NIS2 und IT-Dokumentation: Was jetzt wirklich verlangt wird — und wie Sie es zu Ihrem Vorteil nutzen.
Um NIS2 ist viel Alarmstimmung entstanden — Bußgeld-Schlagzeilen, Countdown-Grafiken, Panik-Webinare. Dieser Artikel macht das Gegenteil: Er sortiert nüchtern, ob Sie betroffen sind, was die Richtlinie tatsächlich von Ihrer IT-Dokumentation verlangt — und warum NIS2 für viele IT-Leiter vor allem eines ist: das beste Budget-Argument seit Jahren für die Dokumentation, die sie ohnehin brauchen.
Bin ich überhaupt betroffen?
Mit dem deutschen Umsetzungsgesetz (NIS2UmsuCG) fallen deutlich mehr Organisationen unter die Regulierung als unter die alte NIS-Richtlinie — die gängige Schätzung liegt bei rund 30.000 Unternehmen aus 18 Sektoren, von Energie und Gesundheit über Verkehr bis zu digitalen Diensten und produzierendem Gewerbe. Viele davon wissen es noch nicht.
Ob Ihre Organisation dazugehört, hängt von Sektor und Unternehmensgröße ab — und das sollten Sie nicht schätzen, sondern prüfen: Das BSI stellt dafür eine offizielle NIS-2-Betroffenheitsprüfung bereit, die Sie in wenigen Minuten durchklicken. Das Ergebnis ist Ihre belastbare Arbeitsgrundlage — auch gegenüber der Geschäftsführung.
Was NIS2 konkret mit Ihrer Dokumentation zu tun hat
NIS2 ist im Kern ein Governance-Thema: Die Geschäftsleitung haftet dafür, dass Risikomanagement stattfindet — und Risikomanagement beginnt damit, zu wissen, was man betreibt. Genau hier wird aus der abstrakten Richtlinie eine sehr konkrete Anforderung an Ihre IT-Dokumentation:
Wissen, was Sie betreiben — und wer verantwortlich ist
Risikomanagement ohne vollständiges Bild der eigenen Systeme ist Raten. Sie brauchen ein gepflegtes Inventar Ihrer Assets mit klaren Verantwortlichkeiten (Asset-Ownership): Welche Systeme gibt es, wo laufen sie, wer betreibt sie, welche Geschäftsprozesse hängen daran.
Vorfälle schnell melden können
NIS2 verlangt kurze Meldefristen bei erheblichen Sicherheitsvorfällen. Wer im Ernstfall erst suchen muss, welche Systeme und Prozesse betroffen sind, verliert genau die Stunden, auf die es ankommt. Eine Dokumentation mit Beziehungen — welcher Dienst hängt an welchem Server, welcher Prozess an welchem Dienst — macht die Auswirkungsanalyse zur Abfrage statt zur Detektivarbeit.
Die Lieferkette im Blick haben
Auch das Risiko durch Dienstleister und Zulieferer gehört zum NIS2-Risikomanagement. Dafür müssen Verträge, Dienstleister und deren Zugriffe dokumentiert und den Systemen zugeordnet sein — verstreute Excel-Listen reichen dafür nicht.
Nachweisen können, dass all das gepflegt ist
Eine Dokumentation, die vor zwei Jahren mal stimmte, ist kein Nachweis. Prüfer wollen sehen, dass Inventar und Risikobild aktuell gehalten werden — also brauchen Sie Pflegeprozesse und im Idealfall messbare Datenqualität.
Der Perspektivwechsel: NIS2 als Budget-Argument
Hier ist die ehrliche Wahrheit: Alles, was oben steht, hätte Ihre IT auch ohne NIS2 gebraucht — verlässliches Inventar, klare Verantwortlichkeiten, schnelle Auswirkungsanalyse. Bisher fehlte dafür oft das Budget, weil Dokumentation als „machen wir, wenn Zeit ist" galt.
NIS2 ändert die Verhandlungsposition: Jetzt ist es keine IT-Fleißaufgabe mehr, sondern eine Governance-Pflicht mit Haftung auf Leitungsebene. Wenn Sie als IT-Leiter seit Jahren für eine saubere CMDB argumentieren — das hier ist der Moment, in dem die Geschäftsführung zuhört. Nutzen Sie ihn nicht für Panik, sondern für einen Plan: Ist-Stand erheben, Lücken benennen, Aufwand beziffern.
Häufige Fragen
Reicht unsere bestehende Dokumentation für NIS2?
Das lässt sich messen statt schätzen: Ist das Inventar vollständig, sind Verantwortliche zugeordnet, sind die Beziehungen zwischen Systemen und Prozessen abgebildet, wird gepflegt? Genau diese Fragen beantwortet ein i-doit Health-Check — mit Prüfbericht als Arbeitsgrundlage.
Wir fangen fast bei null an — wo zuerst?
Beim Inventar der kritischen Systeme und ihrer Verantwortlichen — nicht bei der perfekten Vollerfassung. Von dort wachsen Beziehungen und Prozesse dazu. Wenn Sie das strukturiert mit Begleitung aufbauen wollen: Dafür gibt es die Komplett-Strategie.
Ist i-doit ein „NIS2-Tool"?
Es gibt keine Software, die NIS2 „erledigt" — die Pflichten betreffen Prozesse und Verantwortung. Aber eine CMDB wie i-doit ist das Fundament, auf dem die dokumentationsbezogenen Pflichten praktisch erfüllbar werden: Inventar, Ownership, Beziehungen, Nachweise.
Reicht Ihre Dokumentation für NIS2?
Im kostenfreien Erstgespräch schauen wir in 45 Minuten auf Ihren Stand. Sie wissen danach, wo Ihre Dokumentation steht und was der nächste sinnvolle Schritt ist.