NIS2-Risikomanagement: Die zehn Pflichtbereiche nach § 30 BSIG

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) - ohne Übergangsfrist. Kern der neuen Pflichten ist § 30 BSIG. Er legt fest, welche Risikomanagementmaßnahmen besonders wichtige und wichtige Einrichtungen mindestens umsetzen müssen. Rund 30.000 Unternehmen in Deutschland fallen neu unter diese Pflichten, viele davon ohne eigenes Security-Team.

Dieser Guide geht die zehn Pflichtbereiche aus § 30 Abs. 2 BSIG einzeln durch: was das Gesetz verlangt, was das in der Praxis bedeutet und welche Nachweise im Prüfungsfall gefragt sind. Er ersetzt keine Rechtsberatung, gibt aber eine belastbare Orientierung, wo Sie stehen und wo Sie anfangen.

Die Grundpflicht: geeignet, verhältnismäßig, wirksam

§ 30 Abs. 1 BSIG verpflichtet die Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen. Ziel ist, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, Komponenten und Prozesse zu vermeiden, die für die eigenen Dienste genutzt werden - und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.

Was „verhältnismäßig" heißt, gibt das Gesetz selbst vor. Zu berücksichtigen sind unter anderem:

• das Ausmaß der Risikoexposition,

• die Größe der Einrichtung,

• die Umsetzungskosten,

• Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.

Ein Pflegeheim mit 80 Beschäftigten muss also nicht dasselbe Programm fahren wie ein Großklinikum oder ein Übertragungsnetzbetreiber. Entscheidend ist aber: Die Einrichtung muss nachweisen können, dass sie ihre Pflicht erfüllt. Ohne Dokumentation gibt es keine Verhältnismäßigkeit, auf die man sich berufen könnte.

§ 30 Abs. 2 BSIG legt den Maßstab fest: Die Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Gemeint ist: nicht nur Cyberangriffe, sondern auch Stromausfall, Brand, Fehlbedienung oder Ausfall eines Dienstleisters.

Die zehn Pflichtbereiche im Überblick

Die Maßnahmen müssen nach § 30 Abs. 2 BSIG zumindest Folgendes umfassen:

1. Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik

2. Bewältigung von Sicherheitsvorfällen

3. Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall) und Krisenmanagement

4. Sicherheit der Lieferkette

5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Management und Offenlegung von Schwachstellen

6. Bewertung der Wirksamkeit der Risikomanagementmaßnahmen

7. Grundlegende Schulungen und Sensibilisierungsmaßnahmen

8. Einsatz kryptographischer Verfahren

9. Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen

10. Multi-Faktor-Authentifizierung, gesicherte Kommunikation und gegebenenfalls gesicherte Notfallkommunikation

1. Risikoanalyse und Sicherheitskonzepte

Was das Gesetz verlangt: „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik" (§ 30 Abs. 2 Nr. 1 BSIG).

Was das praktisch heißt: Sie brauchen ein Bild Ihrer Risiken, bevor Sie Maßnahmen priorisieren können. Welche Systeme und Prozesse sind für Ihre Dienste kritisch? Welche Bedrohungen sind realistisch? Wie wahrscheinlich ist ein Ausfall, und was würde er kosten - für Patientinnen und Patienten, für die Versorgung, für die Produktion? Daraus entsteht ein Risikoregister mit Bewertung, Verantwortlichen und Behandlungsentscheidung.

Dieser Punkt ist das Fundament für alle anderen neun. Ohne Risikoanalyse lässt sich weder begründen, warum eine Maßnahme verhältnismäßig ist, noch, warum eine andere zurückgestellt wurde.

Typische Nachweise: Risikoanalyse mit Methodik, Risikoregister, Sicherheitsleitlinie, von der Geschäftsleitung freigegebene Risikoakzeptanz für Restrisiken.

Genau dafür gibt es unser Cyber Risk Assessment: Risikoanalyse nach § 30 BSIG in vier bis sechs Wochen, Methodik und Maßnahmen nach ISO/IEC 27001, mit priorisierter Roadmap und Akzeptanzvorlage für die Geschäftsleitung.

2. Bewältigung von Sicherheitsvorfällen

Was das Gesetz verlangt: „Bewältigung von Sicherheitsvorfällen" (§ 30 Abs. 2 Nr. 2 BSIG).

Was das praktisch heißt: Ein Prozess, der festlegt, wie ein Vorfall erkannt, bewertet, eingedämmt und behoben wird - und wer wann entscheidet. Dazu gehört die Verbindung zu den Meldepflichten nach § 32 BSIG: erste Meldung an das BSI innerhalb von 24 Stunden, Meldung mit erster Bewertung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat. Diese Fristen sind nur einzuhalten, wenn vorher klar ist, wer meldet und welche Informationen dafür gesammelt werden.

Typische Nachweise: Incident-Response-Plan mit Rollen und Eskalationswegen, Meldeprozess nach § 32 BSIG, Kontaktliste, Protokolle vergangener Vorfälle und Übungen.

Wenn kein eigenes Team bereitsteht, übernimmt unsere Incident Response die Erstbewertung, die Eindämmung und die Unterstützung bei den Meldungen.

3. Aufrechterhaltung des Betriebs und Krisenmanagement

Was das Gesetz verlangt: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement" (§ 30 Abs. 2 Nr. 3 BSIG).

Was das praktisch heißt: Backups allein reichen nicht. Entscheidend ist, ob sie im Ernstfall funktionieren: getrennt von der Produktivumgebung, vor Verschlüsselung geschützt und regelmäßig wiederhergestellt. Dazu kommen Notbetriebspläne für die kritischen Prozesse - wie arbeitet die Station ohne KIS, wie das Stadtwerk ohne Abrechnungssystem, wie die Fertigung ohne ERP - und ein Krisenstab, der weiß, dass er einer ist.

Typische Nachweise: Backup-Konzept, Protokolle von Wiederherstellungstests, Notfall- und Wiederanlaufpläne, Krisenstabsorganisation, Übungsberichte.

4. Sicherheit der Lieferkette

Was das Gesetz verlangt: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern" (§ 30 Abs. 2 Nr. 4 BSIG).

Was das praktisch heißt: Ihre Sicherheit endet nicht an Ihrer Firewall. IT-Dienstleister mit Fernzugriff, Softwarehersteller, Wartungsfirmen für Medizintechnik oder Leittechnik, Cloud-Anbieter - jeder davon ist ein möglicher Einstiegspunkt. Sie müssen wissen, welche Lieferanten kritisch sind, welche Sicherheitsanforderungen Sie an sie stellen und wie Sie das prüfen.

Umgekehrt gilt: Wer selbst Zulieferer ist, wird diese Fragen zunehmend von den eigenen Kunden gestellt bekommen - auch ohne selbst NIS2-pflichtig zu sein.

Typische Nachweise: Liste kritischer Lieferanten, Sicherheitsanforderungen in Verträgen, Auftragsverarbeitungsverträge, Lieferantenbewertungen, geregelte Fernzugänge.

5. Sicherheit bei Erwerb, Entwicklung und Wartung - inklusive Schwachstellenmanagement

Was das Gesetz verlangt: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen" (§ 30 Abs. 2 Nr. 5 BSIG).

Was das praktisch heißt: Sicherheit gehört in die Beschaffung - als Anforderung im Lastenheft, nicht als Nachfrage nach dem Kauf. Und im laufenden Betrieb brauchen Sie ein systematisches Vulnerability Management: vollständiges Asset-Inventar, regelmäßige Erkennung von Schwachstellen, Priorisierung nach tatsächlichem Risiko und nachverfolgte Behebung. Medizingeräte und OT-Systeme brauchen dabei besondere Vorsicht, weil aktive Scans den Betrieb stören können.

Typische Nachweise: Asset-Inventar, Scan- und Schwachstellen-Reports, Patch- und Remediation-Prozess mit Fristen, Dokumentation kompensierender Maßnahmen, Sicherheitsanforderungen in Beschaffungsunterlagen.

Wie das für Awareness und Schwachstellen konkret aussieht, beschreibt unser Guide § 30 BSIG: Awareness-Training und Vulnerability Management.

6. Bewertung der Wirksamkeit

Was das Gesetz verlangt: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik" (§ 30 Abs. 2 Nr. 6 BSIG).

Was das praktisch heißt: Maßnahmen umzusetzen ist die eine Hälfte. Die andere ist, regelmäßig zu prüfen, ob sie wirken. Das kann über Kennzahlen laufen (Patch-Fristen eingehalten? Meldequote bei Phishing-Simulationen gestiegen?), über interne Audits, über Penetrationstests oder eine Wiederholung der Risikoanalyse. Wichtig ist der Kreislauf: messen, bewerten, nachsteuern.

Typische Nachweise: Kennzahlen-Reporting an die Geschäftsleitung, interne Auditberichte, Testberichte, Managementbewertung mit abgeleiteten Maßnahmen.

7. Schulungen und Sensibilisierung

Was das Gesetz verlangt: „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik" (§ 30 Abs. 2 Nr. 7 BSIG). Die NIS2-Richtlinie spricht in Art. 21 Abs. 2 Buchst. g von grundlegenden Verfahren der Cyberhygiene und Schulungen.

Was das praktisch heißt: Alle Beschäftigten brauchen regelmäßige, verständliche Schulungen - nicht ein einmaliges Pflichtvideo. Sensibilisierung wirkt am besten, wenn sie im Arbeitsalltag stattfindet: mit Phishing-Simulationen, die realistische Szenarien aus der eigenen Branche nutzen, und kurzen Lerneinheiten über das Jahr verteilt. Separat davon gilt die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG.

Typische Nachweise: Schulungskonzept, Teilnahmenachweise, aggregierte Auswertungen der Phishing-Simulationen, Schulungsnachweis der Geschäftsleitung.

Unser Awareness-Training liefert dafür einen Kernkurs von rund 20 Minuten pro Jahr plus kurze Spotlights, auf Deutsch und mit auditfähigen Teilnahmenachweisen.

8. Kryptographie

Was das Gesetz verlangt: „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren" (§ 30 Abs. 2 Nr. 8 BSIG).

Was das praktisch heißt: Festlegen, wo verschlüsselt wird (Datenübertragung, Datenträger, Backups, E-Mail), mit welchen Verfahren und wie Schlüssel und Zertifikate verwaltet werden. Als Orientierung für den Stand der Technik dienen die Technischen Richtlinien des BSI. Ein häufiger Schwachpunkt sind abgelaufene Zertifikate und veraltete Protokolle auf älteren Systemen.

Typische Nachweise: Kryptokonzept, Übersicht über eingesetzte Verfahren, Prozess für Schlüssel- und Zertifikatsmanagement.

9. Personal, Zugriffskontrolle und Anlagenverwaltung

Was das Gesetz verlangt: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen" (§ 30 Abs. 2 Nr. 9 BSIG).

Was das praktisch heißt: Drei Themen in einem Punkt. Personal: Sicherheitsaspekte bei Eintritt, Rollenwechsel und Austritt. Zugriffskontrolle: Rechte nach dem Prinzip der minimalen Berechtigung, regelmäßig überprüft, privilegierte Konten besonders geschützt. Verwaltung: ein aktuelles Inventar aller Systeme, damit nichts unverwaltet im Netz hängt.

Typische Nachweise: Berechtigungskonzept, Rezertifizierung von Zugriffsrechten, Ein- und Austrittsprozesse, Asset-Inventar.

10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Was das Gesetz verlangt: „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung" (§ 30 Abs. 2 Nr. 10 BSIG).

Was das praktisch heißt: MFA zuerst dort, wo ein gestohlenes Passwort den größten Schaden anrichtet: Fernzugänge, E-Mail, Administrationskonten, Cloud-Dienste. Dazu sichere Kommunikationskanäle - und ein Plan, wie die Einrichtung kommuniziert, wenn E-Mail und Telefonanlage selbst betroffen sind.

Typische Nachweise: MFA-Abdeckung je System, Richtlinie für Kommunikationswerkzeuge, Notfallkommunikationsplan.

Was zusätzlich gilt

Geschäftsleitung (§ 38 BSIG). Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Sie muss außerdem regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen haftet sie gegenüber der eigenen Einrichtung. § 30 ist damit keine reine IT-Aufgabe, sondern Chefsache.

Meldepflichten (§ 32 BSIG). Erhebliche Sicherheitsvorfälle sind gestuft zu melden: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung nach einem Monat.

Bußgelder (§ 65 BSIG). Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %.

Branchenstandards. Nach § 30 Abs. 8 und 9 BSIG können Einrichtungen und ihre Branchenverbände branchenspezifische Sicherheitsstandards vorschlagen, die das BSI prüft. Wo es solche Standards gibt, etwa im Gesundheitswesen, lohnt es sich, die eigene Umsetzung daran auszurichten.

EU-Durchführungsrechtsakte. Für bestimmte digitale Dienste - etwa Cloud-Anbieter, Rechenzentren, DNS-Dienste oder Online-Marktplätze - legt ein EU-Durchführungsrechtsakt die technischen Anforderungen fest. Nach § 30 Abs. 3 BSIG hat er für diese Einrichtungen Vorrang.

Wo Sie anfangen sollten

Zehn Pflichtbereiche gleichzeitig anzugehen überfordert jede Organisation ohne eigenes Security-Team. Bewährt hat sich diese Reihenfolge:

1. Betroffenheit klären. Sind Sie besonders wichtige oder wichtige Einrichtung? Unser kostenloser NIS2-Check gibt eine erste Einschätzung.

2. Risikoanalyse durchführen (Nr. 1). Sie zeigt, wo die größten Lücken liegen, und liefert die Begründung für jede weitere Priorität.

3. Schnelle Wirkung zuerst. Meist sind das MFA (Nr. 10), Schulung und Sensibilisierung (Nr. 7), funktionierende Backups (Nr. 3) und ein Vorfallprozess mit Meldeweg (Nr. 2).

4. Dauerbetrieb aufbauen. Schwachstellenmanagement (Nr. 5) und Wirksamkeitsmessung (Nr. 6) sind keine Projekte, sondern laufende Prozesse.

5. Dokumentieren, von Anfang an. Was nicht dokumentiert ist, gilt im Prüfungsfall als nicht umgesetzt.

Fazit

§ 30 BSIG ist kein Katalog zum Abhaken, sondern ein Rahmen, den jede Einrichtung verhältnismäßig ausfüllen muss - und zwar nachweisbar. Die zehn Pflichtbereiche hängen zusammen: Die Risikoanalyse begründet die Prioritäten, Schulungen und Schwachstellenmanagement senken das Risiko im Alltag, Vorfallbewältigung und Notfallplanung begrenzen den Schaden, und die Wirksamkeitsprüfung hält das Ganze am Laufen.

Bei Entropy CS unterstützen wir Organisationen in Gesundheitswesen, Versorgung und Industrie dabei, § 30 BSIG umzusetzen - vom Cyber Risk Assessment als Einstieg bis zum laufenden Betrieb. Unser kostenloser Risk Check dauert 30 Minuten und zeigt, wo Sie heute stehen.

Quellen: § 30, § 32, § 38 und § 65 BSIG in der Fassung des NIS2UmsuCG; Richtlinie (EU) 2022/2555 (NIS2), Art. 21. Dieser Guide stellt keine Rechtsberatung dar.