IT-Sicherheit · 17. August 2026

NIS2: Nachweispflichten für die öffentliche Verwaltung

Die NIS2-Richtlinie ist in Deutschland angekommen: Das Umsetzungsgesetz gilt seit Dezember 2025. Die Grundlogik: Es reicht nicht, IT-Sicherheitsmaßnahmen zu ergreifen. Entscheidend ist, deren Wirksamkeit lückenlos dokumentieren und auf Anforderung nachweisen zu können. Für Behörden verschiebt sich die Praxis damit von der Zusicherung zur Beleglage.

Was gilt seit Dezember 2025?

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Für die öffentliche Verwaltung sind drei Punkte zentral:

• Bundesbehörden sind explizit erfasst — der Anwendungsbereich beschränkt sich nicht auf Wirtschaftsunternehmen.
• Dokumentationspflicht auf IT-Grundschutz-Basis: Risikomanagementmaßnahmen sind nach den Vorgaben des BSI zu dokumentieren; BSI-Mindeststandards werden verbindlich.
• Vergaberelevanz: Die BSI-Mindeststandards können bereits in Vergabeverfahren herangezogen werden — Nachweise werden damit zum Angebotskriterium.

Die Größenordnung der Aufsicht verdeutlicht die Reichweite: Die Zahl der BSI-beaufsichtigten Einrichtungen steigt von rund 4.500 auf etwa 29.500. Der Registrierungs- und Meldebetrieb für erfasste Einrichtungen läuft bereits. Für Bundesbehörden bedeutet die Verankerung im IT-Grundschutz zugleich eine methodische Klarstellung: Die Dokumentation der Risikomanagementmaßnahmen baut auf einem etablierten Rahmenwerk auf, muss aber lückenlos und aktuell geführt werden — ein Zustand, der ohne systematische Prozesse kaum dauerhaft herzustellen ist.

Warum trägt die Behörde die Beweislast?

Das Gesetz setzt auf ein Modell der Eigenkontrolle bei begrenzten Aufsichtskapazitäten. Beim BSI sind derzeit drei flächendeckende Kontrollstellen besetzt — angesichts von rund 29.500 beaufsichtigten Einrichtungen wird die laufende Kontrolle nicht von der Behörde ausgehen können. Die Realität verschiebt sich daher: Wer geprüft wird, muss belegen können, was wann getestet, freigegeben und nachgebessert wurde.

Damit entscheidet sich in der Praxis weniger die Frage, ob überhaupt geprüft wurde, als die Frage, ob es nachweisbar ist. Risikomanagementmaßnahmen, die nicht dokumentiert sind, existieren aus Sicht einer Prüfung nicht. Konkret verlangt das eine Historie, die jede Änderung mit Person, Zeitpunkt und Inhalt zeigt — zu Anforderungen, Testfällen, Abweichungen und Freigaben gleichermaßen. Eine solche Nachweisführung entsteht nicht nachträglich in Aktennotizen, sondern nur im laufenden Betrieb.

Welche Rolle spielt der Cyber Resilience Act?

Parallel verschärft der Cyber Resilience Act (CRA) die Lage auf der Anbieterseite — mit direkten Folgen für die Beschaffung. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden; ab dem 11. Dezember 2027 gelten die vollen Pflichten einschließlich Stückliste der Softwarekomponenten (SBOM) und CE-Kennzeichnung. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro.

Für Vergabeverfahren heißt das: CRA-Konformität wird zum Eignungskriterium. Die praktische Frage an Anbieter lautet künftig: Können Sie nachweisen, wie Sie testen, dokumentieren und auf Schwachstellen reagieren? Wer Anforderungen, Änderungen und Abnahmen lückenlos versioniert vorhält, beantwortet diese Frage mit Unterlagen statt mit Zusicherungen. Und für den Betrieb in der eigenen Behörde gilt derselbe Maßstab: Sicherheit ist im Ernstfall das, was belegt werden kann.

Was bedeutet das für die Qualitätssicherung?

Die Nachweispflichten von NIS2 und CRA laufen auf denselben Arbeitskern hinaus: eine Qualitätssicherung, die ihre Ergebnisse revisionssicher dokumentiert. Konkret heißt das:

• Revisionssichere Testdokumentation als Beleg für umgesetzte Risikomanagementmaßnahmen,
• änderungsprotokollierte Abnahmen, die jede Änderung mit Person, Zeitpunkt und Inhalt zeigen — als Audit-Trail für Nachfolgeprüfungen,
• wiederverwendbare Testsuiten, die bei jedem Release und jeder Gesetzesänderung erneut ablaufen, statt bei jedem Prüfanlass neu aufgesetzt zu werden.

Der Registrierungsbetrieb für erfasste Einrichtungen läuft bereits. Nachweisführung aufzubauen ist eine Frage von Wochen, nicht von Jahren — wenn es vor dem ersten Prüftermin geschieht, nicht danach. Wer die Dokumentation als Teil des laufenden Verfahrensbetriebs organisiert, statt sie als separates Berichtswesen zu verstehen, hält den Zusatzaufwand für die Beschäftigten gering.