NIS2-Aufsichtsaudits: Welche Nachweise Behörden wirklich anfordern

Am 6. März 2026 hat das deutsche BSI seine aktive Aufsichtsphase begonnen. Seit diesem Datum kann es Nachweise über Ihre Sicherheitsmaßnahmen verlangen, ohne auf einen Vorfall zu warten. Kein Sicherheitsvorfall, keine Beschwerde — nur ein Schreiben mit der Aufforderung, Ihre NIS2-Compliance-Position innerhalb einer gesetzten Frist zu belegen.

Ein NIS2-Aufsichtsaudit ist kein theoretisches Risiko mehr. In 14 Mitgliedstaaten laufen inzwischen Auditprogramme, und die ersten Durchsetzungsmaßnahmen wurden aus Belgien, Italien und Ungarn gemeldet. Für IT-Berater, MSPs und vCISOs hat sich die Frage verändert: von "Fällt mein Kunde in den Anwendungsbereich?" zu "Kann mein Kunde auf Anfrage Nachweise vorlegen?"

Dieser Beitrag behandelt, was Behörden tatsächlich anfordern, was passiert, wenn die Nachweise nicht ausreichen, und wie Sie ein belastbares Nachweisdossier aufbauen, bevor das Schreiben eintrifft.

Die Durchsetzung hat sich von der Registrierung zum Nachweis verlagert

2025 war das Jahr der Registrierungsfristen. 2026 ist das Jahr der Überprüfung.

Das BSI kann nun proaktiv Dokumentation der Sicherheitsmaßnahmen von registrierten Einrichtungen anfordern — Berichten zufolge sind bereits Dutzende formelle Bescheide verschickt worden. Die französische ANSSI hat Abhilfeanordnungen unter ihrem NIS2-Rahmen erlassen. Die belgische CCB öffnete im April 2026 ihr Auditfenster für wesentliche Einrichtungen, gekoppelt an das CyFun-Konformitätsschema, das wir in unserem Leitfaden zur belgischen Auditfrist behandelt haben.

Das Muster ist in allen Mitgliedstaaten konsistent. Wesentliche Einrichtungen unterliegen der Ex-ante-Aufsicht: Behörden dürfen jederzeit prüfen, ohne Verdacht. Wichtige Einrichtungen unterliegen der Ex-post-Aufsicht: Audits nach Vorfällen, Beschwerden oder Hinweisen auf Non-Compliance. In beiden Fällen kommt die Anfrage als Forderung nach Dokumenten, nicht als Betriebsbesuch.

Erste Geldbußen wurden aus Belgien (185.000 €), Italien (450.000 €) und Ungarn (78.000 €) gemeldet. Ob jeder gemeldete Fall einer Berufung standhält, ist weniger wichtig als die Richtung: Die Behörden haben die Phase der Sensibilisierungskampagnen hinter sich gelassen.

NIS2 Umsetzungsstatus nach Land (2025–2026)
✅
Vollständig in Kraft
🇧🇪Belgien
🇭🇷Kroatien
🇭🇺Ungarn
🇱🇹Litauen
🇱🇻Lettland
🇮🇹Italien
6 Länder
📋
Verabschiedet — Ende 2025
🇩🇪Deutschland
🇨🇿Tschechien
🇫🇮Finnland
3 Länder
⏳
In Bearbeitung — erwartet 2026
🇳🇱Niederlande
🇫🇷Frankreich
🇪🇸Spanien
🇵🇱Polen
🇦🇹Österreich
🇸🇪Schweden
🇮🇪Irland
7 Länder

Das Nachweisdossier folgt direkt aus Artikel 21

Behörden fragen nicht "Sind Sie sicher?" Sie verlangen den Beleg, dass jede der zehn Maßnahmen aus Artikel 21(2) existiert, umgesetzt ist und überprüft wird.

In der Praxis bündeln sich Nachweisanfragen um fünf Dokumenttypen pro Maßnahme.

Richtlinien. Ein datiertes, von der Leitung genehmigtes Dokument pro Maßnahme. Eine Risikoanalyse-Richtlinie ohne Unterschrift der Geschäftsleitung scheitert an Artikel 20 — die Leitungsorgane müssen die Maßnahmen billigen, und Prüfer kontrollieren genau das.

Risikobewertungen. Die aktuelle Bewertung plus mindestens eine Vorversion. Prüfer suchen nach Iteration. Eine einzelne Risikobewertung von November 2024, die nie aktualisiert wurde, signalisiert eine Papierübung.

Umsetzungsnachweise. Screenshots, Konfigurationen, Verträge. MFA-Durchsetzungsberichte aus Ihrem Identity Provider. Protokolle von Backup-Wiederherstellungstests. Sicherheitsklauseln in laufenden Lieferantenverträgen — siehe unseren Leitfaden zu Lieferantenverträgen für die nötigen Inhalte.

Wirksamkeitsprüfungen. Artikel 21(2)(f) verpflichtet Sie zu bewerten, ob Ihre Maßnahmen wirken. Interne Auditberichte, Pentest-Ergebnisse, Berichte über Tabletop-Übungen mit datierten Feststellungen und Folgemaßnahmen. Diesen Auditzyklus haben wir in einem eigenen Beitrag zerlegt.

Schulungsnachweise. Teilnehmerlisten und Termine von Cyberhygiene-Schulungen — einschließlich der Geschäftsleitung. Artikel 20(2) macht Leitungsschulungen verpflichtend, und das ist eine der am leichtesten zu findenden Lücken für einen Prüfer.

Ein konkretes Beispiel: In Belgiens CyFun-basierten Audits müssen Einrichtungen Nachweise pro Kontrolle vorlegen, nicht pro Thema. "Wir haben Backups" ist keine Antwort. Ein datierter Wiederherstellungstestbericht aus dem letzten Quartal schon.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
🛡️
Artikel 21
10 Cybersicherheitsmaßnahmen
📊
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
🚨
Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
🔗
Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
🔐
Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
👥
Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Nationale Behörden stellen dieselbe Frage in unterschiedlichen Formaten

Die Richtlinie ist europäisch; der Papierkram ist national. Drei Beispiele zeigen die Bandbreite.

Deutschland erwartet strukturierte Maßnahmennachweise. Das Aufsichtsmodell des BSI baut auf der etablierten KRITIS-Praxis formeller Nachweiseinreichungen auf, und registrierte Einrichtungen sollten mit Anfragen rechnen, die auf konkrete Maßnahmenkategorien verweisen — siehe unseren Leitfaden zur Durchsetzung in Deutschland für den Zeitplan.

Belgien betreibt das am stärksten formalisierte Schema der EU. CyFun-Bewertungen arbeiten Kontrolle für Kontrolle, mit Sicherheitsniveaus, die an die Einstufung der Einrichtung gekoppelt sind. Nachweise werden bewertet, nicht nur gesammelt.

Italiens ACN staffelt Pflichten nach Kategorie und Frist. Welche Nachweise von einem Kunden erwartet werden, hängt also davon ab, wann die Uhr seiner Kategorie gestartet ist — diese Termine haben wir in unserem Beitrag zur italienischen Kategorisierung kartiert.

Für Berater mit Kunden in mehreren Mitgliedstaaten lautet die praktische Antwort: Bauen Sie das Nachweisdossier einmal auf, entlang Artikel 21, und formatieren Sie es auf Anfrage je nationalem Schema. Die zugrunde liegenden Artefakte — unterschriebene Richtlinien, Testberichte, Schulungsnachweise — sind überall dieselben.

Was passiert, wenn Ihre Nachweise nicht ausreichen

Eine gescheiterte Nachweisanfrage führt selten direkt zu einer Geldbuße. Sie startet eine Sequenz — und jeder Schritt erhöht die Kosten.

Zuerst kommt eine verbindliche Anweisung oder Abhilfeanordnung mit Frist, typischerweise ein bis drei Monate. Verpassen Sie diese, kann die Behörde ein Sicherheitsaudit auf Ihre Kosten anordnen, durchgeführt von einer qualifizierten externen Stelle. Weiterhin non-compliant? Dann kommen Geldbußen ins Spiel: bis zu 10 Millionen € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen, 7 Millionen € oder 1,4 % für wichtige Einrichtungen.

Für wesentliche Einrichtungen schmerzen zwei Sanktionen mehr als jede Geldbuße. Behörden können Zertifizierungen oder Genehmigungen aussetzen, die für den Betrieb nötig sind. Und sie können einzelnen Führungskräften vorübergehend untersagen, Leitungsfunktionen auszuüben, bis die Compliance wiederhergestellt ist. Warum diese Sanktionen härter treffen als Geldbußen, haben wir bereits beschrieben — ein Tätigkeitsverbot für den CEO ist kein Budgetposten.

Es gibt auch einen Lieferketteneffekt. Eine Einrichtung unter Abhilfeanordnung wird zum dokumentierten Lieferkettenrisiko für jeden Kunden, der Lieferantensicherheit nach Artikel 21(2)(d) bewerten muss. Verlieren Sie Ihr Nachweisdossier, können Sie Verträge verlieren, bevor eine Behörde auch nur einen Cent eintreibt.

NIS2-Sanktionseskalation — Jenseits der Geldbuße
!
Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen
▼
Nicht-finanzielle Sanktionen
1
Anordnungen mit bindenden Fristen
2
Verpflichtende Sicherheitsaudits auf eigene Kosten
3
Öffentliche Bekanntmachung von Verstößen
4
Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu
▼
Betriebliche und persönliche Konsequenzen
1
Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2
Vorübergehendes Verbot von Leitungsfunktionen für Personen
3
Öffentliche Benennung verantwortlicher natürlicher Personen
Auslöser
Nicht-finanziell
Betrieblich / persönlich

Wie MSPs und Berater ihre Kunden jetzt vorbereiten

Achtzehn Monate Nachweise lassen sich nicht in den drei Wochen nach Eingang eines Schreibens aufbauen. Aber Sie können einen Kunden in einem Quartal auditbereit machen, wenn Sie in der richtigen Reihenfolge arbeiten.

Woche 1–2: Bestandsaufnahme. Sammeln Sie jede Richtlinie, Bewertung und jeden Bericht des Kunden. Ordnen Sie jedes Dokument einer Maßnahme aus Artikel 21(2) zu. Die Lücken, die Sie finden, sind Ihre Arbeitsliste — führen Sie eine strukturierte Gap-Analyse durch, falls der Kunde noch nie eine gemacht hat.

Woche 3–8: Dokumentationslücken schließen. Lassen Sie undatierte Richtlinien von der Geschäftsleitung genehmigen und unterschreiben. Planen Sie die fehlenden Aktivitäten, die Nachweise erzeugen: einen Wiederherstellungstest, eine Tabletop-Übung, eine Managementschulung. Jede Aktivität liefert ein datiertes Artefakt.

Woche 9–12: das Dossier selbst aufbauen. Eine Ordnerstruktur, ein Index, ein Verantwortlicher. Pro Maßnahme: Richtlinie, aktuelle Bewertung, Umsetzungsnachweis, letzte Wirksamkeitsprüfung. Wenn das Behördenschreiben an einem Dienstag eintrifft, sollte die Antwort ein Export sein, kein Projekt.

Für MSPs steckt hier ein kommerzieller Hebel. Auditbereitschaft ist eine wiederkehrende Dienstleistung — Nachweise veralten, Prüfungen wiederholen sich, Schulungen kehren jährlich zurück. Die MSPs, die 2026 NIS2-Geschäft gewinnen, verkaufen keine Firewalls. Sie verkaufen das Nachweisdossier und den Prozess, der es aktuell hält.

Unsicher, wo ein Kunde heute steht? Starten Sie einen kostenlosen NIS2 Quick Scan — er dauert Minuten und zeigt, welche Artikel-21-Maßnahmen zuerst Nachweise brauchen.

Das Auditschreiben ist eine Frist, die Sie schlagen können

Aufsichtsaudits belohnen Vorbereitung und bestrafen Improvisation. Das Drehbuch der Behörden ist öffentlich: Artikel 21 listet die Maßnahmen, Artikel 20 regelt die Verantwortung, und die nationalen Behörden haben gezeigt, welche Nachweise sie erwarten.

Behandeln Sie das Nachweisdossier als das Arbeitsergebnis. Ein Kunde mit unterschriebenen Richtlinien, datierten Testberichten und aktuellen Schulungsnachweisen hat von einem BSI-Bescheid oder einem CCB-Auditfenster wenig zu befürchten. Ein Kunde mit guten Absichten und ohne Papierlage ist ein Schreiben von einer Abhilfeanordnung entfernt.

Das Schreiben kommt irgendwann. Was es vorfindet, entscheiden Sie.