Wie bereitet man sich auf NIS2-Audits vor?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wie die Aufsicht aussieht

Maßgeblich sind in Deutschland die §§ 61 und 62 BSIG, die Art. 32 und 33 NIS2 umsetzen. Das BSIG spricht von „besonders wichtigen" statt „wesentlichen" Einrichtungen.

Besonders wichtige Einrichtungen, § 61 BSIG (Art. 32 NIS2):

• Überprüfung der Einhaltung durch das BSI, auch mithilfe qualifizierter unabhängiger Dritter; die Einrichtung muss das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten gestatten, Unterlagen vorlegen und Auskunft erteilen (§ 61 Abs. 5).
• Anordnung, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen durchführen zu lassen (§ 61 Abs. 1).
• Anordnung, Nachweise über die Erfüllung der Pflichten vorzulegen, gegenüber den übrigen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten des Gesetzes, bei zugelassenen Krankenhäusern frühestens fünf Jahre (§ 61 Abs. 3).
• Anordnung von Maßnahmen, Mängelbeseitigungsplänen und Berichten innerhalb einer angemessenen Frist (§ 61 Abs. 6, 7).

Für die Überprüfung nach § 61 Abs. 5 BSIG ist kein konkreter Anlass nötig. Gebühren und Auslagen erhebt das BSI dafür nur, wenn es aufgrund von Anhaltspunkten tätig wurde, die berechtigte Zweifel an der Einhaltung begründeten.

Wichtige Einrichtungen, § 62 BSIG (Art. 33 NIS2):

• Das BSI wird nur tätig, wenn Tatsachen die Annahme rechtfertigen, dass die Einrichtung ihre Pflichten nach § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 oder § 38 Abs. 3 BSIG nicht oder nicht richtig umsetzt.
• Liegt ein solcher Anlass vor, kann das BSI die Einhaltung überprüfen und Maßnahmen nach § 61 BSIG treffen. Die Richtlinie selbst sieht für wichtige Einrichtungen nur eine Ex-post-Aufsicht mit gezielten Audits vor, ohne Stichprobenkontrollen und regelmäßige Audits (Art. 33 Abs. 1, 2 NIS2).

Zuständige Aufsichtsbehörde ist nach § 59 BSIG das BSI. Ausnahmen regelt § 28 BSIG: Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und Energieunternehmen, die den §§ 5c bis 5e EnWG unterliegen, sind nach § 28 Abs. 5 BSIG von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG ausgenommen, soweit sie nicht weitere kritische Anlagen betreiben oder aufgrund weiterer Tätigkeiten einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen sind. Für sie gelten stattdessen die Sicherheitsvorschriften der §§ 165 ff. TKG bzw. der §§ 5c bis 5e EnWG. Die Registrierungspflicht nach § 33 BSIG ist von dieser Ausnahme nicht erfasst. Finanzunternehmen im Anwendungsbereich von DORA sind nach § 28 Abs. 6 BSIG von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgenommen.

Audit-Häufigkeit

Weder NIS2 noch das BSIG legen für besonders wichtige oder wichtige Einrichtungen einen festen Prüfzyklus fest. Einen festen Rhythmus gibt es nur für Betreiber kritischer Anlagen: Sie müssen die Umsetzung der Maßnahmen nach § 30 Abs. 1 Satz 1 i. V. m. § 31 Abs. 1 und 2 Satz 1 BSIG zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (§ 39 Abs. 1 BSIG). Der erste Nachweis ist frühestens drei Jahre, nachdem eine Anlage erstmals als kritische Anlage gilt, fällig; für frühere KRITIS-Betreiber richtet sich der Zeitpunkt nach dem letzten Nachweis nach altem Recht (§ 39 Abs. 3 BSIG).

Von den übrigen besonders wichtigen Einrichtungen kann das BSI Nachweise frühestens drei Jahre nach Inkrafttreten des Gesetzes anfordern. Bei der Auswahl berücksichtigt es Risikoexposition, Größe der Einrichtung sowie Eintrittswahrscheinlichkeit, Schwere und mögliche Auswirkungen von Sicherheitsvorfällen (§ 61 Abs. 3, 4 BSIG). Wichtige Einrichtungen werden nur bei einem Anlass nach § 62 BSIG geprüft.

Was geprüft wird: die sechs Dokumenten-Kategorien

Die folgende Einteilung ist eine redaktionelle Gliederung, keine behördliche Systematik. Sie orientiert sich an den Pflichten, auf die sich Prüfanordnungen nach § 61 Abs. 1 BSIG beziehen (§ 30 Abs. 1 Satz 1, bei Betreibern kritischer Anlagen auch i. V. m. § 31 Abs. 1 und 2 Satz 1, sowie § 32 Abs. 1 bis 3 und § 38 Abs. 3 BSIG):

1. Risiko-Bewertung

Aktuelle, dokumentierte Risiko-Analyse der schutzwürdigen Assets. Erforderlich:

• Inventar der Informations-Assets mit Schadensklassifikation.
• Bedrohungs- und Schwachstellen-Bewertung.
• Risiko-Matrix mit Eintrittswahrscheinlichkeit und Schadens-Ausmaß.
• Behandlungs-Entscheidungen pro Risiko (Vermeiden, Vermindern, Verlagern, Akzeptieren).
• Datum der letzten Aktualisierung, idealerweise nicht älter als 12 Monate.

2. Sicherheitskonzept

Konzept, das beschreibt, wie die Risiko-Behandlung umgesetzt wird. Verweise auf:

• Technische und organisatorische Maßnahmen nach § 30 Abs. 2 BSIG (Art. 21 Abs. 2 NIS2).
• Konkrete Implementierungs-Stände, nicht Soll-Vorgaben.
• Verantwortliche Personen oder Rollen.
• Zyklen für Wirksamkeitsprüfungen.

3. Incident-Response-Playbook

Dokumentation, wie Sicherheits-Vorfälle erkannt, gemeldet, eingedämmt und nachbereitet werden. Audit-relevant:

• Eskalations-Matrix mit Rollen und Erreichbarkeit.
• Meldewege zur gemeinsamen Meldestelle von BSI und BBK nach § 32 BSIG: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Zwischenmeldung auf Ersuchen des BSI, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall stattdessen eine Fortschrittsmeldung.
• Forensik- und Recovery-Verfahren.
• Nachweise durchgeführter Tabletop-Übungen.

4. Schulungs-Nachweise

Geschäftsleitungen müssen nach § 38 Abs. 3 BSIG (Art. 20 Abs. 2 NIS2) regelmäßig an Schulungen teilnehmen. Schulungen und Sensibilisierung der Beschäftigten gehören zu den Mindestmaßnahmen nach § 30 Abs. 2 Nr. 7 BSIG (Art. 21 Abs. 2 lit. g NIS2). Als Nachweis eignen sich:

• Teilnahme-Listen mit Datum und Inhalt.
• Inhaltliche Lernziele und Prüfungs-Bestätigungen.
• Speziell: Nachweis der Geschäftsleitungs-Schulung nach § 38 Abs. 3 BSIG.

5. Lieferanten-Management

Nach § 30 Abs. 2 Nr. 4 BSIG (Art. 21 Abs. 2 lit. d NIS2) ist die Sicherheit der Lieferkette zu adressieren. Als Nachweis eignen sich:

• Lieferanten-Inventar mit Risiko-Klassifikation.
• Vertrags-Klauseln zu Sicherheit, Incident-Meldung und Audit-Rechten.
• Regelmäßige Lieferanten-Bewertungen.

6. Geschäftsleitungs-Beschlüsse

Art. 20 Abs. 1 NIS2 verlangt, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. § 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. Als Nachweis eignen sich:

• Protokoll oder Beschluss mit Datum und Unterschriften.
• Liste der genehmigten Maßnahmen.
• Wiederkehrende Re-Genehmigung bei Material-Änderungen.

Quick-Wins für die Audit-Vorbereitung

Drei organisatorische Maßnahmen für die Vorbereitung:

Quick-Win 1: Audit-Bereitschafts-Check (1 Tag/Quartal)

Eine ein-tägige Selbst-Prüfung pro Quartal entlang der sechs Dokumenten-Kategorien. Prüfer-Frage je Kategorie: „Wenn das BSI heute hier hereinkommt, kann ich das in 30 Minuten finden, lesbar präsentieren und auf den aktuellen Stand belegen?" Wenn nein, ist die Lücke der nächste Backlog-Eintrag.

Quick-Win 2: Zentrales Dokumenten-Repository

Excel-Wildwuchs auf SharePoint, Confluence, Notion oder einem ISMS-Light-Tool ist im Audit ein Risiko, Dokumente sind verstreut, veraltet, mehrfach in Versionen. Ein einziges, versions-geführtes Repository mit klarer Ordner-Struktur entlang der zehn Mindestmaßnahmen des § 30 Abs. 2 BSIG macht Nachweise schnell auffindbar.

Quick-Win 3: Tabletop-Übung mit Audit-Stichprobe

Einmal jährlich eine simulierte Vor-Ort-Prüfung durch eine interne oder externe Person, die nicht ins operative ISMS eingebunden ist. Sie fordert per Stichprobe Dokumente an und bewertet deren Vollständigkeit. Findings werden mit Frist zur Behebung versehen. Das macht Lücken sichtbar, bevor die Aufsicht sie findet.

Selbst-Registrierung als unterschätzter Audit-Vorteil

NIS2 verpflichtet erfasste Einrichtungen zur Selbst-Registrierung bei der zuständigen Aufsichts-Behörde. Wer die Registrierung frühzeitig erledigt, hat zwei Vorteile gegenüber einer späten oder fehlenden Registrierung:

• Aufsichts-Beziehung etablieren: Erste Kommunikations-Kanäle, Kontakt-Personen und Erwartungs-Klärungen passieren in nicht-konfrontativem Rahmen.
• Glaubwürdigkeit bei Erst-Audit: Eine selbst-registrierte Einrichtung mit gepflegtem ISMS wirkt im Audit anders als eine, die erst nach Behörden-Anfrage Registrierung nachholt.

Die Registrierung erfolgt über eine gemeinsam von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit, spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG). Änderungen der Angaben sind binnen zwei Wochen zu übermitteln (§ 33 Abs. 5). Registriert sich eine Einrichtung nicht, kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3); die unterlassene Registrierung ist zudem nach § 65 Abs. 2 Nr. 6 BSIG bußgeldbewehrt.

Was im Audit-Fall passiert

Wenn die Aufsicht aktiv wird, lässt sich das Verfahren grob in vier Schritte gliedern:

1. Anfrage: Schriftliche Anforderung von Unterlagen oder Auskünften mit Fristsetzung. Nach Art. 32 Abs. 3 NIS2 gibt die Behörde den Zweck der Anfrage an und bezeichnet die angeforderten Informationen.
2. Sichtung: Die Behörde wertet die eingereichten Unterlagen aus, ggf. mit Rückfragen.
3. Vor-Ort-Prüfung: Bei besonders wichtigen Einrichtungen kann das BSI Geschäfts- und Betriebsräume während der üblichen Betriebszeiten betreten und Unterlagen einsehen (§ 61 Abs. 5 BSIG).
4. Feststellungen und Anordnungen: Anordnung von Maßnahmen, Mängelbeseitigungsplan und Nachweis der Mängelbeseitigung (§ 61 Abs. 6, 7 BSIG), ggf. Bußgeldverfahren nach § 65 BSIG. Vor Durchsetzungsmaßnahmen teilt die Behörde nach Art. 32 Abs. 8 NIS2 ihre vorläufigen Feststellungen mit und gibt Gelegenheit zur Stellungnahme.

Bei Durchsetzungsmaßnahmen berücksichtigt die Behörde nach Art. 32 Abs. 7 lit. h NIS2 (für wichtige Einrichtungen über Art. 33 Abs. 5) unter anderem den Grad der Zusammenarbeit. Als schwerwiegender Verstoß gelten nach Art. 32 Abs. 7 lit. a NIS2 u. a. die Behinderung von Prüfungen, die nach Feststellung eines Verstoßes angeordnet wurden, sowie falsche oder grob unrichtige Angaben. Wer das Betreten nach § 61 Abs. 5 BSIG nicht gestattet oder Unterlagen und Auskünfte nicht, nicht richtig oder nicht rechtzeitig liefert, handelt nach § 65 Abs. 2 Nr. 17 BSIG ordnungswidrig.

FAQ

Werden wichtige Einrichtungen tatsächlich nie geprüft?

Doch, aber nur anlassbezogen. § 62 BSIG setzt Tatsachen voraus, die die Annahme rechtfertigen, dass die Einrichtung ihre Pflichten nach § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 oder § 38 Abs. 3 BSIG nicht oder nicht richtig umsetzt. Eine anlasslose Überprüfung wie nach § 61 Abs. 5 BSIG ist für wichtige Einrichtungen nicht vorgesehen. Liegt ein Anlass vor, stehen dem BSI die Maßnahmen nach § 61 BSIG zur Verfügung; die fehlende Routineprüfung ist also kein Freibrief.

Wie lange dauert ein typisches NIS2-Audit?

Eine gesetzliche Vorgabe zur Dauer gibt es nicht. Sie hängt vom Umfang der angeforderten Unterlagen, einer eventuellen Vor-Ort-Prüfung und den Fristen ab, die das BSI für Mängelbeseitigung und Berichterstattung setzt; das BSIG spricht hier von einer „angemessenen Frist" (§ 61 Abs. 6, 7 BSIG).

Reicht ISO 27001 als Audit-Nachweis aus?

Ein gültiges ISO-27001-Zertifikat hilft erheblich, ersetzt aber nicht den NIS2-spezifischen Nachweis. ISO 27001 deckt einen Großteil der Art.-21-Mindestmaßnahmen ab, aber NIS2-spezifische Pflichten wie das gestufte Meldeverfahren nach Art. 23 oder die Schulungs-Pflicht des Leitungsorgans nach Art. 20 sind in ISO 27001 nicht zwingend enthalten und müssen ergänzt werden. Mehr im Artikel „Reicht ISO 27001 für NIS2-Compliance?".

Kann man eine Audit-Frist verlängern lassen?

Fristen, die eine Behörde gesetzt hat, können nach § 31 Abs. 7 VwVfG verlängert werden, auch rückwirkend; die Entscheidung trifft die Behörde im Einzelfall. Empfehlung: Verlängerung früh, schriftlich, begründet und mit konkretem neuen Termin beantragen. Der Grad der Zusammenarbeit fließt nach Art. 32 Abs. 7 lit. h NIS2 in die Bewertung von Durchsetzungsmaßnahmen ein.

Was passiert mit den eingereichten Dokumenten nach dem Audit?

Das BSI wertet die Unterlagen für die Aufsicht aus. Das BSIG sieht bestimmte Informationswege vor: Über Maßnahmen gegenüber besonders wichtigen Einrichtungen informiert das BSI die zuständige Aufsichtsbehörde des Bundes (§ 61 Abs. 10 BSIG). Stellt es fest, dass ein Verstoß eine meldepflichtige Verletzung des Schutzes personenbezogener Daten zur Folge haben kann, unterrichtet es unverzüglich die zuständigen Datenschutzaufsichtsbehörden (§ 61 Abs. 11 BSIG). Geschäftsgeheimnisse in eingereichten Unterlagen zu kennzeichnen, erleichtert der Behörde den Umgang mit ihnen.