Kurzdefinition: Risikomanagementmaßnahmen nach § 30 BSIG sind die geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen, mit denen besonders wichtige und wichtige Einrichtungen die Sicherheit ihrer informationstechnischen Systeme gewährleisten. Das Gesetz nennt mindestens zehn Punkte, die diese Maßnahmen umfassen müssen. [N-BSIG-30]
Der Normwortlaut
§ 30 Abs. 1 Satz 1 BSIG verpflichtet die Einrichtungen, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen … zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse … zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“ Die Einhaltung ist zu dokumentieren. [N-BSIG-30]
Was sind die zehn Risikomanagementmaßnahmen?
§ 30 Abs. 2 BSIG verlangt außerdem Stand der Technik, die Berücksichtigung einschlägiger europäischer und internationaler Normen und einen gefahrenübergreifenden Ansatz. Danach bestimmt die Norm, dass die Maßnahmen „zumindest“ folgende zehn Punkte umfassen müssen: Konzepte für Risikoanalyse und IT-Sicherheit; Bewältigung von Sicherheitsvorfällen; Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Erwerb, Entwicklung und Wartung samt Schwachstellenmanagement; Verfahren zur Bewertung der Wirksamkeit; grundlegende Schulungen und Sensibilisierung; Konzepte für Kryptographie; Konzepte für Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung; sowie Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation. [N-BSIG-30]
Bedeutet „zumindest“, dass zehn Maßnahmen genügen?
Nein — das Gegenteil. „Zumindest“ ist ein Mindestkatalog, keine abschließende Liste. Die zehn Punkte sind der untere Rand des Pflichtenhefts, nicht die Obergrenze. Zugleich sind die Maßnahmen verhältnismäßig zu bestimmen: § 30 Abs. 1 Satz 2 BSIG nennt Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen als Bewertungsfaktoren. [N-BSIG-30]
Wer muss die Maßnahmen umsetzen?
Besonders wichtige und wichtige Einrichtungen. Für die Umsetzung und ihre Überwachung nimmt § 38 BSIG die Geschäftsleitung ausdrücklich in die Pflicht; Bereichs- und Vorrangausnahmen aus § 28 BSIG bleiben vorab zu prüfen. Für einzelne Einrichtungsarten gehen EU-Durchführungsrechtsakte nach Art. 21 Abs. 5 der NIS-2-Richtlinie den Maßnahmen des Absatzes 2 vor, soweit sie ihnen entgegenstehen (§ 30 Abs. 3 und 4 BSIG). [N-BSIG-30]
Welchem Ziel dienen die Risikomanagementmaßnahmen?
Der Vermeidung und Schadensbegrenzung. Nach § 30 Abs. 1 BSIG dienen die Maßnahmen dazu, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. [N-BSIG-30]
Muss die Einhaltung dokumentiert werden?
Ja. § 30 Abs. 1 BSIG verlangt ausdrücklich die Dokumentation der Einhaltung. Ohne belastbare Dokumentation lässt sich die Umsetzung der Maßnahmen gegenüber der Aufsicht nicht nachweisen. [N-BSIG-30]
Häufige Fehlannahmen
- „Die zehn Maßnahmen sind eine abschließende Checkliste.“ Nein. § 30 Abs. 2 BSIG sagt „zumindest“ — es ist ein Mindestkatalog. [N-BSIG-30]
- „Jede Einrichtung muss alles im gleichen Umfang umsetzen.“ Nein. Die Maßnahmen sind nach § 30 Abs. 1 Satz 2 BSIG verhältnismäßig zu bestimmen. [N-BSIG-30]
- „Dokumentation ist optional.“ Nein. § 30 Abs. 1 Satz 3 BSIG verlangt ausdrücklich die Dokumentation der Einhaltung. [N-BSIG-30]
- „Risikomanagementmaßnahmen und DSGVO-Maßnahmen sind dasselbe.“ Nein. § 30 BSIG und Art. 32 DSGVO haben eigene Adressaten und Anforderungen; sie überschneiden sich, sind aber getrennt zu erfüllen. [N-BSIG-30]
- „Es genügt, sich gegen ein einzelnes Szenario wie Ransomware zu schützen.“ Nein. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen und sollen den Stand der Technik einhalten. [N-BSIG-30]
Was die Geschäftsleitung tun sollte
- Die zehn Punkte als Minimum lesen. Sie sind der Ausgangspunkt, nicht das Ziel.
- Verhältnismäßigkeit begründen. Umfang und Tiefe an Risiko und Größe ausrichten und festhalten.
- Dokumentieren. Die Einhaltung ist gesetzlich zu belegen — das ist zugleich der spätere Nachweis.
- Lieferkette einbeziehen. Punkt 4 verlangt ausdrücklich sicherheitsbezogene Aspekte der Anbieterbeziehungen.
- EU-Vorrang beachten. Für bestimmte Einrichtungsarten gehen Durchführungsrechtsakte vor.
Für die Geschäftsleitung
§ 30 BSIG ist das Herzstück der NIS-2-Pflichten: Er beschreibt, was konkret zu tun ist. Die zehn Punkte sind ein Mindestkatalog, kein Maximum, und sie sind verhältnismäßig auszugestalten. Der praktische Hebel liegt in der Dokumentation — sie ist Pflicht und zugleich der Nachweis, auf den es im Aufsichts- und Haftungsfall ankommt.
Quellen
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen), Abs. 1 bis 4. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
