NIS2-Dokumentation: Diese 80+ Dokumente brauchen Sie

NIS2 ist vor allem ein Dokumentations- und Governance-Projekt. Die vollständige Compliance erfordert über 80 Einzeldokumente in 16 thematischen Bereichen. Dieser Artikel gibt Ihnen den vollständigen Überblick — basierend auf der NIS2-Richtlinie, der Durchführungsverordnung CIR 2024/2690 und der ENISA Technical Implementation Guidance. Eine Übersicht aller 12 neuen NIS2-Pflichten finden Sie in unserem separaten Artikel.

Überblick: 16 Dokumentationsbereiche

Nr.	Bereich	Dokumente	NIS2-Referenz
1	Management Support	1	Art. 20
2	Projektplan	1	Art. 20
3	Schulungsplan	1	Art. 20.2
4	Top-Level Policy	1	Art. 21.2(a)
5	Risikomanagement-Methodik	1	Art. 21.1
6	Risikoanalyse & -behandlung	4	Art. 21.1
7	Risikobehandlungsplan	1	Art. 21.1
8	Cybersecurity Policies & Verfahren	25	Art. 21.2
9	BCM & Krisenmanagement	17	Art. 21.2(c)
10	Supply Chain Security	4	Art. 21.2(d)
11	Wirksamkeitsmessung	2	Art. 21.2(f)
12	Incident Management & Meldung	10	Art. 23
13	Schulung & Awareness	1	Art. 20.2
14	Internes Audit	4	Art. 21.2(f)
15	Management Review	2	Art. 20.1
16	Korrekturmaßnahmen	2	Art. 21.4

Die drei größten Bereiche (Ordner 8, 9 und 12) machen allein 52 Dokumente aus.

Hinweis: Einige Bereiche enthalten Unterdokumente (Anhänge, Szenarien, Vorlagen), die in der Tabelle zusammengefasst sind. Die Gesamtzahl aller Einzeldokumente beträgt 80+.

Die wichtigsten Bereiche im Detail

Ordner 8: Cybersecurity Policies & Verfahren (25 Dokumente)

Dies ist der umfangreichste Bereich. Er umfasst unter anderem:

• IT Security Policy — Übergreifende IT-Sicherheitsrichtlinie
• Access Control Policy — Zugangskontrolle und Berechtigungsmanagement
• Authentication Policy — MFA, Authentifizierungsverfahren
• Password Policy — Passwortrichtlinie
• Network Security Policy — Netzwerksicherheit und Segmentierung
• Policy on Encryption and Cryptographic Controls — Verschlüsselung
• Vulnerability and Patch Management Procedure — Schwachstellenmanagement
• Logging and Monitoring Procedure — Protokollierung und Überwachung
• ICT Change Management Procedure — Änderungsmanagement
• Backup Policy — Datensicherung
• Mobile Device and Remote Work Policy — Mobile Geräte und Homeoffice
• Physical Security Policy — Physische Sicherheit
• Information Classification Policy — Informationsklassifizierung

Jedes Dokument referenziert die relevanten NIS2-Artikel, CIR 2024/2690-Abschnitte und ISO 27001-Controls.

Ordner 9: BCM & Krisenmanagement (17 Dokumente)

• Business Impact Analysis (BIA) — Methodik und Fragebogen
• Business Continuity Strategy — Strategie und RTO-Definition
• Business Continuity Plan — Operativer Kontinuitätsplan
• Crisis Management Plan — Krisenmanagementplan
• Disaster Recovery Plan — IT-Wiederherstellungsplan
• Disruptive Incident Response Plan — Reaktionsplan für Störungen
• Exercising and Testing Plan — Test- und Übungspläne
• Diverse Anhänge (Szenarien, Kontaktlisten, Standortpläne)

Ordner 12: Incident Management & Meldung (10 Dokumente)

• Incident Handling Policy — Übergreifende Vorfallsbehandlung
• Minor Incident Response Procedure — Verfahren für kleinere Vorfälle
• Incident Log — Vorfallsprotokoll
• Significant Incident Early Warning — Frühwarnung (24h)
• Significant Incident Notification — Erstmeldung (72h)
• Significant Incident Final Report — Abschlussbericht (1 Monat)
• Significant Incident Notification for Recipients — Kundenbenachrichtigung

Ordner 12 ist besonders kritisch: Die enthaltenen Meldeprozess-Dokumente sind P0-Audit-Blocker nach §32 BSIG — ohne sie ist kein NIS2-Nachweis möglich.

Regulatorische Grundlagen

Die Dokumentationsanforderungen basieren auf drei Quellen:

1. NIS2-Richtlinie (EU 2022/2555) — Artikel 20, 21, 23 und 30
2. Durchführungsverordnung CIR 2024/2690 — Detaillierte technische Anforderungen
3. ENISA Technical Implementation Guidance — Praktische Umsetzungshilfe

Zusätzlich bietet ISO 27001:2022 eine bewährte Struktur, die 70–80 % der Dokumentationsanforderungen bereits abdeckt. Welche Dokumente Sie bereits haben und welche fehlen, zeigt eine strukturierte NIS2-Gap-Analyse in 5 Schritten.

Sonderfälle

Einige Dokumente sind nur für bestimmte Unternehmenstypen verpflichtend (gemäß CIR 2024/2690):

• DNS-Diensteanbieter und TLD-Registries
• Cloud-Diensteanbieter und Rechenzentren
• Managed Service Provider und Managed Security Service Provider
• Online-Marktplätze, Suchmaschinen, Soziale Netzwerke
• Vertrauensdiensteanbieter

Praxistipps

1. Nicht bei Null anfangen — mit ISO 27001 existieren bereits 70–80 % der Dokumente
2. Templates nutzen — starten Sie mit bewährten Vorlagen und passen Sie an
3. Modular aufbauen — ein Dokument pro Thema, nicht ein Monolith für alles
4. Versionierung einführen — jedes Dokument braucht Version, Datum, Freigabe
5. Regelmäßig aktualisieren — lebende Dokumente, nicht Schubladen-Ablage
6. P0 zuerst dokumentieren — Meldeprozess (Ordner 12) und GL-Beschluss haben Audit-Vorrang

Fazit

80+ Dokumente klingen abschreckend — aber mit der richtigen Struktur ist es beherrschbar. Der Schlüssel liegt in einem systematischen Aufbau, der auf bestehenden Standards (ISO 27001) aufsetzt und NIS2-spezifische Erweiterungen gezielt ergänzt. Der NIS2-Maßnahmenplan nach Prioritäten P0–P3 hilft dabei, die richtigen Dokumente in der richtigen Reihenfolge zu erstellen.

Unsere Beratung zur Dokumentationserstellung unterstützt Sie von der Vorlage bis zum fertigen Audit-Nachweis — Templates, Beratung und Review aus einer Hand.

FAQ

Muss ich wirklich alle 80+ NIS2-Dokumente selbst erstellen?

Nein — nicht von Grund auf neu. Unternehmen mit aktueller ISO 27001-Zertifizierung haben bereits den Großteil der 80+ Dokumente: insbesondere alle Inhalte aus Ordner 1–7 und weite Teile von Ordner 8 (Cybersecurity Policies) und Ordner 9 (BCM). Schätzung: 70–80 % der Dokumente sind bei einem gepflegten ISO-27001-ISMS bereits vorhanden.

Für Unternehmen ohne ISO 27001: Nutzen Sie die NIS2-Dokumentationsstruktur als Grundlage und beginnen Sie mit den schnellen Einzeldokumenten — Ordner 1 (Management Support, 1 Dokument) und Ordner 4 (Top-Level Policy, 1 Dokument) als Quick Wins. Anschließend priorisieren Sie Ordner 12 (Incident Management, 10 Dokumente) für die §32-BSIG-Konformität.

Templates aus etablierten Frameworks (ISO 27001, BSI-Grundschutz, ENISA Technical Guidance) reduzieren den Erstellungsaufwand erheblich. Entscheidend: Erstellen Sie zuerst die Dokumentation für P0-Maßnahmen — diese müssen beim §39-BSI-Audit als Nachweis vorliegen. Warten Sie nicht, bis alle 80+ Dokumente fertig sind.

Welche NIS2-Dokumente werden beim BSI-Audit nach §39 BSIG geprüft?

Der §39-Audit fokussiert auf Nachweise der umgesetzten Maßnahmen aus §30 BSIG. Folgende Dokumente fordern Auditoren regelmäßig an: Erstens den GL-Billigungsbeschluss (§38) — ein Protokoll, das belegt, dass die Geschäftsleitung die Risikomanagement-Strategie formell gebilligt hat, mit Datum und Unterschriften. Zweitens den Risikoanalysebericht (§30.1) — aktuelle Risikobeurteilung mit Asset-Inventar, Bedrohungsanalyse und behandelten Risiken. Drittens die Meldeprozess-Dokumentation (§32) — schriftlicher 24h/72h/1Mo-Eskalationsprozess, getestet und dokumentiert. Viertens das Incident Log — Aufzeichnung aller Sicherheitsereignisse. Fünftens den GL-Schulungsnachweis (§38 Abs. 3) — Beleg der Cybersicherheits-Schulung. Sechstens den MFA-Rollout-Nachweis (§30.2 Nr. 10) — Konfigurationsnachweis. Siebtens Lieferantenbewertungen (§30.2 Nr. 4) — abgeschlossene Lieferanten-Sicherheitsbewertungen. Achtens den BSI-Registrierungsnachweis (§33) — Bestätigung aus dem MELDEX-Portal. Diese acht Dokumentkategorien decken die kritischen P0-Audit-Blocker ab. Alle weiteren Dokumente (Ordner 8–16) stärken das Audit-Ergebnis, sind aber sekundär.

Wie halte ich 80+ NIS2-Dokumente aktuell und verhindere Dokumenten-Chaos?

Fünf Prinzipien für nachhaltige NIS2-Dokumentation: Erstens ein Dokument pro Thema — kein monolithisches Dokument, das 15 Themen abdeckt. Auditoren müssen spezifische Informationen schnell finden. Zweitens Pflicht-Metadaten auf jedem Dokument: Versionsnummer, Erstellungsdatum, letztes Überprüfungsdatum, freigebende Person. Dokumente ohne Metadaten können keine Aktualität nachweisen. Drittens ein jährlicher Review-Zyklus: ein fester Termin (z.B. Januar) für alle Dokumente — insbesondere Risikoanalyse (§30.1), Meldeprozess und GL-Schulungsplan. Viertens anlassbezogene Reviews: bei signifikanten Infrastrukturänderungen (neuer Cloud-Anbieter, neues Büro, neuer Geschäftsprozess) sofort betroffene Dokumente prüfen. Fünftens ein zentrales Repository: alle NIS2-Dokumente an einem zugänglichen Ort (SharePoint, Confluence oder ISMS-Tool) mit Suchfunktion. Dokumente in E-Mail-Postfächern oder auf persönlichen Laufwerken gelten nicht als organisationales Wissen. Der §39-Audit fragt, wo Dokumente gespeichert sind — die Antwort muss ein einziges, gesteuertes System sein.