NIS2 verlangt nach § 30 BSIG zehn Risikomanagementmaßnahmen: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backup- und Krisenmanagement, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die Maßnahmen gelten seit dem 6. Dezember 2025 und müssen dem Stand der Technik entsprechen.
Wer unter NIS2 fällt, muss handeln — aber was genau? Das Gesetz beantwortet diese Frage präziser, als viele erwarten: § 30 des neuen BSI-Gesetzes zählt zehn Maßnahmenbereiche auf, die jede betroffene Einrichtung abdecken muss. Sie gelten seit dem 6. Dezember 2025 ohne Übergangsfrist — und sie sind keine unverbindlichen Empfehlungen, sondern bußgeldbewehrte Pflichten.
Dieser Artikel erklärt alle zehn Maßnahmen im Detail: was das Gesetz verlangt, wie eine angemessene Umsetzung im Mittelstand aussieht und wo typische Lücken liegen. Am Ende wissen Sie, welche Bausteine Sie vermutlich schon haben, was fehlt — und in welcher Reihenfolge Sie die Lücken schließen sollten.
Woher kommen die Anforderungen — und wie streng sind sie?
Die zehn Maßnahmenbereiche stammen aus Artikel 21 der EU-Richtlinie und wurden nahezu wortgleich in § 30 Absatz 2 BSIG übernommen. Sie gelten für besonders wichtige und wichtige Einrichtungen gleichermaßen. Zwei Grundsätze bestimmen, wie tief die Umsetzung gehen muss:
- Stand der Technik: Die Maßnahmen müssen dem aktuellen technischen Niveau entsprechen. Ein Virenscanner aus dem Jahr 2015 und ein Passwort-Zettel unter der Tastatur genügen nicht.
- Verhältnismäßigkeit: Der Aufwand darf sich am Risiko orientieren — an der Größe der Einrichtung, der Eintrittswahrscheinlichkeit von Vorfällen und deren möglichen Folgen. Ein Lebensmittelhersteller mit 60 Mitarbeitenden muss kein Security Operations Center betreiben wie ein Energiekonzern.
Verhältnismäßigkeit ist allerdings kein Freibrief: Wer eine Maßnahme reduziert umsetzt, sollte die Risikoabwägung dahinter dokumentieren. Genau diese Begründungslogik — Risiko bewerten, Maßnahme ableiten, Entscheidung festhalten — ist der Kern jedes Managementsystems für Informationssicherheit. Sie ist auch der Grund, warum sich die NIS2-Umsetzung entlang der ISO 27001 organisieren lässt, ohne doppelte Arbeit zu erzeugen.
Die 10 Maßnahmen im Überblick
Die folgende Tabelle zeigt alle Pflichtbereiche aus § 30 Absatz 2 BSIG mit typischen Umsetzungsbausteinen im Mittelstand:
| Nr. | Maßnahmenbereich | Typische Umsetzung im KMU |
|---|---|---|
| 1 | Konzepte für Risikoanalyse und Sicherheit der Informationssysteme | Leitlinie, Risikoinventar, jährliche Risikobewertung |
| 2 | Bewältigung von Sicherheitsvorfällen | Incident-Response-Plan, Meldekette, Verantwortlichkeiten |
| 3 | Betriebskontinuität: Backup-Management, Wiederherstellung, Krisenmanagement | Backup-Konzept mit Offline-Kopie, Wiederanlaufplan, Notfallübung |
| 4 | Sicherheit der Lieferkette | Dienstleisterinventar, Sicherheitsanforderungen in Verträgen, Lieferantenbewertung |
| 5 | Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen inkl. Schwachstellenmanagement | Patch-Prozess, sichere Konfiguration, Umgang mit Schwachstellenmeldungen |
| 6 | Bewertung der Wirksamkeit des Risikomanagements | Interne Audits, Kennzahlen, Management-Review |
| 7 | Cyberhygiene und Schulungen | Awareness-Programm, Phishing-Tests, Grundregeln für alle Mitarbeitenden |
| 8 | Konzepte für Kryptografie und Verschlüsselung | Verschlüsselung von Datenträgern und Übertragungswegen, Schlüsselverwaltung |
| 9 | Personalsicherheit, Zugriffskontrolle, Management von Anlagen | Berechtigungskonzept, On-/Offboarding-Prozess, Asset-Inventar |
| 10 | Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation | MFA für Remote-Zugänge und Administratoren, definierte Notfallkanäle |
Kein Bereich darf komplett fehlen. Die Aufsicht fragt nicht, ob Sie „irgendetwas für IT-Sicherheit tun“, sondern ob jeder der zehn Bereiche nachweisbar abgedeckt ist.
Maßnahmen 1 bis 3: Risiko, Vorfall, Weiterbetrieb
Risikoanalyse (Nr. 1) ist das Fundament: Ohne systematische Bewertung, welche Systeme geschäftskritisch sind und welche Bedrohungen sie treffen können, lassen sich alle weiteren Maßnahmen weder priorisieren noch begründen. Praktisch genügt im Mittelstand ein Risikoinventar mit Eintrittswahrscheinlichkeit, Schadenshöhe und abgeleiteten Maßnahmen — regelmäßig aktualisiert und von der Geschäftsleitung gebilligt.
Bewältigung von Sicherheitsvorfällen (Nr. 2) verlangt einen definierten Prozess: Wer erkennt einen Vorfall, wer bewertet ihn, wer entscheidet über Sofortmaßnahmen, wer meldet an das BSI? Die gesetzliche 24-Stunden-Frist für die Frühwarnung ist ohne vorbereitete Meldekette kaum zu halten — insbesondere an Wochenenden.
Betriebskontinuität (Nr. 3) umfasst Backup-Management, Wiederherstellung und Krisenmanagement. Der Prüfstein ist nicht, ob Backups existieren, sondern ob die Wiederherstellung getestet ist und ob eine Kopie auch einen Ransomware-Angriff übersteht — also offline oder unveränderbar gespeichert ist. Ein Wiederanlaufplan legt fest, welche Systeme in welcher Reihenfolge und Zeit wieder laufen müssen.
Maßnahmen 4 bis 6: Lieferkette, Systeme, Wirksamkeit
Sicherheit der Lieferkette (Nr. 4) ist die Maßnahme mit der größten Außenwirkung: Betroffene müssen die Risiken ihrer direkten Anbieter und Dienstleister bewerten — vom IT-Systemhaus über Cloud-Dienste bis zum Wartungstechniker mit Fernzugriff. Üblich sind ein Dienstleisterinventar, Sicherheitsanforderungen in Verträgen und eine risikobasierte Bewertung. Genau dadurch wandern NIS2-Anforderungen zu Zulieferern weiter, die selbst nicht unter das Gesetz fallen.
Sicherheit bei Erwerb, Entwicklung und Wartung (Nr. 5) zielt auf den Lebenszyklus der IT: Sicherheitskriterien beim Einkauf, sichere Konfiguration, geregelte Wartung und ein funktionierendes Schwachstellen- und Patch-Management. Bekannte Sicherheitslücken müssen zeitnah geschlossen werden — ungepatchte Systeme sind das häufigste Einfallstor bei realen Angriffen.
Wirksamkeitsbewertung (Nr. 6) schließt den Kreis: Das Gesetz verlangt Verfahren, mit denen die Einrichtung selbst prüft, ob ihre Maßnahmen greifen. Interne Audits, Kennzahlen und eine jährliche Bewertung durch die Geschäftsleitung erfüllen diese Anforderung — dieselbe Logik, die ISO-Managementsysteme als internes Audit und Management-Review kennen.
Maßnahmen 7 bis 10: Menschen, Verschlüsselung, Zugänge
Cyberhygiene und Schulungen (Nr. 7) adressiert den Faktor Mensch: Grundregeln wie sichere Passwörter, Umgang mit E-Mail-Anhängen und Meldewege bei Verdacht müssen allen Mitarbeitenden vermittelt werden — regelmäßig, nicht einmalig bei Einstellung. Phishing bleibt der häufigste Ausgangspunkt erfolgreicher Angriffe.
Kryptografie (Nr. 8) verlangt Konzepte für den Einsatz von Verschlüsselung: verschlüsselte Notebooks und Datenträger, verschlüsselte Übertragungswege, geregelte Schlüsselverwaltung. Nicht jede Datei muss verschlüsselt sein — aber es muss eine begründete Regel geben, was wann wie geschützt wird.
Personalsicherheit und Zugriffskontrolle (Nr. 9) umfasst das Berechtigungskonzept nach dem Need-to-know-Prinzip, geordnetes On- und Offboarding (Zugänge ehemaliger Mitarbeitender!) und ein Inventar der IT-Assets — man kann nur schützen, was man kennt.
Multi-Faktor-Authentifizierung und gesicherte Kommunikation (Nr. 10) ist die konkreteste Vorgabe: MFA gehört heute mindestens an alle von außen erreichbaren Zugänge (VPN, E-Mail, Cloud-Dienste) und an Administratorkonten. Dazu kommen gesicherte Kommunikationswege und ein Plan, wie die Organisation kommuniziert, wenn die eigene IT — etwa bei einem Ransomware-Vorfall — nicht mehr vertrauenswürdig ist.
Was neben den 10 Maßnahmen noch gilt
Die Maßnahmenliste ist der Kern, aber nicht der ganze Pflichtenkatalog. Drei weitere Blöcke kommen hinzu:
- Registrierung: Betroffene Einrichtungen müssen sich beim BSI registrieren (§ 33 BSIG) — die Fristen dafür sind bereits abgelaufen, die Pflicht besteht fort.
- Meldepflichten: Erhebliche Sicherheitsvorfälle sind dreistufig zu melden — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach spätestens einem Monat (§ 32 BSIG).
- Geschäftsleiterpflichten: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Diese Pflichten sind nicht delegierbar; bei Verletzung haftet die Geschäftsleitung der Gesellschaft für entstandene Schäden.
Betreiber kritischer Anlagen tragen darüber hinaus Zusatzpflichten, insbesondere den Einsatz von Systemen zur Angriffserkennung und turnusmäßige Nachweise gegenüber dem BSI.
Umsetzung priorisieren: In dieser Reihenfolge vorgehen
Kaum ein Unternehmen setzt alle zehn Bereiche gleichzeitig um. Eine bewährte Reihenfolge für die Praxis:
- Gap-Analyse: Vorhandenes den zehn Bereichen zuordnen. Meist sind 40 bis 60 Prozent bereits vorhanden, aber nicht dokumentiert.
- Schnelle Risikosenker zuerst: MFA aktivieren, Offline-Backup einrichten, Patch-Prozess festlegen — hoher Effekt, überschaubarer Aufwand.
- Meldefähigkeit herstellen: Meldekette und Verantwortliche definieren, BSI-Portalzugang testen. Das schützt vor Fristversäumnissen mit Bußgeldfolge.
- Systematik aufbauen: Risikoanalyse, Leitlinien, Lieferantenmanagement und Wirksamkeitsprüfung in einem Managementsystem verankern, damit die Maßnahmen dauerhaft gelebt werden.
- Nachweisbarkeit sichern: Entscheidungen, Schulungen und Tests dokumentieren. Im Kontakt mit Aufsicht oder Kunden zählt nur, was belegbar ist.
Wer diesen Weg entlang der ISO 27001 organisiert, erledigt beides in einem Zug: die gesetzliche Pflicht und einen gegenüber Kunden vorzeigbaren Sicherheitsnachweis. Zwingend ist das nicht — NIS2 kennt keine Zertifizierungspflicht —, aber es verhindert, dass die Umsetzung als einmalige Aktion versandet.
Zum realistischen Zeitrahmen: Die Sofortmaßnahmen der Schritte 2 und 3 sind in wenigen Wochen machbar. Der Aufbau der Systematik dauert je nach Ausgangslage drei bis sechs Monate — nicht, weil die Dokumente so umfangreich wären, sondern weil Prozesse wie Lieferantenbewertung und interne Audits einmal real durchlaufen sein müssen, bevor sie tragen. Planen Sie außerdem wiederkehrende Aufwände ein: jährliche Schulungen, Wiederherstellungstests, die Aktualisierung der Risikoanalyse und die Bewertung neuer Dienstleister. NIS2 ist als Dauerpflicht angelegt — die Aufsicht wird bei einer Prüfung nicht fragen, was 2026 eingeführt wurde, sondern was davon heute noch gelebt wird.
Häufige Fragen
§ 30 BSIG nennt zehn Bereiche: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backups und Krisenmanagement, Lieferkettensicherheit, sichere Beschaffung und Entwicklung inklusive Schwachstellenmanagement, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Alle zehn müssen nachweisbar abgedeckt sein.
Die zehn Bereiche gelten für alle betroffenen Einrichtungen. Die Umsetzungstiefe darf aber verhältnismäßig zum Risiko sein: Größe, Eintrittswahrscheinlichkeit und mögliche Schadensfolgen fließen ein. Ein Unternehmen mit 60 Mitarbeitenden braucht kein Security Operations Center — aber es muss jeden Bereich mit angemessenen Maßnahmen abdecken und Abwägungen dokumentieren.
Ja, MFA wird in § 30 Absatz 2 BSIG ausdrücklich genannt. In der Praxis heißt das: mindestens für alle von außen erreichbaren Zugänge wie VPN, E-Mail und Cloud-Dienste sowie für Administratorkonten. Wo MFA im Einzelfall technisch nicht umsetzbar ist, sollte eine dokumentierte Risikoabwägung mit kompensierenden Maßnahmen vorliegen.
Das zeigt nur ein systematischer Abgleich. Viele Unternehmen haben Firewall, Virenschutz und Backups — aber keine dokumentierte Risikoanalyse, kein Lieferantenmanagement, keine Wirksamkeitsprüfung und keine belastbare Meldekette. Eine Gap-Analyse entlang der zehn Maßnahmenbereiche deckt die Lücken auf und liefert zugleich die Dokumentation, die im Aufsichtsfall zählt.
Nein. NIS2 verlangt Umsetzung und Nachweisbarkeit, aber kein Zertifikat. Ein ISMS nach ISO 27001 deckt die zehn Bereiche weitgehend ab und liefert die geforderte Systematik; ein Zertifikat stärkt zusätzlich die Position gegenüber Kunden. Registrierung, Meldepflichten und Geschäftsleiterschulung bleiben in jedem Fall eigenständige gesetzliche Pflichten.
Die Pflichten gelten seit dem 6. Dezember 2025 ohne Übergangsfrist. Wer noch Lücken hat, sollte sie priorisiert schließen und den Fortschritt dokumentieren: erst schnelle Risikosenker wie MFA und Offline-Backups, dann Meldefähigkeit, dann die Systematik. Ein dokumentierter Umsetzungsplan ist gegenüber der Aufsicht deutlich besser als erkennbarer Stillstand.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT