NIS2-Dokumentation: reicht eine Excel-Tabelle?
Entscheidung · 9. August 2026 · 7 Min. Lesezeit · RegelWerk RedaktionDie Einstufung steht, die ersten Maßnahmen liegen in einer Tabelle, und dann kommt die Frage: Reicht das? Dokumentieren müssen Sie in jedem Fall: § 30 Abs. 1 Satz 3 BSIG verlangt ausdrücklich, dass die Einhaltung der Maßnahmenpflicht dokumentiert wird. Womit Sie das tun, sagt keine Norm.
Was NIS2 an Dokumentation verlangt und was nicht
Ausgangspunkt ist § 30 Abs. 1 BSIG: Besonders wichtige und wichtige Einrichtungen müssen „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ ergreifen. Die Verhältnismäßigkeit bemisst sich nach Satz 2 an fünf Größen: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.
Satz 3 desselben Absatzes ist der Satz, um den es hier geht: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“ Die Pflicht steht also ausdrücklich im Gesetz, nur die Form nicht. Welche Bereiche die Maßnahmen mindestens abdecken müssen, zählt § 30 Abs. 2 BSIG auf: Diese zehn Nummern sind der verbindliche Inhaltsplan der Maßnahmen. Eigene Inhalte schreiben daneben § 32 und § 33 BSIG für Meldung und Registrierung vor.
| Bereich (§ 30 Abs. 2 BSIG) | Was dazu im Betrieb liegt |
|---|---|
| 1 Risikoanalyse und IT-Sicherheit | Analyse mit Datum und Ergebnis |
| 2 Bewältigung von Sicherheitsvorfällen | Ablauf mit Rollen und Erreichbarkeiten |
| 3 Betriebskontinuität, Backup, Wiederherstellung | Sicherungskonzept, Testprotokoll |
| 4 Sicherheit der Lieferkette | Anbieterverzeichnis mit Bewertung |
| 5 Erwerb, Entwicklung, Wartung von IT-Systemen | Beschaffungsregeln |
| 6 Bewertung der Wirksamkeit | Termin, Maßstab, Ergebnis |
| 7 Schulungen und Sensibilisierung | Teilnehmerlisten mit Datum |
| 8 Kryptographische Verfahren | Verschlüsselte Bereiche festgelegt |
| 9 Personalsicherheit und Zugriffskontrolle | Rechtekonzept, Zugangsübersicht |
| 10 Multi-Faktor-Authentifizierung | Nachweis der starken Anmeldung |
Das BSIG verlangt Maßnahmen, ihre Dokumentation und Meldungen, kein bestimmtes Werkzeug. Ein Ordner belegt § 30 BSIG genauso wie eine Datenbank.
Ein Prüfsiegel gibt es nicht: Eine Zertifizierungspflicht setzt nach § 30 Abs. 6 BSIG eine Rechtsverordnung nach § 56 Abs. 3 BSIG voraus.
Die Fristen, die neben der Ablage laufen
Zwei Pflichten laufen gegen die Uhr. Die erste ist die Registrierung: Nach § 33 Abs. 1 BSIG registrieren sich besonders wichtige und wichtige Einrichtungen „spätestens drei Monate, nachdem sie erstmals oder erneut“ als solche gelten. Der Anker ist der Eintritt der Einrichtungseigenschaft, nicht der Tag, an dem Sie sie bemerken.
Damit ist es nicht getan. Zu übermitteln sind unter anderem Rechtsform, Kontaktdaten samt öffentlicher IP-Adressbereiche und der Sektor; Änderungen sind unverzüglich zu melden, spätestens binnen zwei Wochen ab Kenntnis. Die zweite Uhr startet der Vorfall: § 32 BSIG staffelt die Meldung in Stufen.
- Tag 0 Kenntnis vom erheblichen Vorfall Startet die 24- und die 72-Stunden-Frist.
- 24 Stunden Frühe Erstmeldung Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung.
- 72 Stunden Meldung des Vorfalls Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung.
- Auf Ersuchen Zwischenmeldung Statusaktualisierung auf Anforderung.
- 1 Monat Abschlussmeldung Einen Monat nach Übermittlung der 72-Stunden-Meldung (§ 32 Abs. 1 Nr. 4 BSIG), nicht ab Kenntnis.
Was in jede Stufe gehört, steht in NIS2-Meldung in 24 Stunden. Für die Werkzeugfrage zählt: Diese Kette beginnt nachts um drei genauso wie am Dienstagvormittag.
Wann eine Tabelle trägt und wann sie kippt
- Belegt § 30 BSIG, sobald die zehn Bereiche gefüllt sind
- Kostet nichts, ist sofort da
- Hält keinen gemeinsamen Stand, sobald sie kopiert wird
- Führt Einstufung, Maßnahmen und Fristangaben an einer Stelle
- Zeigt ohne Nachfrage, was offen ist
- Rechnet keine Termine aus und versendet keine Erinnerungen
Der Punkt, an dem eine Tabelle kippt, ist selten die Rechtslage. Bei drei Beteiligten passt der Stand in eine Datei; sie kippt, sobald unklar wird, welche Fassung gilt.
- Pflicht: Maßnahmen nach § 30 Abs. 1 BSIG ergreifen, die zehn Bereiche abdecken, die Einhaltung dokumentieren (§ 30 Abs. 1 Satz 3 BSIG).
- Pflicht: binnen drei Monaten registrieren, Änderungen binnen zwei Wochen nachziehen (§ 33 BSIG).
- Pflicht: in den vier Stufen des § 32 BSIG melden.
- Pflicht der Leitung: Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG).
- Keine Vorschrift: Vorwarnzeiten, Ampelfarben, Erinnerungen, Versionsstände.
Wer hineinschaut und wann
Für wichtige Einrichtungen ist die Aufsicht anlassbezogen. § 62 BSIG lässt eine Überprüfung zu, wenn „Tatsachen die Annahme“ rechtfertigen, dass Verpflichtungen aus § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 „nicht oder nicht richtig“ umgesetzt werden. Niemand kommt zur Routinekontrolle, jemand kommt, wenn etwas vorgefallen ist. Das verschiebt die Anforderung: Die Ablage muss nicht jeden Tag vorzeigbar sein, sondern an einem unangekündigten Tag vollständig.
Zwei weitere Leser gibt es. Die Geschäftsleitung muss die Maßnahmen nach § 38 Abs. 1 BSIG umsetzen und ihre Umsetzung überwachen (Geschäftsführerhaftung bei NIS2); der Kunde fragt über die Lieferkette nach § 30 Abs. 2 Satz 2 Nr. 4 BSIG, auch bei Zulieferern, die selbst nicht betroffen sind (Kunde verlangt NIS2-Nachweis).
Praxisbeispiel: Lebensmittelverarbeiter mit 120 Beschäftigten
Ein Lebensmittelverarbeiter mit 120 Beschäftigten hat den NIS2-Betroffenheits-Check hinter sich, Ergebnis: wichtige Einrichtung. Offen ist der Tag danach: zehn Bereiche, eine Registrierung, ein Meldeweg und die Frage, wo das alles liegen soll.
- Einstufung festhalten Sektor, Beschäftigtenzahl und Ergebnis mit Datum.
- Registrierung terminieren Drei Monate, nachdem der Betrieb erstmals als wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG), nicht ab dem Tag Ihres Checks.
- Zehn Bereiche belegen Je Nummer ein Dokument oder eine begründete Lücke.
- Meldeweg proben Wer meldet, an wen, mit welchem Zugang.
Der zweite Schritt ist der, an dem sich Betriebe verrechnen. Die 120 Beschäftigten hat dieser Verarbeiter seit Jahren; seine drei Monate liefen an, als er die Schwelle erstmals erfüllte. Wer sein Prüfdatum als Fristbeginn einträgt, kommt auf ein zu spätes Ende.
In RegelWerk entsteht daraus eine Pflichten-Roadmap: Jeder Punkt trägt eine Fristangabe (3 Monate, 30 Tage, jährlich) und ein Häkchen. Der Betroffenheits-Check kostet nichts, die Roadmap gehört zum Compliance Autopilot für 79 € im Monat. Die drei Monate zur Registrierung stehen im Gesetz, die 30 und 90 Tage sind der Vorschlag der Roadmap.
Was die App nicht tut: Sie rechnet keine Termine aus, versendet keine Erinnerungen, registriert und meldet nicht für Sie. Die Entscheidung zwischen Tabelle und Software bleibt eine Frage der Organisation, nicht der Rechtslage.
Häufige Fragen
Reicht eine Excel-Tabelle für die NIS2-Dokumentation?
Ja, wenn darin steht, was § 30 BSIG verlangt. § 30 Abs. 1 Satz 3 BSIG verlangt die Dokumentation, schreibt aber kein Werkzeug vor: Gefordert sind geeignete, verhältnismäßige und wirksame Maßnahmen, die die zehn Bereiche des § 30 Abs. 2 BSIG abdecken. Die Fristen aus § 32 und § 33 BSIG laufen unabhängig davon, wo die Ablage liegt.
Welche Unterlagen verlangt NIS2 konkret?
§ 30 Abs. 2 BSIG nennt zehn Bereiche, die die Maßnahmen mindestens abdecken müssen. Dazu zählen Risikoanalyse, Vorfallbewältigung, Backup, Lieferkette, Schulungen und Zugriffskontrolle. Welche Form die Unterlagen haben, steht dort nicht.
Muss die NIS2-Dokumentation versioniert sein?
Nein, einen Versionsstand schreibt das BSIG nicht vor. § 30 Abs. 1 Satz 3 BSIG verlangt, dass die Einhaltung dokumentiert wird; wie, steht dort nicht. Wer belegen will, dass eine Maßnahme zu einem bestimmten Zeitpunkt galt, braucht trotzdem einen erkennbaren Stand: Datum und verantwortliche Person genügen.
Prüft das BSI die NIS2-Dokumentation regelmäßig?
Bei wichtigen Einrichtungen nicht routinemäßig. Nach § 62 BSIG kann das Bundesamt die Einhaltung überprüfen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten aus § 30, § 32 oder § 38 Abs. 3 BSIG nicht richtig umgesetzt werden. Die Prüfung kommt anlassbezogen.
Muss die Geschäftsführung selbst in die Dokumentation schauen?
Ja. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht, haftet sie nach § 38 Abs. 2 BSIG ihrer Einrichtung für schuldhaft verursachte Schäden.
Das Wichtigste in Kürze
Die Werkzeugfrage entscheidet NIS2 nicht. § 30 Abs. 1 Satz 3 BSIG verlangt ausdrücklich, die Einhaltung zu dokumentieren, § 30 Abs. 2 BSIG nennt zehn Bereiche, § 33 BSIG die Registrierung binnen drei Monaten ab Eintritt der Einrichtungseigenschaft, § 32 BSIG die Meldung in vier Stufen. Eine gepflegte Tabelle kann das belegen; ein Programm ist nirgends vorgeschrieben, ein NIS2-Zertifikat gibt es nicht.
Was eine Tabelle nicht kann, ist einen gemeinsamen Stand halten. Solange eine Person alles überblickt, fällt das nicht auf. Es fällt an dem Tag auf, an dem mehrere Zuständige und eine unangekündigte Nachfrage zusammentreffen. Nach diesem Tag richtet sich die Entscheidung.
Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.