NIS2-Nachweis: Es gibt keine Zertifikatspflicht — aber ein Nachweisrecht, und der Unterschied entscheidet, was Sie kaufen

Der Markt verkauft gerade NIS2-Zertifikate. Das Gesetz kennt keines. Was das BSIG stattdessen vorsieht, ist leiser und schwerer: ein Nachweisrecht des BSI — die Möglichkeit, Audits anzuordnen, Prüfer ins Haus zu schicken und Verstöße öffentlich bekannt machen zu lassen. Wer die beiden Dinge verwechselt, kauft entweder Papiere, die niemand verlangt — oder verpasst die Vorbereitung auf eine Prüfung, die niemand ankündigen muss.

Dieser Beitrag geht die Nachweisarchitektur so durch, wie das Gesetz sie gebaut hat: die drei Wege, auf denen das BSI Nachweise verlangen kann — die Einzelanordnung nach Paragraf 61 Absatz 1, die flächendeckende Nachweisforderung des Absatzes 3 und der KRITIS-Takt des Paragraf 39 — die Sonderregel für wichtige Einrichtungen in Paragraf 62, wie eine Vor-Ort-Überprüfung tatsächlich abläuft, die Eskalationsleiter bis zur öffentlichen Bekanntmachung und die Bußgeldtabelle des Paragraf 65 für die Prüfungswelt. Für jede besonders wichtige und wichtige Einrichtung nach Paragraf 28 BSIG ist das die Frage, die vor dem Brief geklärt sein will.

Die drei Nachweiswege — und der vierte für wichtige Einrichtungen

Der erste Weg ist der schärfste, weil er keine Wartefrist kennt: Nach Paragraf 61 Absatz 1 BSIG kann das BSI einzelnen besonders wichtigen Einrichtungen anordnen, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen durchführen zu lassen — zu den Maßnahmenpflichten des Paragraf 30 Absatz 1, zur Meldepflicht des Paragraf 32 und sogar zum Schulungsnachweis der Geschäftsleitung nach Paragraf 38 Absatz 3. Diese Befugnis besteht seit Inkrafttreten des Gesetzes am 6. Dezember 2025. Niemand muss drei Jahre auf sie warten.

Der zweite Weg ist der flächendeckende: Nach Paragraf 61 Absatz 3 kann das BSI auch gegenüber weiteren besonders wichtigen Einrichtungen die Vorlage von Nachweisen über die Erfüllung einzelner oder aller genannten Pflichten anordnen — frühestens drei Jahre nach Inkrafttreten, also ab Dezember 2028, bei zugelassenen Krankenhäusern nach Paragraf 108 SGB V fünf Jahre. Was dann verlangt werden kann, ist kein Formular, sondern ein Dossier: die Ergebnisse durchgeführter Audits, Prüfungen oder Zertifizierungen einschließlich der aufgedeckten Sicherheitsmängel, die zugrunde liegende Dokumentation und bei Mängeln ein Beseitigungsplan samt Nachweis der Beseitigung. Nach welchen Kriterien ausgewählt wird, steht in Paragraf 61 Absatz 4: Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.

Der dritte Weg ist der feste Takt des Paragraf 39 für Betreiber kritischer Anlagen: Nachweis durch Sicherheitsaudits, Prüfungen oder Zertifizierungen spätestens drei Jahre nach erstmaliger oder erneuter Betreibereigenschaft, danach alle drei Jahre — Ergebnisse samt Mängeln gehen ans BSI, das die zugrunde liegende Dokumentation und einen Mängelbeseitigungsplan verlangen kann. Altbetreiber unter dem früheren Paragraf 8a tragen Übergangsfristen, und Anlagen, die über Paragraf 5 Absatz 7 des KRITIS-Dachgesetzes bestimmt wurden, sind ausgenommen.

Wie die Überprüfung vor Ort abläuft

Paragraf 61 Absatz 5 beschreibt die Mechanik ohne viel Fantasie: Das BSI kann bei besonders wichtigen Einrichtungen die Einhaltung der Anforderungen überprüfen und sich dabei eines qualifizierten unabhängigen Dritten bedienen. Die Einrichtung hat dem BSI und den in seinem Auftrag Handelnden das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten zu gestatten, die in Betracht kommenden Aufzeichnungen, Schriftstücke und Unterlagen vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren. Wer das verweigert, hat keine Verhandlungsposition — sondern eine eigene Ordnungswidrigkeit. Paragraf 65 Absatz 2 Nummer 17 stellt das verweigerte Betreten, die vorenthaltene Unterlage und die verweigerte Auskunft unter einen Rahmen von bis zu 100.000 Euro.

Ein Detail verdient das wörtliche Zitat, weil es die Kalibrierung des Gesetzes zeigt: Gebühren und Auslagen für die Überprüfung erhebt das BSI nur, sofern es aufgrund von Anhaltspunkten tätig wurde, die berechtigte Zweifel an der Einhaltung der Anforderungen nach Paragraf 30 Absatz 1 begründeten — Paragraf 61 Absatz 5 Satz 4. Die Routineprüfung ist gebührenfrei; die Verdachtsprüfung wird Ihnen in Rechnung gestellt. Die Anreizstruktur ist absichtsvoll: Wer Verdacht erregt, bezahlt die Prüfung des Verdachts.

Die Eskalationsleiter nach der Prüfung

Was auf einen Befund folgt, ist gestuft. Nach Paragraf 61 Absatz 6 kann das BSI die zur Verhütung oder Behebung eines Sicherheitsvorfalls oder Mangels erforderlichen Maßnahmen anordnen — samt Mängelbeseitigungsplan, Nachweis der Beseitigung und Berichterstattung innerhalb einer Frist; bei Gefahr im Verzug sogar ohne Benehmen mit der Fachaufsicht. Nach Absatz 7 kann es Anordnungen zur Umsetzung der Pflichten erlassen — einschließlich der Anordnung, konkrete Empfehlungen aus einer Sicherheitsprüfung umzusetzen. Die Empfehlung des Prüfers wird damit im Einzelfall verbindliches Recht.

Absatz 8 ist der Reputationsschritt: Das BSI kann anordnen, dass die Einrichtung die Personen unterrichtet, für die sie Dienste erbringt und die von einer erheblichen Cyberbedrohung potenziell betroffen sind — und es kann anordnen, Informationen zu Verstößen gegen die Pflichten öffentlich bekannt zu machen. Die Einrichtung veröffentlicht ihre eigenen Mängel auf Anordnung. Dahinter sitzt die Stufe, die wir vorgestern durchgegangen sind: Nach Paragraf 61 Absatz 9 kann die zuständige Aufsichtsbehörde bei anhaltender Nichtbefolgung Genehmigungen aussetzen und unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen. Und Absatz 11 schließt einen Kreis, den man kennen sollte: Stellt das BSI bei der Aufsicht einen Verstoß fest, der eine meldepflichtige Verletzung des Schutzes personenbezogener Daten sein kann, unterrichtet es unverzüglich die Datenschutzaufsicht — die eine Aufsicht speist die andere.

Zählt das ISO-27001-Zertifikat? — die ehrliche Antwort

Das Gesetz nennt keine Norm, kein Schema und kein Zertifikat. Seine Instrumente sind Audits, Prüfungen und Zertifizierungen durch unabhängige Stellen — ein Zertifikat ist eine zulässige Nachweisform, nicht die einzige und nicht die vorgeschriebene. Was als geeignet gilt, legt das BSI nach Paragraf 61 Absatz 2 durch öffentliche Mitteilung fest; solange solche Festlegungen keine Schemas benennen, entscheidet der Einzelfall.

Die praktische Lesart ist zwiefach. Ein ISO-27001-Zertifikat ist ein brauchbares Vehikel: Es belegt ein auditiertes Managementsystem, und Prüfer können es lesen. Aber es ist kein gesetzlicher Freischein — es attestiert das System innerhalb seines Scopes, nicht die vollständige Umsetzung aller Maßnahmen des Paragraf 30, und die Prüfung, die Paragraf 61 anordnet, geht dorthin, wo die Anordnung hinzeigt, nicht dorthin, wo das Zertifikat endet. Umgekehrt gilt: Wer ein „NIS2-Zertifikat“ verkauft, verkauft ein Marketingprodukt — unter diesem Namen gibt es im Gesetz nichts. Die Frage, für die sich Geld ausgeben lohnt, ist nicht „welches Zertifikat“, sondern „welchen Nachweis kann ich morgen vorlegen“.

Was der Ungehorsam kostet — die Bußgeldtabelle der Prüfungswelt

Der Katalog bepreist die Prüfungsverstöße in drei Stufen — und das Muster zählt: Die Anordnung selbst ist der billige Verstoß; was sie aufdeckt, läuft im Spitzenrahmen.

Zwei leise Zeilen verdienen Aufmerksamkeit. Die erste ist Paragraf 65 Absatz 2 Nummer 3: Wer die Einhaltung der Paragraf-30-Pflichten nicht, nicht richtig oder nicht vollständig dokumentiert, steht im selben Spitzenrahmen wie der, der die Maßnahme nicht umsetzt — die fehlende Akte wird wie die fehlende Maßnahme bepreist. Die zweite ist strukturell: Paragraf 65 Absatz 9 hält die Buße bei der Einrichtung, indem er die Umlenkung auf das handelnde Organ ausschließt, und Absatz 10 nennt das BSI selbst als Verwaltungsbehörde. Das Amt, das Sie prüft, ist das Amt, das Sie büßt.

Nachweisfähigkeit statt Zertifikatssammlung

Die Managementfrage lautet nicht „welches Zertifikat kaufen wir“, sondern „was können wir morgen vorlegen“ — denn Paragraf 61 Absatz 5 denkt genau das: den Prüfer, der während der üblichen Betriebszeit nach den Unterlagen fragt. Fünf Positionen entscheiden, ob dieser Besuch ein Verfahren ist oder eine Krise:

Eine Verbindung zu gestern verdient Nachdruck: Die Meldung nach Paragraf 32 ist zugleich der häufigste Auslöser der Verdachtsprüfung nach Paragraf 62. Wer einen Vorfall meldet, übergibt dem BSI die Tatsachenbasis, die das Gesetz für die Verdachtsannahme braucht. Das ist kein Argument gegen die Meldung — die ausbleibende ist selbst eine Ordnungswidrigkeit —, aber das stärkste Argument für Nachweisfähigkeit: Nach dem Vorfall liest jemand, was Sie gebaut haben.

Der ehrliche Rest: Was das Gesetz nicht verspricht

Drei Einschränkungen halten das Bild gerade. Erstens keine Prüfungsgarantie: Wer nie ausgewählt wird, bleibt trotzdem in der vollen Paragraf-30-Pflicht — das Nachweisrecht ist ein Instrument, nicht die Pflicht selbst. Zweitens schützt kein Zertifikat vor dem Vorfall — und der Vorfall aktiviert die Meldepflicht, die die Verdachtsakte füllt, die die Prüfung auslösen kann. Drittens sind die niedrigeren Bußgeldrahmen der Prüfungsverstöße kein Rabatt auf Compliance — sie bepreisen den Ungehorsam gegenüber Anordnungen, während das Verhalten, auf das die Anordnungen zielen, im Spitzenrahmen läuft.

Wer nur einen Satz aus diesem Beitrag mitnimmt: Es gibt nichts zu kaufen, das NIS2-Konformität heißt. Es gibt etwas zu bauen: die Fähigkeit, auf Verlangen nachzuweisen, dass die Paragraf-30-Maßnahmen nicht auf dem Papier leben. Die Prüfung kündigt sich nicht als Frist an — sie kommt als Brief, und was sie findet, ist der Stand von heute.

Häufige Fragen zum NIS2-Nachweis