NIS2-Checkliste: die Pflichten des BSIG und der Nachweis zu jedem Punkt

So nutzen Sie die Checkliste

Das Gesetz verlangt nicht nur Maßnahmen, sondern auch ihren Beleg: Nach § 30 Abs. 1 Satz 3 BSIG ist die Einhaltung der Risikomanagementmaßnahmen durch die Einrichtungen zu dokumentieren. Eine Checkliste, die nur "erledigt" oder "offen" kennt, reicht dafür nicht. Jeder Punkt unten hat deshalb drei Teile: die Pflicht, die Stelle im Gesetz, an der sie steht, und das Dokument, das ihre Umsetzung belegt.

Die Reihenfolge folgt der Logik der Pflichten. Zuerst klären Sie, ob und wie Ihr Unternehmen betroffen ist, denn davon hängen Registrierung, Maßnahmen und Meldepflichten ab. Dann registrieren Sie, legen die Verantwortung der Geschäftsleitung fest und arbeiten die zehn Maßnahmenbereiche ab. Meldeprozess und Wirksamkeitsprüfung schließen den Kreis.

Die Checkliste nennt die Pflichten so, wie sie im BSI-Gesetz stehen (geprüft gegen den Gesetzestext auf gesetze-im-internet.de). Sie sagt nicht, ob Ihr Unternehmen betroffen ist, und ersetzt keine rechtliche Prüfung im Einzelfall.

1. Betroffenheit prüfen und festhalten

Wer unter die Pflichten fällt, regelt § 28 BSIG. Für die meisten Unternehmen entscheiden zwei Fragen: Gehört die Tätigkeit zu einer Einrichtungsart der Anlagen 1 oder 2, und erreicht das Unternehmen die Größenschwellen?

• Besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG): Einrichtungsart der Anlage 1 und mindestens 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Jahresbilanzsumme, dazu Sonderfälle wie Betreiber kritischer Anlagen.
• Wichtige Einrichtung (§ 28 Abs. 2 BSIG): Einrichtungsart der Anlagen 1 oder 2 und mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme.
• Für die Schwellen gilt die Empfehlung 2003/361/EG mit einer Ausnahme; Daten von Partner- oder verbundenen Unternehmen werden unter bestimmten Voraussetzungen nicht hinzugerechnet (§ 28 Abs. 4 BSIG). Vernachlässigbare Geschäftstätigkeiten können unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).

Halten Sie das Ergebnis mit Begründung, Datum und verantwortlicher Person fest. Die Vorlage NIS-CL-25 Dokumentation der Betroffenheitsprüfung führt durch Sonderfälle, Schwellenwerte, Berechnungsregel und Bereichsausnahmen und legt fest, wer das Ergebnis freigibt:

Das Ergebnis wird mit Begründung in Anhang B festgehalten, von der oder dem ISB erstellt und von der Geschäftsleitung freigegeben.

2. Registrieren und Angaben aktuell halten

Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 Abs. 1 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren. Verlangt werden unter anderem Name und Rechtsform, Anschrift und aktuelle Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, der Sektor, die EU-Staaten der Tätigkeit und die zuständigen Aufsichtsbehörden. Ändern sich die Angaben, sind sie nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln.

In der Praxis meldet man sich im BSI-Portal über "Mein Unternehmenskonto" mit einem ELSTER-Organisationszertifikat an; nach der Beantragung kommt ein Aktivierungsbrief per Post, dessen Zustellung laut BSI regelmäßig mindestens fünf Werktage dauert (bsi.bund.de, abgerufen am 23.09.2026). Planen Sie diese Zeit ein.

Erfüllt das Unternehmen die Registrierungspflicht nicht, kann das Bundesamt die Registrierung selbst vornehmen. Das ersetzt nicht die eigene Pflicht und schließt weitere Folgen nicht aus.

Die NIS-CL-24 Registrierungs-Checkliste nach § 33 BSIG sammelt die Angaben, hält Fristbeginn und Fristende fest und dokumentiert die Registrierung als Nachweis.

3. Geschäftsleitung: beschließen, überwachen, schulen

Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Nach § 38 Abs. 3 BSIG muss sie regelmäßig an Schulungen teilnehmen. Beides lässt sich nur belegen, wenn es aufgeschrieben ist: ein Beschluss, wiederkehrende Berichte mit den Entscheidungen der Geschäftsleitung und Nachweise der Schulungen.

Für Beschluss und Bericht ist NIS-NW-22 Nachweisvorlage Umsetzung und Überwachung gedacht, für die Schulung NIS-NW-23 Schulungsnachweis Geschäftsleitung. Wie oft und wie lange geschult wird, legt das Gesetz nicht fest; die Vorlage schlägt Werte in eckigen Klammern vor, die Sie selbst festlegen. Mehr dazu im Ratgeber zur Schulungspflicht.

4. Die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG

Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein (§ 30 Abs. 1 BSIG) und nach § 30 Abs. 2 BSIG zumindest zehn Bereiche umfassen. Für jeden Bereich steht hier das Dokument, das die Regeln und den Nachweis enthält:

Ein Bereich ist erledigt, wenn die Regel gilt, im Betrieb gelebt wird und der Nachweis vorliegt. Eine Richtlinie, die freigegeben, aber nicht umgesetzt ist, belegt nur die Absicht. Das Risikoregister verbindet die Bereiche: Jedes Risiko und jede Maßnahme trägt dort die Spalte "Bereich nach § 30 Abs. 2 BSIG", sodass Sie je Bereich sehen, was offen ist.

Für bestimmte digitale Einrichtungsarten, etwa Cloud-Dienste, Rechenzentren und Managed Service Provider, gehen Durchführungsrechtsakte der EU-Kommission vor (§ 30 Abs. 3 BSIG). Gehört Ihr Unternehmen dazu, prüfen Sie die Maßnahmen zusätzlich gegen diesen Rechtsakt.

5. Meldeprozess für erhebliche Sicherheitsvorfälle

Ein erheblicher Sicherheitsvorfall ist der gemeinsamen Meldestelle von BSI und BBK in Stufen zu melden (§ 32 Abs. 1 BSIG):

Entscheidend ist, dass vor dem Vorfall feststeht, wer über die Erheblichkeit entscheidet, wer meldet und wer erreichbar ist. Die Monatsfrist läuft ab der 72-Stunden-Meldung, nicht ab dem Vorfall. Das Vorfallprotokoll hat für die Fristen der Erstmeldung, der Meldung und der Abschlussmeldung eigene Spalten, damit sie nicht aus dem Gedächtnis gerechnet werden müssen. Einzelheiten im Ratgeber zu den Meldefristen.

6. Wirksamkeit prüfen und berichten

Die Checkliste ist nicht einmal abzuhaken. § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten. Das Paket setzt das mit Kennzahlen, internen Prüfungen und einem Bericht an die Geschäftsleitung um, der zugleich die Überwachung nach § 38 Abs. 1 BSIG belegt.

Jeder der zehn Bereiche des § 30 Abs. 2 BSIG wird [jährlich] intern geprüft. Der Auditplan verteilt die Prüfungen über das Jahr, damit nicht alle Bereiche in einem Monat anstehen.

NIS-VF-13 Verfahren Wirksamkeitsprüfung mit internem Auditplan legt Kennzahlen, Auditplan, Bewertung der Feststellungen und den Bericht an die Geschäftsleitung fest. Der Wert in eckigen Klammern ist ein Vorschlag, den Sie an Ihr Unternehmen anpassen.

Was die Checkliste nicht leistet

• Sie entscheidet nicht, ob Ihr Unternehmen betroffen ist. Das Ergebnis der Betroffenheitsprüfung trägt Ihr Unternehmen.
• Für Betreiber kritischer Anlagen gelten eigene Regeln zur Registrierung, die sich mit dem KRITIS-Dachgesetz ändern (§ 66 BSIG), und weitere Pflichten, die hier nicht aufgeführt sind.
• Für bestimmte Bereiche gelten Ausnahmen, etwa für Finanzunternehmen unter DORA und für Teile von Telekommunikation und Energie (§ 28 Abs. 5 und Abs. 6 BSIG). Ob eine davon greift, gehört in die Betroffenheitsprüfung.
• Sie ersetzt nicht die Umsetzung. Dokumente belegen Maßnahmen, sie sind nicht die Maßnahmen.

Die Vorlagen zur Checkliste

Das NIS2-Paket enthält 25 Dokumente in Word und Excel für 1.490 € netto, gegliedert nach den zehn Bereichen des § 30 Abs. 2 BSIG, dazu Meldeprozess, Geschäftsleitung, Registrierung und Betroffenheitsprüfung. Zu jedem Punkt dieser Checkliste enthält es das genannte Dokument. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung.