Mit dem NIS-2-Umsetzungsgesetz ist Dokumentation von der Fleißaufgabe zur belegpflichtigen Grundlage geworden. Wer im Prüffall nicht zeigen kann, dass Maßnahmen umgesetzt und Anlagen dokumentiert sind, hat ein Problem — unabhängig davon, wie gut die Arbeit tatsächlich war.
Was sich mit NIS-2 geändert hat
Das deutsche NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Es setzt die europäische NIS-2-Richtlinie in nationales Recht um und erweitert den Kreis der betroffenen Organisationen deutlich — nach übereinstimmenden Schätzungen von rund 4.500 auf etwa 29.500 Einrichtungen.
Das Gesetz unterscheidet dabei im Kern drei Kategorien: besonders wichtige Einrichtungen, wichtige Einrichtungen und die aus dem bisherigen KRITIS-Recht bekannten Betreiber kritischer Anlagen. Für die Energiewirtschaft — von Übertragungs- und Verteilnetzbetreibern bis zu Stadtwerken und Dienstleistern im Netzausbau — ist das hochrelevant: Viele Organisationen fallen erstmals oder in einer höheren Stufe unter die Pflichten.
Die Pflichten im Überblick
Vier Blöcke prägen die neuen Anforderungen:
- Registrierung beim BSI über das entsprechende Portal, in der Regel innerhalb von drei Monaten, ab dem eine Einrichtung unter das Gesetz fällt.
- Risikomanagement mit geeigneten, verhältnismäßigen technischen und organisatorischen Maßnahmen — inklusive Lieferketten und der Pflicht, deren Umsetzung zu dokumentieren.
- Meldepflichten bei erheblichen Sicherheitsvorfällen, mit einer Erstmeldung an das BSI binnen 24 Stunden und gestuften Folgemeldungen.
- Nachweise: Betreiber kritischer Anlagen müssen die Umsetzung regelmäßig — im Grundsatz alle drei Jahre — durch Prüfungen oder Zertifizierungen belegen; besonders wichtige und wichtige Einrichtungen müssen die Umsetzung dokumentieren, das BSI kann risikoorientiert Prüfungen verlangen.
Der rote Faden durch alle Pflichten heißt Nachweisbarkeit: Es reicht nicht, Maßnahmen umzusetzen — man muss belegen können, dass und wie sie umgesetzt sind.
Wo es in der Praxis klemmt
In den meisten Organisationen ist fachlich viel vorhanden: Anlagen sind gebaut, Prüfungen laufen, Maßnahmen sind ergriffen. Was fehlt, ist selten das Wissen — sondern die geordnete, auffindbare Ablage der Nachweise. Dokumente liegen verstreut, sind uneinheitlich benannt und lassen sich im Prüffall nicht schnell der richtigen Anlage und der richtigen Auflage zuordnen. Genau an dieser Stelle wird aus einer eigentlich guten Arbeit ein Prüfungsrisiko.
Was strukturierte Dokumentation leistet
Eine belastbare Dokumentationsstruktur adressiert genau diese Lücke. Vier Eigenschaften sind entscheidend:
- eine einheitliche, verbindliche Ablage über alle Gewerke und Projekte hinweg;
- Dokumentbedarfslisten je Gewerk, damit klar ist, welche Nachweise überhaupt vorliegen müssen;
- ein Norm- und Nachweisbezug je Dokumenttyp, der die Verbindung zwischen Dokument, Anlage und Auflage sichtbar macht;
- klare Versions- und Gültigkeitsangaben, sodass im Prüffall sofort das richtige, gültige Dokument vorliegt.
Wer seine Dokumentation so aufstellt, verwandelt die NIS-2-Nachweispflicht von einer wiederkehrenden Belastung in einen Nebeneffekt der täglichen Ordnung.
Genau hier setzt Linea Aurea Documenta an: als dateibasiertes Referenzdatenmodell mit Vorlagensystem, das diese Struktur vorgibt — ohne neue Software und ohne die fachlichen Inhalte vorzuschreiben.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ob und in welcher Kategorie Ihre Organisation von NIS-2 betroffen ist und welche Pflichten konkret gelten, sollten Sie fachlich bzw. juristisch prüfen lassen.