Was § 30 BSIG grundsätzlich verlangt
§ 30 Absatz 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Sie sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme vermeiden, mit denen die Einrichtung ihre Dienste erbringt, und die Auswirkungen von Sicherheitsvorfällen möglichst gering halten. Drei Punkte prägen die Umsetzung:
- Verhältnismäßigkeit: Zu berücksichtigen sind Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit, Schwere und gesellschaftliche und wirtschaftliche Auswirkungen von Vorfällen.
- Stand der Technik und gefahrenübergreifender Ansatz: Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen. Sie müssen alle Gefahren abdecken, also auch Stromausfall, Brand oder den Ausfall eines Dienstleisters, nicht nur Angreifer.
- Dokumentation: Die Einhaltung ist zu dokumentieren. Fehlt die Dokumentation, ist das schon für sich eine Ordnungswidrigkeit nach § 65 BSIG, mit Bußgeldern bis 10 Millionen Euro bei besonders wichtigen und bis 7 Millionen Euro bei wichtigen Einrichtungen.
Die zehn NIS2-Mindestmaßnahmen im Überblick
§ 30 Absatz 2 BSIG zählt zehn Bereiche auf, die die Maßnahmen „zumindest“ umfassen müssen. Die Tabelle zeigt den Gesetzestext in Kurzform, was jeder Punkt in der Praxis bedeutet und welche Unterlagen sich als Nachweis eignen.
| Nr. | Maßnahme nach § 30 Abs. 2 BSIG | In der Praxis | Typische Nachweise |
|---|---|---|---|
| 1 | Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik | Inventar der Dienste und Systeme, Bewertung der Risiken nach Wahrscheinlichkeit und Schaden, Sicherheitsleitlinie | Risikoregister, Leitlinie mit Freigabe der Geschäftsleitung, Datum der letzten Überprüfung |
| 2 | Bewältigung von Sicherheitsvorfällen | Erkennen, bewerten, eindämmen, melden, mit Rollen, Eskalation und Meldung nach § 32 BSIG | Incident-Response-Plan, Vorfallprotokolle, Übungsberichte |
| 3 | Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement | Backups mit einer Kopie, die nicht verändert werden kann, Wiederanlaufpläne, Krisenstab und Notfallkommunikation | Backup-Konzept, Protokolle von Wiederherstellungstests, Notfallhandbuch |
| 4 | Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern | Dienstleister und Lieferanten mit Zugriff erfassen und einstufen, Anforderungen in Verträgen, Zugänge begrenzen | Dienstleisterliste mit Risikoeinstufung, Vertragsklauseln, Prüfergebnisse |
| 5 | Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen | Sicherheitsanforderungen in der Beschaffung, sichere Entwicklung, Patch-Management, Umgang mit gemeldeten Schwachstellen | Beschaffungsrichtlinie, Patch-Berichte, Ergebnisse von Schwachstellenscans |
| 6 | Konzepte und Verfahren zur Bewertung der Wirksamkeit | Interne Audits, Penetrationstests, Kennzahlen, Bericht an die Geschäftsleitung | Audit- und Testberichte, Maßnahmenverfolgung |
| 7 | Grundlegende Schulungen und Sensibilisierung | Regelmäßige Schulungen für alle Mitarbeitenden, Phishing-Übungen, Grundregeln der Cyberhygiene | Teilnahmelisten, Inhalte, Ergebnisse von Übungen |
| 8 | Konzepte und Prozesse für den Einsatz von Kryptographie | Verschlüsselung von Datenträgern, Verbindungen und Backups, Verwaltung von Schlüsseln und Zertifikaten | Kryptokonzept, Konfigurationsnachweise, Zertifikatsübersicht |
| 9 | Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen | Prozesse für Eintritt, Wechsel und Austritt, Rechte nach Bedarf, Inventar der Systeme | Berechtigungskonzept, regelmäßige Rechteprüfung, Inventar |
| 10 | Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, gegebenenfalls gesicherte Notfallkommunikation | MFA für Fernzugriff, E-Mail und alle Administratoren, verschlüsselte Kommunikation, ein Notfallkanal, der ohne die eigene IT funktioniert | Anteil der Konten mit MFA, Konfiguration, Notfall-Kontaktliste |
Die Liste ist ein Mindestumfang, keine vollständige Sicherheitsstrategie. Für Betreiber kritischer Anlagen kommen nach § 31 BSIG weitere Anforderungen hinzu, etwa Systeme zur Angriffserkennung.
Wie viel ist angemessen?
Das Gesetz schreibt weder Produkte noch eine Zertifizierung vor. Welche Tiefe angemessen ist, ergibt sich aus der Verhältnismäßigkeit. Orientierung geben drei Quellen:
- Die Durchführungsverordnung (EU) 2024/2690 legt für DNS-, Cloud-, Rechenzentrums- und Managed-Service-Provider, Online-Marktplätze und einige weitere digitale Anbieter die Anforderungen verbindlich fest und hat für sie Vorrang (§ 30 Absatz 3 BSIG). Für alle anderen ist sie eine gute Vorlage, weil sie die zehn Bereiche ausführlich konkretisiert.
- ISO/IEC 27001 und der IT-Grundschutz des BSI decken die Mindestmaßnahmen weitgehend ab. Ein Zertifikat ist aber kein Freibrief. In seinen Leitfragen für Geschäftsleitungen führt das BSI die Antwort „Das ist mit unserer ISO-Zertifizierung schon abgedeckt.“ unter denen auf, die weitere Nachfragen erfordern. Prüfen Sie, ob der Geltungsbereich des Zertifikats alle Dienste umfasst, für die NIS2 gilt.
- Besonders wichtige Einrichtungen und ihre Verbände können branchenspezifische Sicherheitsstandards vorschlagen, deren Eignung das BSI auf Antrag feststellt (§ 30 Absatz 8 BSIG).
Eine Faustregel aus der Praxis: Je stärker ein Ausfall Ihre Kunden oder die Versorgung trifft und je größer das Unternehmen, desto mehr Tiefe und desto mehr unabhängige Prüfung werden erwartet. Ein Unternehmen mit 60 Beschäftigten braucht kein eigenes Security Operations Center, aber Mehrfaktor-Anmeldung für alle Zugänge von außen, getestete Backups und einen geübten Meldeprozess.
In welcher Reihenfolge Sie vorgehen
- Bestandsaufnahme: Welche Dienste fallen unter NIS2, welche Systeme, Standorte, Daten und Dienstleister stehen dahinter?
- Risikoanalyse: Bedrohungen und Schwachstellen bewerten, Prioritäten festlegen, Restrisiken von der Geschäftsleitung bewusst akzeptieren lassen.
- Sofortmaßnahmen: MFA für Fernzugriff, E-Mail und Administratoren, eine Backup-Kopie, die nicht verändert werden kann, Updates kritischer Systeme, Trennung von Büro-, Server-, Gäste- und Produktionsnetzen.
- Vorfall und Meldung: Incident-Response-Plan mit Meldekette nach § 32 BSIG, einmal vollständig durchgespielt.
- Lieferkette und Beschaffung: Dienstleister mit Zugriff erfassen, Anforderungen in Verträge und Beschaffungsrichtlinien aufnehmen.
- Organisation: Richtlinien, Rollen, Berechtigungskonzept, Kryptokonzept und Schulungsplan.
- Wirksamkeit prüfen und berichten: Tests, Kennzahlen, Bericht an die Geschäftsleitung, dann der nächste Durchlauf.
Für die Sofortmaßnahmen finden Sie Anleitungen in unseren Artikeln MFA im Unternehmen einführen und Zero Trust einführen. Wie Geräte am Netzzugang geprüft und Netze getrennt werden, zeigt der Ratgeber Network Access Control auf unserer Schwesterseite. Wer Produktionsanlagen betreibt, findet Hinweise im Artikel OT-Sicherheit in der Produktion.
Wirksamkeit nachweisen: Tests und Kennzahlen
Nummer 6 der Liste verlangt Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten. Eine Richtlinie im Ordner beweist wenig. Nachweise entstehen durch Tests:
- Schwachstellenscans in festem Rhythmus für Systeme mit Internetzugang und Penetrationstests für kritische Systeme und nach größeren Änderungen. Den Unterschied erklärt Schwachstellenscan oder Penetrationstest.
- Wiederherstellungstests für Backups. Das BSI nennt in seinen Leitfragen als Beispiel für eine gute Antwort eine Backup-Strategie nach dem 3-2-1-Prinzip mit quartalsweisen Wiederherstellungstests.
- Übungen zu Vorfall und Meldung, mit der Geschäftsleitung.
- Phishing-Simulationen und die Auswertung der Schulungen.
- Kennzahlen wie Anteil der Konten mit MFA, Zeit bis zum Einspielen kritischer Updates, Zahl offener kritischer Schwachstellen und Ergebnis des letzten Wiederherstellungstests.
Die Ergebnisse gehören in einen regelmäßigen Bericht an die Geschäftsleitung, die nach § 38 BSIG die Umsetzung überwachen muss. Mehr dazu im Artikel NIS2 und die Geschäftsleitung.
Typische Fehler bei der Umsetzung
- Nur Technik: Firewall und MFA sind da, aber Risikoanalyse, Rollen und Dokumentation fehlen.
- Nur Papier: Richtlinien wurden aus Vorlagen übernommen, beschreiben aber nicht die tatsächlichen Systeme.
- Lieferkette vergessen: IT-Dienstleister, Maschinenwartung oder Softwareanbieter haben Zugriff, ohne dass Anforderungen vereinbart sind.
- Backups ohne Test: Gesichert wird jede Nacht, wiederhergestellt wurde noch nie.
- MFA mit Lücken: Sie gilt für E-Mail, aber nicht für Administratoren, VPN und Fernwartung.
- Einmal-Dokumentation: Sie wurde zum Projektende erstellt und seitdem nicht aktualisiert.
Wann das BSI Nachweise verlangen kann
Gegenüber einzelnen besonders wichtigen Einrichtungen kann das BSI schon heute Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen. Laut Fachpresse will es damit ab dem ersten Quartal 2027 beginnen. Von den übrigen besonders wichtigen Einrichtungen kann es Nachweise frühestens drei Jahre nach Inkrafttreten des Gesetzes verlangen, also nicht vor Dezember 2028, von Krankenhäusern frühestens nach fünf Jahren (§ 61 BSIG). Bei wichtigen Einrichtungen wird das BSI tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig erfüllt werden (§ 62 BSIG). Das heißt nicht, dass Sie Zeit haben: Die Pflichten gelten seit dem 6. Dezember 2025, und nach einem Vorfall wird zuerst gefragt, was umgesetzt und dokumentiert war.
Rechtsstand November 2026: BSIG vom 2. Dezember 2025, zuletzt geändert durch Gesetz vom 22. Oktober 2026. Die Europäische Kommission hat im Januar 2026 Änderungen der NIS2-Richtlinie vorgeschlagen, die noch nicht beschlossen sind. Dieser Artikel ersetzt keine Rechtsberatung.
Wie Unite2Link unterstützt
Wir setzen die technischen Mindestmaßnahmen um und machen sie nachweisbar: Bestandsaufnahme und Abgleich mit § 30 BSIG, Netztrennung und Firewall, MFA und sicherer Fernzugriff, Backup- und Wiederherstellungskonzept, Protokollierung, Schulungen sowie Penetrationstests als Wirksamkeitsnachweis. Sie erhalten eine Lückenliste mit Prioritäten und eine Dokumentation, die zu Ihren tatsächlichen Systemen passt. Unser Team ist für WatchGuard zertifiziert und setzt Fortinet und Check Point ebenso ein. Wir arbeiten bei Ihnen vor Ort und online, Techniker ab 80 Euro, Ingenieur ab 120 Euro pro Stunde, netto. Mehr auf der Seite Cybersicherheit.