Physische Sicherheit nach NIS2: Warum § 30 BSIG das Wort nicht kennt – und wie Sie Zutrittskontrolle, Clean Desk und Tailgating-Schutz trotzdem nachweisen

Physische Sicherheit ist unter NIS2 Pflicht, auch wenn der deutsche Gesetzestext das Wort nicht enthält. Die Richtlinie verlangt einen gefahrenübergreifenden Ansatz, der neben den IT-Systemen ausdrücklich deren „physische Umwelt“ schützt. § 30 BSIG übernimmt nur den ersten Teil dieses Satzes. Wer daraus schließt, Zutrittskontrolle, Tailgating und Clean Desk seien in Deutschland kein NIS2-Thema, liegt nach unserer Lesart falsch. Das BSI behandelt physische Risiken in seinen eigenen NIS2-Infopaketen, und die Durchführungsverordnung (EU) 2024/2690 widmet ihnen einen eigenen Abschnitt mit konkreten Pflichten.

Dieser Leitfaden ordnet Zutrittskontrolle, Tailgating und Clean Desk ihrer Rechtsquelle zu, getrennt nach verbindlich, Stand der Technik und guter Praxis. Und er klärt, was die von uns geprüften Hersteller-Ratgeber auslassen: Was gilt, wenn Ihnen das Gebäude gar nicht gehört?

Kurz gesagt:

• Für Cloud-Anbieter, Rechenzentren, Managed Service Provider und acht weitere digitale Einrichtungsarten ist Abschnitt 13 der Durchführungsverordnung unmittelbar verbindlich.
• Für alle anderen Einrichtungen folgt die Pflicht aus § 30 BSIG im Licht von Artikel 21 NIS2; Verordnung und BSI-Grundschutz liefern den Maßstab.
• Clean Desk steht in keinem Gesetzestext, gilt aber bei ENISA als Cyber-Hygiene und beim BSI als Standard-Anforderung.

Wo die Pflicht steht und warum § 30 BSIG das Wort „physisch“ nicht enthält

Die Richtlinie ist eindeutig. Nach Artikel 21 Absatz 2 der NIS-2-Richtlinie müssen die Risikomanagementmaßnahmen auf einem gefahrenübergreifenden Ansatz beruhen, „der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen“. In § 30 Absatz 2 BSIG steht nur: Die Maßnahmen „müssen auf einem gefahrenübergreifenden Ansatz beruhen“. Der Halbsatz zur physischen Umwelt fehlt.

Dass es auch anders geht, zeigt dasselbe Gesetzgebungspaket: Für Betreiber öffentlicher Telekommunikationsnetze übernimmt § 165 Absatz 2a TKG die Formulierung der Richtlinie wörtlich, einschließlich der „physischen Umwelt“. Die Gesetzesbegründung (Drucksache 21/1501) stellt klar, dass § 30 Absatz 2 „der Umsetzung von Artikel 21 Absatz 2 der NIS-2-Richtlinie“ dient, und ein Umsetzungsgesetz wird im Licht der Richtlinie ausgelegt. Der „gefahrenübergreifende Ansatz“ des BSIG umfasst deshalb nach unserer Lesart auch Feuer, Wasser, Stromausfall und unbefugten Zutritt, also die Beispiele aus dem (nicht bindenden) Erwägungsgrund 79 der Richtlinie.

Das BSI sieht es offenbar genauso. In seinem #nis2know-Infopaket zu § 30 Absatz 2 Satz 2 Nummer 5 BSIG heißt es, „gemäß der Anforderung“ seien „auch physische und umgebungsbedingte Risiken angemessen zu berücksichtigen“. Genannt werden der Schutz vor unbefugtem physischem Zugriff, Brand, Wasser, Stromausfall sowie „geeignete Zutritts- und Überwachungsmaßnahmen“. Physische Sicherheit ist also keine elfte Maßnahme neben den zehn NIS2-Anforderungen. Sie zieht sich durch mehrere von ihnen. Die Verordnung ordnet ihren Abschnitt 13 den Buchstaben c (Betriebskontinuität), e (Erwerb, Entwicklung, Wartung) und i (Personal, Zugriffskontrolle, Anlagen) von Artikel 21 Absatz 2 zu.

Laut Begründung ist außerdem „auch Büro-IT“ erfasst. Das Großraumbüro gehört damit genauso zum Prüfgegenstand wie der Serverraum.

Quelle	Was dort steht	Verbindlich für
Art. 21 Abs. 2 NIS2	„physische Umwelt“ ausdrücklich genannt	Richtet sich an die Mitgliedstaaten; Auslegungsmaßstab für das BSIG
§ 30 Abs. 2 BSIG	„gefahrenübergreifender Ansatz“, ohne das Wort „physisch“	Alle besonders wichtigen und wichtigen Einrichtungen
DVO 2024/2690, Anhang Nr. 13	Versorgung, Umweltgefahren, Perimeter und Zutritt	Unmittelbar nur für elf digitale Einrichtungsarten (Vorrang nach § 30 Abs. 3 BSIG)
§ 165 Abs. 2a TKG	„physische Umwelt“ wörtlich übernommen	Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste
BSI IT-Grundschutz (INF.1, INF.2, INF.7)	Zutrittsregelung, Schlüsselverwaltung, aufgeräumter Arbeitsplatz	Kein Gesetz; Referenz für den Stand der Technik
§ 13 KRITIS-Dachgesetz	Physischer Schutz von Liegenschaften und Anlagen	Betreiber kritischer Anlagen (eigenes Gesetz, eigene Behörde)

Was Abschnitt 13 der Durchführungsverordnung konkret verlangt

Am konkretesten wird die Durchführungsverordnung (EU) 2024/2690. Ihr Anhang widmet der „Sicherheit des Umfelds und physischen Sicherheit“ einen eigenen Abschnitt 13 mit drei Teilen: unterstützende Versorgungsleistungen wie Strom, Telekommunikation und Klimatisierung (13.1), Schutz vor physischen Bedrohungen und Bedrohungen des Umfelds (13.2) sowie Perimeter und physische Zutrittskontrolle (13.3). Unmittelbar verbindlich ist sie nach Artikel 1 nur für elf Einrichtungsarten, darunter Cloud-Anbieter, Rechenzentrumsdienste und Managed Service Provider (Details zur NIS2-Durchführungsverordnung). Für alle anderen ist Abschnitt 13 der ausführlichste amtliche Maßstab dafür, was „geeignet und verhältnismäßig“ konkret heißen kann.

Für die Zutrittskontrolle zählt Nummer 13.3.2. Dort „müssen“ die Einrichtungen

1. auf Grundlage ihrer Risikobewertung Sicherheitsperimeter festlegen, die Bereiche schützen, in denen sich Netz- und Informationssysteme „und andere zugehörige Anlagen“ befinden,
2. diese Bereiche durch geeignete Zutrittskontrollen und Zugangspunkte schützen,
3. Maßnahmen für die physische Sicherheit von Büros, Räumen und Betriebsstätten konzipieren und umsetzen,
4. ihre Räumlichkeiten „kontinuierlich“ in Bezug auf unbefugten physischen Zutritt überwachen.

Leicht übersehen wird ein Detail: In 13.1.2 und 13.2.2 steht jeweils der Zusatz „soweit angemessen“, in 13.3.2 fehlt er. Nach Artikel 2 Absatz 2 der Verordnung darf eine Einrichtung eine Anforderung nur dort mit dokumentierter Begründung für unangemessen erklären, wo der Anhang diesen Vorbehalt vorsieht. Bei den vier Zutrittspflichten gibt es diesen Ausweg nach unserer Lesart nicht. Spielraum bleibt beim Wie: Perimeter und Kontrollen richten sich nach der Risikobewertung, und „kontinuierlich überwachen“ heißt nicht automatisch Kameras rund um die Uhr. Nummer 13.3.3 verlangt zusätzlich Tests in „geplanten Zeitabständen“ sowie nach erheblichen Vorfällen oder wesentlichen Änderungen; einen festen Turnus nennt sie nicht.

Dazu kommt Nummer 11.1: Konzepte für die „logische und physische Kontrolle des Zugangs“, die auch für Besucher und Dienstleister gelten. Wer Ausweise und Schlüssel völlig getrennt von Benutzerkonten verwaltet, betreibt zwei Prozesse für etwas, das die Verordnung als ein Konzept denkt.

Zutrittskontrolle in drei Zonen: vom Empfang bis zum Netzwerkschrank

In der Praxis wird aus 13.3.2 Buchstabe a und b ein Zonenmodell. Das IT-Grundschutz-Kompendium des BSI gibt die Mindestlinie vor. Nach der Basis-Anforderung INF.1.A7 muss der Zutritt zu schutzbedürftigen Gebäudeteilen „geregelt und kontrolliert“ werden. Die Zahl der Berechtigten soll auf ein Mindestmaß reduziert und jede Berechtigung dokumentiert werden. Die Wirksamkeit der Kontrollen muss regelmäßig überprüft werden.

Zone	Typische Bereiche	Mindestmaßnahme	Nachweis
1 – Empfang	Eingang, Empfang, Besprechungsraum für Gäste	Anmeldung, sichtbarer Besucherausweis, Begleitung ab Zone 2	Besucherprotokoll
2 – Intern	Büros, Teeküche, Druckerbereich	Schlüssel oder Karte; Türen abschließen, wenn vertrauliche Unterlagen im Raum bleiben	Schließplan, Ausgabeliste für Schlüssel und Karten
3 – Sicherheitsbereich	Serverraum, Netzwerkverteiler, Technikraum, Archiv	Zutritt nur für benannte Personen, protokolliert	Berechtigtenliste mit Überprüfungsdatum, Zutrittsprotokoll, Testbericht

Leicht übersehen wird Zone 3 außerhalb des Serverraums: der Netzwerkverteiler im Flurschrank, das Patchfeld im Abstellraum, die aktive Netzwerkdose im Besprechungsraum, an die ein Gast sein Notebook anschließen könnte. Der Perimeter folgt deshalb dem Inventar, nicht dem Grundriss. Wo laut Asset-Management und Inventarisierung Netzkomponenten stehen, braucht es eine Zutrittsregel. Genau das meint DVO 13.3.2 a mit „anderen zugehörigen Anlagen“.

Für kleinere Einrichtungen reicht in Zone 2 oft eine mechanische Schließanlage mit sauberer Schlüsselverwaltung (INF.1.A12: Schließplan, dokumentierte Ausgabe, gesicherte Reserveschlüssel). Elektronik lohnt sich vor allem bei hoher Fluktuation: Eine verlorene Karte lässt sich sperren, ein verlorener Generalschlüssel kann neue Schließzylinder bedeuten. Entscheidend ist der Austrittsprozess. Ausweis und Schlüssel kommen am selben Tag zurück, an dem das Benutzerkonto gesperrt wird (DVO 11.2.2 b und 12.5).

Tailgating: wenn Hilfsbereitschaft die Zutrittskontrolle aushebelt

Beim Tailgating geht eine unbefugte Person direkt hinter einer berechtigten durch eine gesicherte Tür. Das Zutrittssystem protokolliert nur die berechtigte Person, der Mitläufer bleibt unsichtbar. Das BSI beschreibt den Mechanismus in der elementaren Gefährdung G 0.42 (Social Engineering): Ausgenutzt werden „menschliche Eigenschaften wie z. B. Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität“. Wer jemandem mit vollen Händen die Tür aufhält, ist höflich und setzt dabei die Kontrolle außer Kraft.

Physische Angriffe sind kein Randthema. In der Bitkom-Erhebung Wirtschaftsschutz 2025 (1.002 Unternehmen ab zehn Beschäftigten) waren 29 Prozent in den zwölf Monaten zuvor vom Diebstahl von IT- oder Telekommunikationsgeräten betroffen, weitere 25 Prozent vermuteten es. Beim Diebstahl physischer Dokumente, Muster oder Bauteile lauten die Werte 18 und 23 Prozent. Wie viele dieser Fälle durch eine aufgehaltene Tür begannen, erhebt die Studie nicht.

Die Umsetzungshilfe der ENISA zur Durchführungsverordnung (Juni 2025) nennt Tailgating ausdrücklich als Schulungsinhalt des Sensibilisierungsprogramms nach Nummer 8.1.2, neben Phishing und Pretexting. Für die Tests nach 13.3.3 empfiehlt sie Eindringversuche, die gegebenenfalls auch unangekündigte Versuche einschließen, Zutrittspunkte zu umgehen. Für Ihre NIS2-Schulungen heißt das: Empfang und Facility-Personal brauchen ein eigenes Szenario.

Maßnahme gegen Tailgating	Aufwand	Hinweis
Ansprechregel: Unbekannte ohne sichtbaren Ausweis freundlich ansprechen oder zum Empfang begleiten	Niedrig	Wirkt nur, wenn die Geschäftsleitung sie sichtbar vorlebt
Ausweise sichtbar tragen, Besucherausweise farblich abgesetzt, Begleitpflicht	Niedrig	BSI INF.1.A26 sieht bei erhöhtem Schutzbedarf vor, Besuchende zu begleiten
Schulung mit konkretem Szenario statt Folienvortrag	Niedrig	ENISA nennt Tailgating als Inhalt zu DVO 8.1.2
Türalarm, wenn eine Tür zu lange offen steht	Mittel	Deckt auch verkeilte Brandschutz- und Nebentüren auf
Unangekündigter Zutrittstest, dokumentiert	Mittel	Liefert den Testnachweis nach DVO 13.3.3
Vereinzelungsanlage, Drehkreuz oder Personenschleuse	Hoch	Sinnvoll für Rechenzentren und Sicherheitsbereiche mit hohem Schutzbedarf

Für die „kontinuierliche“ Überwachung nach 13.3.2 d greifen viele zuerst zur Kamera. Ob sie nötig ist, entscheidet die Risikobewertung; Alarmanlage, ausgewertete Zutrittsprotokolle oder Kontrollgänge können je nach Risiko genügen. Für Aufnahmen verweist die ENISA auf die DSGVO, und mit Betriebsrat gilt die Mitbestimmung nach § 87 Absatz 1 Nummer 6 BetrVG. Klären Sie diese Frage auch für elektronische Zutrittssysteme früh.

Clean Desk: steht in keinem Gesetz und wird trotzdem geprüft

Clean Desk wird oft als NIS2-Pflicht behandelt, ausdrücklich verlangt wird es aber nirgends. Weder die Richtlinie noch § 30 BSIG noch die Durchführungsverordnung enthalten den Begriff, im Volltext der Verordnung kommen weder „Schreibtisch“ noch „Bildschirm“ vor. Die Erwartung von Prüfern entsteht auf drei anderen Wegen:

• ENISA: Die Umsetzungshilfe zählt eine „clear desk and screen policy“ zu den Cyber-Hygiene-Praktiken, die das Sensibilisierungsprogramm nach DVO 8.1.2 abdecken soll.
• ISO 27001: Control A.7.7 „Clear desk and clear screen“ ist eine der 14 physischen Maßnahmen im Anhang A der Fassung 2022.
• BSI: Der Grundschutz-Baustein INF.7 (Büroarbeitsplatz) führt den „aufgeräumten Arbeitsplatz“ als Standard-Anforderung INF.7.A6 und die verschlossene Aufbewahrung vertraulicher Unterlagen und Datenträger als INF.7.A7. Basis- und Standard-Anforderungen entsprechen laut Kompendium „dem Stand der Technik für diesen Baustein“. Und § 30 Absatz 2 BSIG verlangt, dass Maßnahmen den Stand der Technik einhalten sollen (mehr dazu: NIS2 und IT-Grundschutz).

Eine eigene Clean-Desk-Pflicht gibt es also nicht. Prüfbar ist aber, ob vertrauliche Informationen auf Papier, Bildschirm und Datenträgern geschützt sind. Das folgt aus der Vertraulichkeit in § 30 Absatz 1 BSIG und für DVO-Einrichtungen aus Nummer 12.2.2 b (sichere Speicherung und Vernichtung) sowie 12.3 (Wechseldatenträger).

Eine funktionierende Clean-Desk-Regel ist kurz:

• Bildschirmsperre automatisch nach wenigen Minuten und manuell beim Verlassen des Platzes (Windows-Taste + L).
• Vertrauliche Unterlagen und Datenträger nach Arbeitsende einschließen; dafür abschließbare Schränke oder Rollcontainer bereitstellen.
• Ausdrucke sofort abholen. Follow-me-Druck mit Freigabe am Gerät verhindert, dass sie im Ausgabefach liegen bleiben.
• Whiteboards und Flipcharts nach Besprechungen leeren.
• Datenschutztonne oder Aktenvernichter statt Papierkorb.

Damit die Regel nachweisbar ist, braucht sie Stichproben. INF.7.A6 sieht vor, dass Vorgesetzte Arbeitsplätze „sporadisch“ prüfen. Als Faustregel schlagen wir zwei dokumentierte Rundgänge pro Quartal vor, mit Datum, Bereich und Befund.

Mietbüro, Coworking, Colocation: wenn Ihnen das Gebäude nicht gehört

In gemieteten Flächen kontrolliert der Vermieter Haupteingang, Tiefgarage und Generalschlüssel. Die Verordnung sieht dafür keine Ausnahme vor, die ENISA-Umsetzungshilfe zieht in einer Fußnote zu 13.3 aber eine klare Linie:

• Rein remote, ohne eigene Büros: Klassische Perimeterkontrollen sind möglicherweise nicht anwendbar. Der Schwerpunkt verschiebt sich auf logische Kontrollen wie MFA und Zero-Trust-Zugangskontrolle, ergänzt um Vorgaben für das Homeoffice, etwa abschließbare Räume oder Schränke für Arbeitsgeräte.
• Cloud oder Colocation: Physische Zutrittskontrollen werden vertraglich über SLAs durchgesetzt und über Auditberichte wie ISO 27001 oder SOC 2 überprüft.

Für das klassische Mietbüro folgt daraus nach unserer Einschätzung: Ihr Perimeter beginnt an der Tür Ihrer Mietfläche. Klären Sie schriftlich mit dem Vermieter, wer Generalschlüssel besitzt, ob Reinigungs- und Wartungsdienste Zutritt haben und wie nach einem Schlüsselverlust verfahren wird. Netzwerktechnik gehört in einen abschließbaren Schrank innerhalb Ihrer Fläche, nicht in einen gemeinsam genutzten Technikraum. Im Coworking-Space lassen sich Zone 2 und 3 oft gar nicht abbilden. Dort tragen Bildschirmsperre, Blickschutzfilter und abschließbare Spinde die Hauptlast.

Rechenzentrumsbetreiber stehen auf der anderen Seite dieser Verträge, für sie gilt Abschnitt 13 unmittelbar (siehe NIS2 für digitale Infrastruktur). Nach Erwägungsgrund 31 der Richtlinie soll ihre physische Sicherheit unter NIS2 „umfassend“ behandelt werden. Passend dazu nimmt § 4 Absatz 2 Nummer 2 des KRITIS-Dachgesetzes Betreiber kritischer Anlagen im Sektor Informationstechnik und Telekommunikation unter anderem von den §§ 12 bis 16 aus. Für Betreiber in anderen Sektoren kommt der physische Schutz nach § 13 KRITIS-Dachgesetz hinzu, der Zugangskontrollen ausdrücklich als mögliche Maßnahme nennt. Wie sich beide Regelwerke abgrenzen, zeigt der Vergleich NIS2 und CER-Richtlinie.

Wer verantwortet was, und was fehlende Nachweise kosten können

In der Praxis scheitert physische Sicherheit eher an Zuständigkeiten als an Technik, weil IT, Facility Management, Personal und Empfang sich aufeinander verlassen:

Rolle	Verantwortung	Nachweis
Geschäftsleitung	Setzt die Maßnahmen um und überwacht sie (§ 38 Abs. 1 BSIG), gibt Budget frei, stützt die Ansprechregel	Protokoll der Managementbewertung
Informationssicherheitsbeauftragter / IT-Leitung	Zonenmodell, Berechtigtenliste für Zone 3, Tests nach DVO 13.3.3, Kopplung an Benutzerkonten	Richtlinie, Prüfprotokolle, Testbericht
Facility Management, Schnittstelle zum Vermieter	Schließanlage, Schlüsselbuch, Strom, Brandschutz, Klima (DVO 13.1, 13.2)	Schließplan, Wartungsprotokolle
Personal und Empfang	Ausgabe und Rückgabe von Ausweisen, Besuchermanagement	Besucherprotokoll, Austritts-Checkliste
Alle Mitarbeitenden	Clean Desk, Ansprechregel, verlorene Ausweise sofort melden	Schulungsnachweis

Die Rollen lassen sich verteilen, die Pflicht der Geschäftsleitung bleibt: Nach § 38 Absatz 1 BSIG ist sie verpflichtet, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Wer eine Maßnahme nicht ergreift oder ihre Einhaltung nicht dokumentiert, handelt nach § 65 Absatz 2 Nummer 2 und 3 BSIG ordnungswidrig. Der Rahmen liegt bei bis zu 10 Millionen Euro für besonders wichtige und 7 Millionen Euro für wichtige Einrichtungen. Die umsatzbezogenen Obergrenzen von 2 beziehungsweise 1,4 Prozent greifen erst ab einem Gesamtumsatz von mehr als 500 Millionen Euro. Einzelheiten erklärt die NIS2-Bußgeldstaffel. Wahrscheinlicher dürfte für die meisten ein anderer Moment sein: Das BSI verlangt Nachweise, etwa nach einem Vorfall, und es gibt keinen Zonenplan und keinen Testbericht.

Ein belastbarer Nachweisordner zur physischen Sicherheit enthält mindestens:

1. eine physische Sicherheitsrichtlinie mit Geltungsbereich (Standorte, Räume, Systeme),
2. einen Zonenplan, abgeleitet aus Risikobewertung und Asset-Inventar,
3. die Liste der Zutrittsberechtigten je Zone mit Datum der letzten Überprüfung,
4. Schließplan und Ausgabeprotokoll für Schlüssel und Karten,
5. das Besucherprotokoll,
6. Protokolle der Tests nach DVO 13.3.3, einschließlich eines Tailgating-Tests,
7. die Clean-Desk-Regel mit Stichprobenprotokollen,
8. Schulungsnachweise, in denen Social Engineering und Tailgating vorkommen.

Häufig gestellte Fragen

Gilt Abschnitt 13 der Durchführungsverordnung auch für mein Unternehmen?
Unmittelbar nur, wenn Sie zu einer der elf Einrichtungsarten aus Artikel 1 der Verordnung gehören, etwa Cloud-Anbieter, Rechenzentrumsdienst oder Managed Service Provider. Für alle anderen besonders wichtigen und wichtigen Einrichtungen gilt § 30 BSIG. Abschnitt 13 dient dann als Maßstab.

Ist Videoüberwachung nach NIS2 Pflicht?
Nein. DVO 13.3.2 d verlangt, Räumlichkeiten kontinuierlich auf unbefugten Zutritt zu überwachen, schreibt aber keine Technik vor. Kameras sind eine Möglichkeit unter mehreren, mit DSGVO-Pflichten und gegebenenfalls Mitbestimmung des Betriebsrats.

Brauchen wir ein elektronisches Zutrittskontrollsystem?
Gesetzlich ist keines vorgeschrieben. Das BSI verlangt in INF.1.A7, dass der Zutritt geregelt, kontrolliert und dokumentiert wird. Das geht auch mit einer gut verwalteten mechanischen Schließanlage. Für Rechenzentren fordert INF.2.A6, dass jeder Zutritt individuell erfasst wird, was in der Praxis meist elektronisch umgesetzt wird.

Muss die Clean-Desk-Regel schriftlich vorliegen?
Eine Schriftform für genau diese Regel schreibt kein Gesetz vor. Nach § 30 Absatz 1 Satz 3 BSIG müssen Sie die Einhaltung Ihrer Maßnahmen aber dokumentieren. Ohne schriftliche Regel und Stichprobenprotokolle ist das kaum möglich.

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechtsberatung dar. Anforderungen können je nach Einrichtungsart, Sektor und Einzelfall abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Fachkraft für Informationssicherheits-Compliance.

Quellen

1. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), deutsche Fassung: Art. 21, Erwägungsgründe 31 und 79, EUR-Lex (im Text verlinkt)
2. Durchführungsverordnung (EU) 2024/2690, deutsche Fassung: Art. 1, Art. 2, Anhang Nr. 8.1, 11, 12 und 13, EUR-Lex (im Text verlinkt)
3. § 30 BSIG: Risikomanagementmaßnahmen, Gesetze im Internet (im Text verlinkt)
4. § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Gesetze im Internet (im Text verlinkt)
5. § 65 BSIG: Bußgeldvorschriften, Gesetze im Internet (im Text verlinkt)
6. § 165 TKG: Technische und organisatorische Schutzmaßnahmen, Gesetze im Internet (im Text verlinkt)
7. Deutscher Bundestag: Drucksache 21/1501, Gesetzentwurf NIS2UmsuCG, Begründung zu § 30 BSIG (PDF, im Text verlinkt)
8. § 13 KRITIS-Dachgesetz: Resilienzpflichten der Betreiber kritischer Anlagen; Resilienzplan, Gesetze im Internet (im Text verlinkt)
9. § 4 KRITIS-Dachgesetz: Geltungsbereich, Gesetze im Internet (im Text verlinkt)
10. ENISA: Technical Implementation Guidance on cybersecurity risk management measures, Version 1.0, Juni 2025 (PDF, im Text verlinkt)
11. BSI: IT-Grundschutz-Kompendium, Edition 2023: Bausteine INF.1, INF.2, INF.7, elementare Gefährdung G 0.42 (PDF, im Text verlinkt)
12. Bitkom: Wirtschaftsschutz 2025, Präsentation zur Pressekonferenz vom 18.09.2025 (PDF, im Text verlinkt)
13. DataGuard: Physical Controls in ISO 27001 (Annex A.7) (im Text verlinkt)
14. § 87 BetrVG: Mitbestimmungsrechte, Gesetze im Internet (im Text verlinkt)
15. BSI: #nis2know – Sicherheitsmaßnahmen und Schwachstellenmanagement (im Text verlinkt)