NIS2-Dokumentation: woraus die Nachweise bestehen — und wie lange sie halten müssen

„Zeigen Sie mir, dass Sie das eingehalten haben.“

Dieser Satz fällt nicht während der Umsetzung. Er fällt Monate oder Jahre später — bei einer behördlichen Prüfung, nach einem Sicherheitsvorfall oder in einer Vertragsverhandlung, in der ein Kunde Nachweise sehen will, bevor er unterschreibt. Antworten muss darauf, wer die Nachweisführung verantwortet — in der Praxis je nach Haus die Geschäftsleitung selbst oder die Person, der sie diese Aufgabe übertragen hat.

Zwei Dinge machen die Antwort schwer. Das Gesetz sagt, dass dokumentiert werden muss — aber nicht, was. Und es nennt keine Aufbewahrungsfrist.

Daraus ergibt sich die These dieses Beitrags. Der Maßstab für die Dokumentation steht nicht in der Vorschrift, die die Dokumentation anordnet. Er entsteht erst in dem Moment, in dem der Nachweis gebraucht wird — und dieser Moment liegt in der Zukunft.

Grundlage ist seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz (BSIG). Das NIS2-Umsetzungsgesetz (NIS2UmsuCG), mit dem der deutsche Gesetzgeber die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) umgesetzt hat, wurde am Vortag im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301); die letzte Änderung des BSIG datiert vom 11. März 2026. Maßgeblich für die Pflichten ist der deutsche Gesetzestext, nicht die NIS-2-Richtlinie selbst.

Was § 30 BSIG verlangt — und was nicht

Der Dokumentationspflicht widmet das Gesetz genau einen Satz, und der steht am Ende von § 30 Absatz 1: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“

Der Bezugspunkt ist entscheidend. Satz 1 verpflichtet besonders wichtige Einrichtungen und wichtige Einrichtungen dazu, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen — das Gesetz nennt sie Risikomanagementmaßnahmen. Zu dokumentieren ist nach Satz 3 nicht die Maßnahme, sondern die Einhaltung dieser Verpflichtung.

Was daraus folgt, ist eine Auslegung aus der Systematik des Gesetzes und kein Rechtssatz — welche Unterlagen im Einzelfall genügen, ist eine rechtliche Bewertung und gehört in anwaltliche Hände.

Die Unterscheidung zwischen Maßnahme und Einhaltung ist dabei mehr als eine sprachliche Feinheit. Eine Maßnahmenliste belegt, dass etwas existiert. Zur Einhaltung der Verpflichtung gehört darüber hinaus dreierlei: dass die Risikomanagementmaßnahmen mit Blick auf die Risikolage ausgewählt wurden, dass ihre Verhältnismäßigkeit bewertet wurde und dass ein Verfahren besteht, mit dem sich ihre Wirksamkeit bewerten lässt (§ 30 Absatz 2 Satz 2 Nummer 6). Woran sich die Verhältnismäßigkeit bemisst, sagt § 30 Absatz 1 Satz 2: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.

Eine Dokumentation, die nur Zustände auflistet, lässt diesen Teil offen. Sie zeigt das Ergebnis und verschweigt den Weg dorthin.

Geprüft wird die Einhaltung auf zwei Wegen, und sie sind nicht deckungsgleich. Das ist der Punkt, an dem die meisten Übersichten zu früh aufhören.

Der erste Weg ist das angeordnete Audit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kann es bei besonders wichtigen Einrichtungen durch unabhängige Stellen durchführen lassen. Worauf es sich bezieht, zählt § 61 Absatz 1 auf: auf § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und 2 Satz 1, auf § 32 Absatz 1 bis 3 und auf § 38 Absatz 3. Die Dokumentationspflicht aus Satz 3 steht in dieser Aufzählung nicht.

Der zweite Weg ist die Überprüfung durch das BSI selbst. Auch sie betrifft besonders wichtige Einrichtungen, erfasst nach § 61 Absatz 5 dem Wortlaut nach aber „die Einhaltung der Anforderungen nach diesem Gesetz“ — und damit auch die Pflicht aus Satz 3, die § 65 Absatz 2 als eigenen Bußgeldtatbestand führt. Wer aus der ersten Aufzählung schließt, die Dokumentation werde nicht geprüft, liest nur die Hälfte.

Bei wichtigen Einrichtungen setzt die Aufsicht einen Anlass voraus: Nach § 62 kann das BSI erst tätig werden, wenn Tatsachen die Annahme rechtfertigen, dass § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umgesetzt sind; dann stehen ihm die Maßnahmen des § 61 offen.

Dass die Dokumentation kein Anhängsel ist, sondern eine eigenständige Pflicht mit eigenem Bußgeldtatbestand, behandelt der Beitrag zur NIS2-Umsetzung.

Fünf Arten von Belegen für die NIS2-Dokumentation — und was jede leistet

Zur Form schweigt das Gesetz dort, wo es die Pflicht begründet. Einen Anhaltspunkt liefert erst die Regelung der Vorlage: § 61 Absatz 5 unterscheidet für die Aufsicht über besonders wichtige Einrichtungen drei Gattungen — Aufzeichnungen, Schriftstücke, sonstige Unterlagen — und nennt als einzigen Formmaßstab, dass „in geeigneter Weise“ vorzulegen ist.

Die folgende Fünfteilung ist die Ordnung dieses Beitrags, nicht die des Gesetzes. Sie folgt einer Dimension, die für die Nachweisführung entscheidend ist: dem Zeitpunkt, zu dem ein Beleg entsteht. Manche entstehen mit der Handlung und lassen sich später nicht mehr herstellen. Manche entstehen vor der Handlung — sie sind nachholbar, belegen dann aber nur den Zeitpunkt ihrer Erstellung. Und manche entstehen bei Dritten und müssen angefordert werden, bevor man sie braucht.

Konzepte und Richtlinien. § 30 Absatz 2 Satz 2 verlangt an mehreren Stellen ausdrücklich Konzepte — dort allerdings als Risikomanagementmaßnahme, nicht als Nachweisform: für Risikoanalyse und die Sicherheit in der Informationstechnik (Nummer 1), für kryptographische Verfahren (Nummer 8), für Personalsicherheit, Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen (Nummer 9) — IKT steht für Informations- und Kommunikationstechnik. Solche Dokumente entstehen vor der Handlung und lassen sich jederzeit nachholen; belegt ist damit aber nur, dass eine Regel existiert und ab wann sie in dieser Fassung vorlag. Ob nach dieser Regel gearbeitet wird, zeigt ein Konzept nicht. Belegt ist die Regel, nicht ihre Anwendung — und ohne erkennbare Fassung, ohne Freigabe und ohne benannten Adressatenkreis nicht einmal das.

Betriebsaufzeichnungen. Was im laufenden Betrieb ohnehin anfällt: Patch-Stände, Ergebnisse von Sicherungsläufen, Berichte über Zugriffsrechte, Alarmverläufe. Sie zeigen als einzige unmittelbar aus dem Betrieb heraus, dass eine Maßnahme zu einem bestimmten Zeitpunkt tatsächlich lief. Ihre Schwäche ist ihre Flüchtigkeit: Sie entstehen im System und verschwinden dort auch wieder, wenn niemand sie sichert. Rückwirkend lassen sie sich nicht herstellen.

Prüf- und Bewertungsergebnisse. Nummer 6 verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit“ der Risikomanagementmaßnahmen. Aussagekräftig wird der Nachweis hier nur doppelt: das Verfahren, nach dem bewertet wird, und das Ergebnis der einzelnen Bewertung. Das Ergebnis entsteht zum Prüfzeitpunkt und nur dann. Erst Verfahren und Ergebnis zusammen zeigen, woran gemessen wurde und was dabei herauskam.

Schulungsnachweise. Zwei verschiedene Pflichten liegen hier nebeneinander. Nummer 7 verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik; adressiert ist die Einrichtung. § 38 Absatz 3 verpflichtet daneben die Geschäftsleitung persönlich zur regelmäßigen Teilnahme an Schulungen. Ausgerechnet diese zweite Pflicht sagt zum Nachweis nichts — sie steht aber in der Aufzählung des § 61 Absatz 1 und ist damit bei besonders wichtigen Einrichtungen Gegenstand eines angeordneten Audits; bei wichtigen Einrichtungen kann das BSI die Einhaltung dieser Pflicht nach § 62 anlassbezogen überprüfen. Der Nachweisbedarf entsteht also praktisch, obwohl die Pflichtnorm ihn nicht nennt. Und der Nachweis entsteht mit der Teilnahme oder gar nicht: Wer nicht festhält, wer wann teilgenommen hat, kann es später nicht rekonstruieren.

Unterlagen aus der Lieferkette. Für die Lieferkette begründet Nummer 4 eine eigene Pflicht — ausdrücklich einschließlich „sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Diese Nachweise entstehen nicht im eigenen Haus: Vertragliche Zusicherungen, Berichte und Prüfergebnisse von Dienstleistern muss man anfordern, und zwar bevor jemand danach fragt.

Wann eine Unterlage der Prüfung standhält

Der Formmaßstab des § 61 Absatz 5 — „in geeigneter Weise“ — ist ein relativer: Er bemisst sich nach dem Zweck der Vorlage, und der ist die Prüfung durch jemanden, der den Betrieb nicht kennt. Vier Eigenschaften folgen daraus. Im Gesetz stehen sie so nicht; sie sind aus seiner Systematik abgeleitet.

Auffindbar — ohne die Person, die den Beleg angelegt hat. Wer später prüft, wartet nicht, bis der zuständige Kollege aus dem Urlaub zurück ist. Ein Nachweis, den nur ein einzelner Mitarbeiter im richtigen Ordner findet, ist im Prüfungsfall so gut wie nicht vorhanden.

Verantwortet — je Dokument eine benannte Rolle, die es pflegt. Ohne benannte Zuständigkeit altert ein Nachweisbestand unbemerkt: Es prüft niemand, ob der Stand noch trägt.

In seiner Fassung erkennbar — welcher Stand liegt vor, und seit wann. Gefragt wird später nach einem bestimmten Zeitraum; ein Dokument ohne erkennbare Fassung lässt offen, ob es ihn überhaupt abdeckt.

In seiner Entstehung nachvollziehbar — wann etwas geändert wurde und durch wen. Das ist der Unterschied zwischen einem Nachweis und einer Behauptung über die Vergangenheit.

Der Formmaßstab „in geeigneter Weise“ gilt gegenüber der Aufsicht. Gegenüber einem Kunden gilt, was der Vertrag verlangt — und dessen Fristen richten sich nach Laufzeit und Gewährleistung, nicht nach dem BSIG. Für den Mittelstand ist das der häufigere Anlass: Nachweise werden öfter im Lieferantenfragebogen verlangt als im Bescheid einer Behörde. Die vier Eigenschaften tragen in beiden Fällen, und zwar aus demselben Grund — beide Prüfer kennen den Betrieb nicht.

Diese vier Eigenschaften entscheiden, ob ein Nachweis im Aufsichtsverfahren überhaupt verwertbar ist. Wie viel er inhaltlich wiegt, wenn es zum Streit über die Sorgfalt der Geschäftsleitung kommt, ist eine andere Frage — dazu der Beitrag zu den NIS2-Pflichten der Geschäftsführung.

Wie lange aufbewahren — das BSIG nennt keine Frist

Das Gesetz enthält keine Vorschrift darüber, wie lange Einrichtungen ihre Unterlagen vorhalten müssen.

Daraus folgt nicht, dass Nachweise beliebig entsorgt werden dürfen. Es folgt, dass sich die Dauer nur aus drei Bezugspunkten ableiten lässt: Zwei stehen im BSIG, der dritte im Ordnungswidrigkeitenrecht.

Erstens die Prüfzyklen. Betreiber kritischer Anlagen müssen die Umsetzung der Maßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (§ 39 Absatz 1). Den Zeitpunkt legt das BSI unter Beteiligung des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe fest — das Gesetz nennt das „im Benehmen mit“, was Anhörung bedeutet, nicht Zustimmung. Der Zeitpunkt liegt frühestens drei Jahre, nachdem ein Betreiber erstmals als solcher gilt — oder spätestens drei Jahre, nachdem er erneut als solcher gilt; anschließend ist der Nachweis alle drei Jahre zu erbringen. Die Reichweite ist wichtig: Dieser Zyklus gilt nur für Betreiber kritischer Anlagen, nicht allgemein für besonders wichtige Einrichtungen und wichtige Einrichtungen. Für alle anderen kennt das Gesetz keinen festen Prüfrhythmus.

Für dieselbe Gruppe kann das BSI zusätzlich Anforderungen an die Geeignetheit der zu erbringenden Nachweise festlegen (§ 39 Absatz 2). Auch das geschieht nicht im Gesetz, sondern durch öffentliche Mitteilung auf der Internetseite des BSI.

Zweitens der Zeitpunkt, ab dem Nachweise verlangt werden können. Auch gegenüber weiteren besonders wichtigen Einrichtungen darf das BSI die Vorlage von Nachweisen erst drei Jahre nach Inkrafttreten des Gesetzes anordnen (§ 61 Absatz 3 Satz 1); für zugelassene Krankenhäuser (§ 108 SGB V) verschiebt sich dieser Termin auf fünf Jahre — außer eine Rechtsverordnung setzt ihn früher an. Dieser Abruf zielt auf dieselben Pflichten wie § 61 Absatz 1; als Zeitmarke für die Aufbewahrung taugt er trotzdem, weil die Dokumentation der Beleg für die Erfüllung dieser Pflichten ist. Die Wartezeit gilt bei besonders wichtigen Einrichtungen nur für dieses eine Instrument — die übrigen Aufsichtsbefugnisse bestehen von Anfang an; welche das sind, behandelt der Beitrag zur NIS2-Umsetzung.

Drittens die Verjährung. Die Verfolgung von Ordnungswidrigkeiten verjährt nach § 31 Absatz 2 Nummer 1 des Gesetzes über Ordnungswidrigkeiten (OWiG) in drei Jahren, wenn die Geldbuße im Höchstmaß über 15.000 Euro liegt — was bei den Bußgeldrahmen des § 65 BSIG der Fall ist. Diese Regel gilt, soweit ein anderes Gesetz nichts Abweichendes bestimmt; das BSIG enthält keine eigene Verjährungsvorschrift. Ab wann die Frist läuft, lässt sich nicht allgemein sagen: Nach § 31 Absatz 3 OWiG beginnt sie, „sobald die Handlung beendet ist“ — und wann ein fortdauerndes Unterlassen endet, hängt vom Einzelfall ab. Diese Frage ist hier nicht zu beantworten.

Drei Jahre sind dabei die Grundfrist, nicht die Obergrenze. Nach § 33 Absatz 1 OWiG unterbrechen bestimmte Verfolgungshandlungen die Verjährung, etwa die erste Vernehmung des Betroffenen oder die Bekanntgabe, dass ein Ermittlungsverfahren eingeleitet ist; nach § 33 Absatz 3 OWiG beginnt die Frist danach von neuem. Die äußere Grenze bildet grundsätzlich das Doppelte der gesetzlichen Frist (§ 33 Absatz 3 Satz 2 OWiG), hier also sechs Jahre; Zeiten, in denen die Verjährung ruht, bleiben dabei außer Betracht (§ 33 Absatz 3 Satz 4 in Verbindung mit § 32 OWiG). Der Horizont ist damit länger, als die Grundfrist von drei Jahren nahelegt.

Eine Pflicht, Unterlagen bereitzuhalten, kennt das BSIG selbst nur an einer einzigen Stelle — und sie trifft einen ganz anderen Adressaten: unter anderem den Aussteller einer Konformitätserklärung für IKT-Produkte, IKT-Dienste oder IKT-Prozesse (§ 53 Absatz 4). Selbst dort legt das Gesetz die Dauer nicht fest, sondern verweist auf einen Zeitraum, den das BSI in einer Technischen Richtlinie bestimmt. Dass die Leerstelle bei § 30 kein Versehen ist, lässt sich daran ablesen: Das Gesetz kann Bereithaltungspflichten anordnen — bei der Dokumentation tut es das nicht.

Ein Gegengewicht gehört dazu. Schulungslisten, Zugriffsberichte und Alarmverläufe können personenbezogene Daten enthalten. Das Datenschutzrecht verlangt, solche Daten zu löschen, sobald der Zweck ihrer Verarbeitung entfällt — nimmt davon aber Verarbeitungen aus, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind. Aufbewahrungsinteresse und Löschpflicht können trotzdem gegenläufig sein — ob die Nachweisführung nach dem BSIG eine solche Verpflichtung begründet, ist gerade nicht ausdrücklich geregelt. Wie sich das im Einzelfall auflöst, ist eine Bewertung, die anwaltlich zu treffen ist.

Als Arbeitsmaßstab bleibt: Ein Nachweisbestand sollte den Zeitraum überdauern, in dem er noch Gegenstand einer Prüfung werden kann.

NIS2 und ISO 27001: wenn ein Managementsystem bereits existiert

Wo ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 läuft, ist ein erheblicher Teil der Nachweisarbeit getan. Richtlinien, Rollenbeschreibungen, die Dokumentation der Risikobehandlung und interne Auditberichte lassen sich weiterverwenden.

Zwei Einschränkungen gehören dazu. Erstens deckt sich die Gliederung eines ISO-Managementsystems nicht mit den zehn Bereichen des § 30 Absatz 2 Satz 2 BSIG; vorhandene Dokumente müssen diesen Bereichen zugeordnet werden, und die Zuordnung gehört sinnvollerweise mitdokumentiert — auch das ein Arbeitsmaßstab, keine Formvorgabe des Gesetzes. Zweitens haben die Registrierungs- und Meldepflichten als gesetzliche Pflichten gegenüber einer Behörde im Managementsystem kein Gegenstück; was aus ihnen folgt, behandelt der Beitrag zur NIS2-Umsetzung.

Mahoney Control ordnet Kundenkontrollen Rahmenwerken wie ISO 27001, NIS 2 und SOC 2 Type II zu. Die Zertifizierung selbst wird von unabhängigen Auditoren erteilt.

Was Mahoney Control von der Nachweisarbeit übernimmt

Von den fünf Belegarten entsteht nur eine von selbst: die Betriebsaufzeichnung. Alle anderen müssen zusätzlich erzeugt werden. Auffindbar sein, eine benannte Verantwortung tragen und ihre Fassung wie ihre Entstehung erkennen lassen müssen sie alle.

Das Governance-Modul von Mahoney Control lässt sich entlang dieser vier Eigenschaften beschreiben.

Auffindbar: Ein Beleg hängt an der Kontrolle, zu der er gehört, nicht an dem Ort, an dem er zufällig entstanden ist. Die Kontrollen sind zu Domänen gebündelt; eine Heatmap zeigt je Domäne den Erfüllungsgrad.

Verantwortet: Wo keine Maschine messen kann — bei Schulungen etwa —, tritt an die Stelle der Messung die Bestätigung durch eine benannte Person, mit Zeitpunkt und beigefügtem Nachweis. Wer den Bestand laufend pflegt, bleibt eine organisatorische Frage; die Plattform hält fest, wer was wann bestätigt hat.

In der Fassung erkennbar: Bei technisch erhobenen Nachweisen steht am Beleg, wann er zuletzt geprüft wurde. Hinterlegte Dokumente tragen ihren Stand aus dem Dokument selbst.

In der Entstehung nachvollziehbar: Am Beleg steht außerdem, woher er stammt — aus der laufenden Messung eines angebundenen Systems oder aus einem hinterlegten Dokument. Die vollständige Änderungsgeschichte eines Dokuments bleibt dagegen Sache der Ablage, in der es gepflegt wird.

Ein organisatorischer Nachweis kann zugleich für mehrere Rahmenwerke gelten. Für technisch gemessene Kontrollen gilt das nicht: Deren Prüfstatus bleibt je Rahmenwerk getrennt.

Was die Plattform nicht leistet, gehört dazu. Ob eine Risikomanagementmaßnahme im Einzelfall verhältnismäßig ist, entscheidet eine Abwägung entlang der Gesichtspunkte des § 30 Absatz 1 Satz 2 — und Abwägungen nimmt keine Software vor. Abgebildet wird, welche Nachweise vorliegen und woher sie stammen.

Worauf es hinausläuft

„Zeigen Sie mir, dass Sie das eingehalten haben.“ Wer darauf antworten können will, braucht nicht möglichst viele Dokumente, sondern die richtigen — und einen Bestand, der die Zeit bis zur Prüfung übersteht.

Der Maßstab entsteht zwar erst in dem Moment, in dem jemand die Nachweise sehen will; erfüllen lässt er sich nur vorher, während die Nachweise entstehen.

Was daraus folgt, ist eine Empfehlung, kein Rechtssatz — die Bewertung des eigenen Falls gehört in anwaltliche Hände. Die erste Handlung ist unspektakulär und kostet nichts: festhalten, wo welcher Beleg liegt und wer ihn pflegt.

Die Governance-Seite zeigt das Modul im Detail. Wer einordnen möchte, wie die eigene Nachweislage heute abgebildet ist, kann sie mit uns durchgehen: Sprechen Sie uns an.

Häufige Fragen zur NIS2-Dokumentation

Wie lange muss die NIS2-Dokumentation aufbewahrt werden?

Das BSI-Gesetz nennt keine Aufbewahrungsfrist für Nachweise nach § 30 Absatz 1 Satz 3. Daraus folgt nicht, dass Nachweise beliebig entsorgt werden dürfen — maßgeblich ist, ob sie noch Gegenstand einer Prüfung werden können. Anhaltspunkte liefern drei andere Vorschriften: der Dreijahreszyklus, der allerdings nur für Betreiber kritischer Anlagen gilt (§ 39 Absatz 1); der Zeitpunkt, ab dem das Bundesamt für Sicherheit in der Informationstechnik von besonders wichtigen Einrichtungen Nachweise verlangen kann (§ 61 Absatz 3); und die Verfolgungsverjährung von drei Jahren nach § 31 Absatz 2 Nummer 1 des Gesetzes über Ordnungswidrigkeiten (OWiG) — eine Grundfrist, die sich bei Unterbrechung nach § 33 OWiG bis zum Doppelten verlängern kann. Wann diese Verjährung im Einzelfall zu laufen beginnt, richtet sich nach § 31 Absatz 3 OWiG und ist eine Frage des konkreten Sachverhalts, die anwaltlich zu bewerten ist.

Reicht eine Liste der umgesetzten Maßnahmen als NIS2-Dokumentation?

§ 30 Absatz 1 Satz 3 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen, die Einhaltung der Verpflichtung aus Satz 1 zu dokumentieren — nicht die einzelne Maßnahme. Zu dieser Verpflichtung gehört nach Satz 1 auch, dass die Maßnahmen geeignet, verhältnismäßig und wirksam sind; für die Verhältnismäßigkeit nennt Satz 2 folgende Gesichtspunkte: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen. Dass eine reine Bestandsliste diesen Teil nicht abbildet, ist eine Auslegung aus der Systematik des Gesetzes und keine ausdrückliche Vorgabe.

Lassen sich vorhandene ISO-27001-Dokumente als NIS2-Nachweis verwenden?

Ein bestehendes Managementsystem liefert einen erheblichen Teil der Unterlagen — Richtlinien, Rollenbeschreibungen, Risikobehandlung, interne Auditberichte. Diese Unterlagen müssen allerdings den zehn Bereichen zugeordnet werden, die § 30 Absatz 2 Satz 2 BSIG aufzählt; dass die Zuordnung selbst mitzudokumentieren ist, folgt aus der Systematik und steht nicht ausdrücklich im Gesetz. Pflichten ohne Gegenstück im Managementsystem, etwa die Registrierungs- und Meldepflichten, werden dadurch nicht abgedeckt. Mahoney Control ordnet Kontrollen ISO 27001, NIS 2 und weiteren Rahmenwerken zu; die Zertifizierung selbst erteilen ausschließlich unabhängige Auditoren.

Muss die NIS2-Dokumentation digital geführt werden?

Zur Form der Dokumentation selbst sagt § 30 Absatz 1 Satz 3 BSIG nichts. Einen Maßstab nennt das Gesetz erst für die Vorlage gegenüber der Aufsicht: Bei besonders wichtigen Einrichtungen ist nach § 61 Absatz 5 „in geeigneter Weise“ vorzulegen. Bei wichtigen Einrichtungen kann das Bundesamt für Sicherheit in der Informationstechnik (BSI) dieselben Instrumente einsetzen, sobald ein Anlass nach § 62 vorliegt. Woran sich die Eignung im Einzelfall bemisst, ist eine rechtliche Bewertung; als Anhaltspunkt dient der Zweck der Vorlage — die Prüfung durch jemanden, der den Betrieb nicht kennt. Eine bestimmte Form, digital oder auf Papier, schreibt das Gesetz nicht vor.

Was passiert, wenn die NIS2-Dokumentation fehlt?

Das BSI-Gesetz führt die fehlende Dokumentation als eigene Ordnungswidrigkeit: Nach § 65 Absatz 2 Nummer 3 BSIG handelt ordnungswidrig, wer vorsätzlich oder fahrlässig entgegen § 30 Absatz 1 Satz 3 die Einhaltung der Verpflichtung nicht, nicht richtig oder nicht vollständig dokumentiert. Für diesen Verstoß gilt dieselbe Obergrenze wie für fehlende Maßnahmen; § 65 Absatz 5 Satz 1 Nummer 1 nennt sie in einem Zug: bis zu zehn Millionen Euro bei besonders wichtigen Einrichtungen im Sinne des § 28 Absatz 1 Satz 1 und bis zu sieben Millionen Euro bei wichtigen Einrichtungen im Sinne des § 28 Absatz 2 Satz 1. Bei Fahrlässigkeit halbiert sich dieses Höchstmaß nicht: § 65 Absatz 9 BSIG erklärt § 17 Absatz 2 OWiG, der sonst die Hälfte vorsieht, für diese Fälle ausdrücklich als nicht anwendbar. Die vielzitierten Umsatzprozente aus § 65 Absatz 6 und 7 kommen erst ab einem Gesamtumsatz über 500 Millionen Euro in Betracht; maßgeblich ist dafür nach Absatz 8 nicht der Umsatz der Einrichtung selbst, sondern der weltweite Umsatz des Unternehmens, dem sie angehört. Ob eine Einrichtung überhaupt unter § 30 fällt und welcher Kategorie sie zuzuordnen ist, ist eine Frage des Einzelfalls; dafür stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Betroffenheitsprüfung bereit. Was der Bußgeldrahmen über die Gewichtung des Gesetzgebers verrät, behandelt der Beitrag zur NIS2-Umsetzung.

Wer ist für die NIS2-Dokumentation verantwortlich?

§ 30 Absatz 1 Satz 3 BSIG richtet sich an die Einrichtung: Die Einrichtung hat die Einhaltung zu dokumentieren. Daneben verpflichtet § 38 Absatz 1 BSIG die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen; dem Wortlaut nach erfasst die Norm die Maßnahmen und ihre Umsetzung, nicht ausdrücklich die Dokumentation. Wer die Nachweise im Tagesgeschäft führt, sagt das Gesetz nicht — diese Aufgabe lässt sich intern verteilen und auch an einen Dienstleister vergeben. Die Pflicht selbst bleibt davon unberührt: Ein Dienstleister, der Belege erzeugt oder verwahrt, wird dadurch nicht selbst Adressat dieser Pflicht, und die Einrichtung bleibt dafür verantwortlich, wen sie damit betraut und ob sie die Ausführung kontrolliert. Für welche Einrichtungen § 38 gilt und wie die Aufgaben im Einzelfall zu verteilen sind, ist rechtlich zu bewerten. Welche Rolle die Nachweislage für die persönliche Verantwortung der Geschäftsleitung spielt, behandelt der Beitrag zu den NIS2-Pflichten der Geschäftsführung.

---

Rechtlicher Hinweis: Dieser Beitrag gibt den Stand des BSI-Gesetzes nach dem NIS2UmsuCG allgemein und abstrakt wieder. Er ersetzt keine Rechtsberatung im Einzelfall und trifft keine Aussage darüber, ob und in welchem Umfang die beschriebenen Pflichten für ein bestimmtes Unternehmen gelten. Für die Prüfung der eigenen Betroffenheit steht die Betroffenheitsprüfung des BSI zur Verfügung; für die rechtliche Bewertung eines konkreten Sachverhalts ist anwaltlicher Rat einzuholen.

Hinweis zu Rahmenwerken: Mahoney Control mappt Kundenkontrollen gegen Rahmenwerke wie ISO 27001, NIS 2 und SOC 2 Type II. Dies stellt keine Zertifizierung von Mahoney IT gegen diese Rahmenwerke dar. Die Zertifizierung wird von unabhängigen Auditoren erteilt. Die einzige förmliche Zertifizierung, die Mahoney IT selbst hält, ist ISO 9001:2015, erteilt durch DEKRA. Diese Zertifizierung gilt für Mahoney IT Group Germany.