Die wichtigsten NIS2-Nachweisdokumente für Unternehmen
Ein Sicherheitsvorfall wird selten daran scheitern, dass eine Maßnahme gar nicht existiert. Häufiger fehlt der belegbare Nachweis: Wer hat das Risiko bewertet? Wann wurde der Notfallprozess getestet? Welche Systeme sind betroffen, und welche Dienstleister erhalten Zugriff? Die wichtigsten NIS2-Nachweisdokumente schaffen genau diese Nachvollziehbarkeit. Sie verbinden organisatorische Verantwortung, IT-Sicherheit und die Absicherung physischer Infrastruktur zu einem prüfbaren Gesamtbild.
Für betroffene Unternehmen und Einrichtungen reicht es nicht, Richtlinien abzulegen oder technische Komponenten zu beschaffen. Entscheidend ist, ob Maßnahmen angemessen geplant, umgesetzt, betrieben und regelmäßig überprüft werden. Dabei ist die Dokumentation kein Selbstzweck. Sie hilft Geschäftsführung, IT, Sicherheitsverantwortlichen und externen Partnern, im Ereignisfall handlungsfähig zu bleiben.
Warum NIS2-Nachweise mehr als eine Dokumentationspflicht sind
NIS2 verlangt ein angemessenes Risikomanagement für Netz- und Informationssysteme. Die konkrete Ausgestaltung hängt unter anderem von Branche, Größe, Schutzbedarf, Abhängigkeiten und Schadenspotenzial ab. Ein Krankenhaus stellt andere Anforderungen als ein Betreiber verteilter technischer Anlagen oder ein produzierendes Unternehmen mit hochautomatisierten Prozessen.
Nachweisdokumente müssen deshalb nicht möglichst umfangreich sein. Sie müssen belastbar, aktuell und zur tatsächlichen Sicherheitslage passend sein. Ein umfangreiches Handbuch ohne gelebte Prozesse ist im Audit wenig wert. Umgekehrt lässt sich eine wirksame technische Schutzmaßnahme kaum bewerten, wenn Zuständigkeiten, Konfigurationen, Wartung und Prüfintervalle nicht dokumentiert sind.
Besonders an den Schnittstellen entstehen Risiken: etwa zwischen Gebäude- und IT-Sicherheit, zwischen zentralen Videomanagementsystemen und Netzwerkbetrieb oder zwischen eigenen Teams und Dienstleistern. Moderne Kameras, Wärmebildtechnik, Kennzeichenerkennung und Detektionssysteme sind heute häufig vernetzte Komponenten. Damit gehören sie in die Sicherheits- und Nachweiskette, sofern ihr Ausfall, ihre Manipulation oder ein unbefugter Zugriff relevante Auswirkungen hätte.
Die wichtigsten NIS2-Nachweisdokumente im Überblick
Risikoanalyse und Risikobehandlungsplan
Die Risikoanalyse ist die Grundlage der gesamten Nachweisführung. Sie beschreibt schützenswerte Systeme, Prozesse, Daten und Standorte, benennt Bedrohungen und Schwachstellen und bewertet Eintrittswahrscheinlichkeit sowie mögliche Auswirkungen. Dazu gehören Cyberangriffe ebenso wie Stromausfall, Sabotage, Manipulation vor Ort oder Ausfälle von Kommunikationswegen.
Der Risikobehandlungsplan leitet daraus konkrete Entscheidungen ab: Risiken werden vermieden, reduziert, übertragen oder bewusst akzeptiert. Für jede Maßnahme sollten Verantwortlichkeit, Priorität, Termin und Kontrollkriterium festgelegt sein. Gerade bei Schutzmaßnahmen an Außenanlagen oder Perimetern muss erkennbar sein, warum beispielsweise Videoüberwachung, Wärmebildkameras, Zutrittskontrolle oder Drohnendetektion ausgewählt wurden und welche Restrisiken bestehen bleiben.
Sicherheitsleitlinie und Verantwortungsstruktur
Eine Sicherheitsleitlinie hält das Zielbild der Organisation fest. Sie regelt, welchen Stellenwert Informationssicherheit hat, welche Grundsätze gelten und wie die Geschäftsleitung ihre Verantwortung wahrnimmt. Darunter benötigen Unternehmen klarere Vorgaben für einzelne Bereiche, etwa Zugriffsrechte, Passwort- und Administrationsregeln, Patch-Management, Datensicherung, Fernwartung oder den Umgang mit mobilen Endgeräten.
Ebenso wichtig ist ein dokumentiertes Rollenmodell. Wer verantwortet die Informationssicherheit? Wer darf Änderungen an sicherheitskritischen Anlagen freigeben? Wer vertritt diese Person bei Abwesenheit? Bei vernetzten Sicherheitslösungen sollten auch Betreiber, IT-Abteilung, Sicherheitsdienst und Facherrichter klar voneinander abgegrenzt sein. Unklare Zuständigkeiten führen im Störungsfall regelmäßig zu Zeitverlust und offenen Haftungsfragen.
Asset-Verzeichnis und Systemdokumentation
Ohne aktuelles Inventar lässt sich weder ein Risiko bewerten noch ein Vorfall begrenzen. Ein Asset-Verzeichnis erfasst mindestens relevante Hardware, Software, Netzwerkkomponenten, Schnittstellen, Datenflüsse, Eigentümer und Schutzbedarf. Für sicherheitskritische Infrastruktur gehören dazu nicht nur Server und Firewalls, sondern auch Kameras, Sensorik, Aufzeichnungsgeräte, Managementsoftware, Funkstrecken und Bedienarbeitsplätze.
Die technische Systemdokumentation sollte nachvollziehbar machen, wie diese Komponenten zusammenspielen. Netzpläne, Segmentierungskonzepte, Berechtigungsmatrizen, Konfigurationsstände und Schnittstellenbeschreibungen sind in der Praxis besonders wertvoll. Sie beschleunigen Fehleranalyse und Wiederherstellung. Gleichzeitig zeigen sie, ob Sicherheitskameras und Detektionssysteme vom allgemeinen Büronetz getrennt betrieben werden und ob administrative Zugriffe ausreichend geschützt sind.
Prozesse für Vorfälle, Meldungen und Krisenkommunikation
Ein Incident-Response-Plan beschreibt, wie Sicherheitsvorfälle erkannt, bewertet, eingedämmt, untersucht und nachbereitet werden. Er muss nicht jeden denkbaren Angriff vorwegnehmen. Er muss aber konkrete Eskalationswege, Entscheidungsbefugnisse, Kontaktlisten und Mindestinformationen enthalten.
Bei NIS2-relevanten Vorfällen spielen gesetzliche Meldefristen eine zentrale Rolle. Deshalb sollten Unternehmen einen Meldeprozess mit klaren Auslösekriterien, einem abgestimmten Freigabeverfahren und belastbaren Kommunikationswegen dokumentieren. Ergänzend ist ein Krisenkommunikationsplan sinnvoll, insbesondere für Einrichtungen mit hoher öffentlicher Wirkung. Wer spricht mit Behörden, Kunden, Medien oder Versorgungspartnern, wenn ein Ereignis Betrieb und Sicherheit zugleich beeinträchtigt?
Notfallvorsorge, Wiederanlauf und Testprotokolle
Notfallpläne zeigen, wie kritische Funktionen bei Ausfällen aufrechterhalten oder zeitnah wiederhergestellt werden. Dazu zählen Ersatzbetrieb, Wiederanlaufreihenfolgen, Backup-Strategien, Notstrom, Ausweichkommunikation und manuelle Verfahren. Bei einer Videoüberwachungsanlage kann beispielsweise relevant sein, ob Aufzeichnungen ausfallsicher gespeichert werden, wie lange sie verfügbar bleiben und wie ein defekter Aufzeichnungsserver ersetzt wird.
Die bloße Existenz eines Plans reicht nicht aus. Testprotokolle belegen, dass Szenarien durchgespielt, Mängel erkannt und Maßnahmen nachverfolgt wurden. Umfang und Frequenz der Tests richten sich nach dem Schutzbedarf. Ein jährlicher Dokumentencheck kann für nachrangige Systeme genügen. Für kritische Betriebsfunktionen sind praktische Wiederanlauf- oder Krisenübungen deutlich aussagekräftiger.
Lieferanten- und Dienstleisterunterlagen
NIS2 betrachtet Risiken entlang der Lieferkette. Unternehmen sollten daher dokumentieren, welche externen Parteien auf kritische Systeme, Daten oder Standorte zugreifen und welche Sicherheitsanforderungen vertraglich vereinbart sind. Relevant sind beispielsweise Wartungsfirmen, Cloud-Anbieter, Telekommunikationsdienstleister, Sicherheitsdienste und Softwarepartner.
Zu den belastbaren Unterlagen gehören Sicherheitsanforderungen in Verträgen, Regelungen für Fernzugriffe, Eskalations- und Meldepflichten, Nachweise über Wartung sowie Bewertungen kritischer Lieferanten. Nicht jeder Dienstleister benötigt denselben Prüfungsaufwand. Je stärker ein Ausfall oder Fehlverhalten die eigene Leistungserbringung beeinträchtigen kann, desto genauer sollte die Bewertung ausfallen.
Schulungs- und Unterweisungsnachweise
Viele Sicherheitsvorfälle beginnen nicht mit einer hochkomplexen Angriffstechnik, sondern mit Fehlverhalten, unklaren Abläufen oder fehlendem Problembewusstsein. Schulungsnachweise sollten Zielgruppe, Inhalte, Zeitpunkt und Teilnahme dokumentieren. Für Administratoren, Leitstellenpersonal, Sicherheitsdienste und technische Betreiber sind rollenspezifische Unterweisungen sinnvoller als allgemeine Pflichtpräsentationen.
Auch praktische Themen gehören dazu: Wie werden verdächtige Ereignisse gemeldet? Wer darf Bildmaterial exportieren? Wie wird bei einer Störung an einer Perimetersicherung reagiert? Solche Fragen verbinden Informationssicherheit mit dem täglichen Betrieb.
Nachweise so organisieren, dass sie im Ernstfall funktionieren
Eine zentrale Dokumentenstruktur verhindert, dass Informationen in Projektordnern, E-Mail-Postfächern oder bei einzelnen Dienstleistern verschwinden. Sinnvoll ist eine klare Zuordnung jedes Dokuments zu Eigentümer, Freigabestatus, Version, Prüftermin und abhängigen Systemen. Besonders Änderungen an Netzwerken, Kameraarchitekturen oder Fernwartungszugängen sollten ein geregeltes Änderungsmanagement auslösen.
Für die Praxis bewährt sich ein Nachweisverzeichnis, das Anforderungen, Dokumente, Verantwortliche und letzte Prüfung miteinander verknüpft. Das schafft Transparenz, ohne für jeden Bereich ein neues Parallelwerk aufzubauen. Bestehende Unterlagen aus Qualitätsmanagement, Datenschutz, Arbeitsschutz, IT-Betrieb oder technischen Wartungsakten lassen sich häufig nutzen, wenn sie konsistent sind und die NIS2-relevanten Fragen tatsächlich beantworten.
IBC Raif unterstützt Organisationen dabei, physische Schutzmaßnahmen und vernetzte Sicherheitsinfrastruktur nachvollziehbar in solche Sicherheitskonzepte einzuordnen. Gerade bei anspruchsvollen Standorten entscheidet die Abstimmung von Planung, Technik, Betrieb und Dokumentation darüber, ob eine Maßnahme langfristig wirksam bleibt.
Der sinnvollste erste Schritt ist eine Bestandsaufnahme der vorhandenen Nachweise entlang der kritischen Prozesse und Systeme. Dort, wo Verantwortlichkeiten, technische Dokumentation oder Testbelege fehlen, entsteht meist nicht nur eine Compliance-Lücke, sondern ein konkretes Betriebsrisiko, das sich gezielt schließen lässt.