Nachweispflicht
Definition
Die Nachweispflicht verpflichtet betroffene Einrichtungen, die Umsetzung aller geforderten Sicherheitsmaßnahmen gegenüber dem BSI jederzeit dokumentieren und belegen zu können. Dies bedeutet, dass nicht nur die Maßnahmen selbst, sondern auch deren systematische Planung, vollständige Umsetzung, regelmäßige Testung und kontinuierliche Verbesserung lückenlos dokumentiert sein müssen. Im Streitfall trägt die Einrichtung die Beweislast — wer keine ausreichende Dokumentation vorweisen kann, gilt als nicht compliant und riskiert Bußgelder unabhängig davon, ob die Maßnahmen technisch korrekt waren. Die Nachweispflicht erstreckt sich auch auf Maßnahmen bei Lieferanten und Dienstleistern, sofern diese sicherheitsrelevante Funktionen übernehmen.
Rechtsgrundlage
Die Nachweispflicht leitet sich aus § 32 Abs. 1 BSIG ab, der Einrichtungen explizit verpflichtet, auf Anfrage des BSI Nachweise über die umgesetzten Sicherheitsmaßnahmen vorzulegen. Das BSI hat in seinen Prüfanforderungen konkretisiert, welche Dokumente bei Kontrollen typischerweise erwartet werden: Risikoanalysen, Sicherheitsrichtlinien, Schulungsnachweise, Audit-Berichte und Incident-Logs. Eine unvollständige Dokumentation kann selbst dann zu erheblichen Bußgeldern führen, wenn die technischen Maßnahmen nachweislich korrekt umgesetzt wurden. Gemäß § 65 Abs. 2 BSIG müssen angeforderte Dokumente dem BSI innerhalb einer gesetzlich festgelegten Frist vorgelegt werden; die Nichteinhaltung ist selbst eine sanktionierbare Pflichtverletzung.
Praktische Implikation
Das zentrale Prinzip der NIS2-Compliance lautet: Wenn es nicht dokumentiert ist, existiert es für das BSI nicht. Alle Sicherheitsmaßnahmen müssen schriftlich und nachvollziehbar festgehalten sein: Richtlinien, Verfahrensanweisungen, Testergebnisse, Schulungsbelege und Entscheidungsprotokolle. Ein zentrales Dokumenten-Management-System für alle Compliance-Unterlagen ist dringend empfehlenswert. Veraltete Richtlinien, die nicht der gelebten Praxis entsprechen, sind ein kritischer Befund bei BSI-Audits und sollten daher regelmäßig überprüft, aktualisiert und mit Versionierungshistorie versehen werden. Aufbewahrungsfristen für Compliance-Dokumente sollten mindestens fünf Jahre betragen, um sowohl BSI-Prüfungen als auch mögliche rechtliche Auseinandersetzungen abzudecken.
Verwandte Begriffe
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen