Verhältnismäßigkeit (§ 30 BSIG): angemessene Maßnahmen

Kurzdefinition: Verhältnismäßigkeit ist der Maßstab, an dem sich der geforderte Umfang der Risikomanagementmaßnahmen nach § 30 BSIG bemisst. Das Gesetz verlangt kein „maximal“, sondern ein „angemessen“: geeignete, verhältnismäßige und wirksame Maßnahmen, deren Umfang sich aus Risikolage, Größe und Stand der Technik ergibt. [N-BSIG-30]

Der Normwortlaut

§ 30 Abs. 1 Satz 1 BSIG verpflichtet die Einrichtungen, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen … zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse … zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten“. [N-BSIG-30]

Was bedeutet Verhältnismäßigkeit bei NIS-2?

Angemessen statt maximal. § 30 BSIG verlangt nicht maximale, sondern geeignete und verhältnismäßige Maßnahmen — ein an die konkrete Lage angepasster Schutz, der ein angemessenes Niveau erreicht. [N-BSIG-30]

Welche Faktoren bestimmen die Angemessenheit?

Größe, Risiko, Stand der Technik, Kosten. Maßgeblich sind insbesondere die Größe der Einrichtung, ihre Risikoexposition, die Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle, der Stand der Technik sowie die Kosten der Umsetzung. [N-BSIG-30]

Schützt Verhältnismäßigkeit vor zu hohen Anforderungen?

Sie wirkt in beide Richtungen. Sie begrenzt die Anforderungen, hebt aber auch ein Mindestniveau an: Ein hohes Risiko verlangt mehr, ein geringes weniger. Wer Maßnahmen unterlässt, muss die geringe Risikolage nachvollziehbar begründen. [N-BSIG-30]

Wie hängt Verhältnismäßigkeit mit dem Stand der Technik zusammen?

Der Stand der Technik ist ein Faktor. Er beschreibt, was technisch als wirksam und verfügbar gilt; die Verhältnismäßigkeit gewichtet ihn gegen Aufwand und Risiko. Beide zusammen bestimmen das geschuldete Schutzniveau. [N-BSIG-30]

Wie nutzt die Geschäftsleitung den Maßstab?

Als Begründungsrahmen. Indem sie Auswahl und Umfang der Maßnahmen anhand dieser Faktoren begründet und dokumentiert — zugleich der Anknüpfungspunkt der unternehmerischen Ermessensentscheidung für das „Wie“. [N-BSIG-30]

Häufige Fehlannahmen

„Verhältnismäßig heißt: möglichst wenig tun.“ Nein. Bei hohem Risiko verlangt sie mehr, nicht weniger. [N-BSIG-30]
„§ 30 BSIG fordert maximale Sicherheit.“ Nein. Gefordert sind geeignete und verhältnismäßige Maßnahmen. [N-BSIG-30]
„Verhältnismäßigkeit ist ein Freibrief zum Unterlassen.“ Nein. Wer unterlässt, muss die geringe Risikolage begründen. [N-BSIG-30]
„Große und kleine Einrichtungen schulden dasselbe.“ Nein. Die Größe ist ein Angemessenheitsfaktor. [N-BSIG-30]
„Der Stand der Technik spielt keine Rolle.“ Doch. Er ist ausdrücklich ein Maßstab. [N-BSIG-30]
„Kosten dürfen nicht berücksichtigt werden.“ Doch. Die Umsetzungskosten sind Teil der Abwägung. [N-BSIG-30]

Was die Geschäftsleitung tun sollte

Faktoren erheben. Größe, Risikoexposition, Schwere und Stand der Technik bestimmen.
Umfang begründen. Auswahl und Tiefe der Maßnahmen daraus ableiten.
Dokumentieren. Die Abwägung revisionssicher festhalten.
Fortschreiben. Bei geänderter Risikolage nachjustieren.

Für die Geschäftsleitung

Verhältnismäßigkeit ist eine Begründungspflicht, kein Freibrief. Wer den Umfang seiner Maßnahmen aus Risikolage, Größe und Stand der Technik herleitet und festhält, erfüllt § 30 BSIG und schafft zugleich die Dokumentation, die im Streit zählt.