NIS-2: Was das BSI als Dokumentation erwartet

Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes müssen betroffene Einrichtungen nicht nur Maßnahmen ergreifen, sondern ihre Umsetzung auch nachweisen können. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in einem Infopaket zur NIS-2-Dokumentationspflicht (Stand: 16.10.2026) zusammengefasst, welche Unterlagen es erwartet.

Das BSI unterscheidet zwischen ausdrücklichen und indirekten Dokumentationspflichten. Ausdrücklich verlangt § 30 Abs. 1 S. 3 BSIG, die Umsetzung angemessener, wirksamer und verhältnismäßiger Risikomanagementmaßnahmen zu dokumentieren. Festzuhalten ist dabei jede Entscheidung für oder gegen eine Maßnahme, samt einer Begründung, die sich aus der Risikoanalyse ableiten lässt. Die Risikoanalyse selbst gehört ebenfalls in die Dokumentation: identifizierte Risiken, ihre Bewertung, bestehende und zusätzliche Maßnahmen sowie die Gründe, aus denen Maßnahmen nicht ergriffen wurden. Zudem muss erkennbar sein, dass die Geschäftsleitung die Umsetzung überwacht hat. Wird ein externer Dienstleister eingebunden, ist auch das zu dokumentieren.

Meldewege und Schulungen nachweisen

Für die Meldepflicht nach § 32 BSIG besteht über die Meldung selbst hinaus keine gesonderte Dokumentationspflicht. Auf Anordnung des BSI nach § 61 Abs. 1 BSIG muss eine Einrichtung aber nachweisen können, dass sie meldefähig ist. Dazu gehört eine Beschreibung der technischen und organisatorischen Meldewege. Das BSI empfiehlt außerdem, Meldungen zu dokumentieren und auszuwerten.

Auch die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG zieht Nachweise nach sich: Schulungsanbieter oder interne Stelle, Name und Funktion der Teilnehmenden, Datum, Uhrzeit und Dauer sowie Inhalte mit Bezug zu § 38 Abs. 3. Das BSI weist darauf hin, dass die Unterlagen nur die Teilnahme belegen, nicht die erworbenen Kenntnisse. Zur Prüfung der Schulungsinhalte hat die Gesellschaft für Informatik über die Allianz für Cyber-Sicherheit eine Checkliste für Initialschulungen der Geschäftsleitung (Stand: 28.10.2026) bereitgestellt.

Gesetzlich nicht vorgeschrieben, aber vom BSI empfohlen ist schließlich die Dokumentation der Betroffenheitsprüfung nach § 28 BSIG, und zwar auch dann, wenn das Ergebnis negativ ist. Als Nachweise nennt das BSI etwa WZ- bzw. NACE-Codes, Handelsregisterauszug, Personalübersicht und Jahresabschluss; nach § 33 Abs. 4 BSIG kann das BSI diese Unterlagen anfordern.

Einrichtungen sollten die Hinweise nutzen, um einen geordneten Nachweisordner anzulegen: Betroffenheitsprüfung, Risikoanalyse mit begründeten Entscheidungen, Überwachung durch die Geschäftsleitung, Beschreibung der Meldewege und Schulungsnachweise. Die Unterlagen sind sicher aufzubewahren und müssen auf Verlangen des BSI kurzfristig vorgelegt werden können (§§ 61, 62 BSIG). Für Datenschutzbeauftragte lohnt sich der Abgleich mit der eigenen Dokumentation zu Art. 32 DS-GVO: Risikoanalyse und Maßnahmenbegründung überschneiden sich weitgehend. Wer beides aufeinander abstimmt, vermeidet Doppelarbeit und widersprüchliche Bewertungen, auch mit Blick auf Sicherheitsvorfälle, die sowohl nach § 32 BSIG als auch nach Art. 33 DS-GVO zu melden sein können.

(Foto: VectographyStudio – stock.adobe.com)