90 Tage klingen nach viel Zeit, bis das erste Audit ansteht. In der Praxis reicht diese Zeit knapp, wenn die ersten 30 Tage mit dem Sammeln von Informationen verstreichen, statt mit priorisiertem Handeln zu beginnen. Wer NIS-2-Audit-Vorbereitung als Projekt mit drei klaren Phasen führt, kommt spürbar ruhiger in die Prüfung.

Dieser Artikel gliedert die Vorbereitung in drei 30-Tage-Blöcke: Bestandsaufnahme, Umsetzung der kritischen Lücken, Nachweisführung. Jede Phase hat ein klares Ziel und eine überprüfbare Checkliste.

Executive Summary

Betroffen NIS-2-pflichtige Unternehmen vor dem ersten Audit oder der ersten Selbstauskunft
Priorität Hoch
Aufwand Hoch in den ersten 30 Tagen, danach abnehmend
Erster Schritt Geltungsbereich und aktuellen Umsetzungsstand in einer Woche dokumentieren

1. Ausgangslage: 90 Tage sind ein Projekt, kein Sprint

Der häufigste Fehler bei der Audit-Vorbereitung ist, alle Themen gleichzeitig anzugehen. Am Ende der 90 Tage ist dann vieles begonnen, aber wenig abgeschlossen. Eine feste Phaseneinteilung mit klaren Zwischenzielen verhindert das.

Tag 1–30 Bestandsaufnahme Geltungsbereich klären Ist-Stand dokumentieren Lücken priorisieren Tag 31–60 Kritische Lücken Meldeprozess einüben Verantwortlichkeiten klären Nachweise anlegen Tag 61–90 Nachweisführung Dokumentation prüfen Interne Probe-Prüfung Audit-Termin vorbereiten
Abb. 1 – Die drei 30-Tage-Phasen der NIS-2-Audit-Vorbereitung.

2. Wer ist betroffen?

  • Unternehmen, die erstmals als wesentliche oder wichtige Einrichtung eingestuft wurden
  • IT-Sicherheitsbeauftragte, die die Vorbereitung operativ verantworten
  • Geschäftsführung, die den Umsetzungsstand freigeben und Ressourcen bereitstellen muss

3. Wie hoch ist die Priorität?

Hoch, mit klarem Zeitfenster. Anders als bei akuten Meldepflichten gibt es hier keine gesetzliche Stundenfrist, aber ein Audit-Termin, der selten verschiebbar ist. Wer die ersten 30 Tage ungenutzt verstreichen lässt, verkürzt die verbleibende Zeit auf zwei Phasen statt drei.

4. Warum ist das wichtig?

Ein strukturierter 90-Tage-Plan verhindert das typische Muster kurz vor dem Audit: hektisches Zusammensuchen von Nachweisen, widersprüchliche Aussagen zwischen IT und Geschäftsführung, und Lücken, die erst im Prüfungsgespräch auffallen. Auditoren bewerten nicht nur den Ist-Zustand, sondern auch, wie strukturiert ein Unternehmen mit seinen eigenen Lücken umgeht.

5. Was muss konkret getan werden?

Tag 1 bis 30, Bestandsaufnahme

  • ✓ Geltungsbereich klären: welche Systeme und Prozesse fallen unter NIS-2
  • ✓ Ist-Stand der Risikomanagementmaßnahmen aus Artikel 21 dokumentieren
  • ✓ Lücken nach Priorität ordnen, nicht nach Aufwand

Tag 31 bis 60, kritische Lücken schließen

  • ✓ Meldeprozess für Sicherheitsvorfälle einmal komplett durchspielen
  • ✓ Verantwortlichkeiten für jede Kontrolle einer konkreten Person zuordnen
  • ✓ Erste Nachweise strukturiert ablegen, statt verstreut in E-Mails und Ordnern

BAM Core

NIS-2-Anforderungen als strukturiertes Datenmodell

Alle Kontrollen, Nachweise und Verantwortlichkeiten an einem Ort statt verteilt über Ordner und E-Mails.

Executable Compliance ansehen →

Tag 61 bis 90, Nachweisführung

  • ✓ Vollständigkeit aller Nachweise gegen die Kontrolle-Liste prüfen
  • ✓ Interne Probe-Prüfung mit kritischen Fragen wie im echten Audit durchführen
  • ✓ Ansprechpartner für den Audit-Termin festlegen und vorbereiten

6. Welche Dokumente werden benötigt?

  • Geltungsbereichsdokument mit Begründung der NIS-2-Einstufung
  • Risikomanagementkonzept nach Art. 21
  • Protokoll der internen Probe-Prüfung
  • Nachweisliste mit Verantwortlichkeiten je Kontrolle

7. BAM-Mapping

FrameworkKapitelKontrolleDokumentVerantwortlichPriorität
NIS-2Art. 21RisikomanagementmaßnahmenRisikomanagementkonzeptInformationssicherheitsbeauftragterhoch
NIS-2Art. 20GeltungsbereichsprüfungGeltungsbereichsdokumentGeschäftsführunghoch
ISO 27001Klausel 9.2Internes AuditProbe-PrüfungsprotokollIT-Leitermittel

Verknüpfte Frameworks: NIS-2 · ISO 27001

8. Unsere Empfehlung

Unsere Empfehlung

  • Die 90 Tage in drei feste Phasen mit je einem Zwischenziel einteilen
  • Priorität vor Vollständigkeit: kritische Lücken zuerst schließen
  • Eine interne Probe-Prüfung fest im Kalender einplanen, nicht als optionalen Schritt
  • Verantwortlichkeiten für jede Kontrolle namentlich statt nur nach Rolle dokumentieren

Quellen

  • Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2), Art. 20 und Art. 21
  • ISO/IEC 27001:2022, Klausel 9.2 (Internal Audit)
  • BSI, Umsetzungshinweise zur NIS-2-Richtlinie für Betreiber wesentlicher und wichtiger Einrichtungen