Zusammenfassung: § 30 BSIG verpflichtet Unternehmen zu zehn Risikomanagementmaßnahmen – von Risikoanalyse über Business Continuity bis Multi-Faktor-Authentifizierung. Betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem von 15 Sektoren. Alle zehn Bereiche sind Pflicht, ihr konkreter Umfang richtet sich nach Risiko und Unternehmensgröße. Was fordert NIS2 konkret von Unternehmen? Die NIS2-Anforderungen verlangen von betroffenen Unternehmen ein systematisches Risikomanagement für Informationssicherheit. Rechtsgrundlage ist § 30 des novellierten BSI-Gesetzes (BSIG), das die EU-Richtlinie 2022/2555 in deutsches Recht überführt. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Der Kern der NIS2 ist ein Katalog aus zehn verpflichtenden Maßnahmenbereichen. Sie reichen von der Risikoanalyse über Backup-Konzepte bis zur Lieferkettensicherheit. Alle zehn Bereiche gelten gleichermaßen für besonders wichtige Einrichtungen und wichtige Einrichtungen – der Unterschied liegt nicht im Umfang der Pflichten nach NIS2, sondern in der Aufsichtsintensität und dem Bußgeldrahmen. Betroffen sind Unternehmen aus 15 Sektoren, sobald sie mindestens 50 Mitarbeitern beschäftigen oder mehr als 10 Millionen Euro Jahresumsatz und -bilanz erzielen. Dazu zählen klassische kritische Infrastrukturen wie Energie, Wasser und Gesundheit, aber auch digitale Infrastruktur, digitale Dienste, verarbeitendes Gewerbe und die öffentliche Verwaltung. Ob ein Unternehmen unter die Pflichten der NIS2-Anforderungen fällt, hängt von Sektor und Unternehmensgröße ab. Wer das noch nicht abschließend geklärt hat, sollte das zuerst tun. Mehr dazu im Artikel „NIS2: Wer ist betroffen?".Wichtig für die Einordnung: § 30 BSIG ist keine technische Werkzeugliste zum Abhaken. Der Gesetzestext verlangt „geeignete, verhältnismäßige und wirksame" Maßnahmen nach dem Stand der Technik und unter der Berücksichtigung der " einschlägigen europäischen und internationalen Normen" nach einem All-Gefahren-Ansatz. Das bedeutet: Umfang und Tiefe jeder Maßnahme müssen zur Risikoexposition, Größe und den potenziellen Schäden des Unternehmens passen – unabhängig davon, ob ein Unternehmen in kritischen Sektoren oder in weniger exponierten Branchen tätig ist. Die zehn Maßnahmenbereiche nach § 30 BSIG im Detail Kennen wir unsere Risiken? Risikoanalyse und Sicherheitskonzepte Unternehmen müssen ihre Risiken für die Informationssicherheit systematisch identifizieren, bewerten und dokumentieren. Das schließt eine Übersicht der IT-Systeme, Komponenten, der Infrastruktur sowie des Personals und Prozesse ein, die für die Diensterbringung genutzt werden. Ohne dokumentierte Risikoanalyse fehlt die Grundlage für alle weiteren neun Maßnahmen. 2 Wie reagieren wir auf Vorfälle? Bewältigung von Sicherheitsvorfällen Ein Unternehmen braucht definierte Prozesse für Erkennung, Meldung, Bewertung und Reaktion auf Sicherheitsvorfälle (englisch: cyber incidents). Dazu gehören Klassifizierungskriterien, Eskalationswege und Kommunikationspläne. Bei erheblichen Sicherheitsvorfällen (englisch: significant incidents) gilt eine strenge Fristenlogik: Eine erste Frühwarnung (englisch: early warning) muss innerhalb von 24 Stunden (24 hours) beim zuständigen CSIRT eingehen, eine vollständige Meldung folgt binnen 72 Stunden. Diese Prozesse hängen eng mit den Meldepflichten nach § 32 BSIG zusammen – Details dazu im Artikel zur Angriffserkennung und Meldepflicht. 3 Wie laufen wir nach einem Ausfall weiter? Aufrechterhaltung des Betriebs Dieser Bereich umfasst Business Continuity Management (englisch ebenfalls: business continuity): Backup-Management, Notfallwiederherstellung und Krisenmanagement. Unternehmen müssen festlegen, wie schnell IT-Systeme nach einem Ausfall wieder verfügbar sein müssen (Recovery Time Objective) und wie viel Datenverlust tolerierbar ist (Recovery Point Objective). Business Continuity ist damit keine Kür, sondern gesetzlich verankerte Pflicht nach NIS2. 4 Sind unsere Dienstleister abgesichert? Sicherheit der Lieferkette Unternehmen müssen die Sicherheit ihrer Lieferanten und Dienstleister bewerten und vertraglich absichern. Das betrifft insbesondere IT-Dienstleister, Cloud-Anbieter und Software-Hersteller. In der Praxis bedeutet das: Auch Zulieferer, die selbst nicht unter NIS2 fallen, bekommen Sicherheitsanforderungen über Vertragsklauseln ihrer Kunden weitergereicht. 5 Ist Sicherheit im Entwicklungsprozess verankert? Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen Dieser Bereich fordert Sicherheitsmaßnahmen entlang des gesamten Lebenszyklus von IT-Systemen (englisch: IT systems): bei Beschaffung, Eigenentwicklung und laufendem Betrieb. Ausdrücklich eingeschlossen sind das Management und die Offenlegung von Schwachstellen (Vulnerability Management). 6 Funktionieren unsere Maßnahmen wirklich? Bewertung der Wirksamkeit von Risikomanagementmaßnahmen Sicherheitsmaßnahmen reichen nicht, wenn niemand ihre Wirksamkeit prüft. Unternehmen brauchen Konzepte und Verfahren, mit denen sie regelmäßig kontrollieren, ob ihre Maßnahmen tatsächlich funktionieren. Das kann durch interne Audits, Penetrationstests oder KPI-basiertes Monitoring erfolgen. 7 Wissen alle Mitarbeitenden, worauf es ankommt? Schulungs- und Sensibilisierungsmaßnahmen NIS2 verlangt grundlegende Schulungs- und Sensibilisierungsmaßnahmen für Mitarbeitende. Die Schulungspflicht betrifft nicht nur die IT-Abteilung: § 38 BSIG verpflichtet ausdrücklich auch die Geschäftsleitung zur regelmäßigen Schulungen "zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik". 8 Sind Daten angemessen verschlüsselt? Kryptografie und Verschlüsselung Unternehmen müssen Konzepte für den Einsatz kryptografischer Verfahren entwickeln und dazugehörige Prozesse etablieren. Das betrifft die Verschlüsselung von Daten sowohl bei der Speicherung als auch bei der Übertragung, abgestimmt auf den Schutzbedarf der jeweiligen Information. 9 Wer darf auf was zugreifen? Personalsicherheit, Zugriffskontrolle und Asset-Management Dieser Bereich umfasst Konzepte für die Sicherheitsüberprüfung von Personal, die Zugriffs- und Zutrittskontrolle (englisch: access control) nach dem Prinzip der minimalen Berechtigung sowie die Verwaltung von IT-Systemen, -Produkten und -Prozessen über ein zentrales Asset-Register. 10 Ist der Zugang zu Systemen und Kommunikation abgesichert? Multi-Faktor-Authentifizierung und gesicherte Kommunikation Der letzte Bereich verlangt den Einsatz von Multi-Faktor-Authentifizierung (englisch: multi factor authentication, kurz MFA), wo angemessen, sowie gesicherte Sprach-, Video- und Textkommunikationssysteme. Auch gesicherte interne Notfallkommunikationssysteme fallen darunter – wichtig für den Fall, dass reguläre IT-Systeme während eines Vorfalls ausfallen. Unterscheiden sich die NIS2-Anforderungen für besonders wichtige und wichtige Einrichtungen? Der Maßnahmenkatalog nach § 30 BSIG gilt inhaltlich identisch für beide Einrichtungskategorien. Der Unterschied zwischen besonders wichtigen Einrichtungen (bwE) und wichtigen Einrichtungen (wE) liegt nicht in den Pflichten selbst, sondern in der Art der Aufsicht. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht: Das BSI kann sie ohne konkreten Anlass prüfen. Wichtige Einrichtungen werden dagegen reaktiv beaufsichtigt, also in der Regel erst nach einem Hinweis auf Verstöße oder nach einem Sicherheitsvorfall. Auch die Bußgeldobergrenzen unterscheiden sich: Bei besonders wichtigen Einrichtungen sind es bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Für die praktische Umsetzung von § 30 BSIG bedeutet das: Der Aufwand für die zehn Maßnahmenbereiche richtet sich vor allem nach Risikoexposition und Unternehmensgröße, nicht nach der formalen Einstufung. Ein kleineres Unternehmen mit hohem Schutzbedarf kann in der Praxis tiefere Maßnahmen benötigen als ein größeres mit geringerem Risiko. Betreiber kritischer Anlagen (KRITIS) unterliegen zusätzlich zu § 30 BSIG den verschärften Anforderungen nach § 31 BSIG. Sie gelten automatisch als besonders wichtige Einrichtung, unabhängig von ihrer Unternehmensgröße. Wer trägt die Verantwortung für die Umsetzung? NIS2 verankert Cybersicherheit ausdrücklich auf Leitungsebene. § 38 BSIG verpflichtet die Geschäftsleitung zu drei konkreten Aufgaben, die sich nicht delegieren lassen: Genehmigung Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG formell billigen. Überwachung Sie muss die Umsetzung der Maßnahmen laufend kontrollieren. Eigene Schulung Geschäftsführung und Vorstand müssen sich selbst in Cybersicherheitsfragen weiterbilden. Diese Pflichten kann die Geschäftsleitung an operative Rollen wie den Chief Information Security Officer (CISO) oder einen Informationssicherheitsbeauftragten (ISB) delegieren – die Verantwortung dafür bleibt aber bei der Leitungsebene. In der Praxis übernimmt der CISO meist die fachliche Steuerung: Er baut die Prozesse für alle zehn Maßnahmenbereiche auf, koordiniert die Risikoanalyse und bereitet die Entscheidungsvorlagen für die Geschäftsleitung vor. Für die Nachweisführung gegenüber Behörden und im Haftungsfall braucht es eine klare Dokumentation: Wer hat welche Maßnahme wann genehmigt, wer überwacht die Umsetzung, und mit welcher Frequenz wird berichtet? Diese RACI-Logik (wer ist verantwortlich, wer entscheidet, wer wird informiert) sollte für jeden der zehn Maßnahmenbereiche schriftlich festgelegt sein.Was eine Pflichtverletzung auf Leitungsebene im Ernstfall bedeutet und welche Bußgelder drohen, erläutert der Artikel zur NIS2-Haftung für Geschäftsführer. Wie priorisieren Unternehmen die Umsetzung der NIS2-Anforderungen? Zehn Maßnahmenbereiche gleichzeitig umzusetzen, überfordert die meisten Unternehmen. In der Praxis hat sich eine schrittweise Priorisierung bewährt: 01 Schritt 1 Gap-Analyse Die zehn Maßnahmenbereiche einzeln gegen den Ist-Zustand prüfen. Wo existieren bereits Prozesse, wo fehlt nur Dokumentation, wo fehlt die Maßnahme komplett? 02 Schritt 2 Priorisierung nach Risiko Bereiche mit hohem Schadenspotenzial zuerst angehen, etwa Zugriffskontrolle, Backup-Management und Incident Handling. Bereiche mit geringerem unmittelbarem Risiko können folgen. 03 Schritt 3 Genehmigung durch die Geschäftsleitung Die priorisierte Maßnahmenliste der Geschäftsleitung zur formellen Billigung vorlegen, wie es § 38 BSIG verlangt. 04 Schritt 4 Umsetzung mit Nachweislogik Jede Maßnahme so umsetzen, dass ihre Existenz und Wirksamkeit dokumentiert und im Auditfall belegbar ist. Unternehmen, die bereits ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 betreiben, decken einen Großteil der Anforderungen aus § 30 BSIG strukturell ab. Eine ISO-27001-Zertifizierung ersetzt die NIS2-Pflichten allerdings nicht vollständig, da Meldeverfahren und Geschäftsleitungspflichten eigenständig geregelt sind. Für den Einstieg in die eigene Standortbestimmung bietet sich eine strukturierte Checkliste an, mit der sich der aktuelle Reifegrad je Maßnahmenbereich schnell einordnen lässt. FAQ zu NIS2-Anforderungen Welche Maßnahmen fordert NIS2 konkret? NIS2 fordert über § 30 BSIG zehn Maßnahmenbereiche: Risikoanalyse, Incident Handling, Business Continuity, Lieferkettensicherheit, Systemsicherheit, Wirksamkeitsprüfung, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Alle zehn Bereiche sind verpflichtend, ihre konkrete Ausgestaltung richtet sich nach Risiko und Größe des Unternehmens. Gelten die NIS2-Anforderungen für alle Unternehmen gleich? Der Maßnahmenkatalog gilt inhaltlich gleich für besonders wichtige und wichtige Einrichtungen. Unterschiede bestehen bei der Aufsichtsintensität und den Bußgeldobergrenzen, nicht beim Pflichtenumfang selbst. Reicht eine ISO-27001-Zertifizierung für NIS2-Compliance aus? Nein. Ein ISMS nach ISO 27001 deckt große Teile der zehn Maßnahmenbereiche ab, ersetzt aber nicht die NIS2-spezifischen Pflichten. Meldeverfahren nach § 32 BSIG und die Genehmigungs- und Überwachungspflichten der Geschäftsleitung nach § 38 BSIG sind eigenständige Anforderungen. Welche Pflichten nach NIS2 gelten zusätzlich zu den zehn Maßnahmenbereichen? Neben den zehn Maßnahmenbereichen nach § 30 BSIG umfassen die Pflichten nach NIS2 die Registrierung beim BSI, die Meldung erheblicher Sicherheitsvorfälle, Unterrichtungspflichten nach §35 BSIGsowie Genehmigungs- und Überwachungspflichten der Geschäftsleitung nach § 38 BSIG. Betroffene Unternehmen in kritischen Sektoren und kritischen Infrastrukturen müssen zusätzlich die verschärften Anforderungen für Betreiber kritischer Anlagen nach § 31 BSIG beachten. Welche Rolle spielt der CISO nach NIS2? Der CISO (Chief Information Security Officer) übernimmt bei der NIS2-Umsetzung die operative Steuerung: Risikoanalyse koordinieren, die zehn Maßnahmenbereiche fachlich verantworten und Entscheidungsvorlagen für die Geschäftsleitung vorbereiten. Die rechtliche Letztverantwortung nach NIS2 bleibt jedoch bei der Geschäftsleitung und lässt sich nicht auf den CISO abwälzen. Wer ist im Unternehmen für die Umsetzung verantwortlich? Die rechtliche Verantwortung liegt bei der Geschäftsleitung, die Maßnahmen genehmigen und deren Umsetzung überwachen muss. Operativ übernimmt in der Praxis meist ein CISO oder Informationssicherheitsbeauftragter die fachliche Steuerung der zehn Maßnahmenbereiche. Was passiert, wenn ein Unternehmen die Anforderungen nicht umsetzt? Verstöße können mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Zusätzlich drohen persönliche Haftungsrisiken für die Geschäftsleitung. Details dazu liefert der Artikel zu den NIS2-Bußgeldern und Folgen. < Zurück zur Übersicht NIS2
Eigene Schulung Geschäftsführung und Vorstand müssen sich selbst in Cybersicherheitsfragen weiterbilden.