Informationssicherheitsleitlinie: Vorlage mit den 11 Pflichtinhalten der NIS2-DVO – sechs fehlen in der BSI-200-1-Gliederung

Kurz gesagt: Eine Informationssicherheitsleitlinie ist das oberste Dokument Ihres Sicherheitsmanagements. NIS2 verlangt sie, nennt sie aber anders: Die deutsche Fassung der Durchführungsverordnung (EU) 2024/2690 spricht vom „Konzept für die Sicherheit von Netz- und Informationssystemen“ und schreibt in Anhang Nr. 1.1.1 elf Pflichtinhalte vor, Buchstabe a bis k. Eine Leitlinie, die nur die Mindestthemen des BSI-Standards 200-1 abdeckt, erfüllt davon nach unserer Zuordnung vier vollständig und einen teilweise. Unten finden Sie die Lückentabelle, eine zwölfteilige Vorlage mit Musterformulierungen und die drei Pflichten, die erst nach dem Schreiben anfangen.

Für wen Anhang Nr. 1.1.1 verbindlich ist und für wen er Maßstab ist

Bevor Sie eine Zeile schreiben, klären Sie, ob die elf Buchstaben für Sie Gesetz oder Orientierung sind. Die Antwort steht in § 30 Abs. 3 BSIG und hängt, sobald Sie überhaupt unter NIS2 fallen, allein von der Einrichtungsart ab.

§ 30 BSIG verpflichtet alle besonders wichtigen und wichtigen Einrichtungen in Absatz 2 Nr. 1 zu „Konzepten in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“. Was in diesen Konzepten stehen muss, sagt das Gesetz nicht. Absatz 3 gibt dem Durchführungsrechtsakt der Kommission für elf Einrichtungsarten Vorrang, und für genau diese elf wird der Anhang der DVO damit zum Pflichtenkatalog. Das BSI weist auf seiner Seite zu den NIS-2-Sicherheitsmaßnahmen selbst darauf hin, dass die Verordnung die Anforderungen „nur für einen ausgewählten Teil der NIS-2 verpflichteten Einrichtungen“ spezifiziert.

Ihre Einrichtung	Rechtsgrundlage für die Leitlinie	Status von Anhang Nr. 1.1.1
DNS-Diensteanbieter, TLD-Registry, Cloud-Computing, Rechenzentrumsdienste, Content Delivery Network, Managed Service Provider, Managed Security Service Provider, Online-Marktplatz, Online-Suchmaschine, soziales Netzwerk, Vertrauensdiensteanbieter	§ 30 Abs. 2 Nr. 1 und Abs. 3 BSIG i. V. m. Art. 1 und 2 DVO 2024/2690	Verbindlich, alle elf Buchstaben
Alle anderen besonders wichtigen und wichtigen Einrichtungen (z. B. Maschinenbau, Energie, Gesundheit, Transport und Verkehr)	§ 30 Abs. 2 Nr. 1 BSIG	Nicht unmittelbar verbindlich; nach unserer Einschätzung der genaueste verfügbare Maßstab
Nicht regulierte Unternehmen, die als Lieferant NIS2-Kunden beliefern	Vertrag mit dem Kunden	In der Praxis oft mittelbar über Lieferantenanforderungen der Kunden

Warum wir allen Einrichtungen trotzdem die elf Buchstaben empfehlen: § 30 Abs. 1 Satz 3 BSIG verlangt, dass Sie die Einhaltung dokumentieren, und ein Gesetz ohne Inhaltsvorgabe lässt die Frage offen, woran ein Prüfer „vollständig“ misst. Anhang Nr. 1.1.1 ist die einzige rechtsverbindliche Inhaltsliste, die das NIS2-Regelwerk für dieses Dokument enthält. Das ist eine Auslegungsempfehlung, keine Rechtspflicht. Wer seine Leitlinie daran ausrichtet, muss im Prüfungsfall aber nicht erst erklären, welche Gliederung er stattdessen für angemessen hielt.

„Leitlinie“ steht in keinem Gesetz: die Begriffsfalle zwischen DVO und BSI

Wir haben die deutschen Volltexte ausgezählt. Das Wort „Leitlinie“ kommt im BSIG nullmal vor, in der deutschen Amtsblattfassung der DVO 2024/2690 ebenfalls nullmal. Die NIS2-Richtlinie verwendet „Leitlinien“ 23-mal, aber ausschließlich für Leitlinien der Kommission, der ENISA oder nationaler Behörden, nie für das Dokument einer Einrichtung. Wer im Gesetz nach seiner Informationssicherheitsleitlinie sucht, findet sie unter einem anderen Namen.

Die DVO überschreibt Anhang Nr. 1 mit „Konzept für die Sicherheit von Netz- und Informationssystemen“; die Formulierung steht siebenmal im Anhang. Erwägungsgrund 9 beschreibt dieses Konzept als „die übergeordnete allgemeine Unterlage“ mit dem „Gesamtansatz“ der Einrichtung, also genau das, was der BSI-Standard 200-1 „Leitlinie zur Informationssicherheit“ nennt und ausdrücklich mit dem englischen „Information Security Policy“ gleichsetzt.

Die Falle: Im BSI-Sprachgebrauch ist das „Sicherheitskonzept“ ein anderes, nachgelagertes Dokument. Kapitel 7.3 des Standards sagt, zur Umsetzung der Leitlinie „muss zunächst ein Sicherheitskonzept erstellt werden“, also die Maßnahmenplanung. Fordert ein Prüfer das „Konzept nach Anhang Nr. 1.1“ an, meint er Ihre Leitlinie, nicht Ihr Sicherheitskonzept nach IT-Grundschutz. Wer hier das falsche Dokument vorlegt, liefert seitenweise Maßnahmen und keinen der elf Pflichtinhalte.

Begriff in Ihrem Haus	Entspricht in der DVO	Wer genehmigt
Informationssicherheitsleitlinie, Sicherheitsleitlinie, IS-Policy, Informationssicherheitsrichtlinie (als Dachdokument)	Konzept für die Sicherheit von Netz- und Informationssystemen, Anhang Nr. 1.1	Leitungsorgane (Buchst. k verbindlich)
Themen-Richtlinien: Zugriff, Kryptografie, Vorfälle, Lieferanten, Wechseldatenträger	Themenspezifische Konzepte, Buchst. i	„Geeignete Leitungsebene“ (nur Erwägungsgrund 9)
Sicherheitskonzept nach BSI 200-2 / IT-Grundschutz	Kein eigener Begriff; inhaltlich Risikobehandlung und Maßnahmen, Anhang Nr. 2 ff.	Nicht gesondert geregelt

Praktische Konsequenz: Benennen Sie die Leitlinie nicht um, aber schreiben Sie in die Präambel einen Satz wie „Diese Leitlinie ist das Konzept für die Sicherheit von Netz- und Informationssystemen im Sinne von Anhang Nr. 1.1 der Durchführungsverordnung (EU) 2024/2690“. Die Zuordnung, die Prüfer sonst selbst herstellen müssen, steht dann im Dokument.

Die elf Pflichtinhalte und was BSI 200-1 und ISO 27001 davon abdecken

Die meisten Leitlinien in deutschen Unternehmen folgen einer von zwei Vorlagen: der Mindestgliederung aus Kapitel 7.1 des BSI-Standards 200-1 oder der Policy-Anforderung aus Kapitel 5.2 der ISO 27001. Beide sind älter als die DVO, und beide wurden für einen anderen Zweck geschrieben. Die folgende Tabelle ist unsere eigene Zuordnung des DVO-Wortlauts zu den beiden Vorlagen.

Der BSI-Standard sagt, die Leitlinie „sollte mindestens Aussagen“ zu fünf Themen enthalten: Stellenwert der Informationssicherheit, Bezug der Sicherheitsziele zu den Geschäftszielen, Sicherheitsziele und Kernelemente der Strategie, Zusicherung der Durchsetzung durch die Leitung samt „Leitaussagen zur Erfolgskontrolle“ sowie die Organisationsstruktur. ISO 27001 Kapitel 5.2 verlangt, wie der Normtext bei High Table wiedergegeben wird, vier Punkte a bis d sowie Dokumentation, interne Kommunikation und Verfügbarkeit für interessierte Parteien.

Buchst.	Pflichtinhalt nach Anhang Nr. 1.1.1 (Kurzfassung)	BSI 200-1, Kap. 7.1 (Mindestthemen)	ISO 27001, Kap. 5.2
a	Ansatz für das Sicherheitsmanagement darlegen	Ja (Kernelemente der Strategie)	Nicht ausdrücklich
b	Für Geschäftsstrategie und -ziele geeignet sein und sie ergänzen	Ja (Bezug zu Geschäftszielen)	Weitgehend (5.2 a: Zweck der Organisation)
c	Sicherheitsziele darlegen	Ja	Ja (5.2 b: Ziele oder Rahmen dafür)
d	Verpflichtung zur kontinuierlichen Verbesserung	Nein (nur als Prozess in Kap. 7.5)	Ja (5.2 d)
e	Verpflichtung zu Ressourcen: Personal, Finanzmittel, Verfahren, Instrumente, Technologien	Nein (Ressourcenplanung nur in Kap. 7.2)	Nein
f	Mitarbeitenden und externen Beteiligten mitgeteilt und von ihnen anerkannt	Nein	Teilweise (kommuniziert, nicht anerkannt)
g	Rollen und Verantwortlichkeiten nach Nr. 1.2	Ja (Organisationsstruktur)	Nicht in 5.2
h	Aufzubewahrende Unterlagen und Aufbewahrungsdauer aufführen	Nein	Nein
i	Themenspezifische Konzepte aufführen	Nein	Nein
j	Indikatoren zur Überwachung der Umsetzung und des Reifegrads	Teilweise (Leitaussagen zur Erfolgskontrolle)	Nein
k	Datum der förmlichen Genehmigung durch die Leitungsorgane	Nein	Nein

Ergebnis: Die BSI-Mindestgliederung deckt vier Buchstaben voll ab (a, b, c, g) und einen zur Hälfte (j). Sechs fehlen. Bei ISO 27001 Kapitel 5.2 sind es drei volle Treffer (b weitgehend, c, d) und ein halber (f). Das ist kein Mangel der Standards; der BSI-Standard nennt ausdrücklich nur ein Minimum. Es heißt aber, dass eine zertifizierte oder grundschutzkonforme Leitlinie nicht automatisch anhangkonform ist.

Auffällig ist, welche Punkte fehlen. Buchst. h, i und k sind Verwaltungsangaben, die ein Strategiedokument intuitiv nicht enthält. Gerade sie sind aber das, was ein Prüfer in Sekunden kontrollieren kann: Steht ein Genehmigungsdatum drin oder nicht? Umgekehrt verlangt ISO 27001 in 5.2 c eine Verpflichtung, die anwendbaren Anforderungen zu erfüllen, die in der DVO-Liste fehlt. Behalten Sie sie; sie schadet nicht.

Vorlage: zwölf Abschnitte mit Musterformulierungen

Die folgende Gliederung ordnet jedem Buchstaben einen Abschnitt zu und ergänzt einen zwölften für Inkrafttreten und Genehmigung. Die Musterformulierungen sind Ausgangspunkte; ersetzen Sie die Platzhalter in eckigen Klammern. Technische Einzelheiten gehören nicht hierher, sondern in die themenspezifischen Konzepte. Die Leitlinie bleibt dadurch stabil, wenn sich Ihre Firewall-Regeln ändern.

Nr.	Abschnitt	Buchst.	Musterformulierung
1	Zweck, Geltungsbereich, Rechtsbezug	a	„Diese Leitlinie gilt für alle Netz- und Informationssysteme, Standorte und Beschäftigten der [Firma] einschließlich [Tochtergesellschaften]. Sie ist das Konzept im Sinne von Anhang Nr. 1.1 DVO 2024/2690 und § 30 Abs. 2 Nr. 1 BSIG.“
2	Stellenwert und Bezug zur Geschäftsstrategie	b	„Unsere Lieferfähigkeit gegenüber [Kundengruppe] hängt von [Kernsystemen] ab. Informationssicherheit ist deshalb Teil der Unternehmensstrategie [Jahr] und kein IT-Projekt.“
3	Sicherheitsziele	c	„Wir schützen Verfügbarkeit, Integrität und Vertraulichkeit unserer Systeme. Messbares Ziel bis [Datum]: [z. B. Wiederanlauf der Produktionssteuerung in höchstens X Stunden].“
4	Ansatz des Sicherheitsmanagements	a	„Wir steuern Informationssicherheit risikobasiert nach [ISO 27001 / BSI IT-Grundschutz]. Die Methode der Risikobeurteilung regelt das Risikomanagementkonzept.“
5	Rollen, Verantwortlichkeiten, Berichtsweg	g	„Die Gesamtverantwortung liegt bei der Geschäftsführung. Der/die Informationssicherheitsbeauftragte berichtet direkt an [Name/Funktion].“
6	Ressourcenzusage	e	„Die Geschäftsführung stellt das erforderliche Personal, Budget, Verfahren, Werkzeuge und Technologien bereit; der Bedarf wird jährlich im Budgetprozess festgelegt.“
7	Kontinuierliche Verbesserung	d	„Erkenntnisse aus Vorfällen, Audits und Kennzahlen fließen in Maßnahmen ein; wir verpflichten uns zur fortlaufenden Verbesserung.“
8	Register der themenspezifischen Konzepte	i	Tabelle: Konzept – Eigentümer – genehmigt durch – Fassung – Datum
9	Dokumentation und Aufbewahrung	h	Tabelle: Unterlage – Aufbewahrungsdauer – Ablageort – verantwortlich
10	Kennzahlen und Reifegrad	j	„Die Umsetzung wird anhand von [Kennzahlen] gemessen; der Reifegrad wird jährlich nach [Modell] bewertet und der Geschäftsführung berichtet.“
11	Bekanntgabe, Anerkennung, Ausnahmen	f	„Beschäftigte bestätigen die Kenntnisnahme bei Eintritt und nach jeder Änderung. Ausnahmen beantragt [Rolle]; sie werden befristet und von [Gremium] genehmigt.“
12	Überprüfung, Inkrafttreten, Genehmigung	k	„Genehmigt durch die Geschäftsführung am [TT.MM.JJJJ], Beschluss Nr. [X]. Überprüfung mindestens jährlich sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen.“

Zwei Abschnitte verdienen mehr als eine Zeile. Für das Register in Abschnitt 8 nennt die ENISA-Umsetzungsleitlinie vom Juni 2025 zehn themenspezifische Konzepte, die der Anhang voraussetzt: Risikomanagement (Nr. 2), Vorfallbehandlung (3.1.1), Lieferkette (5.1.1), Sicherheitstests (6.5.1), Wirksamkeitsbewertung (7.1.1), Kryptografie (9.1), Zugriffskontrolle (11.1.1), privilegierte und Administrationskonten (11.3), Umgang mit Informationen und Assets (12.2.1) sowie Wechseldatenträger (12.3.1). Die ENISA hält deren Dokumentation für zwingend, lässt aber offen, ob Sie dafür getrennte Dokumente, Änderungen bestehender Richtlinien oder ein Gesamtdokument nutzen. Zwei Einträge für Ihr Register gibt es auf dieser Seite bereits als Vorlage: das Berechtigungskonzept für 11.1 und den Incident Response Plan für 3.1.

Für Abschnitt 9 hilft ein Blick auf die Gesamtliste der Nachweise, die NIS2 verlangt; unsere Übersicht der NIS2-Dokumentationspflichten zählt sie auf. Der Anhang der DVO nennt keine Aufbewahrungsfrist in Jahren; selbst Nr. 4.2.2 Buchst. f verweist für Sicherungskopien nur auf „geschäftliche und regulatorische Anforderungen“. Buchst. h überträgt die Festlegung Ihnen, und was Sie dort hineinschreiben, wird zum Maßstab, an dem Sie gemessen werden. Wie Sie die Fassungen der Leitlinie selbst sauber versionieren, beschreibt der Beitrag zur Dokumentenlenkung nach ISO 27001.

Genehmigen, bekannt geben, überprüfen: drei Pflichten nach dem Schreiben

Eine fertig formulierte Leitlinie ohne die folgenden drei Schritte ist nach Anhang Nr. 1.1.1 unvollständig, denn zwei davon stehen als Buchstaben im Katalog.

1. Förmliche Genehmigung durch die Leitungsorgane (Buchst. k)

Der Anhang verlangt kein Unterschriftsfeld, sondern das „Datum der förmlichen Genehmigung“ im Dokument. Nach dem Wortlaut genügt dafür ein protokollierter, datierter Beschluss der Geschäftsführung, auf den die Leitlinie verweist. Bemerkenswert ist die deutsche Umsetzung: Art. 20 Abs. 1 der NIS2-Richtlinie lässt die Leitungsorgane die Maßnahmen „billigen“, § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung dagegen, die Maßnahmen „umzusetzen“ und ihre Umsetzung „zu überwachen“. Eine Billigungspflicht steht im BSIG nicht. Für die elf DVO-Einrichtungsarten verlangt Buchst. k die förmliche Genehmigung trotzdem; für alle anderen ist der datierte Beschluss der naheliegende Beleg, dass die Geschäftsleitung ihre Überwachungspflicht wahrnimmt. Welche Haftungsfolgen daran hängen, erklärt unser Beitrag zur Managementhaftung.

Achtung bei der Delegation: Dass themenspezifische Konzepte von einer „geeigneten Leitungsebene“ genehmigt werden dürfen, steht nur in Erwägungsgrund 9 der DVO, nicht im verbindlichen Anhang. Erwägungsgründe sind Auslegungshilfen. Wenn Sie die Genehmigung der Zugriffs- oder Kryptorichtlinie an den IT-Leiter delegieren, ist das gut vertretbar, sollte aber als bewusste Entscheidung in Abschnitt 8 der Leitlinie stehen.

2. Mitteilen und anerkennen lassen (Buchst. f)

Ein Intranet-Upload reicht nach dem Wortlaut nicht, denn die Leitlinie muss mitgeteilt „und von ihnen anerkannt“ werden. Die ENISA nennt als typischen Weg ein unterschriebenes Dokument oder eine digitale Bestätigung und erlaubt, die Kenntnisnahme in Arbeits- oder Dienstleistungsverträge aufzunehmen. Externen Beteiligten, etwa Lieferanten, Dienstleistern oder Anteilseignern, dürfen Sie einen Auszug geben, der nur die für sie relevanten Inhalte enthält; vertrauliche Angaben sollen dabei nicht nach außen gehen.

3. Jährlich und anlassbezogen überprüfen (Nr. 1.1.2)

Die Leitungsorgane überprüfen die Leitlinie „mindestens jährlich sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken“, aktualisieren sie „soweit angemessen“ und dokumentieren das Ergebnis. Der Anlass-Auslöser wird oft vergessen: Nach einem erheblichen Vorfall ist die Überprüfung fällig, auch wenn die Jahresfrist noch läuft. Die ENISA stellt in einer Fußnote klar, dass ein solches Ereignis nicht automatisch eine Änderung erzwingt; es muss aber über die Risikobeurteilung bewertet werden. Die Überprüfung lässt sich gut mit dem Management Review nach ISO 27001 verbinden.

Rolle	Verantwortet	Typischer Nachweis
Geschäftsführung / Vorstand	Genehmigung (k), Ressourcenzusage (e), jährliche Überprüfung (1.1.2)	Datierter Beschluss, Protokoll der Überprüfung
Informationssicherheitsbeauftragte/r	Entwurf, Register (i), Kennzahlen (j), Vorbereitung der Überprüfung	Leitlinie mit Änderungshistorie, Kennzahlenbericht
Compliance / Recht	Aufbewahrungsliste (h), Rechtsbezug, Vertragsklauseln für Externe (f)	Aufbewahrungstabelle, Vertragsmuster
Personal / Einkauf	Kenntnisnahme durch Beschäftigte und Lieferanten (f)	Bestätigungen, Vertragsanlagen

Die Rolle in Zeile 2 ist mehr als eine Konvention: Anhang Nr. 1.2.3 verlangt, dass mindestens eine Person gegenüber den Leitungsorganen direkt für Fragen der Netz- und Informationssicherheit verantwortlich ist. Wie diese Rolle zugeschnitten wird, steht in unserem Beitrag zu den Aufgaben des Informationssicherheitsbeauftragten.

Was eine fehlende oder unvollständige Leitlinie kostet

Das BSIG unterscheidet zwei Bußgeldtatbestände, die beide die Leitlinie treffen können. Wer die Maßnahme nicht ergreift, handelt nach § 65 Abs. 2 Nr. 2 ordnungswidrig. Wer die Einhaltung „nicht, nicht richtig oder nicht vollständig dokumentiert“, nach Nr. 3. Beide fallen nach § 65 Abs. 5 BSIG in denselben Rahmen.

Einrichtung	Höchstbetrag (§ 65 Abs. 5 S. 1 Nr. 1)	Bei mehr als 500 Mio. € Gesamtumsatz (Abs. 6, 7)
Besonders wichtige Einrichtung	bis 10 Mio. €	bis 2 % des Gesamtumsatzes
Wichtige Einrichtung	bis 7 Mio. €	bis 1,4 % des Gesamtumsatzes

Diese Beträge sind Obergrenzen, keine Regelsätze. Für diese Fälle schließt § 65 Abs. 9 die Regel des § 17 Abs. 2 OWiG aus, nach der fahrlässiges Handeln sonst nur mit der Hälfte des Höchstbetrags geahndet werden kann. Für die Leitlinie heißt das: Fehlen einer DVO-Einrichtung Genehmigungsdatum oder Konzeptregister, kann das als unvollständige Dokumentation unter Nr. 3 fallen, auch wenn die Sicherheitsarbeit dahinter gut ist. Die Staffel im Detail erklärt unsere Seite zur Bußgeldstaffel. Und weil die Leitlinie das Dachdokument Ihres ISMS ist, führt die ENISA sie als ersten Nachweis zu Anhang Nr. 1.1.1 auf; das BSI vergleicht die Dokumentationspflicht auf seiner Seite zu den NIS-2-Risikomanagementmaßnahmen ausdrücklich mit der Rechenschaftspflicht der DSGVO.

Häufige Fragen zur Informationssicherheitsleitlinie

Wie lang sollte eine Informationssicherheitsleitlinie sein?

Weder BSIG noch DVO schreiben einen Umfang vor. Weil technische Regeln in die themenspezifischen Konzepte gehören, kommen Leitlinien in der Praxis meist mit wenigen Seiten aus. Die beiden Tabellen für Register (i) und Aufbewahrung (h) können als Anlage geführt werden, solange die Leitlinie sie aufführt.

Was ist der Unterschied zwischen Leitlinie, Richtlinie und Sicherheitskonzept?

Die Leitlinie ist das Dachdokument mit Zielen, Rollen und Zusagen der Leitung; in der DVO heißt sie „Konzept für die Sicherheit von Netz- und Informationssystemen“. Richtlinien regeln einzelne Themen und entsprechen den themenspezifischen Konzepten nach Buchst. i. Das Sicherheitskonzept im BSI-Sinn ist die Maßnahmenplanung zur Umsetzung der Leitlinie.

Reicht unsere ISO-27001-Policy für NIS2?

Nicht automatisch. Kapitel 5.2 der Norm deckt nach unserer Zuordnung drei Buchstaben voll und einen teilweise ab. Ergänzen Sie mindestens Ressourcenzusage (e), Anerkennung (f), Aufbewahrungsliste (h), Konzeptregister (i), Kennzahlen mit Reifegrad (j) und das Genehmigungsdatum (k). Eine Zertifizierung bleibt trotzdem wertvoll; einen Vergleich beider Regelwerke finden Sie unter NIS2 vs. ISO 27001.

Muss die Geschäftsführung die Leitlinie selbst schreiben?

Nein. Entwerfen kann der oder die Informationssicherheitsbeauftragte. Genehmigen und mindestens jährlich überprüfen müssen nach Anhang Nr. 1.1.1 Buchst. k und Nr. 1.1.2 die Leitungsorgane. Damit sie das fundiert tun können, verlangt § 38 Abs. 3 BSIG regelmäßige Schulungen der Geschäftsleitung.

Hinweis: Dieser Artikel enthält allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Einrichtungsart und Sektor abweichen. Für eine auf Ihre Situation zugeschnittene Beurteilung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder an eine Compliance-Fachkraft.

Quellen

1. Durchführungsverordnung (EU) 2024/2690 der Kommission, deutsche Amtsblattfassung, EUR-Lex – Art. 1, Art. 2 Abs. 2, Erwägungsgrund 9, Anhang Nr. 1.1.1, 1.1.2, 1.2.1–1.2.3. Eigene Zählung über den Volltext: „Leitlinie“ 0 Treffer, „Konzept für die Sicherheit von Netz-“ 10 Treffer (7 im Anhang).
2. Richtlinie (EU) 2022/2555 (NIS2), deutsche Fassung, EUR-Lex – Art. 20 Abs. 1, Art. 21 Abs. 2 Buchst. a. Eigene Zählung: „Leitlinie(n)“ 23 Treffer, sämtlich für Leitlinien von Kommission, ENISA oder Behörden.
3. § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de – Abs. 1 S. 3, Abs. 2 Nr. 1, Abs. 3.
4. § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, gesetze-im-internet.de – Abs. 1 und 3.
5. § 65 BSIG – Bußgeldvorschriften, gesetze-im-internet.de – Abs. 2 Nr. 2 und 3, Abs. 5 bis 7 und 9.
6. § 17 OWiG – Höhe der Geldbuße, gesetze-im-internet.de – Abs. 2.
7. BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS), Version 1.0, Oktober 2017 (PDF) – Kapitel 3.1 und 7.1 bis 7.3, 7.5.
8. ENISA, Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025 (PDF) – Abschnitt „Topic-specific policies“ sowie Leitfaden und Nachweisbeispiele zu Anhang Nr. 1.1.1 und 1.1.2.
9. BSI, #nis2know: NIS-2-Risikomanagementmaßnahmen.
10. BSI, #nis2know: Sicherheitsmaßnahmen und Schwachstellenmanagement – Hinweis zum Anwendungsbereich der DVO 2024/2690.
11. High Table, ISO 27001:2022 Clause 5.2 Policy Explained – Wiedergabe des Normtexts von Kapitel 5.2.