Nachweispflichten nach NIS2UmsuCG: was das BSI wirklich sehen will

01Wer nachweispflichtig ist — und ab wann

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat den Kreis der regulierten Einrichtungen deutlich ausgeweitet. Maßgeblich ist nicht mehr die Frage, ob eine Einrichtung als kritische Infrastruktur gilt, sondern ob sie in einem der Sektoren nach Anlage 1 oder 2 tätig ist und die Größenschwellen überschreitet — in der Regel 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Unternehmen müssen diese Einordnung selbst vornehmen; eine behördliche Bescheinigung gibt es nicht.

Genau hier beginnt die Nachweispflicht. Wer sich als nicht betroffen einstuft, muss diese Einstufung begründen können. Wer betroffen ist, muss sich beim BSI registrieren und ab diesem Moment fortlaufend belegen, dass Risikomanagement, Meldewege und Leitungsverantwortung tatsächlich gelebt werden — nicht nur beschrieben sind.

02Die Meldekette: drei Stufen, drei Nachweise

Erhebliche Sicherheitsvorfälle sind gestuft an das BSI zu melden. Prüfrelevant ist weniger der Inhalt der Einzelmeldung als die Frage, ob die Organisation die Fristen technisch und organisatorisch überhaupt einhalten kann: Wer erkennt einen Vorfall, wer bewertet die Erheblichkeit, wer meldet, und wo ist das protokolliert?

Die Fristen laufen ab Kenntnis der Einrichtung, nicht ab Abschluss der Analyse. Deshalb ist der Zeitpunkt der Kenntnisnahme das kritischste Datum der gesamten Akte — er muss aus einem System stammen, das nachträglich nicht veränderbar ist.

03Die zehn Maßnahmen aus § 30 als Prüfraster

§ 30 NIS2UmsuCG listet die Mindestmaßnahmen des Risikomanagements auf. In Prüfsituationen wird diese Liste faktisch zur Gliederung: Für jede Maßnahme fragt die Behörde nach einem Dokument, einer verantwortlichen Rolle und einem Beleg, dass die Maßnahme wirksam ist.

04KI-Systeme in der Nachweisakte

KI-Anwendungen werden in vielen Organisationen an der klassischen IT-Governance vorbei eingeführt: ein LLM-Gateway hier, eine Vektordatenbank dort, dazu ein externer Inferenz-Anbieter. Für NIS2 ist das relevant, weil diese Komponenten Teil der Netz- und Informationssysteme sind und über die Lieferkette bewertet werden müssen.

Wer lokale oder private Modelle betreibt, hat es hier leichter: Datenflüsse bleiben innerhalb der eigenen Zonen, und der Nachweis der Verfügbarkeit lässt sich über die eigene Infrastruktur führen. Bei SaaS-Modellen tritt an dessen Stelle ein Vertrags- und Auditnachweis.

05Leitungsverantwortung: der am häufigsten unterschätzte Nachweis

Das Gesetz verpflichtet Geschäftsleitungen, die Risikomanagement-Maßnahmen zu billigen und ihre Umsetzung zu überwachen. Diese Pflicht ist nicht delegierbar, und sie ist prüfbar: über Beschlussprotokolle, Berichtszyklen und die Teilnahme an Schulungen.

06In 30 Tagen zur prüffesten Akte

Der schnellste Weg zu einer belastbaren Nachweislage führt nicht über ein neues Rahmenwerk, sondern über die Konsolidierung dessen, was ohnehin existiert. Die meisten Organisationen haben Konzepte — es fehlen Freigaben, Zeitstempel und die Verbindung zwischen Dokument und Realität.

Am Ende zählt eine einfache Prüffrage: Könnten Sie innerhalb von 24 Stunden eine vollständige Akte vorlegen, die zeigt, dass Ihre Maßnahmen nicht nur beschlossen, sondern wirksam sind? Wenn die Antwort Nein lautet, ist das die eigentliche Lücke — nicht das fehlende Dokument.

Häufige Fragen