Wie sollte eine NIS2-konforme Dokumentation aufgebaut sein?

Alexander Brütsch · 16 Sep. 2026

Wer unter NIS2 fällt, steht nicht nur vor technischen Herausforderungen, sondern auch vor einer dokumentarischen. Die Richtlinie verlangt von betroffenen Unternehmen den Nachweis, dass Sicherheitsmaßnahmen nicht nur existieren, sondern systematisch geplant, umgesetzt und überprüft werden. Eine lückenhafte oder unstrukturierte NIS2-konforme Dokumentation kann im Ernstfall genauso problematisch sein wie fehlende Maßnahmen selbst, denn Behörden und Auditoren beurteilen das, was nachweisbar ist.

Dieser Beitrag zeigt, wie eine tragfähige NIS2-Dokumentation aufgebaut sein sollte: welche Pflichtbestandteile sie enthält, wie Struktur und Pflege funktionieren und welche Fehler sich in der Praxis häufig wiederholen.

Pflichtbestandteile einer NIS2-konformen Dokumentation

Die NIS2-Richtlinie schreibt keine einheitliche Dokumentenstruktur vor, definiert aber klar, welche Themenfelder abgedeckt sein müssen. Unternehmen benötigen Nachweise zu ihrem Risikomanagement, zu technischen und organisatorischen Sicherheitsmaßnahmen, zu Meldeprozessen bei Sicherheitsvorfällen sowie zur Lieferkettensicherheit.

Konkret bedeutet das: Es braucht eine Risikoanalyse mit dokumentiertem Bewertungsverfahren, eine Richtlinie zur Informationssicherheit, Verfahrensanweisungen für kritische Prozesse wie Patch-Management oder Zugangssteuerung sowie Nachweise über durchgeführte Schulungen und Awareness-Maßnahmen. Hinzu kommen Protokolle zu Sicherheitsvorfällen und deren Behandlung. Diese Bestandteile bilden das Grundgerüst, auf dem alle weiteren Dokumente aufbauen.

Strukturprinzipien: Hierarchie und Granularität der Dokumente

Eine bewährte Dokumentationsarchitektur arbeitet mit drei Ebenen: Richtlinien auf der obersten Ebene legen Ziele und Grundsätze fest, Prozessbeschreibungen auf der mittleren Ebene definieren das Wie, und Arbeitsanweisungen oder Checklisten auf der untersten Ebene regeln konkrete Einzelschritte.

Diese Hierarchie verhindert, dass Richtlinien zu kleinteilig werden oder Arbeitsanweisungen ohne übergeordneten Rahmen existieren. Die Granularität sollte sich an der tatsächlichen Nutzung orientieren: Ein Dokument, das niemand liest oder versteht, hat keinen Compliance-Wert. Praxisnähe und Verständlichkeit sind dabei keine Abstriche an der Qualität, sondern Voraussetzung dafür, dass die Dokumentation gelebt wird.

Versionierung, Freigabe und Pflege der Dokumentation

Dokumente ohne Versionskontrolle sind für Auditoren wertlos. Jede Richtlinie und jede Verfahrensanweisung sollte mit Versionsnummer, Erstellungs- und Änderungsdatum sowie dem Namen der freigebenden Person versehen sein. Das klingt nach Formalismus, hat aber einen konkreten Zweck: Im Prüfungsfall muss nachvollziehbar sein, welche Version zu welchem Zeitpunkt gültig war.

Regelmäßige Reviews sind ebenfalls Pflicht, nicht Kür. Mindestens einmal jährlich sollten alle zentralen Dokumente auf Aktualität geprüft werden, bei wesentlichen Änderungen der IT-Infrastruktur oder der Bedrohungslage auch häufiger. Ein einfacher Dokumentenplan mit festen Review-Terminen und Verantwortlichkeiten reicht aus, um diesen Prozess beherrschbar zu machen.

Nachweisführung für Behörden und Auditoren

Behörden und Auditoren prüfen nicht nur, ob Dokumente vorhanden sind, sondern ob sie mit der gelebten Praxis übereinstimmen. Eine Richtlinie, die beschreibt, was theoretisch passieren soll, aber keine Spur hinterlässt, dass es tatsächlich passiert, überzeugt nicht.

Wirksame Nachweisführung verbindet Dokumente mit Aktivitätsnachweisen: Schulungsteilnahmen werden protokolliert, Risikoanalysen zeigen Datum und Unterzeichnung, Patch-Zyklen erscheinen in Logs oder Berichten. Wer NIS2-Anforderungen systematisch umsetzen will, sollte von Anfang an so denken, wie ein Auditor denkt: Was würde jemand sehen wollen, um sich zu überzeugen, dass diese Maßnahme wirklich stattfindet?

Häufige Fehler beim Aufbau der NIS2-Dokumentation

Der verbreitetste Fehler ist das Kopieren von Vorlagen ohne Anpassung an die eigene Organisation. Generische Musterrichtlinien erfüllen formal eine Anforderung, spiegeln aber weder die tatsächliche Infrastruktur noch die realen Risiken wider. Auditoren erkennen das schnell.

Weitere typische Schwachstellen:

Dokumente existieren, sind aber nicht kommuniziert oder für die betroffenen Mitarbeitenden nicht zugänglich
Verantwortlichkeiten sind nicht benannt, sodass niemand für Pflege und Aktualisierung zuständig ist
Nachweise werden nicht systematisch gesammelt, sondern erst kurz vor einem Audit zusammengesucht
Die Dokumentation deckt nur einen Teil der NIS2-Anforderungen ab, etwa technische Maßnahmen, während organisatorische Aspekte wie Meldeprozesse fehlen

Ein strukturierter Aufbau von Beginn an spart erheblich mehr Zeit als spätere Nachbesserungen unter Druck.

Synergien mit ISO 27001 und TISAX® nutzen

Wer bereits ein ISMS nach ISO 27001 betreibt oder eine TISAX-Zertifizierung anstrebt, hat einen erheblichen Vorsprung bei der NIS2-Dokumentation. Die Anforderungen überschneiden sich in wesentlichen Bereichen: Risikoanalyse, Richtlinienstruktur, Incident-Management und interne Audits sind in allen drei Rahmenwerken gefordert.

Sinnvoll ist es, eine gemeinsame Dokumentenbasis zu schaffen, die für mehrere Rahmenwerke gilt, anstatt parallele Dokumentationssilos aufzubauen. Das setzt voraus, dass die Dokumente so gestaltet sind, dass sie auf Anforderungen mehrerer Standards verweisen können, ohne für jedes Rahmenwerk neu geschrieben zu werden. Eine solche integrierte ISMS-Dokumentation reduziert den Pflegeaufwand spürbar und macht Audits effizienter.

Wie UBESAFE bei der NIS2-Dokumentation unterstützt

UBESAFE begleitet Unternehmen durch den gesamten Prozess der NIS2-Umsetzung, von der Betroffenheitsprüfung bis zur prüfungsfähigen Dokumentation. Das beginnt mit einem strukturierten Audit, das den aktuellen Stand bewertet, Anwendbarkeit und Reifegrad einschätzt und mit einer GAP-Analyse konkrete Handlungsfelder benennt.

Im Anschluss übernimmt UBESAFE den Aufbau der Dokumentationsstruktur und die Umsetzung technischer und organisatorischer Maßnahmen:

Entwicklung einer hierarchischen Dokumentenarchitektur mit Richtlinien, Prozessen und Arbeitsanweisungen
Einrichtung von Versionierungs- und Freigabeprozessen
Aufbau von Meldeprozessen und Nachweisführung für Behörden
Integration in bestehende Rahmenwerke wie ISO 27001 oder TISAX
Kontinuierliche Überwachung und Reviews im Rahmen des Managed Service

NIS2-Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Betrieb. Wer jetzt eine solide Grundlage legt, vermeidet spätere Nacharbeit unter Zeitdruck. Für einen ersten Überblick über den eigenen Stand empfiehlt sich ein kostenfreies Erstgespräch mit den Experten von UBESAFE.