CyberPediaWissenA2-02NIS-2

Die zehn Mindestmaßnahmen: § 30 BSIG umsetzen

Autor: Willi Plattes LinkedIn
Erstveröffentlichung: 05. Juli 2026 · Letzte Aktualisierung: 19. September 2026
Lesezeit: 37 Min.

1. Worum es geht — zehn Themenbereiche, eine Grundpflicht

Das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen heißt im Folgenden BSI-Gesetz (BSIG). § 30 [N-BSIG-30] verpflichtet besonders wichtige und wichtige Einrichtungen grundsätzlich zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Risikomanagementmaßnahmen. Das Bundesamt für Sicherheit in der Informationstechnik wird im Folgenden als BSI bezeichnet. Die zehn Nummern des Absatzes 2 sind kein Einkaufszettel für zehn Produkte. Sie bezeichnen zehn gesetzliche Themenbereiche, die das Maßnahmenprogramm mindestens abdecken muss.

Die Vorschrift verbindet sechs Aufgaben:

  1. den richtigen Pflichtenträger und das für ihn geltende Regelwerk bestimmen;
  2. den sachlichen Schutzumfang vollständig erfassen;
  3. Risiken und mögliche Außenwirkungen bewerten;
  4. alle zehn Themenbereiche verhältnismäßig ausgestalten und ihre Wirksamkeit prüfen;
  5. festgestellte Nichterfüllungen oder Abweichungen mit fehlender Schutzwirkung unverzüglich bewerten und durch erforderliche, angemessene und verhältnismäßige Korrektur- oder Zwischenmaßnahmen behandeln;
  6. die Einhaltung nachvollziehbar dokumentieren.

Dieser Artikel beantwortet: Welche zehn Bereiche § 30 verlangt, wie der Schutzumfang gebildet wird, wie Verhältnismäßigkeit und unverzügliche Korrektur zusammenwirken, welche unionsrechtlichen Sondermaßstäbe zu prüfen sind und welche Nachweisarchitektur sich anbietet.

Dieser Artikel ersetzt nicht: die individuelle Einordnung nach § 28, sektorale Spezialprüfung, eine konkrete Maßnahmenplanung oder eine verbindliche Konformitätsbestätigung.

Das Pflichtenprogramm im Überblick steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Wer verpflichtet ist, steht vertieft in Schwellenwerte (250 MA / 50 Mio. €). Die Konzern-Größenrechnung steht in Konzern: Größenklassen & IT-Tochter.

2. Anwendungs-Gate — erst den Pflichtenträger und das Regelwerk bestimmen

Die Aussage „Wir sind eine wichtige Einrichtung, also gilt § 30 vollständig“ kann falsch sein. Vor jeder Maßnahmenanalyse sind Status, Ausschlüsse, Sonderregime und Ausnahmebescheide zu prüfen. KRITIS steht für kritische Infrastrukturen.

Prüfpunkt Leitfrage mögliche Folge für § 30 und § 38
Status nach § 28 Fällt der Rechtsträger mit einer nicht nur vernachlässigbaren Geschäftstätigkeit unter eine Einrichtungsart der Anlagen 1 oder 2 und liegen die maßgeblichen Größen- oder Sondertatbestände vor? Erst bei vorliegendem Status-Tatbestand wird weitergeprüft. Eine geringe Größe ist keine allgemeine Befreiung; sie kann Status und Verhältnismäßigkeit beeinflussen.
Partner- und verbundene Unternehmen Welche Daten sind nach § 28 Absatz 4 einzubeziehen, und liegt die dort geregelte rechtliche, wirtschaftliche und tatsächliche informationstechnische Unabhängigkeit vor? Der Einrichtungsstatus kann sich ändern. Eine Konzernbetrachtung ersetzt nicht die Bestimmung des konkreten Pflichtenträgers.
Telekommunikation und Energie Greift § 28 Absatz 5 einschließlich seiner Rückausnahmen und seines Systembezugs? Die dort genannten Vorschriften, darunter §§ 30 und 38, können ausgeschlossen sein oder wegen einer Rückausnahme wieder eingreifen.
Finanzsektor und Telematikinfrastruktur Greift § 28 Absatz 6 für das Unternehmen, den Dienst oder die betreffende Tätigkeit? §§ 30 und 38 können im gesetzlichen Umfang ausgeschlossen sein. Daneben können die Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) oder andere sektorspezifische Pflichten gelten.
Landes- und Kommunaleinheiten Liegen beide Voraussetzungen des § 28 Absatz 8 vor? Liegen beide Voraussetzungen vor, ist das BSIG insgesamt nicht anwendbar.
Bundesverwaltung Handelt es sich um eine Einrichtung nach § 29? Für Einrichtungen der Bundesverwaltung gilt ein eigener Regelungspfad. § 38, § 40 Absatz 3, § 61 und § 65 sind nach § 29 Absatz 2 grundsätzlich nicht anzuwenden; bestimmte Stellen sind zusätzlich von § 30 ausgenommen. Dieser Pfad gehört nicht in die Unternehmensumsetzung dieses Artikels.
Ausnahmebescheid Besteht ein wirksamer Bescheid nach § 37, und welche Tätigkeiten oder Pflichten erfasst er genau? Nur der im Bescheid bestimmte Umfang wird ausgenommen. Vertrauensdiensteanbieter sind von den Ausnahmen nach § 37 Absätze 1 bis 3 ausgeschlossen.
KRITIS-Zusatz Ist die Einrichtung Betreiber einer kritischen Anlage? Dann sind zusätzlich § 31 und besondere Nachweisspuren zu prüfen. KRITIS-Zusatzpflichten stehen in Sondertatbestände + KRITIS.
EU- oder Sektor-Spezialrecht Gehört die Einrichtung zu einer Einrichtungsart, für die ein unionsrechtlicher oder sektoraler Spezialakt gilt? Das Sollbild ist unter Beachtung von persönlichem und sachlichem Anwendungsbereich, Vorrang, Spezialität und verbleibendem nationalem Regelungsraum zu bilden.

Bei den in § 60 Absatz 1 genannten Einrichtungsarten richtet sich die zentrale Zuständigkeit in der Europäischen Union nach der Hauptniederlassung oder gegebenenfalls dem Vertreter. Diese Zuständigkeit ist getrennt vom materiellen Pflichtumfang des § 30 zu bestimmen.

Ab wann ist § 30 zu beachten?

Das neue BSIG ist seit dem 6. Dezember 2025 in Kraft. § 66 verschiebt die materielle Grundpflicht des § 30 nicht. § 66 regelt die zeitabhängige Anwendung bestimmter KRITIS-Begriffe und des § 33 Absatz 2; dadurch kann er mittelbar die KRITIS-Einordnung und Zusatzpflichten beeinflussen.

Für eine konkrete Einrichtung ist außerdem zu prüfen, wann ihre Tatbestandsvoraussetzungen tatsächlich vorlagen. Eine spätere Registrierungsfrist oder ein später möglicher routinemäßiger Nachweisabruf ist keine allgemeine Schonfrist für die materiellen Risikomanagementmaßnahmen. Änderungen von Tätigkeit, Größe, Konzernstruktur oder Rechtsform gehören deshalb in ein wiederkehrendes Statusmonitoring.

3. Der sachliche Schutzumfang — weiter als der einzelne Markt- oder Versorgungsdienst

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.

— § 30 Absatz 1 BSIG

Die Wendung „für die Erbringung ihrer Dienste“ darf nicht auf den in Anlage 1 oder 2 bezeichneten Markt-, Infrastruktur- oder Versorgungsdienst verengt werden. Die amtliche Gesetzesbegründung versteht sie weit: Gemeint sind sämtliche Tätigkeiten der Einrichtung, für die informationstechnische Systeme eingesetzt werden. Sie nennt ausdrücklich auch Büro-IT und andere von der Einrichtung betriebene IT-Systeme.

Damit gehören nicht nur Produktions-, Steuerungs- oder Kundenplattformen in die Schutzumfangsprüfung. Zu untersuchen sind auch zentrale Identitäts- und Berechtigungssysteme, Verzeichnisdienste, Administrationszugänge, Bürokommunikation, Personal- und Beschaffungssysteme, Entwicklungs- und Wartungsumgebungen, Sicherheitsplattformen, Netze, Standorte, gemeinsam genutzte Dienste und ausgelagerte Leistungen. Entscheidend ist, ob sie für Tätigkeiten der Einrichtung eingesetzt werden oder über technische beziehungsweise organisatorische Abhängigkeiten den Schutz der hierfür genutzten Systeme, Komponenten und Prozesse wesentlich beeinflussen können.

Das bedeutet nicht, dass jede IT eines Konzerns ohne Prüfung in den Pflichtenumfang fällt. Es bedeutet aber, dass ein System nicht allein deshalb ausgeschlossen werden darf, weil es intern, zentral, unterstützend oder bei einem verbundenen Unternehmen betrieben wird.

Praktische Schutzumfangskette

Rechtsträger und Tätigkeiten bestimmen

→ alle hierfür eingesetzten oder sicherheitswirksamen Systeme, Komponenten und Prozesse erfassen

→ Daten, Personen, Standorte, Kommunikationswege, Schnittstellen und externe Anbieter zuordnen

→ gemeinsame Dienste und technische sowie organisatorische Abhängigkeiten analysieren

→ Folgen für Empfänger und andere abhängige Dienste betrachten

→ Ausschlüsse nur nach nachvollziehbarer Prüfung dokumentieren

→ den verbleibenden Bestand mit Risiken, Maßnahmen, Verantwortlichkeiten und Nachweisen verbinden.

Die Richtlinie (EU) 2022/2555 regelt Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau und wird als NIS-2-Richtlinie bezeichnet. Sie verdeutlicht den Außenbezug. Der Maßnahmenzweck umfasst auch, Auswirkungen von Sicherheitsvorfällen auf Empfänger der Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten. Für die Risikoanalyse sind deshalb Kunden-, Nutzer-, Partner- und Kaskadeneffekte mitzudenken.

4. Die Grundmaßstäbe — geeignet, verhältnismäßig, wirksam und gefahrenübergreifend

§ 30 verlangt keine identische Sicherheitsarchitektur für alle Einrichtungen. Die gesetzlichen Begriffe bilden zusammen einen Entscheidungsrahmen.

Maßstab praktische Lesart notwendige Nachweisfrage
geeignet Die Maßnahme kann im konkreten Kontext zum Schutz der betroffenen Systeme, Komponenten und Prozesse beitragen. Welches Risiko oder Schutzziel adressiert sie, und warum kann sie dort wirken?
verhältnismäßig Intensität und Aufwand werden anhand der gesetzlichen Faktoren bemessen, nicht nur anhand von Größe oder Kosten. Welche Risikoexposition, Vorfallwahrscheinlichkeit, Schadensschwere, gesellschaftlichen und wirtschaftlichen Auswirkungen sowie Umsetzungskosten wurden abgewogen?
wirksam Die Maßnahme ist nicht nur beschlossen, sondern entfaltet im Betrieb die beabsichtigte Schutzwirkung. Woran wird Wirkung gemessen, wie wird getestet, und was geschieht bei negativen Befunden?
gefahrenübergreifend Cyberbedrohungen, menschliche Fehler, technische Ausfälle, Lieferkettenrisiken und Gefahren der physischen Umwelt werden gemeinsam betrachtet. Sind etwa Strom- und Telekommunikationsausfälle, Feuer, Wasser, Diebstahl, unbefugter physischer Zutritt und Ausfälle externer Leistungen einbezogen?

Diese Erläuterungen sind ein operatives Arbeitsverständnis, keine zusätzlichen gesetzlichen Definitionen. Die belastbare Ausgestaltung bleibt vom Einzelfall und von einschlägigem Spezialrecht abhängig.

Verhältnismäßigkeit ist ein Mehrfaktorenmaßstab

§ 30 Absatz 1 Satz 2 nennt ausdrücklich:

  • das Ausmaß der Risikoexposition;
  • die Größe der Einrichtung;
  • die Umsetzungskosten;
  • die Eintrittswahrscheinlichkeit von Sicherheitsvorfällen;
  • die Schwere möglicher Sicherheitsvorfälle;
  • gesellschaftliche und wirtschaftliche Auswirkungen.

Keine dieser Größen sollte ungeprüft zur alleinigen Entscheidungsregel werden. Eine kleine Einrichtung kann hohe Risiken oder starke Abhängigkeiten haben. Eine teure Maßnahme kann bei existenzbedrohenden oder weitreichenden Auswirkungen geboten sein. Umgekehrt muss nicht stets die technisch stärkste oder teuerste denkbare Lösung gewählt werden, wenn ein angemessenes Sicherheitsniveau mit einer weniger belastenden Lösung erreicht und nachgewiesen werden kann.

Stand der Technik und Normen: Soll-Vorgaben, kein Zertifikatsautomatismus

Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen:

— § 30 Absatz 2 Satz 1 und Satz 2 BSIG

Der Gesetzestext verwendet unterschiedliche Operatoren:

  • Die Maßnahmen sollen den Stand der Technik einhalten.
  • Sie sollen einschlägige europäische und internationale Normen berücksichtigen.
  • Sie müssen auf einem gefahrenübergreifenden Ansatz beruhen.
  • Sie müssen zumindest die zehn gesetzlichen Themenbereiche umfassen.

„Sollen“ ist weder mit „müssen“ identisch noch als unverbindliche Empfehlung zu behandeln. Eine Abweichung darf deshalb nicht wie eine freie Wahl behandelt werden. Für eine belastbare Compliance-Position sind ihre rechtliche Tragfähigkeit und ihre sachlichen Gründe zu dokumentieren.

Der Gesetzestext definiert den „Stand der Technik“ nicht. Als operatives Arbeitsverständnis sollte er als dynamischer Maßstab behandelt werden, der fortentwickelte, verfügbare und im Risikokontext belastbare technische Möglichkeiten berücksichtigt. Bloße Marktüblichkeit und ein noch nicht bewährter Prototyp sind nicht ohne Weiteres dasselbe.

Normen, BSI-Grundschutz und branchenspezifische Standards können bei Strukturierung, Vergleich und Nachweis helfen. Ein Zertifikat nach einer Managementsystemnorm ersetzt jedoch nicht die einrichtungsbezogene Prüfung des gesetzlichen Schutzumfangs, aller zehn Themenbereiche, der Verhältnismäßigkeit, der Wirksamkeit und etwaiger Spezialvorgaben.

5. Die zehn Mindestmaßnahmen — Wortlaut, Leitungsfrage und Nachweisrichtung

  1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
  2. Bewältigung von Sicherheitsvorfällen,
  3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
  4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
  5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
  6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
  7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
  8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
  9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
  10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

— § 30 Absatz 2 Nummern 1 bis 10 BSIG

IKT steht für Informations- und Kommunikationstechnik. Der Begriff umfasst in diesem Zusammenhang Systeme, Produkte und Prozesse, die Informationen elektronisch verarbeiten oder Kommunikation ermöglichen.

Jeder Themenbereich muss geprüft und im Maßnahmenkonzept nachvollziehbar adressiert werden. Daraus folgt nicht, dass jede Einrichtung dieselben Einzelkontrollen einführt oder jede innerhalb einer Nummer denkbare Technik kumulativ einsetzen muss. Alternativen, ausdrückliche Konditionierungen, der konkrete Risikokontext und vorrangiges Spezialrecht bleiben zu beachten.

Nr. gesetzlicher Themenbereich Leitungsfrage mögliche Nachweisrichtung — kein abschließender Erfüllungstest
1 Risikoanalyse und IT-Sicherheitskonzepte Ist ein freigegebener Rahmen vorhanden, der Schutzumfang, Werte, Bedrohungen, Schwachstellen, Auswirkungen, Abhängigkeiten, Risikobehandlung und Restrisiken zusammenführt? Schutzumfangs- und Bestandsverzeichnis, Risikomethode, Risikoregister, Sicherheitsleitlinien, Behandlungsplan, Entscheidungs- und Freigabenachweise.
2 Bewältigung von Sicherheitsvorfällen Können relevante Ereignisse erkannt, bewertet, eingedämmt, beseitigt, wiederhergestellt und nachbereitet werden, und sind Meldewege davon sauber getrennt? Verfahren zur Reaktion auf Sicherheitsvorfälle (Incident Response), Rollen und Bereitschaften, Klassifikation, Kommunikations- und Eskalationswege, Übungs- und Vorfallprotokolle sowie dokumentierte Erkenntnisse aus Vorfällen und Übungen. Das Krisenmanagement der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden; die Meldepflicht steht in BSI-Meldepflicht (§ 32 BSIG).
3 Aufrechterhaltung des Betriebs, Backup, Wiederherstellung und Krisenmanagement Welche Tätigkeiten, Systeme, Daten, Personen, Standorte und Anbieter müssen in welcher Zeit wieder verfügbar sein, und wurden Wiederanlauf und Sicherungen praktisch getestet? Auswirkungsanalyse für Geschäftsunterbrechungen (Business Impact Analysis), Kontinuitäts- und Wiederherstellungspläne, Backup- und Wiederanlaufkonzept, Trennungsstrategie soweit risikogerecht, Testberichte, Krisenrollen und Ausweichverfahren.
4 Sicherheit der Lieferkette Werden Sicherheitsrisiken unmittelbarer Anbieter vor Auswahl, während der Leistung und bei Änderungen beurteilt, und bestehen Ausweich- und Beendigungsoptionen? Anbieterinventar, Kritikalitätsbewertung, strukturierte Anbieterprüfung (Due Diligence), Vertragsanforderungen, Leistungs- und Vorfallüberwachung, Änderungs- und Exit-Pläne, Abhängigkeits- und Konzentrationsanalyse. Die vollständige Lieferkettenkette steht in Abschnitt 6.
5 Sicherer Erwerb, Entwicklung und Wartung; Schwachstellen Werden Sicherheitsanforderungen über den gesamten Lebenszyklus festgelegt, geprüft und nach Änderungen erhalten? Sind Schwachstellenmanagement und koordinierte Offenlegung getrennt organisiert? Beschaffungs- und Entwicklungsanforderungen, sichere Konfiguration, Freigabe- und Änderungsprozesse, Patch- und Schwachstellenverfahren, Meldekanal für Schwachstellen, Behebungs- und Offenlegungsentscheidungen, Wartungs- und End-of-Life-Planung.
6 Bewertung der Wirksamkeit Wird festgestellt, ob Maßnahmen umgesetzt sind und tatsächlich wirken, und fließen Befunde in Risiken und Abhilfe zurück? Messgrößen, Kontrolltests, technische Tests, Übungen, interne Prüfungen, Auditbefunde, Maßnahmenverfolgung, Nachtest und Leitungsbericht.
7 Grundlegende Schulungen und Sensibilisierung Welche Rollen, Zugriffe und Risikosituationen erfordern welche Kenntnisse, Übungen und Wiederholungen? Zielgruppen- und Rollenmatrix, Schulungsplan, Inhalte, Teilnahme, Übungen und Wirksamkeitsmessung. Zielgruppen sind aus Rollen, Zugriffen und Risikosituationen abzuleiten; ein Ausschluss braucht eine dokumentierte Prüfung. Die eigene Schulungspflicht der Geschäftsleitung steht in Schulungspflicht der Geschäftsleitung.
8 Kryptographische Verfahren Für welche Schutzziele werden kryptographische Verfahren eingesetzt, und wie werden Auswahl, Schlüssel, Zertifikate, Laufzeiten, Geheimnisse und technischer Wandel gesteuert? Kryptografiekonzept, Anwendungs- und Schlüsselinventar, Rollen, Erzeugung, Speicherung, Rotation, Sperrung, Wiederherstellung und Ausmusterung. Verschlüsselung ist ein wichtiger Anwendungsfall, aber nicht der gesamte Themenbereich.
9 Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT Sind Rollen, Identitäten, Berechtigungen, physische Zugänge und Informations- sowie Technikbestände über ihren Lebenszyklus gesteuert? Eintritts-, Wechsel- und Austrittsprozesse, Rollen- und Berechtigungskonzepte, Rezertifizierungen, Funktionstrennung, privilegierte Zugänge, Asset- und Konfigurationsmanagement, Verantwortlichkeiten und Rückgabeprozesse. Die Gesetzesbegründung ordnet die Verwaltung von Systemen, Produkten und Prozessen der Bestands- und Lebenszyklusverwaltung (Asset Management) zu.
10 Multi-Faktor- oder kontinuierliche Authentifizierung; sichere Kommunikation Wo ist Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung erforderlich, wie werden Sprach-, Video- und Textkommunikation gesichert, und sind gesicherte Notfallkanäle geboten? risikobezogene Authentifizierungsentscheidung, Identitäts- und Gerätekontext, Ausnahmen und Wiederherstellung, sichere Kommunikationsplattformen, Tests und gegebenenfalls getrennte Notfallkommunikation. Das gesetzliche „oder“ zwischen den Authentifizierungsformen und das „gegebenenfalls“ bei Notfallkommunikation sind zu erhalten.

Kontinuierliche Authentifizierung überprüft Vertrauenssignale nicht nur beim einmaligen Anmelden, sondern während einer Sitzung oder Nutzung fortlaufend. Sie ist nicht mit einer bestimmten Produktklasse gleichzusetzen und muss zum Risiko, zur Benutzergruppe und zum technischen Umfeld passen.

Schwachstellenmanagement umfasst insbesondere Erkennen, Bewerten, Priorisieren, Beheben und Nachverfolgen. Koordinierte Offenlegung betrifft dagegen den geregelten Umgang mit extern gemeldeten Schwachstellen und die abgestimmte Veröffentlichung oder Weitergabe von Informationen. Beide Prozesse hängen zusammen, sind aber nicht dasselbe.

6. Vier Pflichtenketten, die nicht fehlen dürfen

6.1 Verhältnismäßig skalieren, aber keinen Themenbereich ungeprüft lassen

„Zumindest“ bedeutet: Die zehn Themenbereiche sind das gesetzliche Mindestprogramm. Verhältnismäßigkeit beeinflusst das konkrete Wie, die Intensität, Priorität und Ausgestaltung. Sie rechtfertigt nicht, einen Themenbereich ohne Prüfung aus dem Programm zu streichen.

Für jede offene oder anders umgesetzte Anforderung sollte die Entscheidung mindestens beantworten:

  1. Welcher gesetzliche Themenbereich und welches Risiko sind betroffen?
  2. Welche Schutzwirkung wird benötigt?
  3. Welche Umsetzung wurde gewählt oder verworfen?
  4. Welche gesetzlichen Verhältnismäßigkeitsfaktoren wurden berücksichtigt?
  5. Welche Zwischen- oder kompensierenden Maßnahmen bestehen?
  6. Welches Restrisiko bleibt, wer darf darüber entscheiden und wann wird erneut geprüft?

Eine risikobasierte Staffelung kann ein sachgerechtes Projektmodell sein. Sie ist aber keine gesetzliche Aufschubregel. Bereits heute geschuldete Schutzwirkung darf nicht allein durch einen entfernten Zieltermin ersetzt werden.

6.2 Erkannte Nichterfüllung unverzüglich korrigieren

Artikel 21 Absatz 4 der NIS-2-Richtlinie [EU-NIS2] verlangt bei festgestellter Nichterfüllung der dort genannten Maßnahmen unverzüglich alle erforderlichen, angemessenen und verhältnismäßigen Korrekturmaßnahmen. Die amtliche Begründung ordnet § 30 Absatz 1 ausdrücklich auch der Umsetzung dieser Vorgabe zu.

Nichterfüllung oder Abweichung mit fehlender Schutzwirkung feststellen

→ Risiko und mögliche Außenwirkungen unverzüglich bewerten

→ sofort mögliche Korrektur- oder Zwischenmaßnahmen bestimmen

→ Verantwortlichkeit, Ressourcen und verbindlichen Endtermin festlegen

→ Umsetzung und Wirksamkeit kontrollieren

→ Risiko-, Maßnahmen- und Nachweisdokumentation aktualisieren

→ Geschäftsleitung informieren und die weitere Überwachung sichern.

Eine Roadmap bleibt häufig notwendig. Sie muss jedoch erkennen lassen, wie das aktuelle Risiko bis zur endgültigen Abhilfe beherrscht wird. Ein nicht begründeter Verweis auf Budget, Fachkräftemangel oder ein späteres Transformationsprogramm ersetzt diese Prüfung nicht.

6.3 Die Lieferkette anhand der unionsrechtlichen Faktoren bewerten

Artikel 21 Absatz 3 der NIS-2-Richtlinie konkretisiert, was bei geeigneten Maßnahmen zur Lieferkettensicherheit zu berücksichtigen ist. Die Prüfung darf daher nicht bei Vertragsklauseln enden.

unmittelbare Anbieter und Diensteanbieter identifizieren

→ ihre spezifischen Schwachstellen beurteilen

→ Gesamtqualität ihrer Produkte und ihrer Cybersicherheitspraxis bewerten

→ Sicherheit ihrer Entwicklungsprozesse berücksichtigen

→ einschlägige Ergebnisse koordinierter Risikobewertungen kritischer Lieferketten einbeziehen

→ Auswahl-, Vertrags-, Überwachungs-, Abhilfe-, Diversifizierungs- und Exit-Maßnahmen bestimmen

→ Änderungen und Vorfälle in die Bewertung zurückführen.

Die Gesetzesbegründung nennt als mögliche Instrumente unter anderem vertragliche Vereinbarungen und externe Angriffsflächen-Scans (External-Attack-Surface-Scans), mit denen von außen sichtbare Systeme und mögliche Schwachstellen erfasst werden. Das sind Beispiele, keine für jede Einrichtung identischen Musskontrollen. Auch Empfehlungen des BSI zu Produkten oder Dienstleistungen können relevant sein, ersetzen aber nicht die eigene Risikoentscheidung.

6.4 Wirksamkeitsprüfung als geschlossenen Regelkreis organisieren

Die Nummer 6 ist kein abschließendes Audit am Projektende. Sie verbindet die übrigen Themenbereiche zu einem fortlaufenden Regelkreis:

Sollbild und Messkriterien festlegen

→ Umsetzung prüfen

→ technische, organisatorische oder szenariobasierte Tests durchführen

→ Abweichungen und Ursachen bewerten

→ Korrektur- und Verbesserungsmaßnahmen umsetzen

→ Wirkung nachtesten

→ Entscheidungen und Restrisiken dokumentieren

→ Geschäftsleitung berichten

→ bei Änderungen oder Vorfällen erneut beginnen.

Ein Bericht, der negative Befunde folgenlos lässt, belegt keine geschlossene Wirksamkeitssteuerung. Umgekehrt muss nicht jede Maßnahme mit derselben Methode oder Häufigkeit getestet werden. Testtiefe und Turnus sind risikobezogen festzulegen; Spezialrecht kann konkretere Vorgaben enthalten.

7. EU-, Rechtsverordnungs- und Zertifizierungsschienen sauber trennen

Die rechtliche Reihenfolge ist kein einfaches Schema „EU vor Gesetz vor Verordnung“. Eine Rechtsverordnung (RVO) ist eine untergesetzliche Regelung auf gesetzlicher Ermächtigung. Zuerst ist zu bestimmen, welcher Akt welchen Adressaten, Gegenstand und Konfliktfall erfasst.

Artikel 24 Absatz 1 der NIS-2-Richtlinie eröffnet den Mitgliedstaaten eine nationale Verpflichtungsschiene. Danach können bestimmte, nach europäischen Schemata zertifizierte IKT-Produkte, IKT-Dienste und IKT-Prozesse vorgeschrieben werden, um bestimmte Anforderungen des Artikels 21 nachzuweisen.

Die amtliche Begründung ordnet § 30 Absatz 6 dieser Umsetzung zu. Eine konkrete deutsche Verwendungspflicht entsteht jedoch erst durch eine Rechtsverordnung nach § 56 Absatz 3 [N-BSIG-56].

eIDAS [EU-eIDAS] bezeichnet die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste.

Schiene Auslöser und Wirkung Prüfhinweis
§ 30 Absatz 3: bestehender Durchführungsrechtsakt Für die dort genannten digitalen Einrichtungsarten hat der Durchführungsrechtsakt nach Artikel 21 Absatz 5 Unterabsatz 1 NIS-2-Richtlinie Vorrang. Der bestehende Akt ist die Durchführungsverordnung (EU) 2024/2690. Persönlichen und sachlichen Anwendungsbereich für Anbieterart, konkrete Leistung und erfasste Tätigkeiten getrennt prüfen. Vorrang bedeutet nicht, dass alle übrigen BSIG-Pflichten entfallen.
§ 30 Absatz 4: weitere Durchführungsrechtsakte Erlässt die Kommission einen Akt nach Artikel 21 Absatz 5 Unterabsatz 2, gehen dessen Anforderungen den Maßnahmen des Absatzes 2 vor, soweit sie ihnen entgegenstehen. Vor Veröffentlichung und Umsetzung aktuellen Erlass- und Änderungsstand prüfen. Die Kollisionsformel darf nicht in Absatz 3 hineingelesen werden.
§ 30 Absatz 5: nationale Präzisierungs- und Erweiterungs-RVO Soweit EU-Durchführungsrechtsakte keine abschließenden technischen, methodischen oder sektoralen Bestimmungen enthalten, kann das Bundesministerium des Innern diese durch Rechtsverordnung präzisieren und erweitern. Nicht als pauschal nachrangige dritte Stufe darstellen; zuerst ist der verbleibende, nicht abschließend unionsrechtlich geregelte Raum zu bestimmen.
§ 30 Absatz 6 in Verbindung mit § 56 Absatz 3: nationale Zertifizierungs-RVO Eine Verwendungspflicht für bestimmte zertifizierte IKT-Produkte, IKT-Dienste oder IKT-Prozesse entsteht erst, wenn eine Rechtsverordnung die betroffenen Gegenstände bestimmt. § 30 Absatz 6 allein ist keine allgemeine Pflicht, ausschließlich zertifizierte Technik einzusetzen.
Artikel 24 Absatz 2 NIS-2-Richtlinie: delegierte Rechtsakte Die Kommission kann Kategorien wesentlicher und wichtiger Einrichtungen zum Einsatz bestimmter zertifizierter IKT oder zum Erwerb eines Zertifikats nach einem europäischen Schema verpflichten und eine Umsetzungsfrist festlegen. Diese Schiene ist von Durchführungsrechtsakten nach Artikel 21 Absatz 5 zu unterscheiden. Die amtliche Begründung beschreibt solche delegierten Rechtsakte als vorrangig gegenüber einer nach § 30 Absatz 6 erlassenen nationalen Rechtsverordnung.
eIDAS-Spezialrecht für Vertrauensdienste Vertrauensdiensteanbieter können zusätzlich unmittelbar geltenden eIDAS-Rechtsakten zu Risikomanagement, Anbieteranforderungen und Konformitätsbewertung unterliegen. Gegenstand, Anbieterart und Anwendungszeitpunkt trennen; eIDAS-Akte sind keine Änderungen der Durchführungsverordnung (EU) 2024/2690 und nicht mit der nationalen Produktzertifizierungsschiene gleichzusetzen.

Fehlt ein geeignetes europäisches Zertifizierungsschema, kann die Kommission nach Artikel 24 Absatz 3 NIS-2 die Europäische Agentur für Cybersicherheit auffordern, ein mögliches Schema auszuarbeiten. Auch diese Vorbereitung ist von einer bereits geltenden Verwendungspflicht zu unterscheiden.

7.1 Durchführungsverordnung (EU) 2024/2690

Der von der Europäischen Kommission gemäß Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie erlassene Durchführungsrechtsakt zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 1 genannten Maßnahmen in Bezug auf DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter hat für die vorgenannten Einrichtungsarten Vorrang.

— § 30 Absatz 3 BSIG

Das Domain Name System (DNS) ordnet Namen technischen Adressen zu; Registrierungsstellen für Domänennamen oberster Stufe verwalten die oberste Ebene bestimmter Namensräume. Managed Service Provider betreiben oder verwalten IT-Leistungen für Kunden, während Managed Security Service Provider verwaltete Sicherheitsleistungen anbieten.

Die Durchführungsverordnung (EU) 2024/2690 [EU-DVO2690] legt für diese Anbieter technische und methodische Anforderungen zu den zehn NIS-2-Themen sowie Kriterien für erhebliche Sicherheitsvorfälle fest. Sie ist deshalb nicht nur Auslegungshilfe, sondern ein eigener unmittelbar geltender Maßstab für die erfassten Einrichtungen.

Die Verordnung wurde am 18. Oktober 2024 veröffentlicht und trat am zwanzigsten Tag danach, am 7. November 2024, in Kraft. Ihr Artikel 15 hob die Durchführungsverordnung (EU) 2018/151 auf. Ältere Unterlagen müssen diesen Rechtsstand berücksichtigen.

Ihr Artikel 2 Absatz 2 enthält eine wichtige Konditionierungslogik. Nur wenn eine konkrete Anforderung im Anhang „soweit angemessen“, „soweit anwendbar“ oder „soweit durchführbar“ gilt und die Einrichtung sie deshalb nicht anwendet, ist die Begründung verständlich zu dokumentieren. Daraus folgt kein allgemeines Abwahlrecht für den Anhang.

Für die praktische Prüfung sind mindestens zu erfassen:

  • die konkrete Anbieter- und Dienstekategorie;
  • der sachliche Geltungsbereich des Spezialakts;
  • jede einschlägige Unteranforderung des Anhangs;
  • ihre Operatoren und Konditionierungen;
  • spezifische Dokumentations- und Aktualisierungspflichten;
  • nationale Restpflichten und andere eigenständige BSIG-Pflichten.

7.2 Die nationale Zertifizierungspflicht ist bedingt

Besonders wichtige Einrichtungen und wichtige Einrichtungen dürfen durch Rechtsverordnung nach § 56 Absatz 3 bestimmte IKT-Produkte, IKT-Dienste und IKT-Prozesse nur verwenden, wenn diese über eine Cybersicherheitszertifizierung gemäß europäischer Schemata nach Artikel 49 der Verordnung (EU) 2019/881 verfügen.

— § 30 Absatz 6 BSIG

Erst eine Rechtsverordnung nach § 56 Absatz 3 bestimmt, welche Produkte, Dienste oder Prozesse betroffen sind. § 56 Absatz 3 verwendet dafür die Formel, dass die Gegenstände „für die Erbringung der Dienste der Einrichtung maßgeblich“ sind. Zusätzlich müssen Art und Ausmaß der Risikoexposition den verpflichtenden zertifizierten Einsatz erforderlich machen. Der persönliche und sachliche Anwendungsbereich dieser Formel ist gesondert zu prüfen.

Dass ein europäisches Zertifizierungsschema bereits besteht, löst die nationale Verwendungspflicht des § 30 Absatz 6 für sich genommen nicht aus. Ein Beispiel ist das European Common Criteria-based Cybersecurity Certification Scheme (EUCC) nach der Durchführungsverordnung (EU) 2024/482 in der durch die Durchführungsverordnung (EU) 2025/2462 geänderten Fassung. Für die nationale Verwendungspflicht bedarf es weiterhin einer einschlägigen Rechtsverordnung nach § 56 Absatz 3; daneben kann ein delegierter Rechtsakt nach Artikel 24 Absatz 2 NIS-2 eine eigene unionsrechtliche Verpflichtung schaffen.

Eine mögliche Untersagung kritischer Komponenten nach § 41 ist ein gesondertes sektorales Sicherheitsinstrument. Sie ist keine Zertifizierungspflicht nach § 30 Absatz 6.

Managementsystemzertifizierung, Produktzertifizierung, eIDAS-Konformitätsbewertung, ein BSI-festgestellter Branchenstandard und ein Nachweis nach § 39 sind unterschiedliche Instrumente. Sie dürfen nicht als austauschbare Konformitätsbelege behandelt werden.

7.3 Vertrauensdiensteanbieter: eIDAS als eigenes Spezial-Gate

Vertrauensdiensteanbieter müssen neben der Durchführungsverordnung (EU) 2024/2690 die eIDAS-Schiene nach Anbieter-, Dienst- und Anwendungszeitpunkt getrennt prüfen. Dieser Artikel bildet dafür die Schnittstelle ab; er enthält kein abschließendes eIDAS-Inventar für jeden einzelnen Vertrauensdienst.

Für nichtqualifizierte Vertrauensdienste regelt die Durchführungsverordnung (EU) 2025/2160 Referenzstandards, Spezifikationen und Verfahren für das Risikomanagement. Für qualifizierte Vertrauensdiensteanbieter enthält die Durchführungsverordnung (EU) 2025/2530 eigene zusätzliche Anforderungen. Ihre konkrete Verzahnung mit Risikomanagement, Artikel 21 NIS-2 und dem jeweiligen qualifizierten Dienst ist gesondert zu prüfen.

Die Durchführungsverordnung (EU) 2025/2162 regelt Akkreditierung, Konformitätsbewertung, Berichte und Bewertungsschemata qualifizierter Anbieter. Sie bezieht die Einhaltung von Artikel 21 NIS-2 ein und ist in ihrer aktuellen, berichtigten Fassung einschließlich der Berichtigung 2026/90069 zu verwenden. Sie verlangt grundsätzlich mindestens eine jährliche Überwachungskonformitätsbewertung je bewertetem qualifiziertem Vertrauensdienst. Für bestimmte bereits vor dem 17. November 2025 akkreditierte Konformitätsbewertungsstellen enthält sie eine Übergangsregel bis zum 17. Mai 2027.

Die Durchführungsverordnung (EU) 2025/1572 regelt Mitteilung und aufsichtsbehördliche Überprüfung vor Aufnahme qualifizierter Vertrauensdienste; sie gilt erst ab dem 19. August 2026. Je nach Vertrauensdienst können weitere eIDAS-Durchführungsakte hinzutreten. Deshalb muss die konkrete Einrichtung vor Umsetzung eine dienstbezogene eIDAS-Matrix mit Fassung, Berichtigung, Anwendungsbeginn und Prüfgegenstand erstellen.

Diese Akte sind keine Änderungen der Verordnung (EU) 2024/2690 und nicht mit der nationalen Zertifizierungspflicht nach § 30 Absatz 6 gleichzusetzen.

7.4 Dynamisches Release-Gate

Vor jeder Veröffentlichung, Beschaffungsentscheidung oder Konformitätsbewertung ist der aktuelle Stand zu prüfen:

  1. Wurde die Durchführungsverordnung (EU) 2024/2690 geändert oder berichtigt?
  2. Wurden weitere Durchführungsrechtsakte nach Artikel 21 Absatz 5 Unterabsatz 2 erlassen?
  3. Wurden nationale Pflichten nach Artikel 24 Absatz 1, delegierte Rechtsakte nach Absatz 2 oder vorbereitende Schritte nach Absatz 3 relevant?
  4. Besteht eine einschlägige Rechtsverordnung nach § 30 Absatz 5 oder § 56 Absatz 3?
  5. Wurde der europäische Zertifizierungsrahmen oder ein einschlägiges Schema geändert, etwa das EUCC-Schema durch die Verordnung (EU) 2025/2462?
  6. Gelten sektorale oder eIDAS-spezifische Akte, einschließlich Berichtigungen, und ab welchem Zeitpunkt?

Ein zeitgebundener Negativbefund in einer Recherche ist kein dauerhafter Nachweis, dass ein Rechtsakt nicht existiert.

8. Dokumentation — gesetzliches Minimum und belastbare Nachweisarchitektur

§ 30 Absatz 1 Satz 3 verlangt, dass die Einrichtung die Einhaltung der Verpflichtung aus Satz 1 dokumentiert. Der Satz schreibt kein bestimmtes Dateiformat, keine einzelne „§-30-Akte“ und keine universelle Dokumentenliste vor.

Die amtliche Begründung nennt als mögliche Dokumentationen unter anderem interne Richtlinien, Handlungsanweisungen, Checklisten, Mitarbeiterschulungen, Vereinbarungen, Merkblätter, Auditberichte, Zertifizierungen oder Prüfungen. Diese Beispiele ersetzen weder die inhaltliche Einhaltung noch die Zuordnung zum eigenen Pflichtenumfang.

Für einen belastbaren Nachweis empfiehlt sich eine Architektur, die mindestens folgende Fragen zusammenführt:

Nachweisbaustein Kerninhalt
Anwendungs- und Schutzumfangsakte Pflichtenträger, Statusdatum, Ausschlüsse, Sonderregime, Tätigkeiten, Systeme, Prozesse, Abhängigkeiten und begründete Ausschlüsse.
Rechts- und Anforderungsmatrix § 30, einschlägige EU-Akte, Rechtsverordnungen, Sektorpflichten, KRITIS-Zusatz und verantwortliche Funktionen.
Risiko- und Verhältnismäßigkeitsakte Methode, Risiken, Außenwirkungen, gesetzliche Faktoren, Auswahlgründe, Restrisiken und Entscheidungsbefugnisse.
Maßnahmenlandkarte Zuordnung aller zehn Themenbereiche zu konkreten Kontrollen, Verantwortlichen, Fristen und Systemen.
Umsetzungsevidenz Richtlinien, Konfigurationen, Verträge, Protokolle, Schulungen, Tests, Freigaben und Betriebsnachweise.
Wirksamkeit und Korrektur Messkriterien, Testbefunde, festgestellte Nichterfüllungen oder Abweichungen mit fehlender Schutzwirkung, Sofort- und Zwischenmaßnahmen, Endtermine, Nachtests und Abschlussentscheidungen.
Governance und Änderung Leitungsentscheidungen, Berichte, Eskalationen, Ressourcen, wesentliche Änderungen und periodische Neubewertung.

Diese Struktur ist eine operative Empfehlung, keine wortgleiche gesetzliche Formvorgabe. Spezielle EU-Rechtsakte können darüber hinaus konkrete Dokumentations-, Prüf- und Aktualisierungspflichten enthalten.

Datenverarbeitung für Sicherheitsmaßnahmen

§ 30 ist keine pauschale Blanketterlaubnis für unbegrenzte Überwachung, Inhaltskontrolle oder Vorratsspeicherung. Eine konkrete Verarbeitung personenbezogener Daten kann jedoch zur Erfüllung einer rechtlichen Verpflichtung erforderlich sein. Als möglicher unionsrechtlicher Anknüpfungspunkt kommt je nach Maßnahme Artikel 6 Absatz 1 Buchstabe c in Verbindung mit Absatz 3 der Datenschutz-Grundverordnung in Betracht. Rechtsgrundlage und Grenzen sind für die jeweilige Maßnahme gesondert zu prüfen.

Die Prüfung sollte insbesondere Zweck, Erforderlichkeit, Datenminimierung, Zugriffsrechte, Speicherfristen, Transparenz, Schutz besonderer Daten, Beschäftigtendatenschutz und Mitbestimmung erfassen. Sicherheitszweck und technische Nützlichkeit ersetzen diese Prüfung nicht.

9. Branchenstandards und weitere Anschlüsse

Branchenspezifische Sicherheitsstandards

§ 30 Absatz 8 erlaubt besonders wichtigen Einrichtungen und ihren Branchenverbänden, branchenspezifische Sicherheitsstandards vorzuschlagen. Der Vorschlag muss einschlägige Durchführungsrechtsakte so berücksichtigen, dass er ihnen nicht widerspricht und ihre Vorgaben nicht unterschreitet.

Das BSI stellt auf Antrag fest, ob der Standard branchenspezifisch und geeignet ist, die Anforderungen nach Absatz 1 zu gewährleisten. Es veröffentlicht den festgestellten Standard auf seiner Internetseite.

Die Feststellung erfolgt im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe sowie der zuständigen Aufsichtsbehörde des Bundes. Besteht im Gesundheitswesen keine zuständige Aufsichtsbehörde des Bundes, ist stattdessen das Benehmen mit dem Bundesministerium für Gesundheit herzustellen. Für die Feststellung werden keine Gebühren oder Auslagen erhoben.

Betreiber kritischer Anlagen können nach Absatz 9 einen Standard für § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und Absatz 2 Satz 1 vorschlagen. Absatz 8 Sätze 2 bis 6 gilt entsprechend.

Die Feststellung betrifft die branchenspezifische Eignung des Standards. Sie beantwortet nicht allein, ob eine konkrete Einrichtung:

  • den Standard vollständig und aktuell umgesetzt hat;
  • alle für sie geltenden Systeme und Tätigkeiten erfasst hat;
  • zusätzliche EU-, Sektor- oder KRITIS-Anforderungen abdeckt;
  • abweichende Risiken und Restrisiken angemessen behandelt hat;
  • die Wirksamkeit ihrer konkreten Umsetzung nachweisen kann.

Freiwillige Meldung und Informationsaustausch

Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten dürfen der Austausch von Informationen nach § 6 oder die freiwillige Meldung nach § 5 nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die nicht für sie gegolten hätten, wenn sie die Meldung nicht übermittelt hätte.

— § 30 Absatz 7 BSIG

Der Wortlaut verhindert zusätzliche Pflichten allein wegen des Informationsaustauschs oder der freiwilligen Meldung. Er begründet weder ausdrücklich eine allgemeine Sanktionsimmunität noch ein allgemeines Verwertungsverbot. Die gesetzliche Einschränkung zugunsten der Strafverfolgung bleibt zu beachten.

10. Geschäftsleitung — operative Verteilung ja, Verantwortungsverlust nein

(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

(2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.

(3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

— § 38 BSIG

Operative Aufgaben können auf Informationssicherheit, IT, Fachbereiche, Risikomanagement, Einkauf, Personal, Recht, Datenschutz, interne Kontrolle oder externe Dienstleister verteilt werden. Kontroll- und Prüfrollen können organisatorisch getrennt und unabhängig ausgestaltet sein. Dadurch entfallen weder die Pflicht der Einrichtung nach § 30 noch die Umsetzungs- und Überwachungspflicht der Geschäftsleitung nach § 38.

Für eine tragfähige Leitungssteuerung sollten mindestens feststehen:

  • wer über Schutzumfang, Risiken und Prioritäten entscheidet;
  • wer Maßnahmen fachlich und technisch verantwortet;
  • welche Kontrollfunktion Umsetzung und Wirkung hinterfragt;
  • welche Informationen, Kennzahlen und Abweichungen die Geschäftsleitung erhält;
  • welche Schwellen eine sofortige Eskalation auslösen;
  • wer Restrisiken akzeptieren darf;
  • wie Ressourcen- und Zielkonflikte entschieden werden;
  • wie Korrekturmaßnahmen bis zum Wirksamkeitsnachweis verfolgt werden.

Die Überwachungspflicht steht vertieft in Überwachungspflicht der Geschäftsleitung. Die Schulungspflicht steht in Schulungspflicht der Geschäftsleitung. Die Innenhaftung der Geschäftsleitung steht in Innenhaftung der Geschäftsleitung.

11. Was bei Mängeln drohen kann — fünf getrennte Spuren

Materieller Verstoß, Dokumentationsverstoß, Aufsicht und Nichtbefolgung einer Anordnung sind keine einheitliche lineare Kette. Jede Spur setzt ihren eigenen gesetzlichen Tatbestand voraus. Keine ist generell notwendige Vorstufe einer anderen.

Spur gesetzlicher Anknüpfungspunkt Kernaussage
Maßnahmenverstoß § 65 Absatz 2 Nummer 2 Ordnungswidrig kann handeln, wer eine Maßnahme nach § 30 Absatz 1 Satz 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift.
Dokumentationsverstoß § 65 Absatz 2 Nummer 3 Die nicht, nicht richtig oder nicht vollständig geführte Dokumentation ist ein eigener Tatbestand. Ein vorheriger Maßnahmenverstoß ist dort nicht als Tatbestandsmerkmal genannt.
Aufsicht über besonders wichtige Einrichtungen § 61 Das BSI verfügt über die dort geregelten Aufsichts- und Durchsetzungsbefugnisse, jeweils unter deren Voraussetzungen.
Aufsicht über wichtige Einrichtungen § 62 Tatsachen müssen die Annahme rechtfertigen, dass die Einrichtung den dort genannten Pflichten, darunter § 30 Absatz 1 Satz 1, nicht oder nicht richtig nachkommt. Erst dann kann das BSI überprüfen und Maßnahmen nach § 61 treffen.
Verstoß gegen eine vollziehbare Anordnung § 65 Absatz 2 Nummer 1 in Verbindung mit der jeweiligen Anordnung Die Nichtbefolgung bestimmter Anordnungen kann einen zusätzlichen eigenständigen Ordnungswidrigkeitentatbestand bilden.

Für die Bußgeldtatbestände des § 65 Absatz 2 Nummern 2 und 3 [N-BSIG-65] nennt das Gesetz weder ein vorheriges Audit noch eine vorherige Anordnung als Tatbestandsmerkmal.

Aufsicht und Audits stehen in BSI-Aufsicht nach der Meldung. Die Verbandsgeldbuße und die Bußgeldsystematik stehen in Verbandsgeldbuße (§ 65 BSIG). Dieser Artikel bewertet weder Bußgeldhöhe noch Verschulden oder den konkreten Einzelfall.

12. Umsetzungs-Playbook — vom Status bis zum geschlossenen Nachweis

Die folgende Reihenfolge ist ein Navigationsbild. Sie ist kein behördliches Testat und keine allgemeine Konformitätsgarantie.

Schritt 1: Pflichtenträger und Zeitpunkt festhalten

  • Rechtsträger, Einrichtungsart, Geschäftstätigkeit und Größenkriterien bestimmen.
  • Ausschlüsse nach § 28 Absätze 5, 6 und 8 [N-BSIG-28], Bundesstatus nach § 29 und Ausnahmebescheide nach § 37 prüfen.
  • Datum und Auslöser des Status sowie Zuständigkeit für seine laufende Neubewertung dokumentieren.

Schritt 2: den breiten Schutzumfang bilden

  • alle IT-gestützten Tätigkeiten des Pflichtenträgers erfassen;
  • Systeme, Komponenten, Prozesse, Daten, Menschen, Standorte und Anbieter zuordnen;
  • Büro-IT, gemeinsame Dienste, privilegierte Administration und Querschnittssysteme einbeziehen;
  • technische, organisatorische und Lieferabhängigkeiten darstellen;
  • Ausschlüsse mit Begründung, Verantwortlichem und Prüftermin dokumentieren.

Schritt 3: das geltende Sollbild einfrieren

  • § 30 und gegebenenfalls § 31 bestimmen;
  • Durchführungsverordnung (EU) 2024/2690, weitere Akte nach Artikel 21 Absatz 5 sowie Artikel 24 Absätze 1 bis 3 prüfen;
  • Rechtsverordnungen nach § 30 Absatz 5 oder § 56 Absatz 3 prüfen;
  • sektorale Regeln, eIDAS, DORA oder andere Spezialregime abgrenzen;
  • Fundstellen, Fassung, Abrufdatum und Änderungsmonitoring festhalten.

Schritt 4: Risiken und Außenwirkungen analysieren

  • Bedrohungen, Schwachstellen, bestehende Kontrollen und Abhängigkeiten bewerten;
  • Verfügbarkeit, Integrität und Vertraulichkeit betrachten;
  • Auswirkungen auf Empfänger, Partner und andere Dienste einbeziehen;
  • gesellschaftliche und wirtschaftliche Folgen bewerten;
  • gesetzliche Verhältnismäßigkeitsfaktoren dokumentieren.

Schritt 5: alle zehn Themenbereiche mappen

Für jede Nummer festhalten:

  • betroffene Risiken und Systeme;
  • bestehende und geplante Maßnahmen;
  • Verantwortliche und Ressourcen;
  • Rechts- oder Spezialanforderungen;
  • Nachweise und Wirksamkeitskriterien;
  • bekannte Lücken und Restrisiken.

Schritt 6: festgestellte Lücken oder fehlende Schutzwirkung sofort bewerten

  • unverzügliche Risikobewertung der Nichterfüllung oder Abweichung;
  • sofort mögliche, erforderliche, angemessene und verhältnismäßige Korrektur- oder Zwischenmaßnahmen;
  • verbindliche Verantwortlichkeit und Frist;
  • Entscheidung über Restrisiko nur durch befugte Stelle;
  • Nachtest und dokumentierter Abschluss.

Schritt 7: Umsetzung und Kontrollrollen verankern

  • operative Verantwortung zuweisen;
  • funktionale Unabhängigkeit notwendiger Kontrollen sichern;
  • Berichts- und Eskalationswege festlegen;
  • Geschäftsleitung mit entscheidungsgeeigneten Informationen versorgen;
  • Schulungs- und Kompetenzbedarf ableiten.

Schritt 8: Wirksamkeit prüfen und zurückkoppeln

  • Mess- und Testplan festlegen;
  • Ergebnisse mit Sollbild und Risikoannahmen vergleichen;
  • Ursachen statt nur Symptome behandeln;
  • Korrekturen nachtesten;
  • Änderungen an Systemen, Tätigkeiten, Anbietern und Bedrohungen erneut bewerten.

Schritt 9: Nachweisakte vervollständigen

  • Status- und Schutzumfangsakte;
  • Rechts- und Anforderungsmatrix;
  • Risiko- und Verhältnismäßigkeitsentscheidung;
  • Maßnahmen- und Verantwortungsmatrix;
  • Umsetzungsevidenz;
  • Wirksamkeits- und Korrekturhistorie;
  • Leitungsentscheidungen und Restrisiken.

Schritt 10: einen wiederkehrenden Leitungszyklus betreiben

Die Geschäftsleitung sollte in einem konsistenten Bericht mindestens sehen:

  1. aktueller Status und wesentliche Rechtsänderungen;
  2. Schutzumfang und kritische Abhängigkeiten;
  3. Top-Risiken einschließlich Außenwirkungen;
  4. Abdeckung der zehn Themenbereiche;
  5. offene erhebliche Lücken und unverzügliche Zwischenmaßnahmen;
  6. Wirksamkeitsbefunde und überfällige Korrekturen;
  7. Ressourcen- und Entscheidungsbedarf;
  8. wesentliche Restrisiken und nächste Prüftermine.

13. Zeitlicher und regulatorischer Stand

Für diese Fassung wurde folgender Stand zugrunde gelegt:

  • BSI-Gesetz vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026;
  • NIS-2-Richtlinie (EU) 2022/2555, insbesondere Artikel 21 und 24;
  • Durchführungsverordnung (EU) 2024/2690, in Kraft seit 7. November 2024;
  • Verordnung (EU) 2019/881 in der durch Verordnung (EU) 2025/37 geänderten Fassung sowie das EUCC-Schema nach Durchführungsverordnung (EU) 2024/482 in der durch Durchführungsverordnung (EU) 2025/2462 geänderten Fassung;
  • für den Finanzsektor die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA), soweit der Finanzsektor-Spezialpfad betroffen ist;
  • für Vertrauensdienste als nicht abschließende Schnittstellenliste die Durchführungsverordnungen (EU) 2025/2160, 2025/2162 in aktueller und berichtigter Fassung, 2025/2530 sowie die ab 19. August 2026 anwendbare Durchführungsverordnung (EU) 2025/1572;
  • amtliche Gesetzesbegründung in Bundestagsdrucksache 21/1501.

Die Kommissionsvorschläge COM(2026) 11 zur Neufassung des Cybersecurity Act und COM(2026) 13 zu Änderungen der NIS-2-Richtlinie stammen vom 20. Januar 2026. Beide sind in dieser Fassung nur Monitoringpunkte und keine geltenden Pflichtengrundlagen.

14. Schnittstellen

15. Kurzantworten auf die 24 Lese-Fragen

  1. Was verlangt § 30 BSIG im Kern? Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen auf einem gefahrenübergreifenden Ansatz, die zumindest die zehn gesetzlichen Themenbereiche umfassen; die Einhaltung ist zu dokumentieren.
  2. Gilt § 30 für alle Einrichtungen identisch? Nein. Die Maßnahmen werden verhältnismäßig skaliert; kein Themenbereich darf aber ungeprüft aus dem Programm gestrichen werden.
  3. Wer ist Pflichtenträger und ab wann? Besonders wichtige und wichtige Einrichtungen. Vor jeder Maßnahmenanalyse stehen Status, Ausschlüsse nach § 28 Abs. 5/6/8, Bundesstatus nach § 29 und Ausnahmebescheide nach § 37; die Pflicht greift ab dem auslösenden Status.
  4. Wie weit reicht der sachliche Schutzumfang? Weit. Die amtliche Begründung versteht „für die Erbringung ihrer Dienste“ als sämtliche IT-gestützten Tätigkeiten der Einrichtung, ausdrücklich auch Büro-IT — nicht nur den einzelnen Markt- oder Versorgungsdienst.
  5. Was bedeuten geeignet, verhältnismäßig, wirksam und gefahrenübergreifend? Einen Entscheidungsrahmen. Die Verhältnismäßigkeit bemisst sich nach den sechs Faktoren des § 30 Abs. 1 Satz 2 (Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere, gesellschaftliche und wirtschaftliche Auswirkungen).
  6. Sind „Stand der Technik“ und einschlägige Normen verpflichtend? Die Maßnahmen „sollen“ den Stand der Technik einhalten und Normen berücksichtigen, „müssen“ aber gefahrenübergreifend sein und zumindest die zehn Themenbereiche umfassen. Ein Managementsystem-Zertifikat ersetzt die einrichtungsbezogene Prüfung nicht.
  7. Welche zehn Mindestmaßnahmen nennt § 30 Abs. 2? Risikoanalyse-/IT-Sicherheitskonzepte; Bewältigung von Sicherheitsvorfällen; Aufrechterhaltung des Betriebs (Backup, Wiederherstellung, Krisenmanagement); Lieferkettensicherheit; Sicherheit bei Erwerb, Entwicklung und Wartung inkl. Schwachstellenmanagement; Bewertung der Wirksamkeit; Schulungen und Sensibilisierung; Kryptografie; Personalsicherheit, Zugriffskontrolle und IKT-Verwaltung; Multi-Faktor-/kontinuierliche Authentifizierung und gesicherte Kommunikation.
  8. Bedeutet „zumindest“ ein Auswahlrecht? Nein. Die zehn Themenbereiche sind das gesetzliche Mindestprogramm. Verhältnismäßigkeit beeinflusst nur das Wie, die Intensität und Ausgestaltung, nicht das Ob eines Themenbereichs.
  9. Was gilt bei festgestellter Nichterfüllung? Artikel 21 Abs. 4 NIS-2 verlangt unverzüglich alle erforderlichen, angemessenen und verhältnismäßigen Korrekturmaßnahmen; die amtliche Begründung ordnet § 30 Abs. 1 ausdrücklich dieser Umsetzung zu.
  10. Wie wird die Lieferkette bewertet? Nach den Faktoren des Artikel 21 Abs. 3 NIS-2: Schwachstellen unmittelbarer Anbieter, Gesamtqualität ihrer Produkte und Cybersicherheitspraxis, Sicherheit ihrer Entwicklungsprozesse und einschlägige koordinierte Risikobewertungen — nicht nur Vertragsklauseln.
  11. Ist Nummer 6 (Wirksamkeit) ein Abschlussaudit am Projektende? Nein. Sie verbindet die übrigen Themenbereiche zu einem fortlaufenden, geschlossenen Regelkreis mit Tests, Korrektur, Nachtest und Leitungsbericht.
  12. Wie sind die EU-, RVO- und Zertifizierungsschienen getrennt? § 30 Abs. 3 gibt dem Durchführungsrechtsakt (VO 2024/2690) für bestimmte digitale Einrichtungsarten Vorrang; Abs. 4 lässt einen weiteren Akt vorgehen, „soweit sie ihnen entgegenstehen“; Abs. 5 erlaubt eine nationale Präzisierungs-RVO; Abs. 6 in Verbindung mit § 56 Abs. 3 die Zertifizierungspflicht.
  13. Was regelt die Durchführungsverordnung (EU) 2024/2690? Technische und methodische Anforderungen für elf digitale Anbieterarten sowie Kriterien erheblicher Vorfälle; sie ist ein eigener unmittelbar geltender Maßstab (in Kraft seit 7. November 2024), nicht bloß Auslegungshilfe; Anhanganforderungen mit „soweit angemessen/anwendbar/durchführbar“ sind kein allgemeines Abwahlrecht.
  14. Entsteht aus § 30 Abs. 6 eine allgemeine Pflicht zu zertifizierter Technik? Nein. Eine Verwendungspflicht entsteht erst durch eine Rechtsverordnung nach § 56 Abs. 3, wenn die Gegenstände „für die Erbringung der Dienste maßgeblich“ sind und Art und Ausmaß der Risikoexposition den zertifizierten Einsatz erforderlich machen.
  15. Was gilt für Vertrauensdiensteanbieter? Sie prüfen neben der VO 2024/2690 die eIDAS-Schiene gesondert (u. a. VO 2025/2160, 2025/2162 berichtigt, 2025/2530, ab 19. August 2026 die VO 2025/1572). Diese Akte sind keine Änderungen der VO 2024/2690 und nicht mit der nationalen Zertifizierungspflicht nach § 30 Abs. 6 gleichzusetzen.
  16. Was verlangt § 30 Abs. 1 Satz 3 zur Dokumentation? Die Dokumentation der Einhaltung — aber kein bestimmtes Format, keine einzelne „§-30-Akte“ und keine universelle Dokumentenliste.
  17. Was bewirkt § 30 Abs. 7? Eine freiwillige Meldung nach § 5 oder ein Informationsaustausch nach § 6 darf der meldenden Einrichtung keine zusätzlichen Verpflichtungen auferlegen, die sonst nicht gegolten hätten.
  18. Was ist ein branchenspezifischer Sicherheitsstandard (§ 30 Abs. 8/9)? Ein von Einrichtungen oder Branchenverbänden vorgeschlagener Standard; das BSI stellt auf Antrag fest, ob er geeignet ist. Der Vorschlag muss einschlägige Durchführungsrechtsakte berücksichtigen und ihre Vorgaben nicht unterschreiten.
  19. Verliert die Geschäftsleitung durch Delegation ihre Verantwortung? Nein. Operative Verteilung ist möglich, ein Verantwortungsverlust nicht; die Leitung steuert, überwacht und weist nach.
  20. Welche fünf Mängel-Spuren drohen? Maßnahmenverstoß (§ 65 Abs. 2 Nr. 2), Dokumentationsverstoß (§ 65 Abs. 2 Nr. 3), Aufsicht über besonders wichtige Einrichtungen (§ 61), Aufsicht über wichtige Einrichtungen (§ 62) und Verstoß gegen eine vollziehbare Anordnung (§ 65 Abs. 2 Nr. 1) — je eigener Tatbestand.
  21. Setzen die Bußgeldtatbestände § 65 Abs. 2 Nr. 2/3 ein vorheriges Audit oder eine Anordnung voraus? Nein. Beide knüpfen unmittelbar an § 30 Abs. 1 Satz 1 (Maßnahme) bzw. Satz 3 (Dokumentation) an; ein vorheriges Audit oder eine Anordnung ist nicht Tatbestandsmerkmal.
  22. Wie unterscheiden sich die Aufsichtsspuren § 61 und § 62? § 61 gibt dem BSI gegenüber besonders wichtigen Einrichtungen die Aufsichts- und Durchsetzungsbefugnisse; § 62 erlaubt das Vorgehen gegenüber wichtigen Einrichtungen erst, wenn Tatsachen die Annahme einer Pflichtverletzung (u. a. § 30 Abs. 1 Satz 1) rechtfertigen.
  23. Welcher Rechtsstand liegt zugrunde? BSIG vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026. Die Kommissionsvorschläge COM(2026) 11 und 13 sind nur Monitoringpunkte; der dynamische Rechtsstand ist bei Verwendung erneut zu prüfen.
  24. Ist ein Managementsystem-Zertifikat ein austauschbarer Konformitätsbeleg? Nein. Managementsystemzertifizierung, Produktzertifizierung, eIDAS-Konformitätsbewertung, ein BSI-festgestellter Branchenstandard und ein Nachweis nach § 39 sind unterschiedliche Instrumente und nicht austauschbar.

16. Quellen

Die Quellen sind in sechs Gruppen geordnet. Gesetzesverweise führen auf die jeweilige amtliche Einzelnorm bzw. EUR-Lex (ELI/CELEX). Maßgebliche Verkündungsquelle bleibt das Bundesgesetzblatt bzw. das Amtsblatt der Europäischen Union.

16.1 Nationale Normen

BSI-Gesetz — konsolidierter Stand

16.2 EU-Recht

16.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung. Der Artikel stützt keine Aussage auf ein Gericht, ein Aktenzeichen, eine ECLI oder einen Leitsatz; die rechtlichen Aussagen folgen unmittelbar aus dem Norm- und Verordnungstext.

16.4 Behörden, Gesetzesmaterialien und Kommissionsvorschläge

16.5 Markt, Standards und sonstige Praxis

Keine eigenständige Marktquelle herangezogen. BSI-Grundschutz, einschlägige europäische und internationale Normen sowie branchenspezifische Sicherheitsstandards werden im Body als methodische Hilfen bei Strukturierung, Vergleich und Nachweis genannt; sie ersetzen die einrichtungsbezogene Prüfung des § 30 nicht und begründen keinen Marktstandard.

16.6 Prüfstatus und Schlusssatz

  • Rechts- und Redaktionsstand: 26. Juni 2026, Version 2.4. Für diese Fassung wurden die tragenden Quellen mit Stand 26. Juni 2026 zugrunde gelegt; bei späterer Verwendung ist der dynamische Rechtsstand erneut zu prüfen.
  • BSIG-Stand: BSI-Gesetz vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026.
  • Statushinweis: Die Kommissionsvorschläge COM(2026) 11 und COM(2026) 13 vom 20. Januar 2026 sind nur Monitoringpunkte und keine geltenden Pflichtengrundlagen.

17. CyberSchutzEngel-Hinweis

CyberSchutzEngel kann die strukturierte Erhebung von Schutzumfang, Risiken, Maßnahmen, Verantwortlichkeiten und Evidenzen unterstützen. Die rechtliche Einordnung und die konkrete Verhältnismäßigkeitsentscheidung bleiben einrichtungs- und sachverhaltsbezogen.

Alle Menschen sind klug.
Die einen vorher, die anderen nachher.

PlattesGroup – auf Mallorca verankert, weltweit vernetzt

Unsere Kompetenzzentren

Wissen & Networking