In den letzten Wochen haben mir viele Unternehmer mit anderen Worten dieselbe Frage gestellt: „Was müssen wir in der Schublade haben, wenn eine Kontrolle kommt?“ Dahinter steht eine verständliche Vorstellung: NIS2 ist ein Vorgang, und Vorgänge werden mit Dokumenten abgeschlossen.
Ich habe eine schlechte und eine gute Nachricht. Die schlechte: Eine Schublade voller Dokumente nützt nichts, wenn die Dokumente nicht beschreiben, was das Unternehmen tatsächlich tut. Die gute: Die ACN ist viel konkreter, als man denkt, und für ein KMU ist die Arbeit in wenigen Wochen machbar.
Was die ACN verlangt, in einfachen Worten
In ihren FAQ zu den Basismaßnahmen (Frage MSB.11) nennt die Nationale Agentur für Cybersicherheit (ACN) sechs Dokumentenfamilien, die zum Nachweis der Umsetzung der Maßnahmen nötig sind:
Verzeichnisse
Das Personal der Cybersicherheitsorganisation und aus der Ferne zugängliche Systeme (bei wesentlichen Einrichtungen auch Referenzkonfigurationen).
Inventare
Physische Geräte, Dienste, Systeme und Softwareanwendungen, von Lieferanten erbrachte Dienste und die Lieferanten selbst (bei wesentlichen Einrichtungen auch Netzwerkflüsse).
Pläne
Risikomanagement und Risikobehandlung, Betriebskontinuität und Wiederherstellung, Schwachstellenmanagement, Anpassung, Schulung und Reaktion auf Vorfälle.
Richtlinien
Mindestens für die Anforderungen definiert, die in den Tabellen im Anhang der Anlagen 1 (wichtige Einrichtungen) und 2 (wesentliche Einrichtungen) des ACN-Beschlusses 379907 vom 19. Dezember 2025 aufgeführt sind.
Verfahren
Für die Anforderungen, die sie verlangen.
Register
Ergebnisse der Überprüfung der Richtlinien, Schulung der Beschäftigten, durchgeführte Wartungen.
Drei Details der FAQ verdienen Betonung, weil sie mehr beruhigen, als man glaubt.
Man braucht keinen Wälzer pro Punkt. Eine Einrichtung kann selbst entscheiden, wie sie ihre Dokumentation organisiert, etwa indem sie Inhalte in einem einzigen Dokument bündelt oder auf mehrere verteilt, auf Papier oder digital, solange sie für Berechtigte leicht einsehbar ist.
Es gibt keine verbindliche Vorlage für die Risikobewertung. Jede Einrichtung kann die bereits verwendete oder die ihr angemessen erscheinende nutzen (MSB.9).
Der Geltungsbereich lässt sich eingrenzen. Wo eine Anforderung von „relevanten Netz- und Informationssystemen“ spricht, kann die Einrichtung die Anwendung auf die Systeme beschränken, deren Kompromittierung erhebliche Auswirkungen auf die Dienste hätte, für die sie unter NIS2 fällt (MSB.7). Den Bereich gut einzugrenzen ist die halbe Arbeit.
Und die Fristen? Eine Erinnerung
Die Frist ist nicht für alle gleich. Für 2025 in das NIS-Verzeichnis eingetragene Einrichtungen sind die Basismaßnahmen innerhalb von 18 Monaten nach Erhalt der Mitteilung über die Aufnahme umzusetzen, und für die Meldung erheblicher Vorfälle beträgt die Frist 9 Monate. Für erstmals 2026 eingetragene Einrichtungen sind die Maßnahmen bis 31. Juli 2027 fällig, die Meldepflicht gilt ab 1. Januar 2027. Der erste Schritt bleibt immer derselbe: das Datum der eigenen Mitteilung wiederfinden.
Das wahre Risiko: „Papier“-Dokumentation
Bei der Arbeit mit Unternehmen ist das häufigste Problem nicht das Fehlen von Dokumenten. Es sind Dokumente, die von der Realität abgekoppelt sind. Ein Inventar, das drei Jahre alt ist. Ein Kontinuitätsplan, den nie jemand getestet hat. Eine Passwortrichtlinie, die der Inhaber unterschrieben hat, die aber im Unternehmen niemand kennt.
Die ACN-FAQ sagen es klar: Die Dokumente müssen die aktuelle Situation wiedergeben und aktualisiert werden, wenn sich der Sachstand ändert. Das ist kein Detail. Es ist der Unterschied zwischen Nachweis und Risiko.
Eine Richtlinie, die geschrieben, aber nicht angewendet wird, ist kein Nachweis: Sie ist ein Eingeständnis.
Was uns öffentliche Fälle lehren
Man muss nicht weit suchen. Zwei von der Presse berichtete Fälle zeigen den Wert lebendiger Dokumentation.
Autonome Provinz Bozen, Juni 2025. Nach dem Angriff, der die Telefonsysteme einiger Zivilschutzzentralen lahmlegte, liefen die Abläufe manuell weiter, mit zusätzlichem Personal in der Notrufzentrale, und die Notrufe blieben aktiv (Quelle: MB Time, mit Verweis auf die offiziellen Mitteilungen). Das geschieht nicht zufällig: Es geschieht, weil es einen Notfallplan gibt, den die kennen, die ihn anwenden müssen.
Region Latium, August 2021. Die von Cybersecurity360 veröffentlichte Analyse stellt fest, dass die Körperschaft, obwohl sie zur kritischen Infrastruktur zählt, keinen angemessenen Plan zur Reaktion auf Vorfälle zu haben schien, dass die öffentliche Kommunikation ungenau war und dass die Backups nicht isoliert waren. Auch dort war das Problem nicht die Menge der Dokumente, sondern der Abstand zwischen Geschriebenem und dem, was in der Praxis geschah.
Der Vergleich spricht für sich: derselbe Angriffstyp, zwei sehr verschiedene Ausgänge, und der Unterschied liegt in der Vorbereitung.
Mein Rat: sechs Wochen, eine Akte, zwei Personen
Für ein KMU ist es kein riesiges Projekt. Es ist ein geordneter Weg. So gehen wir mit unseren Kunden vor.
Woche 1: Personen und Umfang
Benennen Sie Kontaktperson und CSIRT-Referenten, mit Stellvertretungen. Entscheiden Sie, welche die „relevanten Systeme“ sind, jene, ohne die das Unternehmen stillsteht. Erstellen Sie das erste Verzeichnis: wer zur Sicherheitsorganisation gehört und welche Systeme aus der Ferne zugänglich sind.
Woche 2: Inventare
Geräte, Software, Dienste der Lieferanten und Lieferanten. Eine Tabelle genügt, sofern sie wahr ist. Zu jeder Zeile: was es ist, wer verantwortlich ist, was passiert, wenn es ausfällt.
Woche 3: genehmigte Richtlinien
Wenige Seiten, in verständlicher Sprache, von der Geschäftsleitung förmlich genehmigt, mit Datum und Unterschrift. Denken Sie an den Hinweis der ACN, die Richtlinien den zuständigen Bereichen nach dem „Need-to-know“-Prinzip bekannt zu machen.
Woche 4: Pläne
Kontinuität und Wiederherstellung, Reaktion auf Vorfälle, Schwachstellenmanagement, Schulung. Bei Vorfällen gilt: Die Vorabmeldung an das CSIRT Italia ist unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnis zu senden, die vollständige Meldung innerhalb von 72 Stunden. Die Ursache des Vorfalls ist unerheblich: Auch menschliches Versagen oder eine Störung fallen unter die Pflicht.
Woche 5: Test
Eine einstündige Simulation mit der Geschäftsleitung: Heute Nacht haben wir unsere Dateien verloren. Wer ruft wen an? Wo liegt das Backup? Wer meldet, und in welchen Fristen? Halten Sie alles im Register fest.
Woche 6: Register und Überprüfung
Schließen Sie den Kreis: Register der Schulungen, der Wartungen, der Überprüfung der Richtlinien. Legen Sie ein Datum für die nächste Überprüfung fest.
Zwei Hinweise zu Lieferanten, die die Sorge deutlich mindern. Erstens: Die FAQ stellen klar, dass nicht alle bestehenden Verträge rückwirkend angepasst werden müssen. Die Sicherheitsanforderungen sind in Verträge aufzunehmen, die ab der Frist für die Maßnahmen abgeschlossen, verlängert oder prorogiert werden, entsprechend dem Ergebnis der Risikobewertung zur Lieferung (MSB.12, MSB.14). Zweitens: Die Anforderungen müssen die Maßnahmen nicht wörtlich wiedergeben, es genügt, dass sie deren wesentlichen Inhalt aufnehmen (MSB.16).
Was ich nicht empfehle: sich auf einen Berater zu verlassen, der Ihnen einen Ordner fertiger Dokumente übergibt. Ein guter Berater erarbeitet die Dokumente mit Ihnen, denn nur so spiegeln sie das reale Unternehmen. Und geben Sie kein Geld für ein „NIS2-Zertifikat“ aus: Es existiert nicht.
Was ich abschließend denke
Dokumentationsnachweise sind nicht das Ziel. Sie sind die Art, wie ein Unternehmen, zuerst sich selbst und dann einer Behörde, beweist, dass es weiß, was es hat, wer dafür verantwortlich ist und was zu tun ist, wenn etwas schiefgeht. Gut gemacht werden sie zum Vorteil: bei Ausschreibungen, bei deutschen und österreichischen Kunden, bei der Bank.
In Südtirol wird Ruf über Jahrzehnte aufgebaut und an einem Tag verloren. Die Sicherheitsakte ist der Weg, ihn zu schützen, mit derselben Ernsthaftigkeit, mit der wir eine Bilanz hüten.
Ein Dokument, das von der Geschäftsleitung nicht genehmigt wurde und denen nicht bekannt ist, die es anwenden müssen, ist kein Nachweis: Es ist ein Risiko.
Drei Fragen an die Geschäftsleitung
Haben wir ein aktuelles Inventar kritischer Systeme, Dienste und Lieferanten, und wissen wir, wer es aktualisiert?
Ohne Inventar lassen sich weder Risiken bewerten noch Prioritäten setzen.
Wer in der Geschäftsleitung hat die Richtlinien genehmigt, mit welchem Datum, und kennen sie die Mitarbeitenden, die sie anwenden müssen, wirklich?
Die Freigabe durch die Geschäftsleitung ist Teil des Nachweises.
Haben wir den Plan zur Reaktion auf Vorfälle mindestens einmal getestet, und wissen wir, wer die Vorabmeldung an das CSIRT Italia binnen 24 Stunden sendet?
Die erste Meldung ist an sehr enge Fristen gebunden: Wer sie durchführen muss, braucht ein bekanntes Verfahren.
Quellen
ACN, NIS-FAQ – Sicherheitsmaßnahmen und Meldung von Vorfällen (MSB.7, MSB.9, MSB.11, MSB.12, MSB.14, MSB.16, ISB.G.2, ISB.G.4; auf Italienisch); ACN-Beschluss 379907 vom 19. Dezember 2025 (auf Italienisch); MB Time, Attacco informatico alla Provincia di Bolzano (25.06.2025); Cybersecurity360, Regione Lazio e ransomware, lieto fine amaro (08.08.2021). Die Angaben wurden am 23. Oktober 2026 auf der ACN-Website geprüft: Bitte stets die aktuelle Fassung heranziehen.