NIS2-Nachweis nach §39 BSIG: Wer prüft und was Betreiber vorlegen müssen

Der NIS2-Nachweis nach §39 BSIG betrifft Betreiber kritischer Anlagen. Sie müssen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen belegen, dass ihre Maßnahmen nach §30 und §31 BSIG umgesetzt sind. Die Prüfung übernimmt eine prüfende Stelle, an die das BSI Anforderungen stellen kann. Wir sind keine prüfende Stelle und führen keine Nachweisprüfungen durch. Mit unserer NIS2-Audit-Vorbereitung finden Sie die Lücken vor der Prüfung.

Wer muss einen NIS2-Nachweis nach §39 BSIG erbringen?

Die Pflicht trifft Betreiber kritischer Anlagen. Sie zählen nach §28 Abs. 1 BSIG immer zu den besonders wichtigen Einrichtungen. Nachzuweisen ist die Umsetzung der Risikomanagementmaßnahmen nach §30 Abs. 1 Satz 1 und der Anforderungen nach §31 Abs. 1 und Abs. 2 Satz 1 BSIG, soweit sie die kritische Anlage betreffen. Den Wortlaut finden Sie in §39 BSIG.

Für andere besonders wichtige Einrichtungen gibt es keinen festen Nachweiszyklus. Das BSI kann aber nach §61 BSIG gegenüber einzelnen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen. Wer bisher kein KRITIS-Betreiber war, sollte deshalb ebenfalls prüffähige Dokumentation führen.

Nicht jeder Betreiber einer kritischen Anlage fällt unter §39. Zwei Ausnahmen sind in der Praxis wichtig:

• Telekommunikation und Energie. Für Betreiber öffentlicher Telekommunikationsnetze und -dienste sowie für Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten, die unter §§5c-5e EnWG fallen, gilt §39 nicht (§28 Abs. 5 BSIG). Hier greift das jeweilige Fachrecht.
• Finanzsektor. Für Finanzunternehmen im Sinne von DORA gilt §39 ebenfalls nicht (§28 Abs. 6 BSIG). Ihre Prüfpflichten ergeben sich aus DORA und der Aufsicht durch die BaFin.

Wann ist der Nachweis fällig?

Den Zeitpunkt legt das BSI im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) fest, frühestens drei Jahre nach der erstmaligen Einstufung als kritische Anlage. Danach folgt der Nachweis alle drei Jahre. Laut BSI verlängert das neue BSIG den Nachweiszyklus damit von zwei auf drei Jahre.

Für bisherige KRITIS-Betreiber gilt eine Übergangsregel (§39 Abs. 3 BSIG): Das BSI legt den ersten Termin frühestens drei Jahre nach dem letzten Nachweis nach §8a Abs. 3 BSIG a. F. fest. Betreiber, deren Nachweis nach altem Recht in den ersten zwölf Monaten nach Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 fällig wäre, können ihn in diesem Zeitraum, also bis Anfang Dezember 2026, noch nach den bisherigen Vorgaben erbringen (Stand 16. Oktober 2026).

Verlassen Sie sich nicht auf ein geschätztes Datum. Maßgeblich ist der Termin, den das BSI Ihnen mitteilt. Rechnen Sie von dort rückwärts: Die prüfende Stelle braucht Vorlauf für Planung und Vor-Ort-Termine, und Sie brauchen danach Zeit, um die Ergebnisse aufzubereiten.

Wer darf die Prüfung durchführen?

Das Gesetz spricht von prüfenden Stellen. Nach §39 Abs. 2 BSIG kann das BSI fachliche und organisatorische Anforderungen an diese Stellen festlegen, nach Anhörung der Betreiber und Verbände, und veröffentlicht sie auf seiner Website. Wie das heute aussieht, beschreibt die Orientierungshilfe zu Nachweisen gemäß §39 Abs. 1 BSIG.

• Eignung der Stelle. Die Orientierungshilfe nennt unter anderem eine Akkreditierung bei der DAkkS zur ISO/IEC-27001-Zertifizierung oder eine Zulassung als Wirtschaftsprüfungsinstitution beim IDW.
• Vier-Augen-Prinzip. Jedes Prüfteam sollte zur Gewährleistung der Unabhängigkeit und Objektivität aus mindestens zwei Prüfenden bestehen.
• Unabhängigkeit. Mitglieder des Prüfteams dürfen nach der Orientierungshilfe nicht unmittelbar an der Beratung oder Umsetzung im geprüften Bereich beteiligt gewesen sein. Prüfende müssen weisungsfrei und unvoreingenommen prüfen.
• Prüfkompetenz. Das BSI arbeitet an verpflichtenden Anforderungen an prüfende Stellen. Laut BSI-Meldung vom 31. August 2026 soll die Personenzertifizierung zum KRITIS-Auditor verpflichtend werden, voraussichtlich Anfang 2027.

Fragen Sie deshalb bei der Beauftragung nicht nur nach dem Tagessatz. Lassen Sie sich die Qualifikation jedes Prüfenden zeigen und vertraglich zusichern, dass das Team die jeweils gültigen BSI-Anforderungen erfüllt. Wer bei Ihnen die Maßnahmen umgesetzt hat, scheidet nach der Orientierungshilfe für die Prüfung dieses Bereichs aus.

Was müssen Betreiber dem BSI nach der Prüfung vorlegen?

Der Betreiber übermittelt dem BSI die Ergebnisse der Audits, Prüfungen oder Zertifizierungen, einschließlich Angaben über die dabei aufgedeckten Sicherheitsmängel. Das BSI kann zusätzlich die Dokumentation der Prüfung, einen geeigneten Mängelbeseitigungsplan und einen Nachweis über die erfolgte Mängelbeseitigung verlangen.

Ein Nachweis mit Mängeln ist kein Scheitern, solange Sie einen glaubwürdigen Plan zur Beseitigung haben. Problematisch wird es, wenn Mängel ohne Verantwortliche und Fristen im Bericht stehen. Wie Sie die Maßnahmen davor in Wochenpakete aufteilen, zeigt unser NIS2-Umsetzungsplan in 26 Wochen.

Ein brauchbarer Mängelbeseitigungsplan nennt pro Mangel die Maßnahme, die verantwortliche Person, den Termin und den Beleg, mit dem Sie die Beseitigung später zeigen. Sortieren Sie nach Risiko, nicht nach Aufwand. Mängel, die eine kritische Dienstleistung direkt gefährden, gehören an den Anfang.

Ist ein Readiness-Assessment schon ein Nachweis?

Nein. Ein Readiness-Assessment ist eine Audit-Vorbereitung: Es zeigt fehlende Nachweise, Maßnahmen, die nur auf Papier existieren, und offene Punkte in der Risikoanalyse. Das BSI erhält es nicht, und es ersetzt keine Prüfung nach §39 BSIG. Sein Wert liegt darin, dass Sie Lücken schließen, bevor die prüfende Stelle sie findet.

Prüfende Stellen verlangen Belege aus dem laufenden Betrieb, nicht nur Richtlinien. Automatisch erzeugte Protokolle, ein gepflegtes Inventar und nachvollziehbare Zuständigkeiten sind dafür die Grundlage. Ein Beispiel ist das NIS2-Asset-Management mit Datenkatalog und Datenherkunft (Lineage). Was Zertifikate über einzelne Prüfende aussagen, erklärt unser Beitrag zur CISA-Zertifizierung.

Und wenn Sie Standorte in Polen haben?

Für polnische Gesellschaften gilt das polnische KSC-Gesetz (NIS2-Umsetzung in Polen). Dort heißt die Prüfung formales KSC-Audit (Art. 15). Polnische besonders wichtige Einrichtungen (podmioty kluczowe), die am 3. April 2026 als solche galten, müssen das Audit bis zum 3. April 2028 durchführen lassen; frühere Betreiber wesentlicher Dienste behalten ihren bisherigen Zyklus.

Prüfen dürfen eine akkreditierte Konformitätsbewertungsstelle, mindestens zwei qualifizierte Auditoren oder ein sektorales CSIRT. Formale KSC-Audits nach Art. 15 führen wir ebenfalls nicht durch.

Die Unabhängigkeit regelt dort das Gesetz selbst: Auditor darf nicht sein, wer in dem Unternehmen Aufgaben nach Art. 8 oder Art. 9 bis 13 wahrnimmt oder im Jahr vor Beginn des Audits wahrgenommen hat (Art. 15 Abs. 2a). Was gilt, wenn die Registrierung in Polen versäumt wurde, erklärt unser Beitrag zur verpassten NIS2-Registrierung.

So bereiten Sie die Prüfung vor

1. Termin klären. Prüfen Sie, welche Anlagen als kritisch gelten und welchen Nachweistermin das BSI gesetzt hat.
2. Geltungsbereich festlegen. Benennen Sie Anlagen, Standorte, Systeme und Dienstleister, die in die Prüfung fallen.
3. Prüfende Stelle auswählen. Fordern Sie die Namen von mindestens zwei Prüfenden und deren Qualifikationsnachweise an.
4. Unabhängigkeit klären. Lassen Sie sich bestätigen, dass die Prüfenden die zu prüfenden Maßnahmen nicht selbst umgesetzt haben.
5. Nachweise sammeln. Stellen Sie die Dokumentation nach §30 Abs. 1 BSIG, Protokolle, Inventar und Schulungsnachweise der Geschäftsleitung nach §38 Abs. 3 BSIG zusammen.
6. Mängelplan vorbereiten. Planen Sie Zeit für Nachbesserungen ein, mit Verantwortlichen und Fristen pro Mangel.

Wir übernehmen die Vorbereitung: Readiness-Assessment, Umsetzung offener Maßnahmen und Begleitung bis zur Prüfung. Den Umfang beschreiben unsere Seiten zur NIS2-Umsetzung und zum IT-Consulting. Wenn Sie Ihren Zeitplan besprechen möchten, schreiben Sie uns.