NIS2-Prüfsituationen: Welche Arbeitsstände wirklich zählen
NIS2 beschreibt Pflichten, Maßnahmen und Verantwortlichkeiten — aber keine einheitliche Dokumentenform für jedes Unternehmen. Im Prüfmoment zählt, ob das Unternehmen erklären kann, welche Entscheidungen getroffen wurden, welche Maßnahmen gelten, welche Ausnahmen offen sind und wann erneut geprüft wird.
NIS2 wird konkret, wenn jemand fragt: Kunde, Geschäftsführung, Aufsicht oder Incident Team. Dann zählt, ob Entscheidungen, Maßnahmen, Ausnahmen, Owner, Fristen und Wiedervorlagen nachvollziehbar geführt wurden.
Viele Unternehmen fragen als erstes: Welche Richtlinien brauchen wir? Welche Dokumente? Das ist verständlich, aber selten der klarste Weg. Besser ist die umgekehrte Frage: Wer wird wann fragen — und was muss dann erklärbar sein?
Das Gesetz beschreibt Pflichten und Verantwortlichkeiten. Die konkrete Nachweisführung muss zum Unternehmen, zu seinen Risiken und zu seinen Prozessen passen. Ein Auditor, ein Kunde oder ein Incident Team fragt nicht nach dem richtigen Dokumentenformat. Er fragt nach dem Arbeitsstand: Was wurde entschieden? Wer war Owner? Welche Maßnahme gilt? Was bleibt offen? Wann wird erneut geprüft?
Prüfprinzip
Jeder dieser Vorgänge erzeugt sicherheitsrelevante Entscheidungen — ob dokumentiert oder nicht. Wer sie im Prozess führt, hat sie später erklärbar.
Arbeitsmodell
Vom Prüfimpuls zum Arbeitsstand
Wenn ein Kunde, ein Vorfall oder die Geschäftsführung fragt, wird sichtbar, welche Vorgänge im Betrieb geführt werden müssen. Prozess und Arbeitsstand sind der Ort, wo Entscheidungen, Ausnahmen und Wiedervorlagen entstehen — oder fehlen.
01
Regime
§30 · §32 · §38 BSIG
›
02
Prüfsituation
Kunde · Vorfall · GF
›
03
Prozess
Benutzeranlage · Lieferantenzugriff · Ausnahme
›
04
Arbeitsstand
Entscheidung · Owner · Frist · Wiedervorlage
›
05
Auskunftsfähigkeit
Wer? Warum? Was offen? Wann?
Die drei Prüfsituationen
Welche Situation trifft gerade zu?
Jede Prüfsituation aktiviert andere Arbeitsstände. Der Einstieg folgt der Situation, nicht dem Gesamtregime.
Prüfsituation 01 · Lieferkette
Kundenprüfung vorbereiten
Ein Kunde, Konzern, öffentlicher Auftraggeber oder Einkauf fordert NIS2- oder Cybersecurity-Nachweise.
Typische Prüffragen
Sind Sie NIS2-betroffen?
Welche Sicherheitsmaßnahmen gelten für unsere Leistung?
Unabhängig von der Prüfsituation bestehen Arbeitsstände aus denselben acht Elementen. Wer sie konsequent führt, ist in allen drei Situationen auskunftsfähig.
Entscheidung
Was wurde beschlossen? Wann und auf welcher Grundlage?
Owner
Wer ist verantwortlich und bleibt ansprechbar?
Risiko
Welches Risiko besteht? Kritikalität, Exposition, Betriebswirkung?
Maßnahme
Welche Sicherheitsmaßnahme gilt oder greift als Gegenmaßnahme?
Ausnahme
Welcher Sachverhalt bleibt offen — mit welcher Begründung?
Frist
Bis wann gilt die Ausnahme oder Maßnahme? Konkrete Datumsangabe, kein offenes Ende.
Wiedervorlage
Wann wird der Sachverhalt erneut bewertet, unabhängig von der Frist? Wer eskaliert bei Überfälligkeit?
Nachweisquelle
Wo ist der Nachweis abgelegt? Ticket, Protokoll, Review-Vermerk?
Mapping
Prüfsituation → Prozess → Arbeitsstand
Die drei Prüfsituationen lassen sich auf bekannte Betriebsvorgänge zurückführen. Dort entstehen die Arbeitsstände — nicht erst beim Prüfmoment.
Eine Prüfsituation entsteht, wenn jemand konkret fragt: ein Kunde, die Geschäftsführung, eine Behörde oder das Incident Team. Dann wird sichtbar, ob das Unternehmen Entscheidungen, Maßnahmen, Ausnahmen, Owner, Fristen und Wiedervorlagen nachvollziehbar geführt hat.
Kundenprüfung: Ein Auftraggeber fordert NIS2-Nachweise. Meldebewertung: Ein Vorfall muss nach §32 BSIG bewertet werden. Befassung der Geschäftsführung: Geschäftsführung oder Compliance fragt nach Stand, Ausnahmen und Wiedervorlagen.
Ein Arbeitsstand hält Entscheidung, Owner, Risiko, Maßnahme, Ausnahme, Frist, Wiedervorlage und Nachweisquelle zusammen. Er macht später erklärbar, was entschieden wurde, was offen bleibt und wann erneut geprüft wird.
Nicht zwingend. Die acht Bausteine jedes Arbeitsstands sind situationsübergreifend dieselben. Was sich ändert, ist der Fokus: Bei der Kundenprüfung zählt der Maßnahmenüberblick. Bei der Meldebewertung zählt der Zeitstempel. Bei der Befassung der Geschäftsführung zählen Ausnahmen, Entscheidungen und Wiedervorlagen.
Beginnen Sie mit der Situation, die gerade dringend ist: Kundenprüfung, Meldebewertung oder Befassung der Geschäftsführung. Der NIS2-Arbeitsplatz führt durch die passenden Arbeitsstände.