NIS2 Vorlagen: 72 Dokumente für alle Pflichten
TL;DR
- 72 Vorlagen in 16 Ordnern: Die Tabelle unten ordnet die 16 Ordner des NIS2-Kits Art. 21 Abs. 2 Buchst. a bis j NIS-2-Richtlinie bzw. § 30 Abs. 2 Nr. 1 bis 10 BSIG zu; jeder der zehn Bereiche hat mindestens eine Vorlage, 66 Dokumente stecken im Paket Basis
- Dokumentationspflicht: Nach § 30 Abs. 1 Satz 3 BSIG ist die Einhaltung der Risikomanagementmaßnahmen zu dokumentieren — eine feste Dokumentenliste nennt das Gesetz nicht
- 10 Maßnahmenbereiche nach § 30 Abs. 2 BSIG: Risikoanalyse, Vorfallsbewältigung, Aufrechterhaltung des Betriebs, Lieferkette, Erwerb und Entwicklung, Wirksamkeit, Schulung, Kryptografie, Personal/Zugriff/IKT-Verwaltung, MFA und gesicherte Kommunikation
- Registrierung ohne Dokumente: Besonders wichtige und wichtige Einrichtungen übermitteln über die gemeinsame Registrierungsmöglichkeit von BSI und BBK spätestens drei Monate nach Eintritt der Einrichtungseigenschaft ihre Stammdaten (§ 33 Abs. 1 BSIG); das Start-Set unten ist eine Empfehlung, keine Pflicht
- Meldekette: 24 Stunden, 72 Stunden, ein Monat an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG), frühestens ab Einrichtung des Meldewegs
- Pflege: jährliche Durchsicht als Praxis-Empfehlung, dazu anlassbezogen nach erheblichen Vorfällen und wesentlichen Änderungen
- Bußgeld in Deutschland: bei Verstößen gegen die Risikomanagement- und Meldepflichten bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen); 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes nur bei mehr als 500 Mio. € Gesamtumsatz (§ 65 Abs. 5 bis 8 BSIG)
- Österreich: NISG 2026 seit 01.10.2026 — Risikomanagement § 32, Meldungen an das CSIRT § 34, Registrierung § 29; zuständig ist das Bundesamt für Cybersicherheit
Hauptartikel: NIS2-Leitfaden 2026 — Pflichten, Bußgelder und Roadmap im Überblick. Diese Seite ist die Dokumentenlandkarte dazu: welche Vorlage welche Pflicht belegt und in welcher Reihenfolge Sie sie aufbauen. Alle Artikel zum Thema finden Sie im NIS2-Wissensbereich.
Rechtsgrundlagen: Welche Vorlagen verlangen Art. 21, 22 und 23 NIS-2-Richtlinie?
Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) nennt keine Dokumentenliste, sondern Maßnahmenbereiche, deren Umsetzung die Einrichtung belegen muss. Für Deutschland gilt das BSI-Gesetz in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301), in Kraft seit 6. Dezember 2025 und zuletzt geändert durch Art. 8 Abs. 1 des Gesetzes vom 23.07.2026 (BGBl. 2026 I Nr. 226).
Art. 21 NIS-2-Richtlinie und § 30 BSIG: Risikomanagement
Art. 21 Abs. 1 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen; Abs. 2 nennt zehn Mindestbereiche (Buchstaben a bis j), die § 30 Abs. 2 Nr. 1 bis 10 BSIG für besonders wichtige und wichtige Einrichtungen übernimmt. Für die Vorlagen entscheidend ist § 30 Abs. 1 Satz 3 BSIG: Die Einhaltung der Pflicht ist durch die Einrichtungen zu dokumentieren. Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Alle zehn Pflichten in einer Tabelle: § 30 BSIG: alle 10 Pflichten in einer Tabelle.
Art. 22 NIS-2-Richtlinie: koordinierte Risikobewertungen der Lieferkette
Art. 22 richtet sich nicht an die Einrichtungen: Die Kooperationsgruppe kann gemeinsam mit der Kommission und der ENISA koordinierte Risikobewertungen für bestimmte kritische IKT-Dienste, -Systeme oder -Produkte durchführen (Art. 22 Abs. 1). Die Einrichtungen müssen deren Ergebnisse bei ihren Lieferkettenmaßnahmen berücksichtigen (Art. 21 Abs. 3). Eine eigene Dokumentationspflicht folgt daraus nicht; der Bezug gehört in die Lieferkettenrichtlinie und die Lieferantenbewertung. Vertiefung: NIS2 Lieferkette absichern und der Lieferanten-Audit-Fragebogen mit 40 Fragen.
Art. 23 NIS-2-Richtlinie und § 32 BSIG: Meldepflichten
Bei einem erheblichen Sicherheitsvorfall melden besonders wichtige und wichtige Einrichtungen in Deutschland an die gemeinsame Meldestelle von BSI und BBK: eine frühe Erstmeldung binnen 24 Stunden nach Kenntnis, eine Meldung mit Erstbewertung binnen 72 Stunden, eine Zwischenmeldung auf Ersuchen und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, folgt zuerst eine Fortschrittsmeldung (§ 32 Abs. 1 BSIG). Die Pflicht gilt frühestens ab Einrichtung des Meldewegs. In der Praxis braucht es dafür vorab festgelegte Meldewege, eine Vorlage je Stufe und einen Incident-Response-Plan. Ablauf im Detail: NIS2-Meldewege und Vorfall-Dokumentation.
Die 72 Dokumente im Überblick
Die Tabelle folgt der echten Ordnerstruktur des NIS2-Kits (Fassung Deutschland). Die Nummern sind die Dokumentnummern im Kit, dieselben wie in der Leseprobe auf der Kit-Seite. Die Spalte „Bezug“ nennt die Fundstelle, deren Umsetzung das Dokument belegt.
| Ordner | Dokumente (Nr.) | Bezug | Anzahl |
|---|---|---|---|
| 00 Start | Quick-Start-Guide (00), NIS2 kompakt, Implementierungsleitfaden, regulatorische Zeitleiste (01–03) | Einstieg, Querschnitt | 4 |
| 01 Scope und Registrierung | Scope-Assessment (04), Registrierungsformular-Vorausfüllung (05), Sektorklassifikation mit Nachweis (06), Konzernstruktur (07), DORA-NIS2-Abgrenzung (08) | § 28 BSIG § 33 Abs. 1 BSIG | 5 |
| 02 Governance | Vorstandsbeschluss Cybersicherheit (09), Governance-Richtlinie (10), Dokumentation der Leitungspflichten (11), Schulungsplan Leitungsorgane (12), Schulungsnachweis Geschäftsleitung (13), CISO-Quartalsbericht (14), Verantwortungsmatrix (15) | § 38 Abs. 1 bis 3 BSIG Art. 20 NIS-2-RL | 7 |
| 03 Risikomanagement und ISMS | Informationssicherheitsrichtlinie (16), Risikoanalyse-Methodik (17), Risikobewertungsmatrix (18), Risikobehandlungsplan (19) | Art. 21 Abs. 2 Buchst. a § 30 Abs. 2 Nr. 1 BSIG | 4 |
| 04 Incident Management | Incident-Response-Richtlinie (20), Playbook (21), Meldevorlagen 24 Stunden (22), 72 Stunden (23), ein Monat (24), Zwischenbericht (25), Klassifikation erheblicher Vorfall (26), Meldeweg-Verfahrensanweisung (27), Vorfallregister (28) | Art. 21 Abs. 2 Buchst. b § 30 Abs. 2 Nr. 2 BSIG § 32 Abs. 1 BSIG | 9 |
| 05 Business Continuity und Krise | Business-Continuity-Policy (29), Backup- und Wiederherstellungskonzept (30), Disaster-Recovery-Plan (31), Krisenmanagement und Kommunikation (32) | Art. 21 Abs. 2 Buchst. c § 30 Abs. 2 Nr. 3 BSIG | 4 |
| 06 Lieferkette | Lieferketten-Sicherheitsrichtlinie (33), Lieferanten-Fragebogen (34), Lieferanten-Risiko-Scoring (35), Vertragsklauseln (36) | Art. 21 Abs. 2 Buchst. d, Abs. 3 § 30 Abs. 2 Nr. 4 BSIG | 4 |
| 07 Sichere Entwicklung und Schwachstellen | Sichere Beschaffung und Entwicklung (37), Schwachstellenmanagement (38), Coordinated Vulnerability Disclosure (39) | Art. 21 Abs. 2 Buchst. e § 30 Abs. 2 Nr. 5 BSIG | 3 |
| 08 Wirksamkeit und Audit | Wirksamkeitsbewertung und Auditprogramm (40), Checkliste internes Audit (41) | Art. 21 Abs. 2 Buchst. f § 30 Abs. 2 Nr. 6 BSIG | 2 |
| 09 Cyberhygiene und Schulungen | Cyberhygiene-Richtlinie (42), Schulungsprogramm Informationssicherheit (43) | Art. 21 Abs. 2 Buchst. g § 30 Abs. 2 Nr. 7 BSIG | 2 |
| 10 Kryptografie und Zugriff | Kryptografie und Verschlüsselung (44); Personalsicherheit (45), Zugriffskontroll- und Berechtigungskonzept (46), Asset-Inventar (47); MFA und Authentifizierung (48), gesicherte Kommunikation (49), Notfallkommunikationsplan (50) | § 30 Abs. 2 Nr. 8, 9, 10 BSIG Art. 21 Abs. 2 Buchst. h, i, j | 7 |
| 11 Compliance und Nachweise | NIS2-Gap-Analyse (51), Statement of Applicability (52), Evidenz-Inventar für die Aufsicht (53), Compliance-Status-Dashboard (54), Audit-Simulation mit 60 Prüffragen (55), Pentest-Ausschreibung (56), Cyber-Versicherungs-Report (57) | § 30 Abs. 1 Satz 3 BSIG §§ 61, 62 BSIG | 7 |
| 12 Ergänzungen | Gap-Mapping ISO 27001 zu NIS2 (58), Gap-Mapping BSI-Grundschutz zu NIS2 (59), FAQ (60), Glossar (61), Quick Reference Card (62) | Querschnitt | 5 |
| 13 Lizenz | Lizenzbedingungen (63), Versionshistorie (64) | – | 2 |
| 14 Schulung (ab Paket Plus) | Management-Briefing (66), Schulungs-Skript Geschäftsleitung (67), Mitarbeiter-Präsentation (68), Wissenstest (69), Teilnahmenachweis (70), Schulungsplan (71) | § 38 Abs. 3 BSIG § 30 Abs. 2 Nr. 7 BSIG | 6 |
| 15 KMU | KMU-Light-Variante (73) | – | 1 |
| Gesamt | 51 Word, 19 Excel, 2 PowerPoint; im Paket Basis 66 Dokumente (Ordner 00 bis 13 und 15) | 72 |
Das NIS2-Kit gibt es als Fassung für Deutschland (BSIG) oder für Österreich (NISG 2026) in drei Paketen: Basis mit 66 Dokumenten für 990 €, Plus mit Schulungs-Pack für 1.390 € (72 Dokumente) und Komplett mit zusätzlichem E-Learning Cybersicherheit als HTML und SCORM 1.2/2004 für 1.690 €. Alle Preise netto und einmalig, 12 Monate Rechtsstand-Updates inklusive. Das Kit wird nur an Unternehmen verkauft (B2B).
§ 30 BSIG: die 10 Maßnahmenbereiche — Kurzverweis
Die zehn Bereiche des § 30 Abs. 2 BSIG stehen in der Spalte „Bezug“ der Tabelle. Ordner 03 bis 10 decken je einen oder mehrere Bereiche ab; Ordner 10 bündelt Kryptografie (Nr. 8), Personal, Zugriff und Asset-Inventar (Nr. 9) sowie MFA und gesicherte Kommunikation (Nr. 10). Was jeder Bereich inhaltlich verlangt und wie er sich auf ISO 27001 abbilden lässt, erklärt § 30 BSIG: 10 NIS2-Pflichtmaßnahmen. Die Methodik der Risikoanalyse nach Buchst. a vertieft die NIS2 Risikomanagement-Vorlage.
Brauchen besonders wichtige und wichtige Einrichtungen unterschiedliche Unterlagen?
Nein, für beide gelten dieselben Maßnahmen nach § 30 BSIG. „Wesentliche Einrichtung“ ist der Begriff der Richtlinie; das BSIG spricht von besonders wichtigen Einrichtungen, zu denen auch die Betreiber kritischer Anlagen zählen (§ 28 Abs. 1 BSIG), und von wichtigen Einrichtungen (§ 28 Abs. 2 BSIG). Der Unterschied liegt im Aufsichtsregime: Das BSI kann gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 Abs. 1 BSIG) und von anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten des Gesetzes Nachweise verlangen (§ 61 Abs. 3 BSIG); bei wichtigen Einrichtungen prüft das BSI nur, wenn Tatsachen auf Verstöße hindeuten (§ 62 BSIG). Eine jährliche Selbstauskunft sieht das BSIG nicht vor. Betreiber kritischer Anlagen erfüllen zusätzlich die besonderen Anforderungen des § 31 BSIG und weisen die Umsetzung alle drei Jahre nach (§ 39 Abs. 1 BSIG); ihre Registrierung beim BBK nach § 8 KRITIS-Dachgesetz (in Kraft seit 17.03.2026) ist im Verfahren erst geregelt, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft ist — bis dahin greift der Anwendungsvorbehalt des § 66 BSIG. Ob und wie Sie betroffen sind, klären NIS2-Umsetzung Deutschland und NIS2 für kleine Unternehmen mit 50 bis 100 Mitarbeitern; Bußgelder und Haftung stehen im NIS2-Leitfaden.
Priorisierung: Welche Vorlagen wann?
Die Tagesangaben sind Praxis-Rhythmen für den Aufbau der Dokumentation, keine gesetzlichen Fristen. Gesetzlich festgelegt sind dagegen die Registrierung binnen drei Monaten (§ 33 Abs. 1 BSIG; das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist) und die Meldefristen nach § 32 BSIG. Den vollständigen Projektplan mit Policies, Audit und Management-Review beschreibt ISMS nach NIS2 aufbauen.
Tag 1–30: empfohlenes Start-Set
Für die Registrierung selbst schreibt das Gesetz keine Dokumente vor; übermittelt werden Stammdaten wie Name, Kontaktdaten, Sektor nach Anlage 1 oder 2, betroffene EU-Mitgliedstaaten und zuständige Aufsichtsbehörden (§ 33 Abs. 1 BSIG). Als Grundlage für alles Weitere empfehlen sich fünf Bausteine:
- Scope-Assessment und Registrierungsformular-Vorausfüllung (04, 05)
- Asset-Inventar mit Systemen, Daten, Cloud-Diensten und Verantwortlichen (47)
- Informationssicherheitsrichtlinie, gebilligt von der Geschäftsleitung (16)
- Risikobewertungsmatrix in erster Fassung (18)
- Incident-Response-Playbook mit Meldevorlage für die 24-Stunden-Meldung (21, 22)
Dazu der Vorstandsbeschluss (09), mit dem die Geschäftsleitung Umsetzung und Überwachung nach § 38 Abs. 1 BSIG festhält.
Tag 31–60: Quick Wins nach § 30 BSIG
Siehe NIS2 Top-7 Quick Wins: MFA-Rollout, Backup-Konzept, Patch-Management, Phishing-Schulung, Lieferanten-Inventar, IRP-Tabletop, Asset-Klassifikation. Die passenden Vorlagen sind 48, 30, 38, 42 und 43, 34 und 35, 21 sowie 47.
Tag 61–90: prüffähige Dokumentation
- Statement of Applicability (52) und Gap-Analyse (51)
- Wirksamkeitsbewertung je Maßnahme (40, 41)
- Kryptografie-Konzept (44)
- Lieferantenbewertung und Vertragsklauseln (35, 36)
- Business-Continuity-Policy und Disaster-Recovery-Plan mit erster Übung (29, 31); Details in der Disaster-Recovery-Plan-Vorlage
Tag 91–180: ISO 27001 oder gleichwertig
Wer eine Zertifizierung anstrebt, nutzt die Gap-Mappings (58, 59) und ergänzt Risikobehandlung, interne Audits und kontinuierliche Verbesserung. Pfad: NIS2 und ISO 27001-Zertifizierung.
Aktualisierung und Versionierung
NIS2-Vorlagen sind keine Einmal-Dokumente. Die Maßnahmen müssen wirksam sein und sollen den Stand der Technik einhalten (§ 30 Abs. 1 und 2 BSIG); eine veraltete Dokumentation belegt das nicht.
- Jährliche Durchsicht (Praxis-Empfehlung): Informationssicherheitsrichtlinie, Risikobewertung, Incident-Response-Playbook, Business-Continuity-Policy, Lieferanten-Inventar, Asset-Inventar
- Anlassbezogen: nach jedem erheblichen Sicherheitsvorfall (§ 32 BSIG), bei wesentlichen IT-Änderungen, neuen Bedrohungslagen und nach Prüfungsfeststellungen
- Versionierung: Dokumentenlenkung mit Versionsnummer, Freigabedatum, freigebender Person und Änderungsverlauf
- Aufbewahrung: § 38 BSIG enthält keine Aufbewahrungs- oder Verjährungsfrist; Geschäftsleitungen haften ihrer Einrichtung nach dem Gesellschaftsrecht ihrer Rechtsform (§ 38 Abs. 2 BSIG). Schulungsnachweise und Vorfallmeldungen deshalb nach einem internen Aufbewahrungskonzept führen, das sich an den gesellschaftsrechtlichen Verjährungsfristen der Organhaftung orientiert.
Wie oft die Risikoanalyse selbst zu wiederholen ist, behandelt die Risikomanagement-Vorlage; wie Sie die Unterlagen für eine Prüfung zusammenstellen, die Audit-Vorbereitung für die Aufsichtsbehörde.
Österreich: NISG 2026 statt BSIG
Österreich (AT): In Österreich gilt das NISG 2026 (BGBl. I Nr. 94/2025); die §§ 2 bis 45 sind seit 1. Oktober 2026 in Kraft (§ 51 Abs. 2 NISG 2026). Zuständig ist das Bundesamt für Cybersicherheit. Die Begriffe sind die der Richtlinie: wesentliche und wichtige Einrichtungen (§ 24 NISG 2026). Die Dokumentenlandkarte bleibt gleich, die Fundstellen ändern sich: Risikomanagement nach § 32 Abs. 4 lit. a bis j, Leitungsorgane nach § 31, Meldungen an das zuständige CSIRT nach § 34 (24 Stunden, 72 Stunden, ein Monat), Registrierung bei der Cybersicherheitsbehörde nach § 29 innerhalb von drei Monaten ab Inkrafttreten. Anders als in Deutschland gibt es eine Selbstdeklaration: Binnen zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln die Einrichtungen Informationen zu ihren Risikomanagementmaßnahmen, auf Aufforderung folgt ein Nachweis durch eine unabhängige Stelle (§ 33 NISG 2026). Geldstrafen nach § 45 NISG 2026 reichen bis 10 Mio. € oder 2 % (wesentliche) bzw. 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes (wichtige Einrichtungen), je nachdem, welcher Betrag höher ist. Das Kit gibt es deshalb als eigene Fassung für Österreich. Mehr: NIS2 Österreich (NISG 2026).
Häufig gestellte Fragen
Wie viele Vorlagen schreibt NIS2 zwingend vor?
Keine bestimmte Zahl. Weder die NIS-2-Richtlinie noch das BSIG enthalten eine Dokumentenliste. Verlangt sind Maßnahmen in zehn Bereichen (Art. 21 Abs. 2 NIS-2-Richtlinie, § 30 Abs. 2 Nr. 1 bis 10 BSIG), und nach § 30 Abs. 1 Satz 3 BSIG ist ihre Einhaltung zu dokumentieren. Wie viele Dokumente dafür nötig sind, hängt von Größe, Sektor und vorhandenem ISMS ab. Das NIS2-Kit bildet die Pflichten in 72 Word-, Excel- und PowerPoint-Vorlagen ab, davon 66 im Paket Basis ohne Schulungsordner.
Reichen ISO-27001-Dokumente für NIS2 aus?
Nicht vollständig. Das BSI hält in seinem Informationsblatt zu ISO/IEC 27001 im Kontext NIS-2 (Version 1.0 vom 01.04.2026) fest, dass eine umfassend umgesetzte Zertifizierung regelmäßig einen großen Teil der Maßnahmen nach § 30 BSIG abdeckt, aber nicht automatisch sämtliche gesetzlichen Anforderungen erfüllt. Typische Lücken laut BSI: Der ISMS-Scope ist frei wählbar, § 30 BSIG erfasst die gesamte Einrichtung; ISO 27001 erlaubt Risikoakzeptanz oder -transfer; Registrierung, Meldefristen, Verantwortung der Geschäftsleitung und Schulungspflichten sind nicht originärer Bestandteil der Norm. Das Kit-Dokument 58 ordnet ein bestehendes ISMS den NIS2-Anforderungen zu und zeigt die Lücken.
Welche Vorlagen muss die Geschäftsführung selbst unterzeichnen?
Eine Unterschrift stellt nicht von der Haftung frei. Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen muss die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG); verletzt sie diese Pflicht schuldhaft, haftet sie ihrer Einrichtung nach dem Gesellschaftsrecht der Rechtsform (§ 38 Abs. 2 BSIG). Außerdem muss sie regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Unterlagen mit Unterschrift oder Beschluss der Geschäftsleitung dienen als Nachweis, dass sie diesen Pflichten nachkommt. Bewährt haben sich der Vorstandsbeschluss Cybersicherheit, die Informationssicherheitsrichtlinie, der Risikobehandlungsplan, die regelmäßigen Berichte des CISO und der Schulungsnachweis der Geschäftsleitung.
Müssen Vorlagen ins Deutsche übersetzt werden?
Das BSIG schreibt für die Dokumentation nach § 30 Abs. 1 Satz 3 keine Sprache vor. Das BSI ist eine Bundesoberbehörde (§ 1 BSIG), die Prüfung findet also gegenüber einer deutschen Behörde statt. Praxis-Empfehlung: Kerndokumente, die die Geschäftsleitung billigt oder die bei einer Prüfung vorgelegt werden, auf Deutsch führen oder eine deutsche Fassung bereithalten. In Konzernen ist eine zweisprachige Führung der ISMS-Dokumente eine praktikable Lösung.
Wie oft müssen NIS2-Vorlagen aktualisiert werden?
Das BSIG nennt keinen festen Turnus, verlangt aber wirksame Maßnahmen, die den Stand der Technik einhalten sollen (§ 30 Abs. 1 und 2 BSIG), und deren dokumentierte Einhaltung. Praxis-Empfehlung: die Kerndokumente mindestens jährlich durchsehen und anlassbezogen aktualisieren, etwa nach einem erheblichen Sicherheitsvorfall, bei wesentlichen Änderungen der IT-Landschaft, neuen Bedrohungen, Wechseln in Schlüsselrollen oder Prüfungsfeststellungen. Eine Versionierung mit Freigabe-Workflow macht nachvollziehbar, welcher Stand wann galt.
Welche Vorlagen sind innerhalb der ersten 30 Tage Pflicht?
Keine. Für die Registrierung schreibt das Gesetz keine Dokumente vor: Besonders wichtige und wichtige Einrichtungen übermitteln spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK ihre Stammdaten wie Name, Kontaktdaten und Sektor (§ 33 Abs. 1 BSIG); Änderungen sind unverzüglich, spätestens binnen zwei Wochen nachzumelden (§ 33 Abs. 5 BSIG; bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz in der bisherigen Fassung, § 66 BSIG). Als Start-Set empfehlen sich trotzdem Asset-Inventar, Informationssicherheitsrichtlinie, eine erste Risikobewertung, der Incident-Response-Plan mit Vorlage für die 24-Stunden-Meldung und die vorausgefüllten Registrierungsdaten.
Gelten in Österreich andere Vorlagen?
Die Dokumente sind dieselben, Fundstellen und Behörden andere. Seit 1. Oktober 2026 gilt das NISG 2026 mit Risikomanagement nach § 32, Meldungen an das zuständige CSIRT nach § 34 und Registrierung nach § 29; zuständig ist das Bundesamt für Cybersicherheit. Zusätzlich verlangt § 33 NISG 2026 binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine Selbstdeklaration zu den umgesetzten Maßnahmen. Das NIS2-Kit gibt es deshalb als eigene Fassung für Österreich.
Quellen
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 20 (Governance), Art. 21 Abs. 1 bis 3 (Risikomanagementmaßnahmen, Lieferkette), Art. 22 Abs. 1 (koordinierte Risikobewertungen), Art. 23 Abs. 4 (Meldepflichten), eur-lex.europa.eu
- BSI-Gesetz (BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 Abs. 1 G v. 23.07.2026 (BGBl. 2026 I Nr. 226), §§ 1 (Bundesamt), 28 (Einrichtungen), 30 (Risikomanagementmaßnahmen, Dokumentation), 31 (Betreiber kritischer Anlagen), 32 (Meldepflichten), 33 (Registrierung), 38 (Geschäftsleitung), 39 (Nachweispflichten), 61 und 62 (Aufsicht), 65 (Bußgelder), 66 (Anwendungsvorbehalt), gesetze-im-internet.de/bsig_2025
- KRITIS-Dachgesetz (KRITISDachG) vom 11. März 2026 (BGBl. 2026 I Nr. 66), § 4 Abs. 3, § 5 Abs. 1, § 8 (Registrierung kritischer Anlagen), gesetze-im-internet.de/kritisdachg
- BSI, ISO/IEC 27001 im Kontext NIS-2/BSIG, Version 1.0 vom 01.04.2026, bsi.bund.de
- BSI, NIS-2-FAQ für regulierte Unternehmen, bsi.bund.de
- BSI, NIS-2-regulierte Unternehmen (Hinweis zur Registrierungsfrist), bsi.bund.de
- BSI IT-Grundschutz-Standards 200-1, 200-2, 200-3, bsi.bund.de
- Österreich: Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, §§ 24 (Einrichtungen), 29 (Registrierung), 31 (Leitungsorgane), 32 (Risikomanagement), 33 (Selbstdeklaration und Nachweis), 34 (Meldungen an das CSIRT), 45 (Strafbestimmungen), 51 Abs. 2 (Inkrafttreten 01.10.2026), ris.bka.gv.at