NIS2-Templates: Welche 3 Dokumente reichen wirklich?

Die Frage „drei Dokumente, dann ist es erledigt" greift regulatorisch zu kurz. Tragfähig ist eine andere Frage: welche drei Dokumente bilden die NIS2-Substanz strukturiert ab und können in einer KMU-Konstellation den Kern der Nachweisführung tragen, abhängig von Sektor, Größe und Risikoprofil.

Welche regulatorischen Vorgaben sind einschlägig?

Die Dokumentationspflichten ergeben sich aus mehreren ineinandergreifenden Vorschriften:

• Art. 21 Abs. 1 NIS2 verpflichtet wesentliche und wichtige Einrichtungen zur Umsetzung angemessener und verhältnismäßiger technischer, betrieblicher und organisatorischer Maßnahmen. Die Dokumentation dient dem Nachweis der Angemessenheit und Verhältnismäßigkeit.
• Art. 21 Abs. 2 NIS2 enthält den nicht-abschließenden Maßnahmen-Katalog (Risikoanalyse-Konzepte, Vorfall-Behandlung, Geschäftskontinuität, Lieferketten-Sicherheit, Sicherheit bei Erwerb und Wartung von Systemen, Schulungsmaßnahmen, Verschlüsselungs-Konzepte, Personalverwaltung, Multi-Faktor-Authentifizierung).

• Art. 23 NIS2 regelt die Meldepflichten bei erheblichen Sicherheitsvorfällen (24h Frühwarnung, 72h Erstmeldung, 1 Monat Abschlussbericht) und setzt eine dokumentierte Meldekette voraus.
• BSI IT-Grundschutz bietet die methodische Strukturierung (ORP.1 Organisation mit der Anforderung ORP.1.A8 zur Betriebsmittel- und Geräteverwaltung in Bestandsverzeichnissen, DER.2.1 für Vorfall-Behandlung, CON.3 für Datensicherung).
• Art. 32 DSGVO verlangt für Verarbeitungen personenbezogener Daten geeignete technisch-organisatorische Maßnahmen; eine allgemeine Beschreibung dieser Maßnahmen gehört nach Art. 30 Abs. 1 lit. g DSGVO ins Verzeichnis von Verarbeitungstätigkeiten.

Welche Konstellation passt zu deinem Unternehmen?

Die Eignung einer auf drei Kern-Dokumente reduzierten Struktur hängt vom regulatorischen Profil ab:

• Wichtige Einrichtung mit überschaubarer IT-Landschaft (Anhang II NIS2, 50-100 Mitarbeitende, keine KRITIS-Schwelle): Eine auf drei Kern-Dokumente strukturierte Nachweisführung ist verbreitet, die fachliche Tiefe muss zur Risikoanalyse passen.
• Wesentliche Einrichtung oder KRITIS-Betreiber: Regelmäßig sind weitere Dokumente einschlägig (Risikoanalyse-Bericht nach Art. 21 Abs. 1 NIS2, Nachweisunterlagen für Betreiber kritischer Anlagen nach § 39 BSIG, Geschäftskontinuitäts-Plan, Lieferanten-Sicherheits-Anforderungen, ggf. Pen-Test-Berichte).

• ISO-27001- oder TISAX-zertifizierte Einrichtung: Die Substanz wird typischerweise im Statement of Applicability (SoA), Asset-Register, Incident-Management-Prozess und ergänzenden Dokumenten zu den Maßnahmen aus Anhang A der ISO/IEC 27001:2022 abgebildet (Zertifikate nach der Fassung 2013 sind seit 31.10.2025 ungültig). Eine NIS2-Mapping-Übersicht ist die verbreitete Form der Ergänzung.
• Einrichtung mit besonderen Datenkategorien (Art. 9 DSGVO) oder sektoralen Spezifika (z.B. § 391 SGB V für Krankenhäuser, EnWG, DORA): Die sektoral verschärften Anforderungen treten hinzu; eine reduzierte Dokumentation auf drei Kern-Dokumente trägt regelmäßig nicht.

Welcher Aufbau-Rahmen ist verbreitet?

In einer KMU-Konstellation ohne KRITIS-Status und ohne sektorale Verschärfung sind die folgenden drei Dokumente verbreiteter Bestandteil der Nachweis-Struktur:

Asset-Inventar (Strukturierte Erfassung schützenswerter Assets), strukturelle Anlehnung an die Strukturanalyse nach BSI-Standard 200-2 und die Anforderung ORP.1.A8 (Betriebsmittel- und Geräteverwaltung) des BSI-Bausteins ORP.1. Inhalt: Asset-Bezeichnung, Typ (Cloud, On-Premise, Hardware, SaaS-Drittanwendung), verantwortliche Stelle, Datenkategorie, Schutzbedarfs-Einstufung (normal/hoch/sehr hoch nach BSI-Standard 200-2), letzte Prüfung. Format: strukturierte Tabelle (Excel, Notion-Datenbank, Microsoft Lists, ISMS-Tool) mit klar benanntem Owner und definiertem Pflege-Rhythmus.

Vorfall-Behandlungs-Konzept (Incident-Response), strukturelle Anlehnung an BSI-Baustein DER.2.1 und die ENISA Technical Implementation Guidance zur Durchführungsverordnung (EU) 2024/2690 (Juni 2025). Inhalt: Definition meldepflichtiger Vorfälle (Abgrenzung von Bagatellen), Erkennungs- und Meldekette, Eskalationsmatrix mit Verantwortlichen und Erreichbarkeiten, Sofort-Maßnahmen-Katalog, externe Meldewege (24h-Frühwarnung an die zuständige Aufsicht nach Art. 23 NIS2, 72h-Meldung an Datenschutzbehörde bei DSGVO-Bezug nach Art. 33 DSGVO, ggf. weitere sektorale Meldewege), Dokumentations-Vorlage für das Vorfall-Log.

TOM-Übersicht (Technisch-Organisatorische Maßnahmen), strukturelle Abbildung der Mindestmaßnahmen nach Art. 21 Abs. 2 NIS2 (in Deutschland § 30 Abs. 2 BSIG). Format: Tabelle mit Maßnahme, konkreter Umsetzung im Unternehmen, Status, Verantwortlicher Stelle und nächstem Review-Termin. Bei kombinierter NIS2-/DSGVO-Bewertung ist die parallele Referenz auf Art. 32 DSGVO sinnvoll.

Die genannten Dokumente bilden den Kern. Sie sind keine vollständige Nachweis-Struktur, Risikoanalyse, Schulungsnachweise, Lieferanten-Sicherheits-Anforderungen, Verschlüsselungs-Konzept und Geschäftskontinuitäts-Plan sind regelmäßig zusätzlich erforderlich. Die Form (eigenständige Dokumente vs. integrierte Abschnitte) hängt von der Unternehmensstruktur ab.

Welche Konstellationen erfordern abweichendes Vorgehen?

Eine auf drei Kern-Dokumente reduzierte Struktur ist nicht ausreichend, sofern eine der folgenden Konstellationen vorliegt:

• Wesentliche Einrichtung nach Art. 3 Abs. 1 NIS2 / Anhang I: Regelmäßig sind formalisierte Risikoanalyse-Berichte, ein Geschäftskontinuitäts-Konzept (BSI-Baustein DER.4) und Lieferanten-Sicherheits-Anforderungen (BSI-Baustein OPS.2.3 „Nutzung von Outsourcing“) zusätzlich einschlägig.
• Betreiber kritischer Anlagen: § 39 BSIG verlangt, die Erfüllung der Anforderungen alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachzuweisen; die Nachweis-Tiefe ist nicht über drei Kern-Dokumente abbildbar.

• Sektor mit eigenen Vorgaben (EnWG für Energie, DORA für Finanzwesen, § 391 SGB V für Krankenhäuser, TKG für TK-Anbieter): Sektorale Vorgaben treten hinzu und verlangen sektorspezifische Dokumentationsformate.
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Bei umfangreicher Verarbeitung solcher Daten ist nach Art. 35 Abs. 3 lit. b DSGVO zusätzlich eine Datenschutz-Folgenabschätzung Pflicht; unterhalb dieser Schwelle ist nach Art. 35 Abs. 1 DSGVO zu prüfen, ob die Verarbeitung voraussichtlich ein hohes Risiko birgt.
• Konzern-Struktur mit zentralisiertem ISMS: Die Dokumentation folgt regelmäßig den Konzern-Vorgaben; eine eigenständige Drei-Dokument-Struktur ist dann typischerweise weder erforderlich noch zweckmäßig.

Nächster Schritt

Die Verarbeitungstätigkeiten mit personenbezogenen Daten lassen sich mit dem Verfahrensverzeichnis-Generator nach Art. 30 DSGVO erfassen, je Verarbeitung mit einem Verweis auf die zugehörigen TOM. Das Asset-Inventar und die NIS2-spezifische TOM-Übersicht deckt das Tool nicht ab; sie werden separat angelegt.

Bei Einrichtungen mit potenziellem KRITIS- oder „wesentliche Einrichtung"-Status, bei sektoralen Spezifika oder bei Verarbeitung besonderer Datenkategorien ist eine begleitende Beratung durch eine spezialisierte IT-Sicherheits- oder Rechtsberatung regelmäßig angezeigt. Die hier dargestellten Informationen sind redaktionell aufbereitet und ersetzen keine Rechtsberatung im Einzelfall.

Hintergrund zu den zehn Mindestmaßnahmen im Detail: Die zehn Mindestmaßnahmen kompakt.