NIS2-Audit: Schritt-für-Schritt-Anleitung zur Vorbereitung [2026]

Ob BSI-Prüfung, Lieferanten-Audit oder interne Revision: Wer als wesentliche oder wichtige Einrichtung unter die NIS2-Richtlinie fällt, muss nachweisen können, dass seine Cybersicherheit den gesetzlichen Mindestanforderungen genügt. Doch was wird bei einem NIS2-Audit tatsächlich geprüft? Welche Dokumente müssen vorliegen? Und wie bereitet man sich Schritt für Schritt vor, ohne in teure Beraterverträge zu geraten?

Dieser Leitfaden führt durch alle acht Phasen der NIS2-Audit-Vorbereitung. Wir zeigen zuerst, was Aufsichtsbehörden konkret prüfen – damit Sie den Fokus von Anfang an richtig setzen – und dann den empfohlenen Zeitplan als visuelle Übersicht, bevor wir jeden Schritt im Detail durchgehen.

Was ist ein NIS2-Audit?

Der Begriff ist nicht einheitlich definiert. In der Praxis begegnet er in drei Varianten:

• Behördliche Prüfung: Eine Aufsichtsbehörde (BSI, ANSSI, RDI, CCN2 …) prüft eine konkrete Einrichtung – entweder stichprobenartig oder anlassbezogen nach einem Sicherheitsvorfall. Für wesentliche Einrichtungen ist diese Prüfung proaktiv möglich; für wichtige Einrichtungen in der Regel nur reaktiv.
• Internes Audit: Die Einrichtung prüft sich selbst – als Generalprobe, als Jahresritual oder als Nachweis für den Vorstand, dass Sicherheitsmaßnahmen tatsächlich implementiert sind.
• Lieferanten-Audit: Ein Auftraggeber prüft seinen Dienstleister auf NIS2-Konformität, weil er selbst Lieferkettenpflichten nach Art. 21 Abs. 2 lit. d NIS2 nachkommen muss.

Alle drei Varianten haben denselben Kern: Dokumentation. Wer keine Nachweise vorlegen kann, gilt als nicht-compliant – egal wie gut die tatsächliche Sicherheitslage ist.

Was Aufsichtsbehörden bei NIS2-Prüfungen tatsächlich kontrollieren

Basierend auf ersten Prüfpraxis-Hinweisen des BSI und vergleichbaren Erkenntnissen aus Belgien (CCN2) und den Niederlanden (RDI) lassen sich die Schwerpunkte wie folgt einordnen:

• Dokumentation vor Technik: Behörden prüfen zunächst Dokumente – Richtlinien, Prozessbeschreibungen, Risikoregister, Schulungsnachweise. Technische Tests (Penetrationstests, Vulnerability Scans) kommen erst in vertieften Prüfungen.
• Konsistenz: Gibt es Widersprüche zwischen dem, was die Richtlinie vorschreibt, und dem, was tatsächlich getan wird? Passwortrichtlinie vorhanden, aber keine MFA?
• Aktualität: Sind Dokumente nicht älter als 12–24 Monate? Enthält das Risikoregister aktuelle Einträge?
• Management-Einbindung: Liegt ein unterschriebener Beschluss der Geschäftsleitung vor? Wurde das Management tatsächlich geschult?
• Vorfallsdokumentation: Wurden vergangene Vorfälle – auch unterhalb der Meldeschwelle – intern dokumentiert und ausgewertet?

Die Goldene Regel lautet: Dokumentiere, was du tust. Tue, was du dokumentierst. Einrichtungen, die beides erfüllen, bestehen Audits in der Regel problemlos – selbst wenn die technische Sicherheitsreife noch nicht perfekt ist.

Ihr Zeitplan auf einen Blick – 6 Monate zur Audit-Bereitschaft

Wer diesen Fahrplan konsequent abarbeitet, ist nach 24 Wochen dokumentations-compliant und audit-ready. Jede Phase baut auf der vorherigen auf.

Schritt 1: Einstufung verifizieren und dokumentieren

Bevor ein NIS2-Audit beginnen kann, muss die eigene Einordnung zweifelsfrei feststehen. Die NIS2-Richtlinie unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities). Diese Unterscheidung ist zentral: Sie bestimmt, welche Bußgeldrahmen gelten, ob proaktive Audits drohen und wie streng die Nachweispflichten sind.

Faustregel für die Einstufung:

• Wesentlich: mehr als 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz UND Tätigkeit in einem der sieben Sektoren hoher Kritikalität (Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, Digitale Infrastruktur)
• Wichtig: 50–250 Beschäftigte oder 10–50 Mio. Euro Jahresumsatz in einem der 18 NIS2-Sektoren

Was viele übersehen: Die Einstufung kann sich durch Wachstum, Fusionen oder veränderte Tätigkeiten ändern. Sie muss daher jährlich überprüft und das Ergebnis schriftlich dokumentiert werden – als erster Nachweis im Audit. Den schnellsten Weg zur Erstbewertung bietet der kostenlose NIS2-Check auf dieser Seite.

Schritt 2: Gap-Analyse nach Art. 21 – die zehn Mindestmaßnahmen

Artikel 21 der NIS2-Richtlinie definiert zehn Kategorien von Sicherheitsmaßnahmen, die jede betroffene Einrichtung umsetzen muss. Eine Gap-Analyse vergleicht den Ist-Zustand mit diesen Anforderungen und identifiziert Lücken. Die zehn Bereiche sind:

1. Risikoanalyse und Informationssicherheitskonzept – strukturierte Bewertung aller relevanten Risiken für Netz- und Informationssysteme
2. Bewältigung von Sicherheitsvorfällen – Prozesse zur Erkennung, Reaktion und Meldung von Incidents
3. Aufrechterhaltung des Betriebs – Backup-Management, Wiederherstellungsverfahren, Krisenmanagement
4. Sicherheit der Lieferkette – Bewertung und vertragliche Absicherung von Drittanbietern und Unterauftragnehmern
5. Sicherheit bei Erwerb, Entwicklung und Wartung – Security-by-Design, Patch-Management, sichere Entwicklungsprozesse
6. Konzepte zur Bewertung der Wirksamkeit – regelmäßige Überprüfung, ob Sicherheitsmaßnahmen tatsächlich wirken
7. Cyberhygiene und Schulungen – grundlegende Sicherheitspraktiken, Sensibilisierung der Mitarbeitenden
8. Kryptografie und Verschlüsselung – Konzepte für den Einsatz kryptografischer Verfahren
9. Personalsicherheit und Zugangskontrollen – Berechtigungsmanagement, Need-to-know-Prinzip, Offboarding-Prozesse
10. Multi-Faktor-Authentifizierung – MFA für alle privilegierten Zugänge und externen Zugänge

Für jede dieser zehn Kategorien braucht die Gap-Analyse drei Spalten: Anforderung, aktueller Stand, Handlungsbedarf. Das Ergebnis ist der Fahrplan für alle weiteren Schritte. Eine fertige Vorlage inklusive Risikoregister findet sich in der NIS2-Risikomanagement-Vorlage oder direkt im Risikomanagement Kit.

Schritt 3: Risikomanagement-Framework aufbauen

Das Herzstück jedes NIS2-Audits ist das Risikomanagement-Framework. Ohne ein strukturiertes Risikoregister, das regelmäßig aktualisiert wird, gibt es keinen überzeugenden Audit-Nachweis – weder für Behörden noch für Kunden oder Versicherer.

Ein NIS2-konformes Risikoregister enthält mindestens:

• Identifikation aller relevanten Assets (IT-Systeme, Daten, Prozesse)
• Bedrohungen und Schwachstellen je Asset
• Bewertung nach Eintrittswahrscheinlichkeit und Schadenspotenzial (z. B. 1–5-Skala)
• Risikoreduzierende Maßnahmen mit Verantwortlichen und Umsetzungsstatus
• Restrisiko und Akzeptanzentscheidung (mit Datum und Unterschrift der Geschäftsleitung)

Als Referenzrahmen eignen sich ISO/IEC 27001 (international), BSI IT-Grundschutz (DACH-Raum) oder der NIST Cybersecurity Framework. NIS2 schreibt keinen bestimmten Standard vor – verlangt aber, dass der Prozess dokumentiert, wiederholt und nachvollziehbar ist. Zum Risikomanagement Kit →

Schritt 4: Schriftliche IT-Sicherheitsrichtlinien erstellen

Sicherheitsmaßnahmen ohne schriftliche Richtlinien sind für ein Audit wertlos. Aufsichtsbehörden erwarten Dokumente, die belegen, dass Sicherheitsvorgaben nicht nur existieren, sondern auch kommuniziert, geschult und eingehalten werden. Folgende Richtlinien sollten mindestens vorliegen:

• IT-Sicherheitsrichtlinie (Grundlagendokument): Geltungsbereich, Ziele, Verantwortlichkeiten, Sanktionen
• Passwortrichtlinie: Mindestlänge, Komplexität, Ablauffristen, Verbot von Wiederverwendung
• Zugangssteuerungsrichtlinie: Benutzerkontenmanagement, Prinzip der minimalen Berechtigung, MFA-Pflicht
• Patch-Management-Richtlinie: Fristen für sicherheitskritische Updates (z. B. kritische Patches innerhalb 24 h)
• Mobile Device Policy: Umgang mit privaten Geräten (BYOD), Datensicherheit auf Mobilgeräten
• Schulungsrichtlinie: Frequenz, Inhalte, Nachweis der Teilnahme

Wichtig: Richtlinien müssen mit Datum und Version versehen, von der Geschäftsleitung unterschrieben und allen Mitarbeitenden nachweislich zur Kenntnis gebracht worden sein. Zum IT-Sicherheitsrichtlinien Kit →

Schritt 5: Incident-Response-Prozess etablieren und testen

NIS2 verpflichtet betroffene Einrichtungen zu einem dreistufigen Meldeprozess bei erheblichen Sicherheitsvorfällen (Art. 23):

• Frühwarnung innerhalb von 24 Stunden: Erste Meldung an die zuständige Behörde – noch keine vollständige Analyse, aber Bestätigung des Vorfalls und erster Schadensumfang
• Unterrichtung innerhalb von 72 Stunden: Aktualisierter Bericht mit vorläufiger Ursachenanalyse, Schweregradbewertung, Gegenmaßnahmen
• Abschlussbericht innerhalb eines Monats: Vollständige Dokumentation des Vorfalls, Root Cause, Lessons Learned, dauerhafte Abhilfemaßnahmen

Für das Audit zählt nicht nur, ob der Prozess existiert – sondern ob er auch geübt wurde. Tabletop-Exercises (szenarienbasierte Planspiele) sind der beste Nachweis. Schwellenwerte für erhebliche Vorfälle legt seit Juli 2026 der Delegierte Rechtsakt (EU) 2026/1421 verbindlich fest. Zum Incident Reporting Kit →

Schritt 6: Lieferketten-Sicherheit bewerten

Art. 21 Abs. 2 lit. d NIS2 verpflichtet Einrichtungen ausdrücklich, die Sicherheitsrisiken in ihren Lieferketten zu bewerten. Wer Software, Cloud-Dienste, IT-Infrastruktur oder kritische Dienstleistungen extern bezieht, muss die Sicherheit dieser Drittanbieter aktiv prüfen und dokumentieren. Drei Dinge sind nachzuweisen:

• Anbieteridentifikation: Eine aktuelle Liste aller kritischen Drittanbieter mit Beschreibung der Abhängigkeit
• Risikobewertung: Strukturierte Einschätzung des Sicherheitsniveaus jedes Anbieters (Fragebögen, Zertifikate, Auditergebnisse)
• Vertragliche Anforderungen: NIS2-relevante Sicherheitsklauseln in Verträgen mit kritischen Dienstleistern

BSI und ENISA haben darauf hingewiesen, dass Lieferkettenbewertungen in ersten Audits eines der am häufigsten bemängelten Bereiche sind. Zum Lieferketten-Sicherheit Kit →

Schritt 7: Business Continuity und Backup-Management

Aufrechterhaltung des Betriebs nach einem Sicherheitsvorfall ist in Art. 21 Abs. 2 lit. c NIS2 explizit gefordert. Gemeint sind:

• Business Impact Analysis (BIA): Welche Prozesse sind geschäftskritisch? Wie lang darf ein Ausfall maximal dauern (RTO)?
• Recovery Point Objective (RPO): Wie viel Datenverlust ist tolerierbar?
• Backup-Konzept: 3-2-1-Regel (drei Kopien, zwei Medien, eine extern), Testwiederherstellung mindestens jährlich
• Notfallplan: Schritt-für-Schritt-Anweisung für den Worst Case – wer macht was, wann wird eskaliert, wie wird kommuniziert?

Für das Audit sind insbesondere die Nachweise über durchgeführte Backup-Tests entscheidend. Ein Backup, dessen Wiederherstellbarkeit nie getestet wurde, gilt regulatorisch als nicht vorhanden. Zum Business Continuity Kit →

Schritt 8: Geschäftsleitung einbinden – Schulung und Governance

NIS2 ist das erste EU-Cybersicherheitsgesetz, das die persönliche Haftung von Geschäftsleitungsmitgliedern explizit regelt. Art. 20 NIS2 verpflichtet Vorstände und Geschäftsführer, die Umsetzung der Sicherheitsmaßnahmen zu billigen und zu überwachen sowie sich selbst regelmäßig zu schulen. Für das Audit sind folgende Governance-Nachweise erforderlich:

• Beschluss des zuständigen Organs: Das Risikomanagement-Framework wurde durch Geschäftsführung oder Vorstand formell beschlossen (Protokoll mit Datum und Unterschrift)
• Schulungsnachweise der Geschäftsleitung: Wann wurde die Führungsebene zuletzt zu NIS2-Themen geschult? Welche Inhalte? Teilnahmeliste.
• Klarer Verantwortungsträger: Wer ist intern für NIS2-Compliance verantwortlich?
• Regelmäßige Berichterstattung: Wie oft berichtet die IT-Sicherheit an die Geschäftsleitung? Was wird berichtet?

Dieser Punkt wird in Audits besonders kritisch geprüft, weil er zeigt, ob NIS2 als echtes Managementthema oder nur als IT-Aufgabe behandelt wird. Zum Geschäftsleitungs-Paket →

Internes Audit als Generalprobe

Wer sich auf eine behördliche Prüfung vorbereiten will, sollte vorher ein internes Audit durchführen. Dabei werden die acht Schritte dieses Leitfadens in einer strukturierten Überprüfung durchlaufen – idealerweise durch eine Person oder ein Team, das nicht täglich in der IT-Sicherheit arbeitet (Vier-Augen-Prinzip).

Das interne Audit sollte folgende Outputs produzieren:

• Checkliste mit dem Status aller zehn Art.-21-Anforderungen (erfüllt / teilweise erfüllt / nicht erfüllt)
• Befundprotokoll: Was wurde wo festgestellt?
• Maßnahmenplan: Welche Lücken werden bis wann von wem geschlossen?
• Audit-Bericht an die Geschäftsleitung

Dieser Bericht ist später auch im behördlichen Audit wertvoll – er zeigt, dass die Einrichtung Selbstkritik übt und aktiv an der Verbesserung arbeitet. Aufsichtsbehörden bewerten proaktives Handeln positiv.

Fazit: NIS2-Audit-Vorbereitung ist ein Dokumentationsprojekt

Der häufigste Irrtum bei der NIS2-Vorbereitung ist die Annahme, es gehe primär um Technik. In der Realität sind die meisten Audit-Mängel Dokumentationsmängel – nicht technische Schwächen. Einrichtungen, die ihre Sicherheitsmaßnahmen strukturiert dokumentieren, Verantwortlichkeiten klar regeln und die Geschäftsleitung aktiv einbinden, haben bei Behörden-Audits einen erheblichen Startvorteil.

Alle in diesem Leitfaden genannten Vorlagen – Risikoregister, IT-Sicherheitsrichtlinien, Incident-Response-Vorlage, Lieferketten-Fragebogen, BCM-Notfallplan und Geschäftsleitungs-Paket – sind direkt verfügbar unter nis2have.eu/templates. Den schnellsten Überblick, ob Sie überhaupt betroffen sind, gibt der kostenlose NIS2-Check.