Das Risikomanagement bildet die Grundlage für alle weiteren Nachweise. Unternehmen müssen eine regelmäßige Risikoanalyse durchführen, die identifizierten Risiken bewerten und Maßnahmen zur Behandlung dokumentieren. Dieser Prozess muss nachvollziehbar sein, einschließlich der Begründung, warum bestimmte Risiken akzeptiert oder priorisiert wurden. Eine einmalige Analyse genügt nicht; NIS2 setzt auf kontinuierliche Überprüfung. Mehr zu den konkreten NIS2-Anforderungen und dem Pflichtenbild für betroffene Unternehmen findet sich auf der UBESAFE-Übersichtsseite.

Lieferkettensicherheit und Verantwortung der Geschäftsleitung nachweisen

Zwei Aspekte der NIS2 Compliance werden in der Praxis häufig unterschätzt: die Pflicht zur Absicherung der Lieferkette und die persönliche Verantwortung der Geschäftsleitung.

NIS2 verpflichtet betroffene Organisationen dazu, Sicherheitsrisiken in der Lieferkette aktiv zu managen. Das bedeutet: Dienstleister, Softwareanbieter und andere Drittparteien müssen hinsichtlich ihrer Sicherheitspraktiken bewertet werden. Diese Bewertungen müssen dokumentiert sein, ebenso wie vertragliche Regelungen zu Sicherheitsanforderungen. Wer keine Nachweise über die Sicherheitslage seiner Zulieferer vorlegen kann, erfüllt die NIS2 Anforderungen nicht vollständig.

Auf der Governance-Seite ist die Geschäftsleitung direkt in der Pflicht. NIS2 sieht vor, dass das Management die Sicherheitsmaßnahmen kennt, genehmigt und überwacht. Im Ernstfall müssen Unternehmen nachweisen, dass die Geschäftsleitung aktiv eingebunden war, etwa durch Protokolle von Sicherheitsbesprechungen, Genehmigungsvermerke zu Richtlinien oder Berichte an das Management. Diese Nachweispflicht ist neu und bedeutet eine echte Haftungsverantwortung für Führungskräfte.

Typische Lücken bei der Nachweisführung in der Praxis

Viele Unternehmen haben bereits Sicherheitsmaßnahmen umgesetzt, scheitern aber an der Nachweisführung. Die Maßnahmen existieren, sind jedoch nicht dokumentiert, nicht aktuell oder nicht in einer Form vorhanden, die einer externen Prüfung standhält.

Zu den häufigsten Schwachstellen gehören:

• Fehlende oder veraltete Richtlinien, die zwar irgendwann erstellt, aber nie aktualisiert wurden
• Kein definierter Meldeprozess für Sicherheitsvorfälle, sodass im Ernstfall Chaos entsteht
• Risikoanalysen ohne Versionierung oder Datumsstempel, die keine Aktualität belegen
• Lieferantenbewertungen, die mündlich stattgefunden haben, aber nirgendwo festgehalten sind
• Schulungsnachweise, die nicht systematisch erfasst werden

Ein weiteres Problem ist die fehlende Verbindung zwischen technischen Maßnahmen und ihrer Dokumentation. Ein Unternehmen kann ein SIEM-System betreiben, aber wenn kein Nachweis existiert, dass Alarme ausgewertet und Vorfälle behandelt werden, zählt das technisch Vorhandene für eine Prüfung wenig. NIS2 Compliance Nachweis bedeutet immer: Maßnahme plus Beleg plus Prozess.

Nachweise strukturiert aufbauen und auditfest dokumentieren

Eine belastbare Nachweisstruktur entsteht nicht durch das Sammeln einzelner Dokumente, sondern durch ein durchgängiges System, das Maßnahmen, Verantwortlichkeiten und Überprüfungszyklen miteinander verbindet.

Der Ausgangspunkt ist eine vollständige Bestandsaufnahme: Welche Maßnahmen existieren bereits? Welche Dokumente gibt es? Wo fehlen Belege? Eine Gap-Analyse auf Basis der NIS2 Anforderungen zeigt, welche Nachweise vorhanden sind und welche noch aufgebaut werden müssen. Dieser Schritt verhindert, dass Energie in die Dokumentation von Bereichen fließt, die bereits ausreichend abgedeckt sind.

Danach geht es um Struktur. Dokumente brauchen klare Eigentümer, Versionsstände und Freigabeprozesse. Richtlinien müssen in regelmäßigen Abständen überprüft und aktualisiert werden, mit Nachweis der Überprüfung. Risikoregister müssen so geführt werden, dass Änderungen nachvollziehbar sind. Für Meldeprozesse empfiehlt sich ein vorab definiertes Playbook, das im Ernstfall keine langen Abstimmungen erfordert.

Technische Maßnahmen wie Patchmanagement, Zugriffskontrolle oder Monitoring müssen in der Dokumentation mit Prozessbeschreibungen hinterlegt sein. Es reicht nicht, ein Tool einzusetzen; der Prozess dahinter muss beschrieben und die Einhaltung regelmäßig nachgewiesen werden. Automatisierte Reports und Protokolle aus den eingesetzten Systemen sind dabei wertvolle Bausteine für eine auditfeste Ablage.

Wie UBESAFE bei der NIS2-Umsetzung unterstützt

UBESAFE macht die NIS2 Umsetzung für Unternehmen ab 10 Mitarbeitern beherrschbar, von der ersten Betroffenheitsprüfung bis zur dauerhaften Compliance. Das Angebot kombiniert Audit-Expertise mit technischer Umsetzungskompetenz, sodass keine Lücke zwischen Konzept und Praxis entsteht.

• NIS2-Audit mit Betroffenheitsanalyse, Pflichtenbild und Gap-Analyse zum aktuellen Reifegrad
• Aufbau von Governance-Strukturen, Meldeprozessen und Dokumentation nach Audit-Standard
• Technische Maßnahmen wie 24/7-Monitoring, SIEM, Schwachstellen-Scan und Patchmanagement
• Managed Service für kontinuierliche Überwachung, Reviews und Optimierung im laufenden Betrieb
• Flexibles Modell: vollumfängliches Paket oder einzelne Komponenten je nach Bedarf

Wer wissen möchte, wo das eigene Unternehmen bei den NIS2 Nachweispflichten aktuell steht, kann mit einem kostenlosen Erstaudit starten. UBESAFE bewertet den Status quo, zeigt konkrete Handlungsfelder auf und begleitet die Umsetzung bis zur nachweisbaren Compliance.

Ähnliche Artikel

• Was tun, wenn ein kritischer IT-Lieferant keine Sicherheitsnachweise liefert?
• Welche Rollen brauchen Unternehmen für die NIS2-Meldekette?
• Wie sollte eine NIS2-konforme Dokumentation aufgebaut sein?
• Müssen auch Zulieferer die NIS2-Anforderungen erfüllen?
• Wie sieht ein realistischer Zeitplan für die NIS2-Umsetzung aus?