Veröffentlicht: 6. August 2026

NIS2-Anforderungen: Die 10 Pflichtmaßnahmen nach §30 BSIG

Seit dem 6. Dezember 2025 gilt das deutsche NIS-2-Umsetzungsgesetz. § 30 des neu gefassten BSI-Gesetzes (BSIG) verpflichtet betroffene Unternehmen zu zehn konkreten Risikomanagementmaßnahmen. Dieser Beitrag erklärt jede Maßnahme einzeln, zeigt die praktische Umsetzung und ordnet die Anforderungen der ISO 27001 zu. Stand: August 2026.

Die Anforderungen werden häufig als NIS2-Pflichten, Cybersicherheits-Risikomanagementmaßnahmen oder Maßnahmen nach § 30 BSIG bezeichnet. § 30 BSIG konkretisiert die Pflichten für besonders wichtige und wichtige Einrichtungen in Deutschland. Der Paragraph gehört zur deutschen Umsetzung und ist nicht mit der europäischen Richtlinie selbst gleichzusetzen.

Das Wichtigste in Kürze

• Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen ohne Übergangsfrist zu zehn Risikomanagementmaßnahmen.
• Nach Angaben des BSI fallen rund 29.500 Einrichtungen in Deutschland unter die neuen Pflichten.
• Die zehn Maßnahmen reichen von der Risikoanalyse über die Lieferkettensicherheit bis zur Multi-Faktor-Authentifizierung. Maßstab ist der Stand der Technik.
• Verstöße kann das BSI nach § 65 BSIG mit Bußgeldern bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen ahnden. Ab 500 Millionen Euro Gesamtumsatz reicht der Rahmen bis zu 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes.
• Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haftet sie der eigenen Einrichtung (§ 38 BSIG).

Rechtlicher Rahmen: Für wen die NIS2-Anforderungen gelten

Die europäische NIS-2-Richtlinie verschärft die Anforderungen an die Cybersicherheit in der EU. Deutschland hat sie mit dem NIS-2-Umsetzungsgesetz in nationales Recht überführt. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten, Kernstück ist das neu gefasste BSI-Gesetz. Es unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Nach Angaben des BSI fallen rund 29.500 Einrichtungen in Deutschland unter die neuen Pflichten. Ob Ihr Unternehmen dazugehört, hängt von Sektor und Unternehmensgröße ab. Die Betroffenheitsprüfung des BSI liefert eine erste, rechtlich nicht bindende Orientierung.

Wichtig für die Planung: Für die Risikomanagementmaßnahmen nach § 30 BSIG gibt es keine Übergangsfrist. Betroffene Einrichtungen müssen sich zudem nach § 33 BSIG beim BSI registrieren, spätestens drei Monate nachdem sie die Kriterien erfüllen. Verstöße gegen die Maßnahmenpflicht kann das BSI nach § 65 BSIG mit Bußgeldern ahnden: bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro. Für Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro erweitert sich der Rahmen auf bis zu 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes. § 38 BSIG nimmt außerdem die Geschäftsleitung persönlich in die Pflicht: Sie muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und haftet der Einrichtung für einen schuldhaft verursachten Schaden nach den für ihre Rechtsform geltenden Regeln des Gesellschaftsrechts. Einen Gesamtüberblick über Betroffenheit, Fristen und Pflichten gibt unser Beitrag zur NIS2-Richtlinie.

Maßnahme 1 bis 3: Risikoanalyse, Vorfallsbewältigung, Betriebskontinuität

§ 30 Absatz 2 BSIG nennt zehn Maßnahmenbereiche, die die getroffenen Maßnahmen zumindest umfassen müssen. Die Aufzählung ist damit nicht abschließend, sondern ein verbindliches Minimum. Die ersten drei Bereiche bilden das Fundament jedes Sicherheitsprogramms.

Maßnahme 1: Konzepte für Risikoanalyse und IT-Sicherheit

Nummer 1 fordert Konzepte in Bezug auf die Risikoanalyse und die Sicherheit in der Informationstechnik. Gemeint sind eine dokumentierte Sicherheitsleitlinie und ein wiederholbarer Prozess, der Risiken identifiziert, bewertet und behandelt. Für die Umsetzung brauchen Sie zuerst ein belastbares, gepflegtes Inventar Ihrer Systeme. In der Praxis fehlen dort häufig extern erreichbare Assets, etwa vergessene Subdomains, Testsysteme oder Cloud-Dienste einzelner Fachabteilungen. External Attack Surface Management liefert diese Außensicht und damit eine belastbare Datengrundlage für die Risikoanalyse. Legen Sie anschließend Bewertungskriterien, Verantwortliche und einen Behandlungsplan fest und aktualisieren Sie die Analyse mindestens jährlich.

Maßnahme 2: Bewältigung von Sicherheitsvorfällen

Nummer 2 verlangt Prozesse zur Bewältigung von Sicherheitsvorfällen. Dazu gehören ein Incident-Response-Plan mit klaren Rollen und Eskalationswegen sowie Playbooks für typische Szenarien wie Ransomware oder kompromittierte Konten. Der Plan muss mit den Meldepflichten nach § 32 BSIG verzahnt sein: Erhebliche Sicherheitsvorfälle melden Einrichtungen dem BSI unverzüglich, spätestens innerhalb von 24 Stunden. Eine Folgemeldung mit erster Bewertung folgt innerhalb von 72 Stunden, die Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Üben Sie den Ablauf regelmäßig, damit Zuständigkeiten und Kontaktwege im Ernstfall funktionieren.

Maßnahme 3: Aufrechterhaltung des Betriebs und Krisenmanagement

Nummer 3 fordert die Aufrechterhaltung des Betriebs. Der Gesetzestext nennt ausdrücklich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Praktisch heißt das: ein Backup-Konzept mit getrennt aufbewahrten und gegen Veränderung geschützten Sicherungen, dokumentierte Wiederanlaufpläne mit Prioritäten für kritische Prozesse und ein Krisenstab mit definierten Kommunikationswegen. Testen Sie die Wiederherstellung regelmäßig unter realistischen Bedingungen. Ein Backup, dessen Rücksicherung nie geprüft wurde, bleibt im Ernstfall ein Risiko.

Maßnahme 4 und 5: Lieferkette und sichere Beschaffung

Maßnahme 4: Sicherheit der Lieferkette

Nummer 4 verpflichtet zur Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Sie müssen wissen, welche Dienstleister Zugriff auf Ihre Systeme oder Daten haben, und deren Sicherheitsniveau bewerten. Vereinbaren Sie vertragliche Sicherheitsanforderungen und prüfen Sie kritische Lieferanten laufend. Wie Sie diese Anforderung strukturiert angehen, zeigt unser Beitrag zur NIS2-Lieferkettensicherheit. Ein Vendor-Risk-Management kombiniert Fragebögen mit einer technischen Außensicht auf die Lieferanten und macht deren Sicherheitslage vergleichbar.

Maßnahme 5: Sicherheit bei Erwerb, Entwicklung und Wartung

Nummer 5 betrifft Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen, Komponenten und Prozessen. Definieren Sie Sicherheitsanforderungen bereits im Einkauf, etwa zur Update-Versorgung und zu sicheren Standardeinstellungen. Für den Betrieb brauchen Sie ein Patch-Management mit klaren Fristen und einen Prozess für den Umgang mit gemeldeten Schwachstellen. Wer selbst Software entwickelt, ergänzt sichere Entwicklungsrichtlinien, Code-Reviews und Tests. Ausgemusterte Systeme gehören konsequent abgeschaltet, sonst bleiben sie als ungepflegte Altlast aus dem Internet erreichbar.

Ein belastbarer Schwachstellenprozess sollte nicht ausschließlich auf abschließende NVD-Bewertungen warten. Mit Preemptive Intelligence gleicht LocateRisk Hinweise aus mehreren Quellen frühzeitig mit der sichtbaren Angriffsfläche ab. Das unterstützt die Priorisierung im Patch- und Schwachstellenmanagement; die technische Prüfung, ob ein konkretes System betroffen ist, bleibt erforderlich.

Maßnahme 6 und 7: Wirksamkeit messen, Cyberhygiene verankern

Maßnahme 6: Bewertung der Wirksamkeit der Maßnahmen

Nummer 6 fordert Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Maßnahmen einmalig einzuführen genügt nicht, Sie müssen deren Wirkung regelmäßig messen. Geeignet sind Kennzahlen wie Patch-Laufzeiten, Ergebnisse interner Audits und technische Prüfungen. Ein KPI-basiertes Security Rating misst die von außen sichtbare Sicherheitslage kontinuierlich und macht Veränderungen über die Zeit nachvollziehbar. Damit erhält auch die Geschäftsleitung, die die Umsetzung nach § 38 BSIG überwachen muss, eine verständliche Entscheidungsgrundlage.

Maßnahme 7: Schulungen und Cyberhygiene

Nummer 7 fordert grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik. Bauen Sie ein wiederkehrendes Awareness-Programm für alle Beschäftigten auf, mit praxisnahen Inhalten zu Phishing, Passwörtern und dem Umgang mit Verdachtsfällen. Ergänzend gehört Cyberhygiene in den Alltag: zeitnahe Updates, minimale Berechtigungen und klare Regeln für mobile Geräte. Beachten Sie die gesonderte Pflicht aus § 38 BSIG: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken bewerten zu können. Diese Schulungspflicht trifft die Geschäftsleitung persönlich.

Maßnahme 8 bis 10: Kryptographie, Personal und Authentifizierung

Maßnahme 8: Kryptographie und Verschlüsselung

Nummer 8 verlangt Konzepte und Prozesse für den Einsatz kryptographischer Verfahren. Dokumentieren Sie, welche Daten Sie im Ruhezustand und bei der Übertragung verschlüsseln, welche Verfahren zulässig sind und wie Sie Schlüssel erzeugen, aufbewahren und erneuern. Prüfen Sie Ihre extern erreichbaren Dienste auf veraltete Protokolle, ablaufende Zertifikate und schwache TLS-Konfigurationen. Orientierung zu empfohlenen Verfahren und Schlüssellängen bietet die Technische Richtlinie TR-02102 des BSI.

Maßnahme 9: Personalsicherheit, Zugriffskontrolle und Asset-Management

Nummer 9 umfasst Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Regeln Sie Eintritt, Rollenwechsel und Austritt von Beschäftigten mit klaren Prozessen für Berechtigungen. Vergeben Sie Zugriffe nach dem Need-to-know-Prinzip und rezertifizieren Sie Berechtigungen regelmäßig. Grundlage ist ein gepflegtes Asset-Inventar: Nur wer weiß, welche Systeme existieren und wer dafür verantwortlich ist, kann Zugriffe sauber steuern.

Maßnahme 10: Multi-Faktor-Authentifizierung und sichere Kommunikation

Nummer 10 schreibt die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung vor, außerdem gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme. Priorisieren Sie MFA für Administratorkonten, Fernzugänge und extern erreichbare Anmeldemasken. Prüfen Sie Ihre Kommunikationswerkzeuge auf Transportverschlüsselung und Zugriffsschutz. Planen Sie zusätzlich einen Kommunikationsweg für den Krisenfall, der unabhängig von der möglicherweise kompromittierten Primärinfrastruktur funktioniert.

ISO-27001-Mapping: Vorhandene Strukturen nutzen

Die zehn Maßnahmen überschneiden sich inhaltlich stark mit den Anforderungen der ISO/IEC 27001:2022. Wer bereits ein Informationssicherheits-Managementsystem betreibt, kann viele Nachweise wiederverwenden. Die folgende Zuordnung dient als Orientierung für eine Gap-Analyse. Sie ersetzt keine Einzelfallprüfung, da § 30 BSIG teils konkreter formuliert ist als die Norm.

Eine bestehende Zertifizierung erfüllt die gesetzlichen Pflichten nicht automatisch. Registrierung, Meldepflichten und die Pflichten der Geschäftsleitung bestehen unabhängig vom Managementsystem fort.

Priorisierungs-Roadmap: Umsetzung in drei Phasen

Rechtlich gelten alle zehn Maßnahmen sofort. In der Praxis brauchen Unternehmen dennoch eine Reihenfolge. Die folgende Roadmap priorisiert nach Risiko und Aufwand. Sie ist eine Empfehlung, keine gesetzliche Staffelung.

Phase 1 (Monat 1 bis 3): Transparenz und Pflichten

• Betroffenheit mit der BSI-Betroffenheitsprüfung klären und Registrierung nach § 33 BSIG abschließen
• Verantwortlichkeiten, Budget und Berichtsweg zur Geschäftsleitung festlegen
• Asset-Inventar und Angriffsfläche systematisch erfassen, erste Risikoanalyse durchführen (Maßnahme 1)
• Meldeprozess nach § 32 BSIG mit Vorlagen und Zuständigkeiten einrichten (Maßnahme 2)
• Sofortmaßnahmen umsetzen: MFA für Administrator- und Fernzugänge, Backup-Wiederherstellung testen (Maßnahmen 3 und 10)

Phase 2 (Monat 4 bis 9): Konzepte und Prozesse

• Konzepte für Kryptographie, Zugriffskontrolle und Personalsicherheit dokumentieren (Maßnahmen 8 und 9)
• Lieferanten inventarisieren, bewerten und vertragliche Anforderungen nachziehen (Maßnahme 4)
• Beschaffungs-, Patch- und Schwachstellenprozesse festlegen (Maßnahme 5)
• Schulungsprogramm für Beschäftigte und Geschäftsleitung starten (Maßnahme 7)
• Notfall- und Krisenmanagement ausbauen und eine Übung durchführen (Maßnahme 3)

Phase 3 (ab Monat 10): Wirksamkeit und Verbesserung

• Kennzahlen definieren und regelmäßig an die Geschäftsleitung berichten (Maßnahme 6)
• Gap-Analyse gegen ISO 27001 oder internes Audit durchführen
• Kontinuierliches Monitoring der eigenen Angriffsfläche etablieren
• Risikoanalyse und Konzepte mindestens jährlich aktualisieren

Häufige Fragen

---

Gibt es eine Übergangsfrist für die zehn Maßnahmen?

Nein. Die Pflichten aus § 30 BSIG gelten seit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025. Eine gesetzliche Schonfrist für die technischen und organisatorischen Maßnahmen existiert nicht. Lediglich für die Registrierung beim BSI räumt § 33 BSIG eine Frist von drei Monaten ein, nachdem eine Einrichtung die Kriterien erfüllt.

---

Reicht eine ISO-27001-Zertifizierung als Nachweis für NIS2?

Eine Zertifizierung deckt viele Anforderungen inhaltlich ab und ist eine gute Basis. Sie ersetzt die gesetzlichen Pflichten jedoch nicht automatisch. Registrierung, Meldepflichten und die Pflichten der Geschäftsleitung gelten unabhängig vom Managementsystem. Eine Gap-Analyse zeigt, wo Ihr bestehendes ISMS die Vorgaben aus § 30 Absatz 2 BSIG bereits erfüllt und wo Lücken bleiben.

---

Welche Bußgelder drohen bei Verstößen gegen § 30 BSIG?

§ 65 BSIG sieht für besonders wichtige Einrichtungen Bußgelder bis zu 10 Millionen Euro vor, für wichtige Einrichtungen bis zu 7 Millionen Euro. Liegt der Gesamtumsatz einer Einrichtung über 500 Millionen Euro, erweitert sich der Rahmen auf bis zu 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes. Die konkrete Höhe richtet sich nach den Umständen des Einzelfalls, insbesondere nach Art, Schwere und Dauer des Verstoßes. Zusätzlich haftet die Geschäftsleitung nach § 38 BSIG gegenüber der eigenen Einrichtung, wenn sie ihre Umsetzungs- und Überwachungspflicht schuldhaft verletzt.

---

Was bedeutet Stand der Technik bei der Umsetzung?

Nach § 30 Absatz 2 BSIG sollen die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Der Begriff ist bewusst dynamisch: Was heute angemessen ist, kann in wenigen Jahren veraltet sein. Orientierung bieten der IT-Grundschutz des BSI, die Technischen Richtlinien des BSI und die ISO-27001-Normenfamilie. Zugleich verlangt § 30 Absatz 1 BSIG verhältnismäßige Maßnahmen: In die Bewertung fließen unter anderem die Größe der Einrichtung, die Risikoexposition und die Umsetzungskosten ein.

Fazit: Mit Transparenz über die Angriffsfläche starten

Die zehn Pflichtmaßnahmen nach § 30 BSIG sind kein einmaliges Projekt, sondern ein dauerhafter Prozess aus Analyse, Umsetzung und Kontrolle. Der wirksamste erste Schritt ist Transparenz über die eigene Angriffsfläche, denn ohne belastbare Außensicht fehlen der Risikoanalyse wichtige Grundlagen. Eine IT-Risikoanalyse von LocateRisk zeigt Ihnen innerhalb von 48 Stunden, welche Systeme und welche eingesetzte Software Ihres Unternehmens aus dem Internet sichtbar sind und wo Handlungsbedarf besteht, ganz ohne Installation von Agenten.