Dokumentengenerator

Das NIS2UmsuCG enthält keine abschließende Liste vorgeschriebener Dokumente. Es verlangt etwas Unbequemeres: Nachweisbarkeit. Wer eine Maßnahme umgesetzt, aber nicht dokumentiert hat, steht im Aufsichtsfall so da wie jemand, der sie nicht umgesetzt hat.

Welche Dokumente Sie in der Praxis brauchen

• Betroffenheitseinstufung mit Begründung — Pflichtangabe bei der BSI-Registrierung
• Risikoanalyse mit Bewertung und Risikobehandlungsplan
• Sicherheitsrichtlinien für Informationssicherheit, Zugriffskontrolle und Kryptografie
• Incident-Response-Plan inklusive Meldeprozess und Eskalationswegen
• Business-Continuity- und Notfallpläne mit Backup-Konzept
• Schulungsnachweise für Belegschaft und ausdrücklich für die Geschäftsleitung
• Lieferantenverträge mit Sicherheitsanforderungen und Meldepflichten
• Wirksamkeitsprüfungen mit Datum, Ergebnis und abgeleiteten Maßnahmen

Warum Vorlagen allein nicht reichen

Eine generische Richtlinie, die nicht zum Unternehmen passt, ist im Zweifel schädlicher als keine: Sie beschreibt Prozesse, die nicht gelebt werden, und dokumentiert damit die Abweichung. Vorlagen sparen die leere Seite, nicht das Denken. Jedes Dokument braucht die Anpassung an tatsächliche Systeme, Rollen und Abläufe.

Der praktische Fallstrick: Aktualität

Dokumente veralten schneller, als sie geschrieben werden. Eine Richtlinie ohne Versionsstand, Freigabedatum und Verantwortlichen wirft im Audit mehr Fragen auf, als sie beantwortet. Pflegen Sie deshalb je Dokument mindestens: Version, Freigabedatum, verantwortliche Person und Termin der nächsten Überprüfung.

Was NIS2coPilot dabei tut

Die Plattform stellt Vorlagen bereit, die den Maßnahmenbereichen des § 30 BSIG zugeordnet sind, und führt beim Ausfüllen durch die Punkte, die eine Prüfung erwartet. So entsteht die Dokumentation entlang der Gap-Analyse statt in einem separaten Ordner ohne Bezug zu den Pflichten.

Was er nicht leistet

Der Generator erstellt keine rechtsverbindlichen Verträge und ersetzt keine juristische Prüfung Ihrer Lieferantenvereinbarungen. Für vertragliche Weitergabe von Sicherheitsanforderungen sollten Sie die Klauseln rechtlich prüfen lassen.

Wie viel Dokumentation ist genug?

Der Maßstab ist Verhältnismäßigkeit, nicht Vollständigkeit. Ein Betrieb mit 60 Beschäftigten braucht keine Dokumentenlandschaft im Umfang eines Konzerns. Er braucht aber für jeden der zehn Maßnahmenbereiche einen Beleg, dass darüber nachgedacht und entschieden wurde.

Praktisch bewährt hat sich ein schlanker Kern: eine Informationssicherheitsleitlinie als Dach, darunter je Themenfeld eine kurze Richtlinie und die zugehörigen Nachweise. Zwanzig Seiten, die gelebt werden, sind mehr wert als zweihundert, die niemand kennt.

Der Unterschied zwischen Richtlinie und Nachweis

Eine Richtlinie beschreibt, wie etwas sein soll: Passwörter werden so vergeben, Zugänge so entzogen, Vorfälle so gemeldet. Ein Nachweis belegt, dass es tatsächlich so passiert ist: das Protokoll der Rechtevergabe, die Teilnehmerliste der Schulung, der Bericht des Wiederherstellungstests.

Die meisten Unternehmen haben Richtlinien und keine Nachweise. In einer Aufsichtsprüfung ist das die kritischere Lücke, weil sie sich nicht kurzfristig schließen lässt — Nachweise entstehen im Betrieb, nicht am Schreibtisch.

Aufbewahrung und Versionierung

Jedes Dokument braucht Version, Freigabedatum, verantwortliche Person und den Termin der nächsten Überprüfung. Ältere Versionen sollten nachvollziehbar bleiben: Wenn Sie zeigen wollen, dass eine Regelung zum Zeitpunkt eines Vorfalls galt, brauchen Sie den damaligen Stand, nicht den heutigen.

Häufige Fragen

Gibt es eine gesetzlich vorgeschriebene Dokumentenliste?

Nein. Das NIS2UmsuCG verlangt Nachweisbarkeit der Maßnahmen nach § 30 BSIG, nicht bestimmte Dokumententitel. Die Orientierung an gängigen Standards wie ISO 27001 oder dem BSI IT-Grundschutz ist deshalb hilfreich, aber nicht verpflichtend.

Reichen Vorlagen aus dem Internet?

Als Startpunkt ja, als Ergebnis nein. Eine Richtlinie, die Prozesse beschreibt, die es bei Ihnen nicht gibt, dokumentiert im Zweifel die Abweichung von der eigenen Vorgabe.

Wie lange müssen wir Nachweise aufbewahren?

Das NIS2UmsuCG nennt keine eigene Frist. Orientieren Sie sich an handels- und steuerrechtlichen Fristen sowie an der Verjährung möglicher Haftungsansprüche; für sicherheitsrelevante Nachweise sind mehrere Jahre die übliche Praxis.