Die zehn Maßnahmenbereiche des § 30 BSIG
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Der gesetzliche Mindestkatalog umfasst zehn Themenfelder – von Risikoanalyse und Incident Handling über Business Continuity und Lieferkette bis zu Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Maßnahmenkatalog in Managementsprache
| Bereich | Managementziel | Typische Nachweise |
|---|---|---|
| Risikoanalyse & Sicherheitspolitik | Risiken systematisch erkennen und verbindliche Leitplanken setzen | Risikomethodik, Policy, Register, Reviews |
| Bewältigung von Sicherheitsvorfällen | Vorfälle erkennen, begrenzen, eskalieren und lernen | Incident-Prozess, Tickets, Übungen, Lessons Learned |
| Aufrechterhaltung des Betriebs | kritische Leistungen fortführen und wiederherstellen | BCM-/DR-Pläne, Backup- und Restore-Tests |
| Sicherheit der Lieferkette | Risiken kritischer Lieferanten beherrschen | Kritikalität, Bewertungen, Verträge, Reviews |
| Sichere Beschaffung, Entwicklung & Wartung | Sicherheit über den Lebenszyklus integrieren | Anforderungen, Change-/SDLC-Nachweise, Vulnerability Handling |
| Wirksamkeitsbewertung | feststellen, ob Maßnahmen tatsächlich funktionieren | Kontrolltests, KPIs, Audits, Management Review |
| Cyberhygiene & Schulung | Grundschutz und kompetentes Verhalten etablieren | Trainings, Baselines, Awareness-Nachweise |
| Kryptografie | Informationen angemessen schützen | Krypto-/Key-Regeln, technische Konfigurationen |
| Personal, Zugriff & Assets | Zugriff und Verantwortlichkeit über den Lebenszyklus steuern | IAM, Rezertifizierung, Asset-Inventar, HR-Prozesse |
| MFA & sichere Kommunikation | kritische Zugänge und Kommunikation angemessen absichern | MFA-Abdeckung, Kommunikations- und Notfalllösungen |
Angemessenheit und Verhältnismäßigkeit
Der Maßnahmenumfang muss zur Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle passen. Das ist kein Freibrief für Untererfüllung. Die Entscheidung sollte nachvollziehbar begründet und regelmäßig überprüft werden.
Wirksamkeit statt Dokumentexistenz
Eine Maßnahme ist nicht allein deshalb wirksam, weil eine Policy oder ein technisches Produkt existiert. Entscheidend sind tatsächliche Anwendung, Abdeckung, Test, Abweichungsbehandlung und Managementüberwachung.
Vom Gesetz zur Kontrolle
Für jeden Pflichtbereich sollte die Kette nachvollziehbar sein: gesetzliche Anforderung → Kontrollziel → Verantwortlicher → Standard/Prozess → technische oder organisatorische Kontrolle → Nachweis → Wirksamkeitsprüfung.
Diese Traceability wird auf NIS2-Dokumente und Nachweise vertieft.
Welche Maßnahmen zuerst?
Priorität erhalten Maßnahmen, deren Fehlen konkrete gesetzliche Pflichten, kritische Geschäftsservices oder hohe Cyberexposition betrifft. Dazu gehören häufig Meldefähigkeit, Incident Response, Wiederherstellung, exponierte Zugänge, kritische Schwachstellen und wesentliche Lieferantenabhängigkeiten.
Typische Fehlinterpretationen
- Der gesetzliche Katalog wird als reine IT-Checkliste gelesen.
- vorhandene Tools werden automatisch als wirksame Kontrolle gewertet.
- Lieferketten- und BCM-Anforderungen werden auf Einkauf bzw. IT isoliert.
- Wirksamkeitsprüfung wird mit einmaliger Einführung verwechselt.
- Angemessenheit wird nicht dokumentiert.
Von Anforderungen zur Umsetzung
Nach der Gap-Analyse müssen die Pflichtbereiche in ein priorisiertes Maßnahmenprogramm überführt werden. Der NIS2-Umsetzungsplan zeigt dafür Workstreams, Priorisierung und Roadmap. Das NIS2 Governance Toolkit unterstützt die organisatorische Umsetzung mit zusammenhängenden Governance-Unterlagen.
FAQ
Sind die zehn Bereiche eine vollständige technische Checkliste?
Nein. Sie sind gesetzliche Mindestthemenfelder. Die konkreten Maßnahmen ergeben sich risikobasiert aus Organisation, Diensten und Bedrohungslage.
Muss jede Maßnahme dokumentiert werden?
§ 30 BSIG verlangt die Dokumentation der Risikomanagementmaßnahmen. Für belastbare Governance sollte außerdem ihre tatsächliche Anwendung und Wirksamkeit nachweisbar sein.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
Dokumente & Nachweise
Kontrollen mit Governance und Evidenz verbinden.
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation des Unternehmens.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.