NIS2 · Pflichten
Die 10 NIS2-Maßnahmen nach §30 BSIG umsetzen
Lesezeit etwa 6 Minuten · Stand August 2026
Das BSIG verlangt in §30 von betroffenen Einrichtungen 10 Bereiche technischer und organisatorischer Risikomanagement-Maßnahmen, von der Risikoanalyse über die Vorfallbehandlung bis zur Kryptografie. Sie setzen Artikel 21 der NIS2-Richtlinie in deutsches Recht um. Wer bereits ein ISMS betreibt, deckt den Großteil davon schon ab.
10 Maßnahmenbereiche, ein Managementsystem.
NIS2 erfindet die Informationssicherheit nicht neu.
Was verlangt §30 BSIG?
§30 des BSIG verpflichtet betroffene Einrichtungen, geeignete, verhältnismäßige und dem Stand der Technik entsprechende technische und organisatorische Maßnahmen zu treffen, um die Risiken für ihre Netz- und Informationssysteme zu beherrschen. Absatz 2 konkretisiert diese Pflicht und listet 10 Bereiche auf, die jede Einrichtung abdecken muss. Die Vorschrift setzt Artikel 21 der NIS2-Richtlinie (EU) 2022/2555 in deutsches Recht um.
Verhältnismäßig heißt: Der Aufwand richtet sich nach dem Ausmaß der Risiken, der Größe der Einrichtung und den Kosten der Umsetzung. Ein Konzern mit hoher Kritikalität muss mehr leisten als ein mittelständischer Zulieferer. Ob Sie überhaupt betroffen sind, klären Sie zuerst mit unserem Wegweiser zur NIS2-Betroffenheit prüfen. Die Pflichten gelten für wesentliche und wichtige Einrichtungen gleichermaßen, nur die Aufsicht unterscheidet sich.
Betroffen sind Einrichtungen aus den in der NIS2-Richtlinie und im BSIG genannten Sektoren, etwa Energie, Transport, Gesundheit, digitale Infrastruktur oder verarbeitendes Gewerbe. Ob eine Einrichtung als wesentlich oder wichtig gilt, hängt von Sektor und Größe ab. Das Ziel der Maßnahmen ist in allen Fällen dasselbe: die Verfügbarkeit, Integrität und Vertraulichkeit der eigenen Systeme und Dienste zu sichern.
Welche 10 Maßnahmenbereiche schreibt §30 BSIG vor?
Die 10 Bereiche nach §30 Absatz 2 BSIG decken den kompletten Kreislauf der Informationssicherheit ab, von der Analyse über den Schutz bis zur Reaktion und Kontrolle. Sie entsprechen inhaltlich dem Katalog aus Artikel 21 Absatz 2 der NIS2-Richtlinie.
| Nr. | Maßnahmenbereich | Worum es geht |
|---|---|---|
| 1 | Risikoanalyse und Sicherheitskonzepte | Risiken systematisch erfassen und in Sicherheitsleitlinien überführen |
| 2 | Bewältigung von Sicherheitsvorfällen | Vorfälle erkennen, behandeln und daraus lernen |
| 3 | Aufrechterhaltung des Betriebs | Backup-Management, Notfallwiederherstellung und Krisenmanagement |
| 4 | Sicherheit der Lieferkette | Sicherheitsanforderungen an Lieferanten und Dienstleister |
| 5 | Sicherheit bei Beschaffung und Entwicklung | sichere Beschaffung, Entwicklung und Wartung, inklusive Schwachstellenmanagement |
| 6 | Bewertung der Wirksamkeit | Verfahren, um die eigenen Maßnahmen zu überprüfen |
| 7 | Cyberhygiene und Schulungen | grundlegende Hygiene wie Updates plus regelmäßige Awareness |
| 8 | Kryptografie und Verschlüsselung | Konzepte für den Einsatz von Verschlüsselung |
| 9 | Personalsicherheit und Zugriffskontrolle | Zugriffskonzepte, Personalsicherheit und Verwaltung der Anlagen |
| 10 | Multi-Faktor-Authentifizierung | MFA, gesicherte Kommunikation und Notfallkommunikation |
Die Reihenfolge folgt keiner Priorität. In der Praxis lassen sich die Bereiche in vier Blöcke gruppieren: analysieren (1 und 6), schützen (5, 8, 9 und 10), erkennen und reagieren (2) sowie widerstandsfähig bleiben (3 und 4). Diese Gruppierung hilft, die Umsetzung in Projektpakete zu schneiden, statt zehn Einzelbaustellen parallel zu öffnen.
Kein Bereich ist optional. Wie tief Sie jeden einzelnen umsetzen, bestimmt aber Ihr Risiko. Deshalb steht am Anfang immer die Risikoanalyse, denn sie liefert die Begründung für alle weiteren Entscheidungen.
Wie ordnen sich die Maßnahmen einem ISMS zu?
Ein Managementsystem für Informationssicherheit deckt den Großteil der 10 Bereiche bereits ab, wenn es nach einem anerkannten Standard aufgebaut ist. Wer ein ISMS betreibt, hat für fast jeden Punkt aus §30 BSIG schon Prozesse und Nachweise. Die folgende Zuordnung zeigt das an Beispielen aus dem Annex A der ISO/IEC 27001:2022.
| §30-Bereich | Entsprechung im ISMS (Beispiel) |
|---|---|
| Risikoanalyse | ISO 27001 Abschnitt 6.1 und Annex A 5.1 |
| Vorfallbehandlung | Annex A 5.24 bis 5.28 |
| Betriebsaufrechterhaltung | Annex A 5.29 und 5.30, ISO 22301 |
| Lieferkette | Annex A 5.19 bis 5.22 |
| Schwachstellen | Annex A 8.8 |
| Kryptografie | Annex A 8.24 |
| Zugriffskontrolle und MFA | Annex A 5.15 bis 5.18 und 8.5 |
Vollständig deckungsgleich sind ISMS und §30 BSIG allerdings nicht. NIS2 verlangt zusätzlich formale Schritte wie die Registrierung und die Meldung von Vorfällen an das Bundesamt. Wer bereits nach ISO 27001 arbeitet, muss vor allem diese NIS2-spezifischen Prozesse ergänzen und die vorhandenen Nachweise auf die Sprache des BSIG übersetzen.
Der Vorteil bleibt trotzdem groß: Sie dokumentieren eine Maßnahme einmal und weisen sie für mehrere Regelwerke nach. In VANTARIS erfassen Sie jede Maßnahme genau einmal und nutzen sie über §30 BSIG, die ISO 27001 und weitere Normen hinweg. Das erspart die Mehrfachpflege, die viele Projekte ausbremst.
Wie weit ist Ihr ISMS bei den 10 Bereichen?
Statt zu raten, welche der 10 Bereiche schon sitzen, messen Sie den Reifegrad. Die kostenlose Selbsteinschätzung zeigt in wenigen Minuten, wo Sie stehen und was noch fehlt.
Wie weist man die Umsetzung nach?
Nachweise sind das Herzstück von §30 BSIG. Die Aufsichtsbehörde verlangt keine schöne Präsentation, sondern belastbare Dokumentation: Risikoanalysen, Richtlinien, Protokolle von Tests, Schulungsnachweise und die Ergebnisse der Wirksamkeitsprüfung nach Bereich 6. Ein Maßnahmenplan mit Verantwortlichen und Fristen macht sichtbar, dass die Umsetzung gesteuert wird und nicht dem Zufall überlassen bleibt.
Praktisch bewährt hat sich ein zentrales Nachweisregister, das jede Maßnahme mit dem passenden Beleg, dem Verantwortlichen und dem Prüfdatum verknüpft. So lässt sich im Ernstfall schnell zeigen, dass die 10 Bereiche nicht nur auf dem Papier existieren, sondern gepflegt und wirksam sind. Die regelmäßige Wirksamkeitsprüfung nach Bereich 6 schließt den Kreislauf und macht Lücken sichtbar, bevor eine Aufsicht sie findet.
Registrierung und Meldepflichten sind eigene NIS2-Pflichten neben §30 BSIG. Wesentliche und wichtige Einrichtungen müssen sich beim Bundesamt registrieren und erhebliche Vorfälle innerhalb der gesetzlichen Fristen melden. Beides behandeln wir gesondert im Ratgeber zur NIS2-Registrierung. Hier geht es allein um die 10 Maßnahmenbereiche selbst.
Ab wann gelten die Maßnahmen und für wen?
Die Pflichten aus §30 BSIG gelten mit Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes für alle Einrichtungen, die in den Anwendungsbereich fallen. Maßgeblich sind Sektor und Größe: erfasst werden in der Regel mittlere und große Unternehmen aus den geregelten Sektoren. Für wesentliche Einrichtungen greift eine strengere, teils proaktive Aufsicht, für wichtige Einrichtungen eine anlassbezogene.
Auch ohne direkte Betroffenheit lohnt sich die Umsetzung. Viele Unternehmen erben die Anforderungen über die Lieferkettensicherheit, weil ihre regulierten Kunden die Pflichten vertraglich weiterreichen. Wer die 10 Bereiche sauber abdeckt, besteht Sicherheitsfragebögen und Ausschreibungen souverän. Einen vollständigen Überblick über den Rechtsrahmen bietet unsere Seite zu NIS2 umsetzen.
Welche Fehler treten bei der Umsetzung am häufigsten auf?
Der häufigste Fehler ist die reine Papierumsetzung: Richtlinien werden geschrieben, aber nicht gelebt. Ein zweiter Klassiker ist die vergessene Wirksamkeitsprüfung nach Bereich 6, die viele Einrichtungen zwar planen, aber nie durchführen. Auch die Lieferkette nach Bereich 4 wird oft unterschätzt, obwohl gerade dort viele Vorfälle ihren Ursprung haben.
Ebenso verbreitet ist es, alle 10 Bereiche mit gleicher Intensität anzugehen und sich damit zu verzetteln. Wirksamer ist es, entlang der Risikoanalyse zu priorisieren und mit den kritischsten Systemen zu beginnen. Wer zuerst die Bereiche mit dem größten Schutzbedarf absichert, erzielt mit begrenzten Mitteln den größten Effekt und kann die übrigen Bereiche geordnet nachziehen.
Sind Sie überhaupt von NIS2 betroffen?
Bevor Sie die 10 Maßnahmen umsetzen, klären Sie die Betroffenheit. Der NIS2-Betroffenheits-Check ordnet Ihr Unternehmen nach Sektor und Größe ein und sagt Ihnen, ob und als was Sie erfasst sind.
Häufige Fragen zu den NIS2-Maßnahmen nach §30 BSIG
Gelten die 10 Maßnahmen auch für kleine Unternehmen?
Nur wenn das Unternehmen in den Anwendungsbereich fällt, meist ab mittlerer Größe in einem geregelten Sektor. Kleinstunternehmen sind in der Regel ausgenommen. Fällt ein kleines Unternehmen doch darunter, gelten die Bereiche verhältnismäßig, also im Umfang angemessen zum tatsächlichen Risiko und zur Betriebsgröße.
Reicht eine ISO 27001-Zertifizierung für §30 BSIG?
Sie ist eine sehr gute Grundlage und deckt einen Großteil der 10 Bereiche ab. NIS2 bringt aber eigene Pflichten mit, etwa Registrierung und Meldewege, die über ein ISMS hinausgehen. Das Zertifikat allein ersetzt den Nachweis der konkreten NIS2-Umsetzung deshalb nicht vollständig.
Was bedeutet "Stand der Technik" bei den Maßnahmen?
Stand der Technik meint den Entwicklungsstand fortschrittlicher Verfahren, der sich in der Praxis bewährt hat. Er liegt zwischen den anerkannten Regeln der Technik und dem Stand der Wissenschaft. Konkrete Orientierung geben Normen wie die ISO 27002 und Veröffentlichungen des BSI.
Sind die 10 Maßnahmenbereiche verpflichtend oder nur empfohlen?
Sie sind verpflichtend. §30 BSIG formuliert sie als Mindestanforderung, nicht als Empfehlung. Spielraum besteht nur beim Umfang, nicht bei der Frage ob. Jeder der 10 Bereiche muss adressiert sein, sonst droht bei einer Prüfung eine Beanstandung durch die Aufsichtsbehörde.
Wie hängt §30 BSIG mit Artikel 21 der NIS2-Richtlinie zusammen?
§30 BSIG setzt Artikel 21 der NIS2-Richtlinie in deutsches Recht um. Die 10 Bereiche entsprechen inhaltlich dem europäischen Katalog. Weil eine Richtlinie nationale Gesetze braucht, gilt für Einrichtungen in Deutschland unmittelbar der BSIG-Text, nicht die Richtlinie selbst.
Müssen alle 10 Bereiche gleich tief umgesetzt werden?
Nein. Die Tiefe richtet sich nach dem Risiko. Ein Bereich mit hohem Schutzbedarf verlangt mehr als ein unkritischer. Die Risikoanalyse liefert die Begründung, warum eine Maßnahme in einem Bereich ausführlicher ausfällt als in einem anderen. Dokumentiert werden muss jede Entscheidung.
Die wichtigsten Fakten auf einen Blick
| Aspekt | Kernaussage |
|---|---|
| Rechtsgrundlage | §30 BSIG, Umsetzung von Artikel 21 der NIS2-Richtlinie (EU) 2022/2555 |
| Anzahl | 10 verpflichtende Maßnahmenbereiche |
| Adressaten | wesentliche und wichtige Einrichtungen |
| Prinzip | geeignet, verhältnismäßig und nach dem Stand der Technik |
| Nachweis | Dokumentation, Maßnahmenplan und Wirksamkeitsprüfung |
| Abgrenzung | Registrierung und Meldepflichten sind eigene NIS2-Pflichten |
Quellen: NIS2-Richtlinie (EU) 2022/2555, Art. 21, BSI zu NIS2, ISO/IEC 27001
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.