Compliance · 18. Oktober 2026

BSI-Leitfaden zur NIS-2-Dokumentation legt Prüfmaßstab für den Mittelstand fest

Das BSI erklärt, welche Nachweise NIS-2-Einrichtungen zu Risikomanagement, Meldewegen und Schulungen vorhalten müssen.

Christian Lohse · CEO & Founder

Wer bei einer NIS-2-Prüfung nur auf funktionierende Technik verweisen kann, aber keine durchgängige Dokumentation vorlegt, gilt als nicht regelkonform – unabhängig davon, wie gut Firewall und Backup tatsächlich konfiguriert sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 16. Oktober 2026 einen Leitfaden zur NIS-2-Dokumentationspflicht veröffentlicht, der genau diesen Maßstab konkretisiert. Für betroffene Unternehmen heißt das: Der Nachweis ist kein Nebenprodukt der Sicherheitsarbeit, sondern eigenständiger Prüfgegenstand.

Das Wichtigste in Kürze

Das BSI unterscheidet zwischen einer ausdrücklichen Dokumentationspflicht für Risikomanagementmaßnahmen nach §§ 30, 31 BSIG und einer impliziten Pflicht aus den Meldevorschriften und Schulungsanforderungen nach §§ 32, 38 BSIG.
Ein ISO-27001-Zertifikat allein ersetzt die BSIG-Dokumentation nicht, weil es Angemessenheit und Wirksamkeit der Maßnahmen für die konkret relevanten Dienste nicht automatisch belegt.
Schulungsnachweise für die Geschäftsleitung müssen Name, Rolle, Schulungsanbieter, Datum und vermittelte Inhalte enthalten – eine bloße Teilnahmebestätigung reicht nicht.
Auf Verlangen nach § 61 BSIG müssen Unternehmen nachweisen, dass sie ihre Meldepflicht bei Sicherheitsvorfällen tatsächlich erfüllen können.
Fehlende Nachweise sind kein Ablageproblem, sondern können der Geschäftsleitung als Organisationsversäumnis zugerechnet werden.

Technik reicht nicht, der Nachweis zählt

Viele Unternehmen gehen davon aus, dass eine NIS-2-Prüfung vor allem technische Kontrollen abfragt: Ist Multi-Faktor-Authentifizierung aktiv, gibt es ein Backup-Konzept, läuft ein Schwachstellen-Scan. Der BSI-Leitfaden zeigt ein anderes Bild. Geprüft wird, ob die Einrichtung nachvollziehbar darlegen kann, welche Risiken bestanden, wie sie bewertet wurden, welche Maßnahmen daraufhin umgesetzt oder bewusst verworfen wurden und warum. Diese Begründungskette ist der eigentliche Prüfungsgegenstand, nicht die einzelne technische Kontrolle. Das BSI benennt dafür unter anderem Risikomanagementmaßnahmen und eine dazugehörige Risikoanalyse als zentrale Bausteine.

Betroffen sind alle wichtigen und besonders wichtigen Einrichtungen im Anwendungsbereich des deutschen NIS-2-Umsetzungsgesetzes. Wer unsicher ist, ob das eigene Unternehmen darunterfällt, kann die Betroffenheit grob einschätzen lassen, etwa über die NIS2-Ersteinschätzung von jalotiqo. Das ersetzt keine rechtliche Prüfung, gibt aber eine erste Orientierung.

Drei Pflichtbereiche, drei unterschiedliche Nachweisarten

Risikomanagement (§ 30 BSIG): Erforderlich sind ein Inventar der relevanten Systeme, eine aktuelle Risikoanalyse mit dokumentierter Methodik, ein Maßnahmenkatalog mit Verantwortlichen und Terminen sowie Nachweise über Wirksamkeitsprüfungen wie Audits oder Wiederherstellungstests. Entscheidend ist, dass jede wesentliche Entscheidung – auch die, eine Maßnahme nicht umzusetzen – begründet und von der Geschäftsleitung freigegeben ist.

Meldewege (§ 32 BSIG): Für Frühwarnung, Erstmeldung und Abschlussbericht gelten gesetzliche Fristen, die das BSI in seinen Meldevorgaben beschreibt. Intern dokumentiert werden müssen die Eskalationsmatrix, die Erreichbarkeitsregelung, die Zuständigkeit für die Meldeentscheidung und der technische Anschluss an das BSI-Meldeportal. Eine Arbeitsanweisung „Vorfälle an das BSI melden“ genügt als Nachweis nicht, solange Fristen, Zuständigkeiten und Übermittlungswege nicht konkret beschrieben sind.

Geschäftsleitungsschulungen (§ 38 BSIG): Der Nachweis muss Name und Rolle der geschulten Person, Schulungsanbieter, Datum und vermittelte Inhalte enthalten. Eine Bescheinigung mit dem Wortlaut „Teilnahme an IT-Sicherheitsschulung“ reicht nach der BSI-Anforderung nicht aus. Vorgeschrieben sind regelmäßige Schulungen. Wie oft geschult wird, legst du am besten risikobasiert in einer eigenen Richtlinie fest.

Was jetzt zu tun ist:

Heute: Prüfen, ob für Risikoanalyse, Meldeprozess und Schulungen überhaupt ein zentrales Nachweisverzeichnis existiert – oder ob Dokumente verstreut in E-Mails, Tickets und Kalendereinträgen liegen.
Diese Woche: Bestehende Schulungsnachweise der Geschäftsleitung gegen die fünf geforderten Angaben (Name, Rolle, Anbieter, Datum, Inhalte) prüfen und Lücken nacherfassen.
Mittelfristig: Ein Aufbewahrungskonzept mit Zugriffsschutz, Versionierung und Manipulationsschutz einführen, das die Nachweise getrennt von potenziell betroffenen Produktivsystemen vorhält.

Außerdem wichtig in dieser Woche

Der Bundestag hat am 15. Oktober 2026 das Durchführungsgesetz zum Cyber Resilience Act verabschiedet; laut der am 16. Oktober 2026 veröffentlichten BSI-Mitteilung wird das BSI als zuständige Behörde für die nationale Durchsetzung benannt. Für mittelständische Unternehmen ist das nicht nur ein Thema für Hersteller: Wer vernetzte Produkte beschafft, sollte Lieferantenverträge darauf prüfen, ob Hersteller Nachweise zu Schwachstellenmanagement und Sicherheitsupdates liefern können, und intern festlegen, wer im Fall einer Behördenanfrage zuständig ist. Handlungsschritt: Produktportfolio und bestehende Lieferantenverträge auf CRA-relevante Komponenten sichten.

Einordnung aus Sicht von jalotiqo

Dass Nachweis und Betrieb getrennt gepflegt werden, ist in der Praxis eine häufige Fehlerquelle: Die Maßnahme wird umgesetzt, der Beleg dafür aber erst nachträglich und manuell für den Prüfer erstellt. In jalotiqo ONE entsteht der Nachweis direkt aus der abgeschlossenen Arbeit, etwa aus einer dokumentierten Änderung oder einem bestandenen Wiederherstellungstest, und das Protokoll ist über eine Hash-Kette gegen nachträgliche Änderungen abgesichert. Mehr zu diesem Ansatz findet sich im Bereich Security / ISMS.