NIS2-Dokumentationspflicht: Der vollständige Leitfaden für Unternehmen
NIS2-Dokumentationspflicht: Der vollständige Leitfaden für Unternehmen
Was Sie dokumentieren müssen, wie die Dokumente aussehen und wie Sie sie aktuell halten
Seit dem 6. Dezember 2025 gilt die NIS2-Richtlinie in Deutschland – ohne Übergangsfrist. Rund 29.500 Unternehmen in 18 Sektoren müssen jetzt umfangreiche Dokumentationspflichten erfüllen. Doch was genau muss dokumentiert werden? Wie sehen diese Dokumente aus? Und wie halten Sie alles aktuell? Dieser Leitfaden gibt Ihnen alle Antworten.
🎯 Wer ist von der NIS2-Dokumentationspflicht betroffen?
Die NIS2-Richtlinie unterscheidet zwei Kategorien betroffener Unternehmen:
Wesentliche Einrichtungen
Große Unternehmen in kritischen Sektoren
≥250 MA oder >50 Mio. € Umsatz
Wichtige Einrichtungen
Mittlere Unternehmen in weiteren Sektoren
≥50 MA oder >10 Mio. € Umsatz
Betroffene Sektoren: Energie, Gesundheit, Finanzwesen, digitale Infrastruktur, Verkehr, Trinkwasser, öffentliche Verwaltung, IKT-Dienstleister und mehr.
📄 Welche Dokumente sind erforderlich?
NIS2 fordert über 80 Einzeldokumente in 16 thematischen Bereichen. Die drei umfangreichsten Bereiche:
- 25 Dokumente – Cybersecurity Policies & Verfahren (Zugangskontrolle, Passwörter, Netzwerksicherheit, Verschlüsselung)
- 17 Dokumente – BCM & Krisenmanagement (Business Continuity Plans, Disaster Recovery, Notfallpläne)
- 10 Dokumente – Incident Management & Meldung (Vorfallsprotokolle, Meldeprozesse, 24h/72h-Fristen)
Die 16 Dokumentationsbereiche im Überblick:
- Management Support (GL-Beschluss)
- Projektplan für NIS2-Umsetzung
- Schulungsplan für Cybersicherheit
- Top-Level IT-Sicherheitsrichtlinie
- Risikomanagement-Methodik
- Risikoanalyse & -behandlung
- Risikobehandlungsplan
- Cybersecurity Policies & Verfahren (25 Dokumente)
- BCM & Krisenmanagement (17 Dokumente)
- Supply Chain Security (4 Dokumente)
- Wirksamkeitsmessung
- Incident Management & Meldung (10 Dokumente)
- Schulung & Awareness
- Internes Audit
- Management Review
- Korrekturmaßnahmen
🔧 Wie muss eine NIS2-Dokumentation aussehen?
- Ein Dokument pro Thema – keine Monolithen, sondern modulare Dokumente
- Pflicht-Metadaten – Versionsnummer, Erstellungsdatum, Überprüfungsdatum, Freigabe
- Nachvollziehbarer Änderungsverlauf – wer hat was wann geändert
- Klare Referenzen – Verweise auf NIS2-Artikel, CIR 2024/2690 und interne Controls
- Zentraler Speicherort – ein Repository (keine E-Mails oder persönlichen Laufwerke)
Beispiel: Incident-Handling-Policy
Dokument: Incident-Handling-Policy v2.1
Erstellt: 15.01.2026 | Geprüft: 01.03.2026 | Freigegeben: CISO
Referenz: Art. 21(2)(b), §30 BSIG, ISO 27001 A.16
Inhalt:
– Definition Sicherheitsvorfälle
– Klassifizierung (kritisch, hoch, mittel, niedrig)
– Eskalationspfade und Verantwortlichkeiten
– 24h-Frühwarnung an BSI
– 72h-Detaillierter Bericht
– Abschlussbericht nach 1 Monat
Änderungsverlauf:
v2.0 → v2.1: Meldewege aktualisiert (15.03.2026)
v1.0 → v2.0: ISO 27001-Alignment (01.02.2026)
🔄 Wie halten Sie die Dokumentation aktuell?
NIS2 fordert keine einmalige Dokumentation, sondern fortlaufende Überprüfung und Aktualisierung. Fünf Prinzipien für nachhaltige Dokumentenpflege:
Jährlicher Review
Fester Termin (z.B. Januar) für alle Dokumente
Anlassbezogen
Bei Infrastrukturänderungen sofort prüfen
Versionierung
Jedes Dokument mit Version, Datum, Freigabe
Zentraler Ort
Ein Repository (SharePoint, Confluence, ISMS-Tool)
Automatisierung
Review-Erinnerungen und Workflow-Tools nutzen
⚠️ Was müssen Unternehmen beachten?
🚨 Kritische Audit-Blocker (P0-Maßnahmen)
Ohne diese Dokumente ist kein NIS2-Nachweis möglich:
- GL-Billigungsbeschluss (§38 BSIG) – Protokoll der Geschäftsleitung
- Risikoanalysebericht (§30.1 BSIG) – mit Asset-Inventar und Bedrohungsanalyse
- Meldeprozess-Dokumentation (§32 BSIG) – 24h/72h/1Mo-Eskalationsprozess
- Incident Log – Aufzeichnung aller Sicherheitsereignisse
- BSI-Registrierungsnachweis (§33 BSIG) – MELDEX-Portal-Bestätigung
Lieferkettensicherheit dokumentieren
Artikel 21 Absatz 2 Buchstabe d verpflichtet Unternehmen, die Sicherheit der Lieferkette zu gewährleisten. Das bedeutet für jeden sicherheitsrelevanten Lieferanten:
- Vertragsklauseln zu Cybersicherheitsanforderungen
- Zertifizierungsnachweise (ISO 27001, SOC 2)
- Sicherheitsfragebögen und Selbstauskünfte
- Eskalationspfade für Sicherheitsvorfälle
- Regelmäßige Überprüfung dieser Dokumente
Aufbewahrungsfristen beachten
- Operative Logs: Mindestens 12 Monate
- Aufsichtsrelevante Nachweise: 5 Jahre
- Vorfallsprotokolle: Vollständig und nachvollziehbar
Bußgeldrisiken verstehen
Das BSI kann bei Verstößen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresums verhängen. Die persönliche Haftung der Geschäftsleitung ist ebenfalls möglich.
💡 Praxistipps für die Umsetzung
- ✅ Nicht bei Null anfangen – ISO 27001-Zertifizierte haben bereits 70–80% der Dokumente
- ✅ Templates nutzen – mit bewährten Vorlagen starten und anpassen
- ✅ Modular aufbauen – ein Dokument pro Thema, nicht ein Monolith
- ✅ P0 zuerst – Meldeprozess und GL-Beschluss haben Audit-Vorrang
- ✅ Regelmäßig testen – Notfallpläne und Meldeprozesse regelmäßig üben
- ✅ Dokumentation leben – keine Schubladen-Ablage, sondern aktive Pflege
📅 Meldefristen bei Sicherheitsvorfällen
Frühwarnung
Erste Meldung an BSI über signifikanten Vorfall
Detaillierter Bericht
Umfassende Meldung mit Analyse und Maßnahmen
Abschlussbericht
Endgültige Dokumentation des Vorfalls
🎯 Fazit
NIS2 ist vor allem ein Dokumentations- und Governance-Projekt. 80+ Dokumente klingen abschreckend – aber mit der richtigen Struktur und systematischem Aufbau ist es beherrschbar. Der Schlüssel liegt darin:
- Bestehende Dokumente nutzen – ISO 27001, BSI IT-Grundschutz als Basis
- P0-Maßnahmen priorisieren – GL-Beschluss, Risikoanalyse, Meldeprozess
- Zentrale Dokumentenablage – ein Repository, klare Struktur
- Regelmäßige Pflege – jährlicher Review-Zyklus etablieren
- Auf Vorfälle vorbereitet sein – 24h/72h-Fristen einhalten können
Wer früh startet und systematisch vorgeht, schützt sein Unternehmen nicht nur vor Bußgeldern, sondern stärkt langfristig die digitale Resilienz.
Brauchen Sie Unterstützung bei der NIS2-Umsetzung?
Wir helfen Ihnen bei der Dokumentationserstellung, Gap-Analyse und Audit-Vorbereitung. Kontaktieren Sie uns für eine unverbindliche Beratung.
📞 0234 93539203 | 📧 support@csanet.de