IT-Dokumentation im Zeitalter der NIS-2-Richtlinie
Schwarz auf weiß
Veröffentlicht in Ausgabe 06/2026 - PRAXIS
Nachdem die EU-Mitgliedstaaten die NIS-2-Richtlinie in nationales Recht überführt haben, befinden wir uns in der Phase der aktiven Aufsicht. In Deutschland fallen schätzungsweise 30.000 Unternehmen unter das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Die Schonfristen sind abgelaufen; wer als "wesentliche" oder "wichtige" Einrichtung eingestuft wurde, muss die Einhaltung der Maßnahmen im Zweifelsfall gegenüber dem BSI nachweisen können.
Die zentralen Anforderungen gliedern sich in vier kritische Säulen:
1. Risikomanagement & Governance: Umfassende technische und organisatorische Maßnahmen (TOMs), die auf einer fundierten Risikoanalyse basieren.
Nachdem die EU-Mitgliedstaaten die NIS-2-Richtlinie in nationales Recht überführt haben, befinden wir uns in der Phase der aktiven Aufsicht. In Deutschland fallen schätzungsweise 30.000 Unternehmen unter das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Die Schonfristen sind abgelaufen; wer als "wesentliche" oder "wichtige" Einrichtung eingestuft wurde, muss die Einhaltung der Maßnahmen im Zweifelsfall gegenüber dem BSI nachweisen können.
Die zentralen Anforderungen gliedern sich in vier kritische Säulen:
1. Risikomanagement & Governance: Umfassende technische und organisatorische Maßnahmen (TOMs), die auf einer fundierten Risikoanalyse basieren.
2. Lieferkettensicherheit: Unternehmen müssen die Cybersicherheit ihrer direkten Zulieferer und Dienstleister bewerten und dokumentieren.
3. Verschärfte Meldepflichten: Sicherheitsvorfälle sind innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Meldung) zu melden – eine Geschwindigkeit, die ohne automatisierte Asset-Daten kaum zu erreichen ist.
4. Haftung des Managements: Führungskräfte sind zur persönlichen Weiterbildung verpflichtet und haften direkt für die Implementierung der Sicherheitsmaßnahmen.
Die Aufsichtsbehörden achten dabei zunehmend darauf, ob diese Säulen nur auf dem Papier existieren oder ob sie auch operativ gelebt werden. Ein bloßes Vorhalten von Richtlinien ohne Nachweis ihrer Anwendung – etwa durch Protokolle von Krisenstabsübungen oder dokumentierte Audits der Zulieferer – erfüllt die geforderte Sorgfaltspflicht nicht mehr. Die Dokumentations- und Nachweispflicht liegt eindeutig beim Unternehmen.
Häufig unterschätzt wird dabei die Billigungs- und Überwachungspflicht der Geschäftsführung. Das NIS2UmsuCG verpflichtet das Management nicht nur dazu, die ergriffenen Cybersicherheitsmaßnahmen zu genehmigen, sondern deren Umsetzung auch aktiv zu überwachen. In der Praxis bedeutet das: Die IT-Dokumentation muss so aufbereitet sein, dass sie der Geschäftsleitung zu jeder Zeit als belastbare Entscheidungsgrundlage dient.
Fundament für Audits
Viele Unternehmen investieren erheblich in Firewalls, Intrusion-Detection-Systeme und Verschlüsselungstechnologien. Doch die beste Technik nützt wenig, wenn nicht dokumentiert ist, was geschützt wird, wie die Schutzmaßnahmen konfiguriert sind und wer für welche Systeme verantwortlich ist. Die NIS-2-Richtlinie macht deutlich: Ohne belastbare IT-Dokumentation gibt es keine nachweisbare Compliance.
Zur Pflichtausstattung jeder konformen Dokumentation gehören dynamische Netzwerktopologien, die Cloudinstanzen und OT-Komponenten einschließen, sowie durchgängige Identitäts- und Zugriffsberechtigungskonzepte, die klären, wer Zugriff auf welche kritischen Assets hat. Hinzu kommen eine lückenlose Patchmanagement-Historie als Beleg, dass Schwachstellen zeitnah geschlossen wurden, sowie ein aktuelles Business Continuity Management (BCM) mit Wiederherstellungsplänen, deren regelmäßige Tests und Ergebnisse ebenfalls dokumentiert vorliegen müssen.
Entscheidend ist heute nicht mehr die Frage, ob Sie dokumentieren, sondern wie. Ein statisches PDF aus dem Vorjahr genügt einem Audit nicht mehr. Eine professionelle, NIS-2-konforme Dokumentation muss revisionssicher, aktuell und verknüpft sein – eine Anforderung, vor der viele Organisationen noch erheblichen Nachholbedarf haben. Bei Audits und behördlichen Kontrollen müssen Sie jederzeit nachweisen können, welche Maßnahmen Sie ergriffen haben.
Prüfer werten veraltete Dokumentationen heute konsequent als Verstoß – mit empfindlichen Folgen: Wesentliche Einrichtungen riskieren Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Vorjahresumsatzes, wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent.
IT-Assetmanagement als Single Source of Truth
Dokumentation beginnt mit dem Wissen über die bloße Existenz eines Assets. Ein modernes IT-Assetmanagement bildet heute die Basis für jede Security-Strategie – und unterstützt die Compliance in drei zentralen Bereichen.
Im Vulnerability-Management gilt: Nur bekannte Assets lassen sich scannen. ITAM liefert die Datenbasis fürs Schwachstellen-Scanning. Bei der Incident Response muss das Team im Angriffsfall sofort sehen, welche Dienste an einem betroffenen Server hängen und welche Daten gefährdet sind; ohne automatisierte Abhängigkeitsdiagramme geht kostbare Zeit verloren. Für die Nachweisführung schließlich generieren ITAM-Tools auf Abruf Audit-Berichte, die den aktuellen Ist-Zustand der Infrastruktur präzise widerspiegeln.
Besonders im Kontext der Schatten-IT erweist sich ITAM als entscheidender Sicherheitsanker. Sobald Mitarbeiter nicht autorisierte Geräte mit dem Firmennetzwerk verbinden oder Clouddienste innerhalb der Unternehmensinfrastruktur nutzen, macht ein robustes ITAM diese blinden Flecken sichtbar – etwa durch automatisierte Network-Discovery oder API-Anbindungen an Cloudplattformen. Damit werden auch bisher unbekannte Assets Teil der Risikobewertung und Dokumentation.
Praxistipps für die Umsetzung
Wollen Sie Ihre IT-Dokumentation NIS-2-konform aufstellen, empfiehlt sich ein schrittweises Vorgehen:
1. Bestandsaufnahme: Welche IT-Assets haben Sie und wo bestehen Dokumentationslücken?
2. Verantwortlichkeiten definieren: Wer pflegt die Dokumentation, wer prüft deren Aktualität?
3. Automatisierung einführen: Beginnen Sie dort, wo der Mehrwert am größten ist – typischerweise bei der Inventarisierung und bei regelmäßigen Berichten.
4. Integration sicherstellen: Verzahnen Sie ITAM als kontinuierlichen Prozess mit Risikomanagement, Vorfallmanagement und IT-Governance.
Begreifen Sie IT-Dokumentation dabei als Daueraufgabe, nicht als jährliche Aufräumaktion. IT-Umgebungen verändern sich ständig: Neue Systeme kommen hinzu, bestehende werden aktualisiert oder außer Betrieb genommen, Mitarbeiter wechseln Rollen und Berechtigungen. Die Dokumentation muss diese Dynamik widerspiegeln – idealerweise durch automatisierte Mechanismen, die Änderungen zeitnah erfassen und protokollieren.
Automatisierung als Standard
Die manuelle Pflege von Excel-Listen ist im heutigen dynamischen Umfeld fachlich nicht mehr vertretbar. Neue Server kommen hinzu, Software wird aktualisiert, Cloudressourcen skalieren – wer all diese Änderungen manuell nachpflegt, produziert zwangsläufig Lücken. Professionelle Dokumentations- und Assetmanagement-Werkzeuge setzen daher konsequent auf Automatisierung.
Automatisierte Inventarisierungstools scannen die IT-Umgebung in regelmäßigen Abständen und erfassen Veränderungen ohne manuellen Aufwand. Sie erkennen neue Geräte und Software im Netzwerk, protokollieren Konfigurationsänderungen und erstellen aktuelle Netzwerkpläne und Topologien. Gleichzeitig erfassen sie Benutzerrechte und Gruppenzugehörigkeiten und überwachen Lizenzbestände sowie Softwareversionen. Das Ergebnis: Die Dokumentation bleibt aktuell, ohne dass Ihre IT-Mitarbeiter wertvolle Arbeitszeit für repetitive Dokumentationsaufgaben aufwenden müssen.
NIS-2 im Kontext internationaler Standards
Für Fachabteilungen ist die regulatorische Last immens. Wer NIS-2 isoliert betrachtet, riskiert ineffiziente Silostrukturen. Der Schlüssel liegt im Mapping auf international anerkannten Frameworks. Die meisten betroffenen Unternehmen nutzen ISO/IEC 27001:2022 als strukturelles Fundament. Da die Norm 2022 umfassend aktualisiert wurde, deckt sie schätzungsweise 80 Prozent der NIS-2-Anforderungen ab. Der Fokus liegt darauf, die ISO-Dokumentation um die spezifischen gesetzlichen Fristen – 24-Stunden-Meldung – und die erweiterten Lieferketten-Checks zu ergänzen.
Für die operative Resilienz hat sich das NIST Cybersecurity Framework 2.0 als Goldstandard etabliert. Während NIS-2 vorgibt, was zu tun ist (Compliance), liefert das NIST CSF das Wie (Performance). Besonders die neue Säule "Govern" in Version 2.0 hilft Geschäftsführern, ihrer persönlichen Haftungspflicht unter NIS-2 nachzukommen. Unternehmen im Finanzsektor müssen darüber hinaus DORA und NIS-2 konsequent verzahnen. Wer ein Assetmanagement-System einsetzt, das sowohl die IKT-Drittparteien-Risiken nach DORA als auch die Lieferkettensicherheit nach NIS-2 abbildet, spart bei der Nachweisführung signifikant Ressourcen.
Fazit
Die Zeit der Ausreden ist vorbei. NIS-2-Compliance ist eine betriebliche Grundvoraussetzung – und mit ihr hat sich IT-Dokumentation vom "notwendigen Übel" zum strategischen Werkzeug gewandelt. Unternehmen, die auf Automatisierung und lückenlose Asset-Transparenz setzen, schützen sich nicht nur vor Bußgeldern, sondern stärken nachhaltig ihre Resilienz in einer zunehmend bedrohlichen Cybersicherheitslage. Ein integriertes Managementsystem ist dabei alternativlos. Die IT-Dokumentation sollte so aufgebaut sein, dass sie als "Single Source of Truth" für verschiedene Audits dient – gleichgültig ob der Wirtschaftsprüfer, der ISO-Zertifizierer oder die Aufsichtsbehörde an die Tür klopft.
(dr)
Stefan Effenberger ist IT-Dokumentationsexperte bei der Docusnap GmbH.