NIS2-Anforderungen: Was die zehn Maßnahmen konkret verlangen
Das BSIG verlangt von betroffenen Einrichtungen Risikomanagementmaßnahmen in zehn Bereichen. Der Gesetzestext nennt die Bereiche, aber nicht, wie gute Umsetzung aussieht. Diese Seite erklärt jede Maßnahme in wenigen Sätzen, nennt die Nachweise, nach denen Prüfer und Kunden fragen, und die Lücken, die wir in Gap-Analysen am häufigsten finden.
- 10 Maßnahmenbereiche nach § 30 BSIG
- 3 Pflichtenblöcke zusätzlich: Registrierung, Meldung, Leitung
- 24 Stunden Frist für die Erstmeldung eines erheblichen Vorfalls
- verhältnismäßig Maßstab für die Tiefe der Umsetzung
Geeignet, verhältnismäßig, wirksam, dokumentiert
§ 30 BSIG verlangt keine Checkliste, sondern ein Risikomanagement. Die zehn Bereiche geben vor, was mindestens abgedeckt sein muss; die Tiefe bestimmen Sie anhand Ihrer Risiken.
-
Alle Bereiche, angemessene Tiefe
Jeder der zehn Bereiche muss abgedeckt sein. Wie weit Sie gehen, richtet sich nach Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle.
-
Stand der Technik
Die Maßnahmen sollen dem Stand der Technik entsprechen und einschlägige europäische und internationale Normen berücksichtigen. ISO/IEC 27001 und der BSI IT-Grundschutz sind die üblichen Bezugsrahmen.
-
Nachweisbar
Die Umsetzung ist zu dokumentieren. Das BSI kann Nachweise verlangen; Kunden fragen über die Lieferkette ohnehin danach. Jede Maßnahme braucht deshalb einen Beleg, nicht nur eine Beschreibung.
Jede Maßnahme: Bedeutung, Nachweis, typische Lücke
Die Reihenfolge folgt dem Gesetz, nicht der Priorität. In der Praxis ziehen wir Multi-Faktor-Authentifizierung, Backup-Test und Vorfallsbewältigung meist nach vorn, weil sie das Risiko am schnellsten senken.
- Maßnahme 1
Risikoanalyse und Sicherheitskonzepte für Informationssysteme
Sie ermitteln systematisch, welche Informationen, Systeme und Prozesse für Ihre Dienste wichtig sind, welche Bedrohungen bestehen und wie Sie die Risiken behandeln. Darauf baut eine Sicherheitsleitlinie auf, die die Geschäftsleitung freigibt.
Typische Nachweise: Leitlinie zur Informationssicherheit, Inventar der Werte, Risikoregister mit Bewertung und Behandlungsplan, Freigabe der Restrisiken.
Häufige Lücke: Die Risikoanalyse wurde einmal erstellt und nie fortgeschrieben, oder sie bewertet IT-Systeme, ohne den Bezug zu den Geschäftsprozessen herzustellen.
- Maßnahme 2
Bewältigung von Sicherheitsvorfällen
Ein Prozess, um Sicherheitsvorfälle zu erkennen, zu bewerten, einzudämmen und zu beheben. Er ist zugleich die Grundlage, um zu entscheiden, ob ein Vorfall erheblich und damit meldepflichtig ist.
Typische Nachweise: Incident-Response-Prozess mit Rollen und Eskalationswegen, Kriterien für erhebliche Vorfälle, Vorfallprotokolle, Berichte über Übungen.
Häufige Lücke: Der Prozess existiert auf Papier, wurde aber nie geübt. Oft fehlt auch die Erkennung: ohne zentrale Protokollierung und Überwachung fällt ein Angriff erst auf, wenn Systeme stillstehen.
- Maßnahme 3
Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
Der Betrieb muss einen schweren Vorfall überstehen: Datensicherung, geprüfte Wiederherstellung, Notfallplanung und ein Krisenmanagement, das Entscheidungen auch ohne funktionierende IT trifft.
Typische Nachweise: Backup-Konzept, Protokolle von Wiederherstellungstests, Business-Impact-Analyse, Notfallhandbuch, Berichte über Krisenstabsübungen.
Häufige Lücke: Backups liegen im selben Netz wie die Produktivsysteme und wären bei einem Ransomware-Angriff mitbetroffen; eine vollständige Wiederherstellung wurde nie getestet.
- Maßnahme 4
Sicherheit der Lieferkette
Sie bewerten die Sicherheit Ihrer unmittelbaren Anbieter und Dienstleister und sichern sie vertraglich ab, insbesondere bei IT-Betrieb, Cloud, Software und Fernwartung.
Typische Nachweise: Verzeichnis der Dienstleister mit Kritikalität, Lieferantenbewertungen, Vertragsklauseln zu Meldepflichten, Mindestanforderungen und Auditrechten.
Häufige Lücke: Es gibt kein vollständiges Verzeichnis der kritischen Dienstleister, und bestehende Verträge enthalten keine Pflicht, Sicherheitsvorfälle zu melden.
- Maßnahme 5
Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Schwachstellenmanagement
Sicherheit wird bei Beschaffung, Eigenentwicklung und Betrieb von Systemen mitgedacht. Bekannte Schwachstellen werden erkannt, bewertet und in festgelegten Fristen behoben.
Typische Nachweise: Sicherheitsanforderungen in Beschaffung und Entwicklung, Patch- und Schwachstellenmanagement mit Fristen je Kritikalität, Scan-Ergebnisse, Change-Management.
Häufige Lücke: Patch-Fristen sind nicht festgelegt, Altsysteme und Produktionsanlagen laufen ohne Plan weiter, und Schwachstellenmeldungen sind niemandem zugewiesen.
- Maßnahme 6
Bewertung der Wirksamkeit der Maßnahmen
Sie prüfen regelmäßig, ob die Maßnahmen wirken, statt nur festzustellen, dass sie eingeführt wurden. Die Ergebnisse fließen in die Verbesserung und in die Berichte an die Geschäftsleitung.
Typische Nachweise: Plan und Berichte interner Audits, Kennzahlen, Ergebnisse von Penetrationstests, Managementbewertung mit Beschlüssen.
Häufige Lücke: Maßnahmen sind umgesetzt, ihre Wirksamkeit wurde aber nie gemessen. Damit fehlt der Beleg, dass das Risikomanagement funktioniert.
- Maßnahme 7
Cyberhygiene und Schulungen
Grundlegende Sicherheitsgewohnheiten im Alltag, etwa beim Umgang mit E-Mails, Passwörtern und Updates, und regelmäßige Schulungen für alle Mitarbeitenden, zugeschnitten auf deren Rolle.
Typische Nachweise: Schulungsplan, Teilnahmenachweise, Ergebnisse von Phishing-Simulationen, verständliche Richtlinien für Nutzer.
Häufige Lücke: Geschult wird einmal beim Eintritt und dann nicht mehr; Administratoren und Fachbereiche mit besonderen Rechten erhalten keine vertiefte Schulung.
- Maßnahme 8
Kryptografie und Verschlüsselung
Sie legen fest, wo und wie Verschlüsselung eingesetzt wird, für gespeicherte Daten, für Verbindungen und für Datensicherungen, und wie Schlüssel und Zertifikate verwaltet werden.
Typische Nachweise: Kryptokonzept mit zulässigen Verfahren, Übersicht verschlüsselter Geräte und Verbindungen, Zertifikats- und Schlüsselverwaltung.
Häufige Lücke: Niemand hat einen Überblick über Zertifikate und Schlüssel; Laufzeiten enden unbemerkt, und mobile Geräte oder Backups sind nicht durchgängig verschlüsselt.
- Maßnahme 9
Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
Zugriffe erhalten nur die Personen, die sie für ihre Aufgabe brauchen, und sie werden beim Wechsel oder Austritt angepasst. Dazu gehören ein Inventar der Systeme und Geräte sowie Regeln für Personal in sensiblen Rollen.
Typische Nachweise: Berechtigungskonzept, Prozess für Eintritt, Wechsel und Austritt, regelmäßige Überprüfung der Berechtigungen, Inventar der Hard- und Software.
Häufige Lücke: Berechtigungen wachsen über die Jahre mit und werden nie entzogen; privilegierte Konten sind nicht gesondert geschützt, und das Inventar ist unvollständig.
- Maßnahme 10
Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Anmeldungen an wichtigen Systemen werden mit einem zweiten Faktor abgesichert. Sprach-, Video- und Textkommunikation wird geschützt, und für den Notfall steht ein gesicherter Kommunikationsweg bereit.
Typische Nachweise: Übersicht der MFA-Abdeckung je System, Ausnahmeliste mit Begründung, Konzept für Notfallkommunikation.
Häufige Lücke: MFA ist für Fernzugriff und E-Mail eingeführt, nicht aber für Administratorkonten, Cloud-Verwaltung oder Altsysteme. Fällt die E-Mail aus, gibt es keinen abgestimmten Ersatzkanal.
Für bestimmte digitale Dienste konkreter: Für Anbieter wie DNS-Dienste, Cloud-Dienste, Rechenzentren, Managed Service Provider, Online-Marktplätze und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen im Detail fest. Wer zu diesen Einrichtungsarten gehört, sollte die Gap-Analyse direkt gegen diese Verordnung führen.
Drei Pflichten, die neben den Maßnahmen gelten
Die zehn Maßnahmen sind der aufwendigste Teil, aber nicht der einzige. Drei weitere Pflichten greifen sofort und lassen sich nicht über ein ISMS-Zertifikat erledigen.
- § 33 BSIG
Registrierung beim BSI
Binnen drei Monaten nach Eintritt der Betroffenheit, für Bestandsfälle bis 6. März 2026. Welche Angaben erfasst werden und wie Sie nachregistrieren.
- § 32 BSIG
Meldepflicht für erhebliche Vorfälle
Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung binnen 1 Monat. Wann ein Vorfall erheblich ist und wie der Meldeprozess aufgebaut wird, auf nis2-meldepflicht.de.
- § 38 BSIG
Pflichten der Geschäftsleitung
Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei Pflichtverletzung haftet die Geschäftsleitung. Was das praktisch bedeutet, auf nis2-geschaeftsfuehrer.de.
Womit Sie anfangen sollten
Nicht jede Lücke ist gleich dringend. Diese Einteilung hat sich bewährt, um in den ersten Monaten das Risiko spürbar zu senken und gleichzeitig die Nachweisstruktur aufzubauen.
| Zeitraum | Schwerpunkt | Warum |
|---|---|---|
| Sofort | Registrierung, Meldeprozess mit Verantwortlichen, Kriterien für erhebliche Vorfälle | Pflichten, die unmittelbar gelten und bußgeldbewehrt sind |
| Erste drei Monate | Multi-Faktor-Authentifizierung für Administratoren und Fernzugriff, getrennte und getestete Backups, Patch-Fristen | Senken das Risiko schwerer Vorfälle am schnellsten |
| Bis sechs Monate | Risikoanalyse, Leitlinie, Dienstleisterverzeichnis, Berechtigungsüberprüfung, Schulungsplan | Bilden das Gerüst des Risikomanagements und der Nachweise |
| Laufend | Wirksamkeitsprüfung, interne Audits, Übungen, Bericht an die Geschäftsleitung | Machen aus Einzelmaßnahmen ein Managementsystem |
Zu den NIS2-Anforderungen
Was sind die NIS2-Anforderungen?
Kern sind die zehn Maßnahmenbereiche des Risikomanagements nach § 30 BSIG, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Hinzu kommen die Registrierung beim BSI nach § 33, die Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden, 72 Stunden und 1 Monat nach § 32 und die Pflichten der Geschäftsleitung nach § 38 BSIG. Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein und dokumentiert werden.
Gelten für wichtige Einrichtungen geringere NIS2-Anforderungen als für besonders wichtige?
Die Maßnahmen nach § 30 BSIG sind für beide Kategorien dieselben. Unterschiede liegen in der Aufsicht und im Bußgeldrahmen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige, bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen. Über die Verhältnismäßigkeit fällt die Umsetzung bei einem mittleren Unternehmen mit überschaubarer Risikoexposition aber in der Regel schlanker aus.
Müssen wir wirklich alle zehn Maßnahmen umsetzen?
Ja, jeder der zehn Bereiche muss abgedeckt sein. Wie tief die Umsetzung geht, richtet sich nach Ihrer Risikoexposition, Größe, den Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Bereich kann schlank ausfallen, er darf aber nicht fehlen. Wo Sie bewusst weniger tun, sollte die Begründung dokumentiert sein.
Erfüllt eine ISO-27001-Zertifizierung die NIS2-Anforderungen?
Weitgehend für die Maßnahmen nach § 30 BSIG, wenn der Geltungsbereich die vom Gesetz erfassten Dienste umfasst. ISO 27001 liefert Risikomanagement, Maßnahmenkatalog und Nachweisstruktur. Nicht abgedeckt sind die gesetzlichen Zusatzpflichten: Registrierung, Meldefristen gegenüber dem BSI und die persönlichen Pflichten der Geschäftsleitung. Diese schließen Sie in einem Delta-Projekt.
Was bedeutet „Stand der Technik“ bei den NIS2-Maßnahmen?
Die Maßnahmen sollen den Stand der Technik einhalten, also dem entsprechen, was sich in der Praxis als wirksam bewährt hat und am Markt verfügbar ist. Orientierung geben einschlägige europäische und internationale Normen wie ISO/IEC 27001 und die Veröffentlichungen des BSI. Der Stand der Technik entwickelt sich weiter; eine einmal umgesetzte Maßnahme ist deshalb regelmäßig zu überprüfen.
Vertiefung zur NIS2-Umsetzung
-
Wer ist von NIS2 betroffen?
Sektoren, Schwellenwerte, Sonderfälle und die Betroffenheitsprüfung in fünf Schritten.
-
NIS2 umsetzen: Aufwand und Dauer
Wie lange Gap-Analyse und Umsetzung je Reifegrad dauern und was intern zu leisten ist.
-
Betroffen als Zulieferer?
Was die Lieferkettenpflicht für Ihre Dienstleister und Zulieferer bedeutet.
-
NIS2-Beratung im Überblick
Betroffenheit, Pflichten, Vorgehen in vier Schritten und die häufigsten Fragen auf der Startseite.
Marcel Rieger
Wissen, welche Lücken wirklich zählen
Im kostenlosen Erstgespräch gehen wir die zehn Maßnahmenbereiche mit Ihnen durch und benennen die Lücken mit dem größten Risiko und dem größten Hebel.
- Einschätzung des Reifegrads je Maßnahmenbereich
- Die drei dringendsten Lücken
- Fahrplan für Nachweise gegenüber BSI und Kunden
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen