NIS-2-Anforderungen: die 10 Mindestmaßnahmen als Checkliste (§ 30 BSIG)

Wer unter NIS-2 fällt, schuldet kein abstraktes „mehr Sicherheit”, sondern einen konkreten Katalog: § 30 Abs. 2 BSIG nennt zehn Maßnahmenbereiche, die jede betroffene Einrichtung mindestens abdecken muss — verhältnismäßig zu Risiko, Größe und Kosten. Er entspricht Art. 21 Abs. 2 der NIS-2-Richtlinie; maßgeblich für deutsche Unternehmen ist der Gesetzestext. Hier ist der Katalog als Arbeitscheckliste: je Punkt die Prüffrage, die Sie sich intern stellen sollten, und der Nachweis, den eine Aufsicht sehen will.

Der Rahmen: verhältnismäßig, dokumentiert, gefahrenübergreifend

Bevor es an die zehn Punkte geht, drei Sätze aus § 30 Abs. 1 und 2 BSIG, die den Maßstab setzen:

Geeignet, verhältnismäßig und wirksam müssen die technischen und organisatorischen Maßnahmen sein. Die Verhältnismäßigkeit bemisst sich nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen (§ 30 Abs. 1 Satz 2).
Dokumentiert muss die Einhaltung sein (§ 30 Abs. 1 Satz 3) — eine eigenständige Pflicht, deren Verletzung nach § 65 Abs. 2 Nr. 3 BSIG eigenständig bußgeldbewehrt ist.
Stand der Technik, einschlägige Normen, gefahrenübergreifender Ansatz (§ 30 Abs. 2 Satz 1). „Gefahrenübergreifend” heißt: nicht nur Hackerangriffe, sondern auch Ausfall, Feuer, Wasser, Fehlbedienung, Personalausfall.

Der Katalog ist damit technologieoffen. Vorgeschrieben ist kein Produkt, sondern ein dokumentierter, risikobasierter Prozess.

Die zehn Pflichtbereiche als Checkliste

1. Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik. Prüffrage: Gibt es eine dokumentierte Risikoanalyse für Ihre IT-Systeme und ein daraus abgeleitetes Sicherheitskonzept — oder nur gewachsene Einzelmaßnahmen? Typischer Nachweis: Risikoregister mit Bewertung und Verantwortlichen, freigegebene Sicherheitsleitlinie mit Datum.

2. Bewältigung von Sicherheitsvorfällen. Prüffrage: Existiert ein Incident-Response-Plan mit Rollen, Eskalationswegen und Meldeprozess — inklusive der 24-Stunden-Frist? Wurde er geübt? Typischer Nachweis: Notfallhandbuch, Rollenliste mit Vertretung, Protokoll der letzten Übung.

3. Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement. Prüffrage: Werden Backups regelmäßig erstellt, getrennt aufbewahrt und Wiederherstellungen getestet? Gibt es einen Notbetriebs- und Krisenplan? Typischer Nachweis: Backup-Konzept mit RTO und RPO, Protokolle erfolgreicher Restore-Tests, Krisenstabsplan.

4. Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Prüffrage: Wissen Sie, welche Dienstleister kritisch für Ihren Betrieb sind, und stellen Sie Sicherheitsanforderungen an sie — vertraglich und überprüfbar? Typischer Nachweis: Lieferantenverzeichnis mit Kritikalitätseinstufung, Sicherheitsanlagen zu Verträgen, Nachweise der Anbieter.

5. Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen. Prüffrage: Fließt Sicherheit in Beschaffung und Entwicklung ein — sichere Konfiguration, Patch-Management, ein definierter Umgang mit gemeldeten Schwachstellen? Typischer Nachweis: Beschaffungsrichtlinie mit Sicherheitskriterien, Patch-Zyklus mit Fristen nach Kritikalität, Vulnerability-Disclosure-Kontakt.

6. Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Prüffrage: Prüfen Sie regelmäßig, ob Ihre Maßnahmen wirken — durch Audits, Tests oder Kennzahlen? „Eingeführt” ist nicht „wirksam”. Typischer Nachweis: Auditplan und Auditberichte, Kennzahlenübersicht, Maßnahmen aus Feststellungen mit Termin.

7. Grundlegende Schulungen und Sensibilisierungsmaßnahmen. Prüffrage: Gibt es Grundregeln zu Updates, Passwörtern und Phishing — und werden alle Mitarbeitenden regelmäßig geschult? Typischer Nachweis: Schulungsplan, Teilnahmelisten, Awareness-Material. Achtung: Die Schulung der Geschäftsleitung ist eine getrennte Pflicht aus § 38 Abs. 3 BSIG — Einzelheiten in unserem Beitrag zur NIS-2-Schulungspflicht.

8. Konzepte und Prozesse für den Einsatz kryptographischer Verfahren. Prüffrage: Existieren Konzepte, wann und wie verschlüsselt wird — Daten im Transit, im Ruhezustand, Schlüsselverwaltung? Typischer Nachweis: Kryptokonzept mit zugelassenen Verfahren und Schlüssellängen, Schlüsselverwaltungsprozess.

9. Konzepte für Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Prüffrage: Sind Zugriffsrechte rollenbasiert und werden sie bei Wechseln und Austritten entzogen? Gibt es ein gepflegtes Inventar Ihrer Systeme und Daten? Typischer Nachweis: Berechtigungskonzept, Rezertifizierungsprotokoll, Asset-Inventar, On- und Offboarding-Checkliste.

10. Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation. Prüffrage: Ist MFA für Fernzugriffe, Administratoren und kritische Systeme durchgesetzt? Gibt es gesicherte Kommunikationswege für den Krisenfall — auch wenn die eigene IT steht? Typischer Nachweis: MFA-Abdeckungsübersicht je System, Notfallkommunikationsplan mit erprobtem Rückfallkanal.

Wie Sie die Liste praktisch nutzen

Bewerten Sie jeden Punkt ehrlich mit vorhanden / teilweise / fehlt und hinterlegen Sie je Lücke eine Maßnahme mit Verantwortlichem, Termin und Budget. Das Ergebnis ist das Grundgerüst des Maßnahmenplans, den NIS-2 faktisch verlangt — und den die Geschäftsleitung nach § 38 Abs. 1 BSIG umsetzen und in der Umsetzung überwachen muss.

Ein pragmatisches Vorgehen in vier Schritten:

Erstbewertung in einem Termin. Zehn Punkte, drei Stufen, zwei Stunden mit IT-Leitung und Geschäftsführung. Wer das perfekt machen will, macht es nie.
Nachweise sammeln, nicht Dokumente schreiben. Für viele Punkte existieren bereits Belege — Verträge, Protokolle, Konfigurationen. Erst sammeln, dann die echten Lücken schließen.
Priorisieren nach Schaden, nicht nach Aufwand. Punkt 3 (Wiederherstellung) und Punkt 10 (MFA) verhindern erfahrungsgemäß die teuersten Vorfälle.
Quartalsweise nachziehen. Der Plan ist ein lebendes Dokument; die Wirksamkeitsbewertung aus Punkt 6 ist genau dafür da.

Zwei Einordnungen helfen gegen Überforderung. Erstens verlangt § 30 Abs. 1 Satz 2 BSIG ausdrücklich Verhältnismäßigkeit: Ein 60-Personen-Betrieb muss nicht das Sicherheitsniveau eines Konzerns nachweisen, aber er muss alle zehn Bereiche adressieren. Zweitens ist vieles davon klassisches Handwerk: Wer bereits nach ISO 27001 oder BSI-Grundschutz arbeitet, deckt große Teile ab und muss vor allem Lücken und Nachweise schließen — mehr dazu in NIS-2 und ISO 27001.

Wenn es konkreter wird: Durchführungsrechtsakte und Branchenstandards

Der Zehnerkatalog ist der gesetzliche Mindestrahmen. An zwei Stellen wird er konkreter:

Für bestimmte digitale Einrichtungsarten — DNS-Diensteanbieter, TLD-Registries, Cloud-Computing- und Rechenzentrumsdienste, Content Delivery Networks, Managed Service Provider und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter — legt die Durchführungsverordnung (EU) 2024/2690 technische und methodische Anforderungen fest. Sie hat nach § 30 Abs. 3 BSIG für diese Einrichtungsarten Vorrang.
Branchenspezifische Sicherheitsstandards können besonders wichtige Einrichtungen und ihre Branchenverbände nach § 30 Abs. 8 BSIG vorschlagen; das BSI stellt auf Antrag fest, ob sie geeignet sind, und veröffentlicht sie. Für Betreiber kritischer Anlagen gilt dasselbe über § 30 Abs. 9 BSIG.

Betreiber kritischer Anlagen haben zusätzliche Anforderungen nach § 31 BSIG zu erfüllen und die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachzuweisen (§ 39 BSIG). Ob eine Anlage dazugehört, entscheidet sich über die BSI-Kritisverordnung.

Was passiert, wenn Bereiche fehlen

Verstoß	Rahmen
Maßnahme nach § 30 Abs. 1 Satz 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffen (§ 65 Abs. 2 Nr. 2)	bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtung)
Einhaltung nicht, nicht richtig oder nicht vollständig dokumentiert (§ 65 Abs. 2 Nr. 3)	bis 10 Mio. € bzw. 7 Mio. €
bei Gesamtumsatz über 500 Mio. € alternativ	bis 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes

Dazu kommt die Aufsicht: Das BSI kann gegenüber besonders wichtigen Einrichtungen Maßnahmen anordnen, einen Mängelbeseitigungsplan und Nachweise über die Beseitigung verlangen (§ 61 Abs. 6 BSIG) und Verstöße öffentlich bekannt machen lassen (§ 61 Abs. 8 BSIG).

Der Weg von hier

Die Checkliste beantwortet die Frage „was müssen wir tun?”. Zwei weitere Pflichten laufen parallel und haben eigene Fristen: die Registrierung beim BSI binnen drei Monaten und die NIS-2-Meldepflicht mit 24 und 72 Stunden. Den Gesamtrahmen ordnet der NIS-2-Überblick, die Gesetzessystematik der Beitrag zum BSI-Gesetz.

Ob diese Pflichten für Ihr Unternehmen überhaupt gelten, klären Sie in zwei Minuten: zum kostenlosen Betroffenheits-Check.

Häufige Fragen

Was sind die NIS-2-Anforderungen konkret? Der Kern sind zehn Maßnahmenbereiche, die § 30 Abs. 2 BSIG als Mindestinhalt vorschreibt — von Risikoanalyse über Lieferkettensicherheit bis Multi-Faktor-Authentifizierung. Sie entsprechen Art. 21 Abs. 2 der NIS-2-Richtlinie. Hinzu kommen die Registrierung nach § 33, die Meldepflichten nach § 32 und die Pflichten der Geschäftsleitung nach § 38 BSIG.

Muss ein kleines Unternehmen alle zehn Bereiche erfüllen? Alle zehn Bereiche müssen adressiert werden, aber nicht auf Konzernniveau. § 30 Abs. 1 Satz 2 BSIG verlangt eine Verhältnismäßigkeitsprüfung anhand von Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Ein Bereich darf also schlank ausfallen — ausgelassen werden darf keiner.

Reicht es, die Maßnahmen umzusetzen, oder muss ich sie dokumentieren? Beides. § 30 Abs. 1 Satz 3 BSIG macht die Dokumentation zur eigenständigen Pflicht, und ihre Verletzung ist über § 65 Abs. 2 Nr. 3 BSIG eigenständig bußgeldbewehrt — mit bis zu 10 Mio. Euro bei besonders wichtigen und 7 Mio. Euro bei wichtigen Einrichtungen. Was Sie nicht belegen können, gilt gegenüber der Aufsicht als nicht getan.

Schreibt NIS-2 bestimmte Produkte oder Hersteller vor? Nein. § 30 Abs. 2 BSIG ist technologieoffen formuliert: Die Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Vorgeschrieben ist ein dokumentierter, risikobasierter Prozess — keine bestimmte Software.

Gibt es konkretere Vorgaben als die zehn Punkte? Für bestimmte digitale Einrichtungsarten ja: Die Durchführungsverordnung (EU) 2024/2690 legt technische und methodische Anforderungen für DNS-Diensteanbieter, TLD-Registries, Cloud- und Rechenzentrumsdienste, CDN, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter fest; sie geht nach § 30 Abs. 3 BSIG vor. Für andere Sektoren können Branchenverbände nach § 30 Abs. 8 BSIG branchenspezifische Sicherheitsstandards vorschlagen, deren Eignung das BSI feststellt.

Erfülle ich die NIS-2-Anforderungen mit ISO 27001? ISO 27001 deckt große Teile der zehn Bereiche ab und ist eine gute Grundlage, ersetzt die NIS-2-Pflichten aber nicht. Registrierung, gesetzliche Meldefristen, die Dokumentationspflicht und die Schulungspflicht der Geschäftsleitung sind eigenständig zu erfüllen. Sinnvoll ist ein Mapping: bestehende Nachweise den zehn Bereichen zuordnen und nur die Lücken schließen.

Quellen

BSI-Gesetz (BSIG), §§ 30, 31, 38, 39, 61, 65: gesetze-im-internet.de/bsig_2025
Richtlinie (EU) 2022/2555 (NIS-2), Art. 21: eur-lex.europa.eu/eli/dir/2022/2555
Durchführungsverordnung (EU) 2024/2690: eur-lex.europa.eu

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung.