NIS2 für ISB und Compliance
Aus Maßnahmen werden Nachweise — und aus Nachweisen eine Akte, die trägt
Worum es in dieser Rolle geht
Die Prüfung fragt selten, ob eine Maßnahme existiert. Sie fragt, ob man es belegen kann und ob ein Prozess dahintersteht. Der Unterschied zwischen bestandener und beanstandeter Prüfung liegt fast immer in der Belegkette, nicht in der Technik.
Die Rolle lebt von Unabhängigkeit. Wer einen Prozess selbst verantwortet, darf ihn nicht auditieren — in kleinen Organisationen ist das der häufigste Grund, für interne Audits jemanden von außen hinzuzuziehen. Ebenso wenig kann der ISB die Risikoakzeptanz aussprechen: Er bereitet sie vor, entscheiden muss die Geschäftsleitung.
In dieser Reihenfolge
Jeder Punkt mit dem Kriterium, an dem sich erkennen lässt, dass er erledigt ist — nicht „gestartet“, sondern nachweisbar fertig.
Belegkette je Maßnahmenbereich anlegen
Für jeden der zehn Bereiche des § 30 BSIG eine Ablage mit Richtlinie, Umsetzungsnachweis und Wirksamkeitsnachweis. Diese Struktur ist der Unterschied zwischen einer Auditakte und einer Sammlung von Einzeldokumenten.
Fertig, wenn: Zu jedem Bereich lässt sich in unter fünf Minuten ein Beleg vorlegen.
Dokumente lenken statt sammeln
Jedes Dokument braucht Verantwortlichen, Freigabedatum, Version und Wiedervorlage. Ein Dokument ohne Freigabe belegt keine Entscheidung.
Fertig, wenn: Es existiert eine Übersicht mit Version und nächster Prüfung je Dokument.
Risikoregister fortschreiben
Ein Register in nur einem Versionsstand belegt ein Projekt, keinen Prozess. Mindestens jährlich und bei wesentlichen Änderungen fortschreiben, mit sichtbarer Historie.
Fertig, wenn: Zwei Versionsstände zeigen, dass Risiken neu bewertet und Maßnahmen nachgezogen wurden.
Auditprogramm über mehrere Jahre
Nicht anlassbezogen prüfen, sondern nach Plan. Über drei Jahre sollten alle Maßnahmenbereiche abgedeckt sein; die Prüftiefe richtet sich nach dem Risiko. Methodisch trägt ISO 19011.
Fertig, wenn: Der Plan liegt vor, der erste Zyklus ist begonnen und Feststellungen werden nachverfolgt.
Wirksamkeit messbar machen
§ 30 Abs. 2 Nr. 6 verlangt die Bewertung der Wirksamkeit. Dafür braucht jeder Bereich eine Kennzahl mit Zielwert — und eine Konsequenz, wenn der Zielwert verfehlt wird.
Fertig, wenn: Kennzahlen liegen über mehrere Perioden vor und wurden in der Managementbewertung behandelt.
Managementbewertung protokollieren
Der Beleg, mit dem die Geschäftsleitung ihre Überwachungspflicht nach § 38 nachweist. Ohne Protokoll mit Beschlüssen fehlt genau dieser Nachweis.
Fertig, wenn: Ein Protokoll nennt Teilnehmende, Datum, behandelte Themen und getroffene Entscheidungen.
Meldefähigkeit prüfen
Die Fristen nach § 32 BSIG laufen ab Kenntniserlangung. Einstufungskriterien, Meldeberechtigung und Zugang gehören vorab geregelt und mindestens einmal geübt.
Fertig, wenn: Eine Übung mit Zeitmessung ist dokumentiert — sie zählt zugleich als Wirksamkeitsnachweis.
Wo es mit anderen Rollen hakt
| Mit | Konflikt | Auflösung |
|---|---|---|
| IT-Betrieb | Nachweise entstehen nachträglich und wirken dadurch konstruiert. | Den Nachweis zum Bestandteil der Tätigkeit machen: Wer den Restore durchführt, protokolliert ihn im selben Vorgang. Nachdokumentation ist teurer und weniger glaubwürdig. |
| Geschäftsleitung | Risikoakzeptanz wird gelebt, aber nie ausgesprochen. | Restrisiken als Entscheidungsvorlage vorlegen. Ein bewusst getragenes Risiko ist zulässig, ein unbemerkt getragenes ist eine Pflichtverletzung. |
| Datenschutz | Zwei Managementsysteme, zwei Registerlandschaften, doppelte Arbeit. | Gemeinsame Methodik für die Risikobewertung und ein gemeinsames Verzeichnis der Verarbeitungen und Systeme. Die Bewertungsmaßstäbe bleiben getrennt, die Datenbasis nicht. |
Häufige Fragen
- Welche Dokumente verlangt das BSI konkret?
- Das BSIG nennt keine Dokumentenliste. Verlangt wird die Fähigkeit, die Umsetzung nachzuweisen. In Prüfungen regelmäßig angefragt werden: freigegebene Leitlinie, Risikoregister in mehreren Ständen, Incident-Response-Plan mit Übungsprotokoll, Nachweis erfolgreicher Wiederherstellung, Lieferantenverzeichnis mit Bewertung, Schulungsnachweise einschließlich der Geschäftsleitung, Rezertifizierung der Berechtigungen, Auditberichte und die Managementbewertung.
- Muss der ISB unabhängig sein?
- Das BSIG schreibt keine bestimmte Rollenbezeichnung und keine formale Unabhängigkeit vor. Für interne Audits ist Unabhängigkeit jedoch methodisch zwingend — wer einen Prozess verantwortet, kann ihn nicht unbefangen prüfen. In kleineren Organisationen wird dieser Teil deshalb häufig extern vergeben, während die laufende Rolle intern bleibt.
- Wie tief muss dokumentiert werden?
- So tief, dass eine sachkundige dritte Person ohne Rückfragen nachvollziehen kann, was entschieden wurde, warum, durch wen und mit welchem Ergebnis. Alles darüber hinaus erzeugt Pflegeaufwand ohne Nachweiswert — und veraltet schneller, als es gelesen wird.
- Reicht ein ISMS nach ISO 27001 als Nachweis?
- Es trägt einen großen Teil, aber nicht alles. Das BSIG kennt keine Konformitätsvermutung durch Zertifizierung. Gesondert nachzuweisen bleiben in der Praxis die Meldeprozesse nach § 32, die Registrierung nach § 33 und die Pflichten der Geschäftsleitung nach § 38 einschließlich ihrer Schulung.
Weiter zu
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung zur technischen und organisatorischen Umsetzung, keine Rechtsberatung.
Wo stehen Sie in Ihrer Rolle?
Eine Gap-Analyse beantwortet das anhand Ihrer Nachweise und liefert eine priorisierte Liste dessen, was noch fehlt.
Gap-Analyse ansehen