NIS2-Anforderungen: Die 10 Cybersicherheits-Risikomanagementmaßnahmen erklärt

Zuletzt verifiziert: Oktober 2026. Dieser Leitfaden behandelt die zehn Mindestmaßnahmen nach § 30 Absatz 2 BSIG in der Fassung des NIS2UmsuCG, mit denen Deutschland Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 (NIS2) umsetzt, sowie die Durchführungsverordnung (EU) 2024/2690 der Kommission (CIR), die für bestimmte digitale Diensteanbieter verbindliche technische und methodische Anforderungen festlegt.

Wenn Sie festgestellt haben, dass Ihre Organisation in den Anwendungsbereich von NIS2 fällt, stellt sich unmittelbar die nächste Frage: Was genau ist zu tun?

In Deutschland ist Artikel 21 der Richtlinie (EU) 2022/2555 durch § 30 BSIG umgesetzt. § 30 Absatz 2 BSIG nennt zehn Bereiche, die die Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen „zumindest“ umfassen müssen — ob Cloud-Anbieter, mittelständischer Hersteller oder digitaler Marktplatz. Ausgenommen von § 30 BSIG sind unter anderem Betreiber öffentlicher Telekommunikationsnetze und -dienste, bestimmte Energieunternehmen (§ 28 Absatz 5 BSIG) sowie Finanzunternehmen im Sinne der DORA-Verordnung (§ 28 Absatz 6 BSIG); für sie gelten die Fachgesetze. Variabel ist vor allem, wie umfangreich die Umsetzung ausfallen muss: Nach § 30 Absatz 1 BSIG sind dafür das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.

Dieser Leitfaden erläutert jede Maßnahme in verständlicher Sprache: Was § 30 BSIG und Artikel 21 NIS2 vorschreiben, wie die Durchführungsverordnung (EU) 2024/2690 (CIR) dies für die von ihr erfassten Einrichtungsarten in technische Anforderungen überführt, welche Dokumente sich als Nachweis anbieten, und praktische Hinweise für Organisationen mit begrenzten Sicherheitsressourcen.

Artikel 21 und § 30 BSIG im Überblick: Der rechtliche Rahmen

Artikel 21 Absatz 1 NIS2 etabliert das grundlegende Prinzip: „Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen […]“ § 30 Absatz 1 BSIG übernimmt dies: Besonders wichtige und wichtige Einrichtungen sind verpflichtet, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ zu ergreifen, und haben die Einhaltung dieser Verpflichtung zu dokumentieren.

Zwei Grundsätze bestimmen die praktische Umsetzung:

• Verhältnismäßigkeit — Umfang und Ausgereiftheit der Umsetzung richten sich nach den Kriterien des § 30 Absatz 1 Satz 2 BSIG: Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Ein Fertigungsunternehmen mit 200 Mitarbeitenden und ein paneuropäischer Cloud-Anbieter unterliegen denselben zehn Mindestbereichen, jedoch unterscheiden sich der erforderliche Dokumentationsumfang und die Komplexität der Kontrollen in der Regel erheblich.
• Gefahrenübergreifender Ansatz — Nach § 30 Absatz 2 Satz 1 BSIG müssen die Maßnahmen auf einem gefahrenübergreifenden Ansatz beruhen; sie sollen zudem den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Zu betrachten sind daher Bedrohungen aus jeder Quelle: Cyberangriffe, Hardwareausfälle, Naturereignisse, Innentäter und Kompromittierungen in der Lieferkette gleichermaßen. Artikel 21 Absatz 2 NIS2 nennt ausdrücklich auch den Schutz der physischen Umwelt der Systeme.

Für DNS-Diensteanbieter, TLD-Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider (MSPs), Managed Security Service Provider (MSSPs), Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter geht die Durchführungsverordnung (EU) 2024/2690 weiter. Am 18. Oktober 2024 im Amtsblatt veröffentlicht und seit dem 7. November 2024 in Kraft, legt die CIR in ihrem Anhang verbindliche technische und methodische Anforderungen fest; § 30 Absatz 3 BSIG ordnet an, dass sie für diese Einrichtungsarten Vorrang hat. Für alle anderen Einrichtungen ist der CIR-Anhang nicht unmittelbar verbindlich, kann aber als detaillierte Orientierung dienen.

Welche Schutzziele Artikel 21 dabei überhaupt schützt, steht nicht in Artikel 21, sondern in den Begriffsbestimmungen — und die Zählung fällt je nach Rechtsquelle unterschiedlich aus: Die Richtlinie nennt vier Eigenschaften, § 30 Absatz 1 BSIG nur drei, und die Durchführungsverordnung verlangt für die oben genannten Einrichtungsarten eine Klassifizierung auf vier Dimensionen. Der Leitfaden Schutzziele der Informationssicherheit: Die CIA-Triade nennt drei — NIS2 vier stellt die Fundstellen gegenüber.

Die 10 Maßnahmen im Überblick: § 30 Abs. 2 BSIG, Art. 21 Abs. 2 NIS2 und CIR-Anhang

Nr. (§ 30 Abs. 2 BSIG)	Maßnahme	Art. 21 Abs. 2 NIS2	CIR-Anhang
1	Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik	(a)	1, 2
2	Bewältigung von Sicherheitsvorfällen	(b)	3.1–3.6
3	Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall) und Krisenmanagement	(c)	4.1–4.3
4	Sicherheit der Lieferkette	(d)	5.1–5.2
5	Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen	(e)	6.1–6.10
6	Bewertung der Wirksamkeit von Risikomanagementmaßnahmen	(f)	7
7	Grundlegende Schulungen und Sensibilisierung (Art. 21: Cyberhygiene und Schulungen)	(g)	8
8	Kryptografie (Art. 21: gegebenenfalls Verschlüsselung)	(h)	9
9	Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen (Asset-Management)	(i)	10, 11, 12
10	Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation, gegebenenfalls gesicherte Notfallkommunikation	(j)	11 (insb. 11.6–11.7)

Abschnitt 13 des CIR-Anhangs (Sicherheit des Umfelds und physische Sicherheit) ordnet die Verordnung den Buchstaben (c), (e) und (i) zu.

Diese zehn Maßnahmen müssen Sie nicht von Grund auf neu entwickeln: Der BSI IT-Grundschutz liefert für die meisten davon bereits ausformulierte, prüfbare Anforderungen. Welcher Baustein auf welche Nummer des § 30 BSIG einzahlt — und welche vier Pflichten kein Baustein abdecken kann — zeigt unser Vergleich NIS2 und BSI IT-Grundschutz.

Maßnahme 1: Risikoanalyse und Informationssicherheitspolitik

§ 30 Absatz 2 Nr. 1 BSIG (Artikel 21 Absatz 2 Buchstabe a NIS2) verlangt Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik. Dies ist das Fundament, auf dem alle übrigen Maßnahmen aufbauen — ohne systematisch ermittelte Risiken lässt sich kaum belegen, dass die übrigen Kontrollen diesen Risiken angemessen sind.

Was die Rechtsvorschrift verlangt

Das Gesetz benennt nur den Gegenstand; in der Praxis bedeutet das zweierlei: eine dokumentierte Methodik zur Bewertung von Cybersicherheitsrisiken sowie eine übergeordnete Informationssicherheitsleitlinie, die den Anwendungsbereich des Informationssicherheits-Managementsystems (ISMS), die Sicherheitsziele und die Verantwortlichkeiten festlegt. Für die Geschäftsleitung gilt § 38 Absatz 1 BSIG: Sie ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Eine ausdrückliche Pflicht zur „Billigung“ der Maßnahmen, wie sie Artikel 20 NIS2 vorsieht, enthält das BSIG nicht; eine dokumentierte Freigabe der Leitlinie durch die Geschäftsleitung ist dennoch ein naheliegender Nachweis für die Wahrnehmung der Überwachungspflicht.

Für die von der CIR erfassten Einrichtungen wird dies konkret: Nach Nummer 1.1 des Anhangs muss das Konzept für die Sicherheit von Netz- und Informationssystemen unter anderem Sicherheitsziele, Rollen und Verantwortlichkeiten (Nummer 1.2) sowie „das Datum der förmlichen Genehmigung durch die Leitungsorgane“ enthalten; die Leitungsorgane überprüfen es mindestens jährlich (Nummer 1.1.2). Nummer 2.1 verlangt einen Risikomanagementrahmen mit Risikomanagementmethodik, Risikotoleranz und Risikokriterien; die Ergebnisse der Risikobewertung und die Restrisiken werden von den Leitungsorganen oder von dafür rechenschaftspflichtigen und befugten Personen akzeptiert. Risikobewertung und Risikobehandlungsplan sind mindestens jährlich sowie bei wesentlichen Änderungen oder erheblichen Sicherheitsvorfällen zu überprüfen (Nummer 2.1.4). Verletzt die Geschäftsleitung ihre Pflichten aus § 38 Absatz 1 BSIG, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform (§ 38 Absatz 2 BSIG) — mehr dazu unter Bußgelder und Haftung.

Die technische Umsetzungsleitlinie der ENISA (Version 1.0, Juni 2025) ergänzt jede Anforderung des CIR-Anhangs um Hinweise, Nachweisbeispiele und Tipps. Für die Methodik nennt sie beispielhaft ISO/IEC 27005:2022 und verweist auf das ENISA-Kompendium von Risikomanagement-Rahmenwerken. Rechtlich verbindlich ist die Leitlinie nicht.

Erforderliche Dokumente

• Informationssicherheitsleitlinie — von der Geschäftsleitung freigegeben, datiert, mit Definition des ISMS-Anwendungsbereichs, Sicherheitszielen und zugewiesenen Verantwortlichkeiten
• Risikobewertungsmethodik — dokumentierte Kriterien für Wahrscheinlichkeit, Auswirkung, Risikobewertungsskalen und Risikoakzeptanzschwellen
• Risikoregister — laufendes Inventar identifizierter Bedrohungen mit zugewiesenen Wahrscheinlichkeits- und Auswirkungsbewertungen, Behandlungsentscheidungen und Status des Restrisikos

Hinweis für KMU: Eine verhältnismäßige Risikobewertung für eine Organisation mit 100 Mitarbeitenden erfordert keine dedizierte GRC-Plattform. Ein strukturiertes Tabellenkalkulationsregister in Verbindung mit einer zweiseitigen Methodikbeschreibung und einer von der Geschäftsleitung freigegebenen Leitlinie kann für § 30 Absatz 2 Nr. 1 BSIG genügen, sofern es regelmäßig überprüft und nachweislich zur Steuerung von Kontrollentscheidungen verwendet wird. Siehe unsere Vorlagen für Risikobewertungsmethodik und Risikoregister.

Maßnahme 2: Behandlung von Sicherheitsvorfällen

§ 30 Absatz 2 Nr. 2 BSIG (Artikel 21 Absatz 2 Buchstabe b NIS2) verlangt die Bewältigung von Sicherheitsvorfällen. Es geht dabei nicht nur darum, auf Vorfälle zu reagieren, wenn sie eintreten — sondern darum, vordefinierte Arbeitsabläufe, Eskalationswege und Benachrichtigungsprozesse bereitzuhalten, die unter Zeitdruck sofort aktiviert werden können.

Was die Rechtsvorschrift verlangt

Einrichtungen müssen in der Lage sein, Vorfälle zu erkennen, zu bewerten, darauf zu reagieren und den Betrieb wiederherzustellen. Entscheidend ist die operative Fähigkeit, die Meldefristen für erhebliche Sicherheitsvorfälle nach § 32 BSIG einzuhalten: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung, eine Meldung mit einer ersten Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach Übermittlung dieser Meldung — jeweils an die gemeinsame Meldestelle von BSI und BBK über das BSI-Portal.

Abschnitt 3 des CIR-Anhangs gliedert die Vorfallsbewältigung in sechs Unterabschnitte:

• 3.1 — Konzept für die Bewältigung von Sicherheitsvorfällen: Rollen, Verantwortlichkeiten und Verfahren für Erkennung, Analyse, Eindämmung bzw. Reaktion, Wiederherstellung, Dokumentation und Meldung; unter anderem ein Kategorisierungssystem für Vorfälle, Kommunikationspläne für Eskalation und Meldung sowie Arbeitsunterlagen wie Handbücher, Eskalationsdiagramme, Kontaktlisten und Vorlagen
• 3.2 — Überwachung und Protokollierung: Verfahren und Werkzeuge zur Überwachung und Protokollierung, soweit möglich automatisiert, festgelegte Protokollinhalte, Alarmschwellen soweit angemessen sowie Schutz und Aufbewahrung der Protokolle
• 3.3 — Meldung von Ereignissen: ein einfacher Mechanismus, über den Beschäftigte, Lieferanten und Kunden verdächtige Ereignisse melden können
• 3.4 — Bewertung und Klassifizierung von Ereignissen: Bewertung anhand vorab festgelegter Kriterien und Triage sowie eine vierteljährliche Prüfung auf wiederkehrende Vorfälle im Sinne von Artikel 4 der Verordnung
• 3.5 — Reaktion auf Sicherheitsvorfälle: dokumentierte Verfahren für Eindämmung, Beseitigung und Wiederherstellung, Kommunikationspläne mit dem CSIRT bzw. der zuständigen Behörde sowie intern und mit externen Beteiligten, Protokollierung der Reaktionsmaßnahmen, Beweissicherung und Tests in geplanten Abständen
• 3.6 — Überprüfungen nach Sicherheitsvorfällen: soweit angemessen eine Ursachenanalyse und dokumentierte Lessons Learned, die in Risikobehandlung und Verfahren zur Erkennung und Reaktion einfließen

Wann ein Vorfall für diese Einrichtungen als erheblich gilt, konkretisiert Artikel 3 der Verordnung — etwa bei einem unmittelbaren finanziellen Verlust von mehr als 500 000 EUR oder 5 % des Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert niedriger ist.

Erforderliche Dokumente

• Richtlinie zur Behandlung von Sicherheitsvorfällen — definiert Anwendungsbereich, Vorfallsklassifikationskriterien, Rollen und Verantwortlichkeiten, Eskalationsweg und Aufbewahrungsanforderungen für Vorfallsaufzeichnungen
• Vorfallsprotokoll — laufende Aufzeichnung aller Sicherheitsereignisse, ihrer Klassifizierung, ergriffenen Reaktionsmaßnahmen und des Lösungsstatus
• Vorlagen zur Meldevorbereitung — vorstrukturierte Checklisten für die Inhalte der frühen Erstmeldung, der 72-Stunden-Meldung und der Abschlussmeldung nach § 32 BSIG; eingereicht wird über das BSI-Portal

Wesentliches Risiko: Die 24-Stunden-Frist für die frühe Erstmeldung ist knapp bemessen und überrascht viele Organisationen unvorbereitet. Die Fähigkeit zur Vorfallserkennung — auch eine einfache zentralisierte Protokollerfassung und Alarmierung — sollte vor dem Eintreten eines Vorfalls einsatzbereit sein, nicht erst als Reaktion darauf zusammengestellt werden. Unser Leitfaden zu den Meldepflichten bei Sicherheitsvorfällen erläutert, welche Angaben in die drei Meldestufen gehören.

Maßnahme 3: Business Continuity und Krisenmanagement

§ 30 Absatz 2 Nr. 3 BSIG (Artikel 21 Absatz 2 Buchstabe c NIS2) verlangt die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement. Ziel ist es, sicherzustellen, dass wesentliche Dienste nach einem störenden Ereignis wiederhergestellt werden können und dass Ihre Organisation vorab weiß, wie ein größerer Vorfall zu bewältigen ist, der die normale operative Kapazität übersteigt.

Was die Rechtsvorschrift verlangt

In der Praxis gehören dazu ein dokumentiertes Verständnis, welche Systeme und Dienste kritisch sind — eine Business Impact Analysis —, eine Strategie zur Aufrechterhaltung oder Wiederherstellung dieser Systeme unter definierten Wiederherstellungszeit- und Wiederherstellungspunktzielen, ein umsetzbarer Notfallplan sowie ein Krisenmanagementprozess für Szenarien, die normale Kapazitäten der Vorfallsreaktion übersteigen.

Abschnitt 4 des CIR-Anhangs konkretisiert dies:

• 4.1 — Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs: auf Basis der Risikobewertung, soweit angemessen mit Zweck und Geltungsbereich, Rollen, Kontakten und Kommunikationskanälen, Aktivierungsbedingungen, Wiederherstellungsreihenfolge und Wiederherstellungszielen; dazu eine Business Impact Analysis, aus der Kontinuitätsanforderungen abgeleitet werden (Nummer 4.1.3), sowie Tests und Überprüfung in geplanten Abständen
• 4.2 — Backup-Sicherungs- und Redundanzmanagement: Backup-Pläne mit Wiederherstellungszeiten, vollständigen und korrekten Sicherungen, Aufbewahrung an sicheren Orten außerhalb des Netzes des gesicherten Systems und in ausreichender Entfernung vom Hauptstandort, Zugriffskontrollen, regelmäßige Integritätsprüfungen und Wiederherstellungstests sowie zumindest teilweise Redundanz von Systemen, Ressourcen, Personal und Kommunikationskanälen. Die ENISA-Leitlinie empfiehlt, die 3-2-1-Regel (drei Kopien, zwei Medientypen, eine Kopie extern) zu erwägen — eine Vorgabe der Verordnung selbst ist sie nicht
• 4.3 — Krisenmanagement: Rollen und Verantwortlichkeiten in Krisensituationen, geeignete Kommunikationswege mit den zuständigen Behörden einschließlich der Pflichtmeldungen, Aufrechterhaltung der Sicherheit in der Krise sowie regelmäßige Tests und Aktualisierung des Krisenmanagementplans

Erforderliche Dokumente

• Business Impact Analysis (BIA) — Inventar kritischer Dienste, Abhängigkeitskartierung, RTO- und RPO-Ziele je Dienst sowie Auswirkungsquantifizierung
• Business-Continuity-Strategie — Backup-Architekturentscheidungen, Redundanzoptionen sowie Cloud-Failover- oder Alternativstandortarrangements
• Business Continuity Plan (BCP) — schrittweise Wiederherstellungsverfahren für prioritäre Ausfallszenarien
• Krisenmanagementplan — Befehlshierarchie, Kommunikationsbaum, Verfahren zur Behördenbenachrichtigung und Eskalationsauslöser

Tests: Pläne, die niemals getestet werden, sind kaum glaubwürdige Nachweise; die CIR verlangt für die von ihr erfassten Einrichtungen Tests in geplanten Abständen (Nummern 4.1.4, 4.2.6 und 4.3.4). Bewährt hat sich ein BC-Testprogramm mit beispielsweise einer jährlichen Tischübung und regelmäßigen technischen Wiederherstellungstests der Backups. Dokumentieren Sie die Ergebnisse und aktualisieren Sie die Pläne auf Basis der Erkenntnisse — Testnachweise dürften bei einer Prüfung zu den ersten angeforderten Unterlagen gehören.

Maßnahme 4: Sicherheit der Lieferkette

§ 30 Absatz 2 Nr. 4 BSIG (Artikel 21 Absatz 2 Buchstabe d NIS2) befasst sich mit der Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Dies ist eine der operativ komplexesten Maßnahmen, da sie die Anforderungen von NIS2 über Ihren eigenen Perimeter hinaus auf Ihr Lieferantenökosystem ausdehnt.

Was die Rechtsvorschrift verlangt

Einrichtungen sollten die Cybersicherheitslage ihrer kritischen Lieferanten bewerten, Sicherheitsanforderungen in Lieferantenverträge aufnehmen und die Lieferantensicherheit fortlaufend überwachen. Artikel 21 Absatz 3 NIS2 nennt als Maßstab die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter sowie die Gesamtqualität ihrer Produkte und ihrer Cybersicherheitspraxis einschließlich der Sicherheit ihrer Entwicklungsprozesse. Im Fokus stehen IKT-Produkt- und Dienstleistungsanbieter, deren Kompromittierung sich auf Ihre eigenen Dienste auswirken könnte — Softwareanbieter, Cloud-Plattformen, Managed Service Provider und IT-Hardwarelieferanten.

Abschnitt 5 des CIR-Anhangs legt fest:

• 5.1 — Konzept für die Sicherheit der Lieferkette: Kriterien für Auswahl und Beauftragung von Anbietern (unter anderem deren Cybersicherheitspraxis einschließlich sicherer Entwicklungsverfahren, die Fähigkeit zur Erfüllung der Sicherheitsvorgaben, Qualität und Resilienz der IKT-Produkte sowie, soweit anwendbar, Diversifizierung zur Begrenzung von Lock-in) und – soweit angemessen – vertragliche Regelungen zu Sicherheitsanforderungen, Schulung und gegebenenfalls Zertifizierungen des Anbieterpersonals, Zuverlässigkeitsüberprüfung, unverzüglicher Meldung von Sicherheitsvorfällen, Audit-Recht oder Recht auf Auditberichte, Schwachstellenbehandlung, Unterauftragsvergabe und Pflichten bei Vertragsende; dazu die Überwachung der Anbieter in geplanten Abständen
• 5.2 — Verzeichnis der Anbieter und Diensteanbieter: ein aktuelles Register der unmittelbaren Anbieter mit Kontaktstellen und den von ihnen bereitgestellten IKT-Produkten, -Diensten und -Prozessen

Erforderliche Dokumente

• Lieferantensicherheitsrichtlinie — Stufenmethodik, Bewertungsanforderungen je Stufe und Mindestsicherheitserwartungen nach Lieferantenkategorie
• Lieferantensicherheitsklauseln — vertragliche Anlage mit NIS2-relevanten Pflichten, einschließlich Vorfallsmeldung an Ihre Organisation, Audit-Recht, Anforderungen an Zugriffskontrollen und Standards zur Datenverarbeitung
• Lieferantenverzeichnis — Register aller im Anwendungsbereich befindlichen IKT-Lieferanten mit Kritikalitätsstufe, letztem Bewertungsdatum, Status der Vertragsklauseln und gehaltenen Sicherheitszertifizierungen

Praktische Realität: Vollständige Sicherheitsaudits bei jedem Lieferanten sind nicht durchführbar. Stufen Sie Ihre Lieferanten in kritische, wichtige und standardmäßige Kategorien ein und wenden Sie entsprechend verhältnismäßige Sorgfaltspflichten an. Eine Sicherheitsfragebogenbewertung kann für viele Lieferanten der wichtigen Kategorie ausreichen; bei Lieferanten der kritischen Kategorie kann eine unabhängige Auditverifizierung oder eine verpflichtende Zertifizierung (z.B. ISO 27001) angemessen sein. Siehe unseren Leitfaden zur Lieferkettensicherheit für eine ausgearbeitete Stufenmethodik und eine Fragebogenvorlage.

Maßnahme 5: Sicherheit bei Erwerb, Entwicklung und Wartung

§ 30 Absatz 2 Nr. 5 BSIG (Artikel 21 Absatz 2 Buchstabe e NIS2) verlangt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen. Dies gilt unabhängig davon, ob Sie handelsübliche Software kaufen, maßgeschneiderte Entwicklungen beauftragen oder Kapazitäten intern aufbauen.

Was die Rechtsvorschrift verlangt

Sicherheit sollte in die Art und Weise eingebettet sein, wie IKT-Systeme ausgewählt, beschafft, entwickelt und gepflegt werden — nicht nachträglich hinzugefügt werden. Für entwickelnde Organisationen bedeutet dies die Integration von Sicherheitsanforderungen in den Software-Entwicklungslebenszyklus (SDLC), einschließlich sicherer Programmierpraktiken, Sicherheitstests und Änderungsmanagementkontrollen. Für Organisationen, die primär kommerzielle Systeme kaufen und betreiben, liegt der Fokus auf Sicherheitsanforderungen bei der Beschaffung und einem disziplinierten Patch-Management.

Abschnitt 6 des CIR-Anhangs umfasst zehn Unterabschnitte; die beiden grundlegenden sind:

• 6.1 — Sicherheitsmaßnahmen beim Erwerb von IKT-Diensten oder IKT-Produkten: Prozesse zur Steuerung der Risiken über den gesamten Lebenszyklus, unter anderem Sicherheitsanforderungen an die zu erwerbenden Produkte, Anforderungen an Sicherheitsupdates während der gesamten Lebensdauer oder an den Ersatz nach Ende des Supportzeitraums, Angaben zu Hardware- und Softwarekomponenten sowie Verfahren zur Validierung der gelieferten Produkte
• 6.2 — Sicherer Entwicklungszyklus: Regeln für die sichere Entwicklung über alle Phasen (Spezifikation, Design, Entwicklung, Implementierung, Test), Analyse der Sicherheitsanforderungen, Grundsätze sicherer Programmierung wie Cybersecurity-by-Design und Zero-Trust-Architekturen, Sicherheitstests im Entwicklungszyklus und Schutz von Testdaten; die Regeln gelten auch für ausgelagerte Entwicklung

Die Unterabschnitte 6.3 bis 6.10 regeln Konfigurationsmanagement, Änderungsmanagement, Reparatur und Wartung, Sicherheitsprüfungen, Sicherheitspatch-Management, Netzsicherheit, Netzsegmentierung, Schutz gegen Schadsoftware sowie die Behandlung und Offenlegung von Schwachstellen. Etablierte Referenzen wie die OWASP Top 10 oder SAST/DAST-Werkzeuge können bei der Umsetzung helfen, werden von der Verordnung aber nicht vorgeschrieben.

Erforderliche Dokumente

• Sicherheitsrichtlinie für IKT-Beschaffung und -Entwicklung — Sicherheitsanforderungen bei der Beschaffung, SDLC-Sicherheitskontrollen, Änderungsmanagementprozess mit Sicherheits-Gates sowie Patch-Management-Pflichten und SLAs
• Anhang Sicherheitsanforderungen — eine Vertragsanlage-Vorlage für IKT-Beschaffungen, die Mindestsicherheitsstandards festlegt: Patch-Reaktions-SLAs, Pflichten zur Benachrichtigung über Schwachstellen sowie Anforderungen an sichere Konfigurationsbaselines

Maßnahme 6: Bewertung der Wirksamkeit von Cybersicherheits-Risikomanagementmaßnahmen

§ 30 Absatz 2 Nr. 6 BSIG (Artikel 21 Absatz 2 Buchstabe f NIS2) verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik. Damit schließt sich der Plan-Do-Check-Act-Zyklus: Es genügt nicht, Kontrollen zu implementieren; Einrichtungen sollten auch nachweisen können, dass sie messen, ob diese tatsächlich wirksam sind.

Was die Rechtsvorschrift verlangt

Bewährt hat sich ein definiertes Messprogramm — Key Performance Indicators (KPIs) und Key Risk Indicators (KRIs), die der Geschäftsleitung einen echten Einblick in die Sicherheitslage verschaffen. Das hängt eng mit § 38 Absatz 1 BSIG zusammen: Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen überwachen, und das gelingt kaum ohne verlässliche, regelmäßige Sicherheitskennzahlen.

Abschnitt 7 des CIR-Anhangs verpflichtet die erfassten Einrichtungen, ein Konzept und Verfahren zur Wirksamkeitsbewertung festzulegen und anzuwenden. Dabei sind die Ergebnisse der Risikobewertung und frühere erhebliche Sicherheitsvorfälle zu berücksichtigen, und es ist festzulegen:

• welche Risikomanagementmaßnahmen einschließlich Prozessen und Kontrollen überwacht und gemessen werden und mit welchen Methoden
• wann überwacht und gemessen wird und wer dafür verantwortlich ist
• wann und von wem die Ergebnisse analysiert und bewertet werden

Konzept und Verfahren sind in geplanten Abständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen zu überprüfen (Nummer 7.3). Die Ergebnisse fließen außerdem in die unabhängigen Überprüfungen nach Nummer 2.3 ein, über die die Leitungsorgane zu unterrichten sind. Wie sich das in das gesamte Risikomanagementprogramm einfügt, erläutert unser Leitfaden zur Risikoanalyse.

Erforderliche Dokumente

• Messmethodik — zu messende Maßnahmen, Kennzahlen, Messzeitpunkte und Verantwortlichkeiten
• Vorlage für Messberichte — regelmäßiger Bericht an die Geschäftsleitung mit Trends und Handlungsempfehlungen

Maßnahme 7: Grundlegende Schulungen und Sensibilisierung

§ 30 Absatz 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik; Artikel 21 Absatz 2 Buchstabe g NIS2 spricht von grundlegenden Verfahren im Bereich der Cyberhygiene und Schulungen. Gemeint sind sowohl die Sensibilisierung aller Beschäftigten als auch vertiefte Schulungen für Rollen mit Sicherheitsbezug. Davon zu unterscheiden ist die eigene Schulungspflicht der Geschäftsleitung nach § 38 Absatz 3 BSIG.

Abschnitt 8 des CIR-Anhangs verlangt ein zeitlich geplantes, wiederholtes Sensibilisierungsprogramm für Beschäftigte einschließlich der Mitglieder der Leitungsorgane und – soweit angemessen – für unmittelbare Anbieter, dessen Wirksamkeit soweit angemessen getestet wird (Nummer 8.1), sowie regelmäßige, funktionsbezogene Sicherheitsschulungen für Beschäftigte, deren Rollen sicherheitsrelevante Fähigkeiten erfordern (Nummer 8.2).

Erforderliche Dokumente

• Cybersicherheits-Schulungsplan — Zielgruppen, Inhalte, Turnus und Wirksamkeitsnachweis, einschließlich Teilnahmenachweisen

Maßnahme 8: Kryptografie

§ 30 Absatz 2 Nr. 8 BSIG verlangt Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren; Artikel 21 Absatz 2 Buchstabe h NIS2 spricht von Kryptografie und „gegebenenfalls Verschlüsselung“. Verschlüsselung ist also nicht pauschal für alle Daten vorgeschrieben, sondern risikobasiert einzusetzen.

Nach Abschnitt 9 des CIR-Anhangs legen die erfassten Einrichtungen ein Konzept und Verfahren für Kryptografie fest, um Vertraulichkeit, Authentizität und Integrität von Daten entsprechend ihrer Anlagenklassifizierung und den Ergebnissen der Risikobewertung zu schützen, und überprüfen es in geplanten Abständen unter Berücksichtigung des Stands der Technik in der Kryptografie.

Erforderliche Dokumente

• Verschlüsselungsrichtlinie (Kryptokonzept) — zulässige Verfahren und Schlüssellängen, Einsatzbereiche und Schlüsselmanagement

Maßnahme 9: Personalsicherheit, Zugriffskontrolle und Asset-Management

§ 30 Absatz 2 Nr. 9 BSIG verlangt die Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen; Artikel 21 Absatz 2 Buchstabe i NIS2 spricht vom Management von Anlagen.

Der CIR-Anhang verteilt dies auf drei Abschnitte: Abschnitt 10 (Sicherheit des Personals, unter anderem Zuverlässigkeitsüberprüfung, Verfahren bei Beendigung oder Änderung des Beschäftigungsverhältnisses und Disziplinarverfahren), Abschnitt 11 (Zugriffskontrolle, unter anderem Management von Zugangs- und Zugriffsrechten, privilegierte Konten, Identifizierung und Authentifizierung) und Abschnitt 12 (Anlagen- und Wertemanagement, unter anderem Klassifizierung nach Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit, Inventar, Wechseldatenträger und Rückgabe bei Austritt).

Erforderliche Dokumente

• Personalsicherheitsrichtlinie — Überprüfungen vor Einstellung, Pflichten während der Beschäftigung, Ein- und Austrittsprozesse
• Zugangskontrollrichtlinie — Berechtigungskonzept, Vergabe und regelmäßige Überprüfung von Rechten, privilegierte Konten
• Anlagenregister — Inventar von Hardware, Software, Daten und Diensten mit Klassifizierung und Verantwortlichen

Maßnahme 10: Multi-Faktor-Authentifizierung und sichere Kommunikation

§ 30 Absatz 2 Nr. 10 BSIG verlangt die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Der Wortlaut entspricht Artikel 21 Absatz 2 Buchstabe j NIS2.

Für die erfassten Einrichtungen verlangt Nummer 11.7 des CIR-Anhangs, dass Nutzer – soweit angemessen und entsprechend der Klassifizierung der Anlage, auf die zugegriffen wird – mit mehreren Authentifizierungsfaktoren oder Mechanismen der kontinuierlichen Authentifizierung authentifiziert werden; Nummer 11.6 regelt sichere Authentifizierungsverfahren allgemein. Erwägungsgrund 23 der Verordnung nennt Fernzugriffe sowie Zugriffe auf sensible Informationen, privilegierte Konten und Systemverwaltungskonten als Fälle, in denen Multi-Faktor-Authentifizierung besonders in Betracht kommt.

Erforderliche Dokumente

• Authentifizierungsrichtlinie — Geltungsbereich der Multi-Faktor-Authentifizierung, zulässige Faktoren, Ausnahmen mit Begründung
• Richtlinie für sichere Kommunikation — zugelassene Sprach-, Video- und Textkanäle sowie Notfallkommunikation bei Ausfall der Regelsysteme

Häufig gestellte Fragen

Sind alle 10 Maßnahmen gemäß Artikel 21 für jede NIS2-Einrichtung verpflichtend?

Im Grundsatz ja. Nach § 30 Absatz 2 BSIG müssen die Maßnahmen „zumindest“ die zehn genannten Bereiche umfassen. Der Verhältnismäßigkeitsgrundsatz regelt den Umfang der Umsetzung jeder einzelnen Maßnahme – nicht jedoch, ob ein Bereich überhaupt adressiert wird. Fehlt ein Bereich vollständig, ist das in der Regel eine Lücke, die bei einer Überprüfung durch das BSI nach §§ 61, 62 BSIG beanstandet werden kann. Nicht anwendbar ist § 30 BSIG auf die in § 28 Absätze 5 und 6 BSIG genannten Einrichtungen, etwa Telekommunikationsanbieter, bestimmte Energieunternehmen und Finanzunternehmen im Sinne der DORA-Verordnung; für sie gelten Fachgesetze.

Gilt die CIR 2024/2690 für meine Organisation?

Die CIR gilt unmittelbar für eine bestimmte Teilgruppe von NIS2-Einrichtungen: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Managed Service Provider (MSPs), Managed Security Service Provider (MSSPs), Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter. § 30 Absatz 3 BSIG räumt ihr für diese Einrichtungsarten Vorrang ein. Außerhalb dieser Kategorien ist der Anhang der CIR nicht verbindlich – er kann aber als detaillierte Orientierung dafür dienen, was „geeignete und verhältnismäßige“ Maßnahmen konkret bedeuten können.

Was ist der Unterschied zwischen Artikel 21 und Artikel 23?

Artikel 21 (in Deutschland § 30 BSIG) regelt die laufenden präventiven Sicherheitsmaßnahmen, die Ihr Programm zum Cybersicherheits-Risikomanagement bilden. Artikel 23 (in Deutschland § 32 BSIG) regelt die Meldung erheblicher Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach Übermittlung dieser Meldung. Maßnahme 2 (Vorfallsbewältigung) bildet die operative Verbindung zwischen beiden: Die im Rahmen von § 30 BSIG erstellten Reaktionsverfahren und Meldeworkflows ermöglichen es in der Praxis, die Fristen des § 32 BSIG einzuhalten.

Schreibt NIS2 eine ISO 27001-Zertifizierung vor?

Nein. Weder NIS2 noch das BSIG schreiben eine ISO 27001-Zertifizierung vor. Eine Zertifizierung kann aber ein starker Nachweis durch Dritte für wesentliche Teile der Maßnahmen nach § 30 BSIG sein, etwa in den Bereichen Risikoanalyse, Wirksamkeitsbewertung, Schulung und Zugriffskontrolle. Betreiber kritischer Anlagen können die Umsetzung nach § 39 Absatz 1 BSIG ausdrücklich „durch Sicherheitsaudits, Prüfungen oder Zertifizierungen“ nachweisen. Eine Zertifizierung ersetzt jedoch nicht automatisch alle NIS2-Pflichten, etwa Registrierung und Meldepflichten. Weitere Informationen finden Sie in unserem Vergleich NIS2 vs. ISO 27001, der eine detaillierte Zuordnungstabelle enthält und zeigt, wo die Rahmenwerke übereinstimmen und wo NIS2 Anforderungen stellt, die ISO 27001 nicht vollständig abdeckt.

Wie funktioniert der Verhältnismäßigkeitsgrundsatz in der Praxis?

Verhältnismäßigkeit bedeutet, dass eine wichtige Einrichtung mit 60 Mitarbeitenden in einem risikoarmen Sektor in der Regel nicht denselben Umfang an Dokumentation oder technischer Kontrollkomplexität benötigt wie eine große besonders wichtige Einrichtung, die eine kritische Anlage betreibt. Maßgeblich sind die Kriterien des § 30 Absatz 1 Satz 2 BSIG: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Faktoren wie die Sensibilität der verarbeiteten Daten oder die Abhängigkeit anderer von den Diensten der Einrichtung fließen in der Praxis über die Risikoexposition ein. Für Betreiber kritischer Anlagen gelten nach § 31 Absatz 1 BSIG auch weitergehende Maßnahmen als verhältnismäßig. Die Risikobewertung (Maßnahme 1) ist der Ort, an dem die Verhältnismäßigkeit formal begründet wird – eine dokumentierte Bewertung, die geringe Restrisiken identifiziert und entsprechend leichtere Maßnahmen anwendet, ist verteidigbar. Verhältnismäßigkeit ohne jegliche dokumentierte Risikobewertung geltend zu machen, ist es nicht.

Wie viele Dokumente benötige ich, um alle 10 Maßnahmen zu erfüllen?

Das Gesetz schreibt keine bestimmte Anzahl von Dokumenten vor; § 30 Absatz 1 BSIG verlangt lediglich, die Einhaltung zu dokumentieren. In der Praxis umfasst ein vollständig dokumentiertes Programm häufig rund 20–25 Richtlinien, Pläne und Register, zum Beispiel: Informationssicherheitsleitlinie, Risikobewertungsmethodik, Risikoregister, Vorfallsbehandlungsrichtlinie, Vorfallsprotokoll, drei Vorlagen zur Meldevorbereitung (24 h/72 h/1 Monat), Business-Impact-Analyse, Business-Continuity-Strategie, Business-Continuity-Plan, Krisenmanagementplan, Lieferantensicherheitsrichtlinie, Lieferantensicherheitsklauseln, Lieferantenverzeichnis, IKT-Beschaffungsrichtlinie, Sicherheitsanforderungsanhang, Messmethodik, Vorlage für Messberichte, Cybersicherheits-Schulungsplan, Personalsicherheitsrichtlinie, Verschlüsselungsrichtlinie, Zugangskontrollrichtlinie, Authentifizierungsrichtlinie, Anlagenregister sowie Richtlinie für sichere Kommunikation. Unsere Vorlagenbibliothek enthält Vorlagen für diesen Dokumentensatz, die sich an § 30 BSIG und Artikel 21 NIS2 orientieren.

Mehr zum Thema NIS2 in der öffentlichen Verwaltung: NIS2 für Behörden und Kommunen – Pflichten und Besonderheiten.

Sektor digitale Infrastruktur: NIS2 für Rechenzentren, Internet-Knoten (IXP), DNS- und TLD-Betreiber.

Sektor Wasser und Abwasser: NIS2 für Wasser- und Abwasserversorgung: KRITIS-Pflichten und OT-Sicherheit.

Zur Registrierung: Registrierung beim BSI nach § 33 BSIG – warum die gesetzliche Frist am 6. März 2026 abgelaufen ist und der 31. Juli 2026 keine gesetzliche Nachfrist war.

Was Maßnahme Nr. 2 – die Bewältigung von Sicherheitsvorfällen – konkret für Angriffserkennung und SIEM bedeutet, und wo die eigenständige Pflicht nach § 31 Absatz 2 BSIG für KRITIS-Betreiber beginnt, lesen Sie im Beitrag NIS2-Angriffserkennung und SIEM.

Quellen

• Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) in der Fassung des NIS2UmsuCG, §§ 28, 30, 31, 32, 38, 39. Gesetze im Internet: gesetze-im-internet.de/bsig_2025/
• Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (NIS2-Richtlinie), Artikel 20, 21, 23. EUR-Lex: eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555
• Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 zur Festlegung technischer und methodischer Anforderungen (CIR), ABl. L vom 18.10.2024. EUR-Lex: eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R2690
• ENISA: NIS2 Technical Implementation Guidance, Version 1.0 (Juni 2025). Agentur der Europäischen Union für Cybersicherheit: enisa.europa.eu/publications/nis2-technical-implementation-guidance

Gesundheitseinrichtungen, die als besonders wichtige oder wichtige Einrichtungen gelten, haben besondere sektorspezifische Herausforderungen durch Medizintechnik, Telematikinfrastruktur und Patientendatenschutz. Alle Anforderungen im Detail – auch für den Gesundheitssektor – erklärt unser NIS2-Leitfaden für das Gesundheitswesen.

Speziell für Cloud-Anbieter, MSP und Rechenzentrumsbetreiber gelten die zusätzlichen Anforderungen der EU-Durchführungsverordnung 2024/2690 (CIR), die als EU-Verordnung unmittelbar gilt: NIS2 für Cloud- und digitale Dienstleister – CIR-Pflichten und technische Anforderungen.

Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze fallen unabhängig von ihrer Größe unter das BSIG – ab 50 Mitarbeitenden oder mehr als 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme als besonders wichtige, darunter als wichtige Einrichtungen (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG). Risikomanagement und Meldungen richten sich für sie nach dem TKG (§ 28 Abs. 5 BSIG). Die sektorspezifischen Anforderungen, das Verhältnis zu § 165 TKG sowie die Meldung an Bundesnetzagentur und BSI nach § 168 TKG erklärt: NIS2 für Telekommunikation und TK-Anbieter.

Für Kreditinstitute, Investmentfirmen und andere Finanzunternehmen im Sinne der DORA-Verordnung gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG); maßgeblich ist DORA. Das Verhältnis zur DORA-Verordnung sowie die BSIG-Pflichten, die daneben bestehen bleiben, erklärt: NIS2 für Banken und Finanzwesen.

Chemieunternehmen und pharmazeutische Hersteller sind von NIS2 unterschiedlich stark betroffen: Hersteller von und Händler mit Stoffen im Sinne der REACH-Verordnung fallen unter Anhang II (Chemie) und damit höchstens in die Kategorie der wichtigen Einrichtungen, während Pharmahersteller (NACE C21) als Teil des Gesundheitssektors Anhang I zugeordnet sind und bei entsprechender Größe als besonders wichtige Einrichtungen gelten können. Zusätzlich zur OT-Sicherheit in Prozessleittechnik entstehen Schnittmengen mit dem Störfallrecht (SEVESO III / 12. BImSchV). Alle Anforderungen erklärt: NIS2 für Chemie und Pharma.

Forschungseinrichtungen fallen nach Anhang II NIS2 bzw. Anlage 2 BSIG (Nr. 7 „Forschung“) bei Erreichen der Größenschwellen als wichtige Einrichtungen in den Anwendungsbereich. Gemeint sind Einrichtungen, deren primäres Ziel angewandte Forschung oder experimentelle Entwicklung zur kommerziellen Nutzung ist; Bildungseinrichtungen wie Universitäten und Fachhochschulen gelten nach § 2 Nr. 12 BSIG nicht als Forschungseinrichtungen. Betroffene Einrichtungstypen, den Schutz von Forschungsdaten und geistigem Eigentum sowie den Umgang mit der Wissenschaftsfreiheit erklärt: NIS2 für Forschungseinrichtungen.

Automobilzulieferer, die parallel ein TISAX-Assessment durchlaufen: NIS2 vs. TISAX – was die Automobilbranche zusätzlich beachten muss

Die Verwaltung von Anlagen und Werten – Hardware, Software, Daten und OT – ist Teil derselben Anforderung wie die Zugangskontrolle (Art. 21(2)(i) NIS2) und bildet die Grundlage jeder Risikoanalyse: NIS2 Asset-Management und Inventarisierung.

Wie die Umsetzung dieser Maßnahmen gegenüber dem BSI oder einem Kunden nachgewiesen wird – und warum nur ein kleiner Teil der registrierten Einrichtungen überhaupt einen festen Prüftermin hat: NIS2-Audit vorbereiten – Ablauf nach § 39, § 61 und § 62 BSIG und die erforderlichen Nachweise.

Wie das Konzept zur Bewältigung von Sicherheitsvorfällen nach Artikel 21(2)(b) konkret aufgebaut wird – sechs Abschnitte aus Anhang Nr. 3 der DVO (EU) 2024/2690, rückwärts von den Meldefristen des § 32 BSIG gedacht: Incident Response Plan – die Vorlage, die 24-Stunden-, 72-Stunden- und Monatsfrist übersteht.

Eine ausführliche Anleitung zu Patch-Prozess, CVE-Monitoring und Priorisierung nach Kritikalität finden Sie in unserem Leitfaden zum Patch- und Schwachstellenmanagement.

Wie Sie Ihr Netzwerk in Zonen segmentieren und welche Anforderungen dabei wirklich greifen, erklärt unser Leitfaden zu NIS2-Netzwerksicherheit und Segmentierung.

Welche Nachweise Sie für jede der zehn Maßnahmen konkret vorhalten müssen und wie lange, erklärt unser Leitfaden zu den NIS2-Dokumentationspflichten.

Eine vollständige Referenzarchitektur für die technische Umsetzung liefert unser Leitfaden zum Purdue-Modell für OT-Segmentierung.