NIS2-Risikobewertung: Ein praktischer Leitfaden für KMU

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ zu ergreifen – und nennt als erste Mindestmaßnahme „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ [1]. Damit setzt Deutschland Artikel 21 Absatz 2 Buchstabe a der NIS2-Richtlinie um [3]. Bevor sich Zugangskontrollen, Verfahren zur Vorfallbewältigung oder Backup-Konzepte sinnvoll dimensionieren lassen, braucht es ein klares Bild der Risiken. Die Risikoanalyse bildet deshalb das Fundament – die übrigen Maßnahmen Ihres NIS2-Compliance-Programms bauen darauf auf. Wenn Sie noch prüfen, ob Ihre Organisation unter NIS2 fällt, lesen Sie unsere Übersicht der NIS2-Anforderungen.

Für viele KMU ist dies die erste formale Informationssicherheits-Risikobewertung. Das kann überwältigend wirken – insbesondere wenn Anbieterlösungen von teuren Beratungsmandaten bis hin zu komplexen Softwareplattformen reichen, die für unternehmensweite Sicherheitsteams konzipiert wurden. Die gute Nachricht: NIS2 schreibt keine bestimmte Methodik vor – weder § 30 BSIG noch Artikel 21 der Richtlinie nennen ein Verfahren [1] [3]. Für ein Unternehmen mit 50 bis 200 Mitarbeitenden kann ein strukturierter, dokumentierter Ansatz auf Basis einer Tabellenkalkulation genügen, sofern er nachvollziehbar, wiederholbar und dem Risiko angemessen ist.

Dieser Leitfaden führt Sie in verständlicher Sprache durch den gesamten Prozess. Am Ende wissen Sie, was das Gesetz tatsächlich verlangt – und was nicht –, welche Methodik zu Ihrer Organisation passt und wie Sie eine Risikobewertung so dokumentieren, dass sie gegenüber dem BSI nachvollziehbar ist. Wir behandeln jeden Schritt mit praxisorientierten Tabellen, einem durchgerechneten Beispiel für ein produzierendes KMU sowie Links zu den NIS2-Vorlagen, die die Dokumentation strukturieren.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Regulierungsberatung dar. Maßgeblich sind das BSI-Gesetz in der Fassung des NIS2UmsuCG, für bestimmte digitale Diensteanbieter zusätzlich die Durchführungsverordnung (EU) 2024/2690 sowie gegebenenfalls sektorspezifische Vorgaben – prüfen Sie die für Ihre Einrichtung geltenden Anforderungen stets im Einzelfall.

Was BSIG und NIS2 für die Risikoanalyse vorschreiben

§ 30 BSIG: Die rechtliche Verpflichtung in Deutschland

Seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 ist Artikel 21 der NIS2-Richtlinie (EU) 2022/2555 in § 30 BSIG umgesetzt. Nach Absatz 1 Satz 1 sind besonders wichtige und wichtige Einrichtungen verpflichtet, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen … zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“ Absatz 2 Nummer 1 nennt als erste Mindestmaßnahme „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ [1] – das deutsche Gegenstück zu Artikel 21 Absatz 2 Buchstabe a der Richtlinie („Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“) [3].

Vier Formulierungen verdienen besondere Aufmerksamkeit:

• Geeignet, verhältnismäßig und wirksam — § 30 Absatz 1 Satz 2 BSIG legt fest, wie Verhältnismäßigkeit zu bewerten ist: „Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.“ [1] Von einem Logistikunternehmen mit 60 Mitarbeitenden werden daher nicht dieselben Maßnahmen erwartet wie von einem großen Energieversorger. Verhältnismäßigkeit ist aber keine Ausweichklausel: Sie muss begründet werden – und genau diese Begründung liefert die Risikoanalyse.
• Dokumentationspflicht — Nach § 30 Absatz 1 Satz 3 BSIG ist die Einhaltung der Verpflichtung „durch die Einrichtungen zu dokumentieren“ [1]. Eine Risikoanalyse, die nur in Köpfen existiert, genügt dem nicht. Das BSI kann gegenüber besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 BSIG) und bei wichtigen Einrichtungen tätig werden, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nach § 30 nicht oder nicht richtig umgesetzt werden (§ 62 BSIG) [10]. Welche Unterlagen typischerweise entstehen, zeigt unsere Übersicht der NIS2-Dokumentationspflichten.
• Technisch und organisatorisch — Risikomanagement ist keine reine IT-Angelegenheit. Richtlinien, Verfahren, Governance-Strukturen und physische Schutzmaßnahmen zählen gleichermaßen; die Richtlinie spricht ergänzend von „operativen“ Maßnahmen [3].
• Gefahrenübergreifender Ansatz — Nach § 30 Absatz 2 Satz 1 BSIG „sollen“ die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen und „müssen auf einem gefahrenübergreifenden Ansatz beruhen“ [1]. Artikel 21 Absatz 2 der Richtlinie präzisiert, dass dieser Ansatz die Netz- und Informationssysteme „und die physische Umwelt dieser Systeme“ vor Sicherheitsvorfällen schützen soll [3]. Die Risikoanalyse darf sich also nicht auf Cyberangriffe beschränken.

Durchführungsverordnung (EU) 2024/2690, Anhang Nummer 2.1: verbindlich nur für elf Einrichtungsarten

Für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen unmittelbar fest (Artikel 1 und 2) [4]. § 30 Absatz 3 BSIG räumt ihr für genau diese Einrichtungsarten Vorrang ein [1].

Abschnitt 2 des Anhangs („Konzept für das Risikomanagement“) verlangt in Nummer 2.1.1 einen „geeigneten Risikomanagementrahmen“: Die betreffenden Einrichtungen „führen Risikobewertungen durch und dokumentieren diese; auf der Grundlage der Ergebnisse erstellen sie einen Risikobehandlungsplan, setzen diesen um und überwachen ihn.“ Die Ergebnisse der Risikobewertung und die Restrisiken werden von den Leitungsorganen oder – soweit anwendbar – von rechenschaftspflichtigen und befugten Personen akzeptiert, sofern eine angemessene Berichterstattung an die Leitungsorgane sichergestellt ist [4]. Nummer 2.1.2 zählt in den Buchstaben a bis j zehn Verfahrenselemente auf: eine Risikomanagementmethodik befolgen (a), eine Risikotoleranzschwelle festlegen (b), Risikokriterien einführen und pflegen (c), Risiken gefahrenübergreifend ermitteln und dokumentieren – insbesondere in Bezug auf Dritte und einschließlich punktueller Ausfälle (d), Risiken analysieren „einschließlich des Niveaus der Bedrohung, der Wahrscheinlichkeit, der Auswirkung und des Risikos“ (e), sie anhand der Kriterien bewerten (f), Behandlungsoptionen und -maßnahmen bestimmen (g), deren Umsetzung fortlaufend überwachen (h), Verantwortliche und Termine festlegen (i) sowie die Maßnahmen in einem Risikobehandlungsplan dokumentieren und „die Gründe für das Eingehen der Restrisiken umfassend erläutern“ (j) [4].

Nummer 2.1.3 verlangt, bei der Priorisierung unter anderem die Ergebnisse der Risikobewertung, „die Umsetzungskosten im Verhältnis zum erwarteten Nutzen“, die Klassifizierung von Anlagen und Werten (Nummer 12.1) und die Analyse der betrieblichen Auswirkungen (Nummer 4.1.3) zu berücksichtigen; Nummer 2.1.4 regelt die Überprüfung (siehe unten) [4]. Die ENISA erläutert diese Anforderungen in ihrer Technical Implementation Guidance (Version 1.0, Juni 2025). Zu Nummer 2.1.1 empfiehlt sie einen Risikobehandlungsplan, der die ermittelten Risiken mit den betroffenen Anlagen und Werten und den mindernden Maßnahmen verknüpft; ihre Aufzählungen kennzeichnet sie ausdrücklich als „indicative, non-exhaustive“ [5]. Eine detaillierte Erläuterung des Umsetzungsleitfadens der ENISA finden Sie in unserer Praxiszusammenfassung.

Hinweis: Für alle anderen besonders wichtigen und wichtigen Einrichtungen gilt der Anhang nicht unmittelbar – maßgeblich ist der Katalog in § 30 Absatz 2 BSIG. Als Auslegungshilfe bleibt der Anhang dennoch nützlich, weil er dieselbe Rechtsgrundlage (Artikel 21 Absatz 2 Buchstabe a) verfahrenstechnisch ausbuchstabiert. Methodische Orientierung bieten außerdem der BSI-Standard 200-3 und ISO/IEC 27005 (siehe unten). Mehr zum Regelwerk selbst im Beitrag zur NIS2-Durchführungsverordnung.

Gefahrenübergreifender Ansatz: fünf Gefahrengruppen als Praxisraster

Feste Bedrohungskategorien geben weder § 30 BSIG noch die Richtlinie vor. Erwägungsgrund 79 der Richtlinie nennt als Beispiele Ereignisse „wie Diebstahl, Feuer, Überschwemmungen und Telekommunikations- oder Stromausfälle“ sowie unbefugten physischen Zugang und spricht vom Schutz vor „Systemfehlern, menschlichen Fehlern, böswilligen Handlungen oder natürlichen Phänomenen“ [3]. Das folgende Raster mit fünf Gruppen ist eine Praxisempfehlung, um diese Bandbreite systematisch abzudecken:

• Physische und umgebungsbedingte Gefahren — Brand, Überschwemmung, extreme Witterungsbedingungen, Stromausfall, physischer Diebstahl oder Beschädigung von Geräten
• Technische und hardwarebezogene Gefahren — Serverausfall, Netzwerkgerätefehler, Softwarefehler, Speicherausfall
• Menschliche Gefahren – unbeabsichtigt — Fehlkonfiguration durch Mitarbeitende, versehentliches Löschen von Daten, verlorene oder verlegte Geräte, unbeabsichtigte Offenlegung
• Menschliche Gefahren – vorsätzlich — Ransomware, Phishing, Insider-Diebstahl, Denial-of-Service-Angriffe, gezielte Einbrüche
• Lieferketten- und Drittanbietergefahren — Sicherheitsverletzung bei Lieferanten, kompromittierte Softwareaktualisierungen, Ausfall von Lieferantendienstleistungen, Datenoffenlegung durch Dritte

Viele KMU setzen Informationssicherheits-Risikobewertung mit „IT-Risiko“ gleich. Der gefahrenübergreifende Ansatz lässt das nicht zu. Ein Brand, der den Serverraum zerstört, kann ebenso einen Sicherheitsvorfall auslösen wie eine Überschwemmung, die Strom- und Netzwerkverbindung unterbricht – solche physischen Szenarien gehören deshalb ebenso ausdrücklich in die Risikobewertung wie Ransomware. Zur Validierung Ihres Gefährdungskatalogs eignen sich der jährliche ENISA Threat Landscape [8], der BSI-Bericht zur Lage der IT-Sicherheit in Deutschland [9] sowie die elementaren Gefährdungen des IT-Grundschutz-Kompendiums, auf denen der BSI-Standard 200-3 aufbaut [6].

Überprüfungshäufigkeit

Das BSIG nennt für die Risikoanalyse kein festes Überprüfungsintervall. § 30 Absatz 1 verlangt aber „wirksame“ Maßnahmen, und Absatz 2 Nummer 6 fordert „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“ [1] – eine einmalige Analyse, die nie fortgeschrieben wird, trägt das kaum. Konkret wird nur die Durchführungsverordnung: Die elf erfassten Einrichtungsarten bewerten die Ergebnisse der Risikobewertung und den Risikobehandlungsplan „in geplanten Zeitabständen und mindestens jährlich sowie bei wesentlichen Änderungen der Betriebsabläufe oder der Risiken oder bei erheblichen Sicherheitsvorfällen“ und aktualisieren sie, soweit angemessen (Anhang Nummer 2.1.4) [4]. Für alle übrigen Einrichtungen ist ein jährlicher Turnus plus anlassbezogene Überprüfung eine naheliegende Orientierung. Typische Anlässe sind: die Einführung neuer Systeme oder Dienste, Veränderungen in der Bedrohungslage (bedeutende neue Schwachstellen, Angriffskampagnen gegen Ihren Sektor), wesentliche organisatorische Veränderungen (Fusion, neuer Großkunde, erheblicher Personalabbau) oder ein Sicherheitsvorfall, der ein bisher nicht erkanntes Risiko offenlegt.

Hinweis: Sektorspezifische Vorgaben können zusätzliche Prüf- und Nachweispflichten auslösen – etwa für Betreiber kritischer Anlagen, die die Erfüllung der Anforderungen nach § 39 BSIG alle drei Jahre nachweisen. Prüfen Sie, welche Regelungen für Ihre Einrichtung gelten.

Auswahl einer Risikobewertungsmethodik

Das Recht ist bewusst methodenneutral. § 30 Absatz 2 Satz 1 BSIG verlangt lediglich, dass die Maßnahmen die einschlägigen europäischen und internationalen Normen berücksichtigen „sollen“ [1]; eine bestimmte Methode schreiben weder das BSIG noch die Richtlinie vor. Nur die elf Einrichtungsarten der Durchführungsverordnung müssen ausdrücklich „eine Risikomanagementmethodik befolgen“ (Anhang Nummer 2.1.2 Buchstabe a) – welche, bleibt auch dort offen [4]. Ihre Risikobewertung sollte daher dokumentiert, systematisch und verhältnismäßig sein; den Ansatz wählen Sie selbst. Die wichtigsten Optionen für KMU im Vergleich:

Methodik	Geeignet für	Komplexität	Kosten	Anschluss an BSIG und NIS2
ISO/IEC 27005:2022	Organisationen mit (geplantem) ISO-27001-ISMS; größere Einrichtungen	Hoch	Hoch (Norm kostenpflichtig; Fachkenntnisse oder Beratung erforderlich)	Sehr gut — von der ENISA als Beispiel für einen Risikomanagementrahmen genannt; deckt die Elemente aus Anhang Nummer 2.1.2 weitgehend ab [5] [7]
BSI-Standard 200-3	Organisationen, die bereits mit IT-Grundschutz arbeiten oder eine Zertifizierung auf dieser Basis anstreben	Mittel	Niedrig bis mittel (kostenfrei beim BSI; setzt die IT-Grundschutz-Vorarbeiten voraus)	Gut — etabliertes deutsches Verfahren; aktuell in Version 1.0 von Oktober 2017, verweist noch auf ältere ISO-Fassungen [6]
NIST Cybersecurity Framework	Organisationen mit US-Bezug; Technologieunternehmen	Mittel–Hoch	Mittel (kostenloser Rahmen, erfordert jedoch Anpassung an den EU-Kontext)	Gut — erfordert jedoch eine Zuordnung zu den Maßnahmen aus § 30 BSIG
OCTAVE (Carnegie Mellon)	Asset-orientierte Organisationen, die neu im Risikomanagement sind	Mittel	Mittel (Workshop-basiert, zeitintensiv)	Gut — stark bei der Asset-Identifizierung, schwächer bei der Quantifizierung
Vereinfachte 5×5-Matrix	KMU mit begrenzten Sicherheitsressourcen; Organisationen, die von Grund auf beginnen	Niedrig	Niedrig (tabellenkalkulationsbasiert, keine Spezialwerkzeuge erforderlich)	Ausreichend, wenn Methodik, Kriterien, Register und Behandlungsplan schriftlich festgelegt sind — eine Akzeptanz durch die Aufsicht garantiert keine Methode

Für die meisten KMU im Anwendungsbereich von NIS2 ist der vereinfachte 5×5-Matrix-Ansatz ein guter Ausgangspunkt. Er lässt sich in einer Tabellenkalkulation in Tagen statt in Monaten umsetzen; er erfordert keine externen Berater oder Spezialsoftware; er erzeugt die dokumentierten Ergebnisse – Risikoregister, Behandlungsplan, Freigabe durch die Geschäftsleitung –, mit denen sich die Dokumentationspflicht aus § 30 Absatz 1 Satz 3 BSIG belegen lässt; und er kann zu einem vollständigen ISO-27005- oder BSI-200-3-Prozess weiterentwickelt werden, wenn Ihr Sicherheitsprogramm reift. Wer IT-Grundschutz anwendet, kann stattdessen die vierstufigen Skalen des BSI-Standards 200-3 nutzen (Eintrittshäufigkeit: selten, mittel, häufig, sehr häufig; Schadenshöhe: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend) [6]. Achten Sie dabei auf eine Begriffsfalle: Im BSI-Standard 200-3 bezeichnet „Risikoanalyse“ den kompletten Prozess (identifizieren, einschätzen, bewerten und behandeln), nach ISO 31000 und ISO 27005 dagegen nur einen Schritt der Risikobeurteilung [6]. Welche Kapitel der Norm die zehn Anforderungen aus Anhang Nummer 2.1.2 der Durchführungsverordnung abdecken – und warum kein Rechtstext die Norm namentlich nennt –, zeigt der Beitrag ISO 27005 und NIS2. Die nachfolgenden Schritte folgen dem 5×5-Ansatz.

Schrittweiser Risikobewertungsprozess für KMU

Dieser Abschnitt bietet einen empfohlenen Praxisrahmen, angelehnt an § 30 BSIG, Anhang Nummer 2.1 der Durchführungsverordnung sowie an ISO/IEC 27005 und den BSI-Standard 200-3. Alle Skalen, Schwellenwerte und Fristen sind Beispiele – das Gesetz gibt sie nicht vor. Passen Sie die Schritte an die Größe, den Sektor und den bestehenden Sicherheitsreifegrad Ihrer Organisation an.

Schritt 1: Identifizierung und Klassifizierung Ihrer Vermögenswerte

Ein Vermögenswert ist alles, das für Ihre Organisation von Wert ist und geschützt werden sollte. In der Praxis hat sich eine Gliederung in sechs Kategorien bewährt: Hardware (Server, Workstations, Netzwerkgeräte, industrielle Steuerungssysteme), Software (Betriebssysteme, Geschäftsanwendungen, Cloud-Dienste), Daten (Kundendaten, Finanzdaten, geistiges Eigentum, Betriebsdaten), Dienste (Internetkonnektivität, E-Mail, Cloud-Plattformen, auf die Ihr Unternehmen angewiesen ist), Personal (Mitarbeitende und ihre Fähigkeiten, Kenntnisse und Zugriffsrechte) sowie Räumlichkeiten (Büros, Rechenzentren, Serverräume). Für die elf Einrichtungsarten der Durchführungsverordnung sind ein Inventar der Anlagen und Werte und deren Klassifizierung ausdrücklich vorgeschrieben (Anhang Nummern 12.4 und 12.1) [4].

Erstellen Sie ein Asset-Verzeichnis, das jeden Vermögenswert mit einer Kritikalitätsbewertung erfasst. Die Kritikalität gibt an, wie stark Ihr Betrieb beeinträchtigt würde, wenn dieser Vermögenswert nicht verfügbar, kompromittiert oder zerstört wäre. Bewährt hat sich eine Skala von 1 bis 5 (1 = minimale Auswirkung, 5 = katastrophale Auswirkung auf den Betrieb).

Name des Vermögenswerts	Typ	Verantwortliche Person	Standort	Klassifizierung	Kritikalität
ERP-System (SAP B1)	Software/Dienst	Finanzleiter/in	Lokaler Serverraum	Eingeschränkt	5
Kundendatenbank	Daten	Vertriebsleiter/in	Lokal / Cloud-Backup	Vertraulich	4
Produktions-OT-Netzwerk	Hardware/Software	Produktionsleiter/in	Produktionshalle	Eingeschränkt	5
Unternehmens-E-Mail (Microsoft 365)	Dienst	IT-Leiter/in	Cloud (Microsoft-Rechenzentren)	Vertraulich	4
Dateiserver	Hardware/Daten	IT-Leiter/in	Lokaler Serverraum	Vertraulich	3
Internetverbindung (primär)	Dienst	IT-Leiter/in	ISP-Infrastruktur	Intern	4
Personaldaten	Daten	Personalleiter/in	Cloud-HR-System	Eingeschränkt	3
Serverraum	Räumlichkeiten	IT-Leiter/in	Gebäude A, Erdgeschoss	Eingeschränkt	4
Mitarbeitende-Laptops	Hardware	IT-Leiter/in	Büro / Remote	Intern	3
IT-Admin-Zugangsdaten	Daten	IT-Leiter/in	Passwort-Manager	Eingeschränkt	5

Konzentrieren Sie Ihre erste Risikobewertung auf Vermögenswerte mit einer Kritikalität von 4 bis 5. Hier entstehen im Schadensfall typischerweise die größten Auswirkungen auf den Betrieb.

Schritt 2: Identifizierung von Bedrohungen und Schwachstellen

Eine Bedrohung ist eine potenzielle Ursache eines Vorfalls. Eine Schwachstelle ist eine Schwäche in einem Vermögenswert oder einer Schutzmaßnahme, die eine Bedrohung ausnutzen könnte. Verwenden Sie einen strukturierten Bedrohungskatalog, um sicherzustellen, dass Sie alle fünf Gefahrengruppen berücksichtigt haben. Ordnen Sie jede relevante Bedrohung den Vermögenswerten zu, die sie betreffen könnte.

Kategorie	Beispielbedrohungen	Typisch ausgenutzte Schwachstellen
Natürlich / Umgebungsbedingt	Überschwemmung, Brand, extreme Hitze, Stromausfall, Sturmschäden	Kein Offsite-Backup, unzureichende physische Barrieren, einzelne Stromquelle
Technisch / Hardware	Serverhardwareausfall, Netzwerkgerätefehler, Softwarefehler, Speicherausfall	Keine Redundanz, veraltete Hardware, fehlende Patches
Menschlich — Unbeabsichtigt	Fehlkonfiguration, versehentliches Löschen, verlorenes/gestohlenes Gerät, unbeabsichtigte Datenweitergabe	Unzureichende Schulung, fehlende Zugriffskontrollen, keine Datenklassifizierung
Menschlich — Vorsätzlich	Ransomware, Phishing, Diebstahl von Zugangsdaten, Insider-Datenexfiltration, DDoS, Social Engineering	Schwache Passwörter, kein MFA, ungepatchte Systeme, übermäßige Zugriffsrechte
Lieferkette	Sicherheitsverletzung bei Lieferanten, kompromittierte Softwareaktualisierung, Cloud-Anbieterausfall, Missbrauch von Drittanbieter-Zugangsdaten	Keine Sicherheitsanforderungen an Lieferanten, keine Überwachung des Drittanbieterzugriffs

Sie müssen nicht jede denkbare Bedrohung auflisten. Identifizieren Sie die Bedrohungen, die für Ihre Organisation, Ihren Sektor und Ihre geografische Lage plausibel sind. Der ENISA Threat Landscape [8] und der BSI-Lagebericht [9] zeigen, welche Bedrohungen derzeit besonders aktiv sind – nutzen Sie sie zur Validierung Ihres Bedrohungskatalogs. Die elf Einrichtungsarten der Durchführungsverordnung müssen bei der Analyse ausdrücklich „die Erkenntnisse über Cyberbedrohungen und Schwachstellen“ berücksichtigen (Anhang Nummer 2.1.2 Buchstabe e) [4].

Schritt 3: Bewertung der Auswirkungen

Die Auswirkungsbewertung misst die Schwere der Folgen, wenn eine Bedrohung gegenüber einem Vermögenswert eintritt. Die folgende fünfstufige Skala ist ein Beispiel; wichtig ist, dass Sie eine Skala einheitlich auf alle Risiken in Ihrem Register anwenden. Verankern Sie jede Stufe an konkreten Geschäftsergebnissen – finanzielle Kennzahlen und Ausfallzeitschwellen verhindern, dass Bewerter auf subjektive Einschätzungen zurückgreifen. Die Beträge sind auf ein KMU mit rund 20 Mio. € Umsatz zugeschnitten und müssen an Ihre Organisation angepasst werden.

Stufe	Bezeichnung	Geschäftliche Folgen
1	Vernachlässigbar	Geringfügige Unannehmlichkeit; kein messbarer finanzieller Verlust; innerhalb von 1 Stunde ohne Servicebeeinträchtigung behoben
2	Geringfügig	Begrenzte Störung unter 4 Stunden; finanzieller Schaden unter €10.000; mit bestehendem Team beherrschbar
3	Moderat	Erhebliche Störung von 4 bis 24 Stunden; finanzieller Verlust €10.000 bis €100.000; Servicebeeinträchtigung für Kunden; mögliche Meldepflicht
4	Schwerwiegend	Schwere Störung von 24 bis 72 Stunden; finanzieller Verlust €100.000 bis €500.000; kundenrelevante Auswirkungen; voraussichtlich Meldepflicht nach § 32 BSIG
5	Kritisch	Katastrophale Störung über 72 Stunden; finanzieller Verlust über €500.000; Reputationsschaden; mögliche aufsichtsrechtliche Maßnahmen und Bußgelder; Haftungsrisiken der Geschäftsleitung gegenüber der Einrichtung (§ 38 Absatz 2 BSIG)

Berücksichtigen Sie alle Dimensionen der Auswirkung: operativ (Dienstverfügbarkeit), finanziell (direkte Kosten, Bußgelder, entgangene Einnahmen), reputationsbezogen (Kundenvertrauen, Marktposition), rechtlich und regulatorisch (Bußgeldrisiko nach § 65 BSIG – siehe NIS2-Bußgelder –, Meldepflichten nach § 32 BSIG und nach der DSGVO) sowie sicherheitsrelevant (relevant für Fertigung, Gesundheitswesen und kritische Infrastruktur).

Schritt 4: Bewertung der Eintrittswahrscheinlichkeit

Die Eintrittswahrscheinlichkeit misst, wie wahrscheinlich es ist, dass eine bestimmte Bedrohung innerhalb eines definierten Zeitraums eintritt. Verwenden Sie einen einheitlichen Referenzzeitraum, etwa 12 Monate, für alle Bewertungen. Stützen Sie Ihre Wahrscheinlichkeitsbewertungen auf beobachtete Branchendaten, sektorbezogene Bedrohungsinformationen und Ihre eigene Vorfallhistorie – nicht auf Bauchgefühl. Die folgende Skala ist ein Beispiel.

Stufe	Bezeichnung	Definition	Hinweis
1	Selten	Erwartet einmal in fünf Jahren oder seltener	Hochentwickelter, gezielter Angriff ohne vorherige Indikatoren; schwere Naturkatastrophe in einer Region mit geringem Risiko
2	Unwahrscheinlich	Erwartet einmal in zwei bis fünf Jahren	Gezielter Angriff mit erheblichem Aufwand des Angreifers; physische Bedrohung in einer Umgebung mit moderatem Risiko
3	Möglich	Erwartet ungefähr einmal pro Jahr	Opportunistischer Angriff; typische Hardwareausfallrate; häufige menschliche Fehler im Normalbetrieb
4	Wahrscheinlich	Erwartet mehrmals pro Jahr	Verbreitete Bedrohungen in der aktuellen Lage (z. B. Ransomware gegen KMU); wiederkehrende Prozessfehler
5	Nahezu sicher	Erwartet monatlich oder häufiger	Aktive, laufende Kampagne gegen Ihren Sektor; bekannte ausgenutzte Schwachstelle in einem ungepatchten System

Schritt 5: Berechnung des Risikoniveaus

Das Risikoniveau wird durch Multiplikation von Auswirkung und Eintrittswahrscheinlichkeit berechnet: Risiko = Auswirkung × Wahrscheinlichkeit. Dies ergibt einen Wert von 1 bis 25, der vier Risikoniveaus entspricht. Die nachfolgende Heatmap zeigt, wie Punktzahlen in Risikoniveaus übersetzt werden; die zweite Tabelle ordnet jedem Niveau eine beispielhafte Reaktion zu. Wo die Grenzen liegen, ist eine Leitungsentscheidung – für die elf Einrichtungsarten der Durchführungsverordnung ist das die Risikotoleranzschwelle nach Anhang Nummer 2.1.2 Buchstabe b [4].

	Auswirkung 1 Vernachlässigbar	Auswirkung 2 Geringfügig	Auswirkung 3 Moderat	Auswirkung 4 Schwerwiegend	Auswirkung 5 Kritisch
W5 — Nahezu sicher	5	10	15	20	25
W4 — Wahrscheinlich	4	8	12	16	20
W3 — Möglich	3	6	9	12	15
W2 — Unwahrscheinlich	2	4	6	8	10
W1 — Selten	1	2	3	4	5

Punktzahl	Risikoniveau	Beispielhafte Reaktion (keine gesetzliche Frist)
1–4	Niedrig	Akzeptieren oder beobachten. Entscheidung dokumentieren. Bei der nächsten regulären Überprüfung erneut betrachten.
5–9	Mittel	Behandlung planen, z. B. Maßnahmen innerhalb von 6 Monaten umsetzen. Verantwortliche Person benennen.
10–15	Hoch	Behandlung priorisieren, z. B. Maßnahmen innerhalb von 3 Monaten umsetzen. An die Geschäftsleitung eskalieren.
16–25	Kritisch	Sofortiger Handlungsbedarf. Vor Risiken mit niedrigerer Priorität behandeln. Geschäftsleitung unmittelbar informieren.

Schritt 6: Festlegung der Risikobehandlung

Für jedes ermittelte Risiko entscheiden Sie, wie es behandelt wird. Die ENISA nennt in ihrer Implementation Guidance beispielhaft vier Behandlungsoptionen – Vermeidung, Minderung, Übertragung bzw. Teilung und Akzeptanz –, die sich kombinieren lassen [5]:

• Vermeiden — das Risiko beseitigen, indem die Tätigkeit eingestellt oder der Vermögenswert außer Betrieb genommen wird, etwa ein Altsystem, das nicht mehr gepatcht werden kann. Diese Option kommt nur infrage, wenn die Tätigkeit ohne Beeinträchtigung der erbrachten Dienste eingestellt werden kann.
• Mindern — Maßnahmen umsetzen, die Auswirkung, Wahrscheinlichkeit oder beides senken. Das ist die häufigste Option. Maßnahmen können technisch (Endpoint Detection and Response, MFA, Netzwerksegmentierung, Offsite-Backup), organisatorisch (Richtlinien, Schulungen, Berechtigungsüberprüfungen) oder physisch sein (Brandschutz, USV, Zutrittskontrolle).
• Übertragen oder teilen — finanzielle Folgen ganz oder teilweise auf Dritte verlagern, etwa durch eine Cyberversicherung, die Auslagerung an einen Managed Security Service Provider oder vertragliche Haftungsregelungen mit Lieferanten. Die gesetzlichen Pflichten lassen sich dabei nicht übertragen: Die Geschäftsleitung bleibt nach § 38 Absatz 1 BSIG verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen [2].
• Akzeptieren — die Leitung entscheidet bewusst, ein Restrisiko ohne weitere Maßnahmen zu tragen. Das ist vor allem bei niedrigen Risiken sinnvoll, deren Behandlung mehr kostet als der zu erwartende Schaden. Halten Sie die Akzeptanz mit Begründung und Unterschrift fest; für die elf Einrichtungsarten der Durchführungsverordnung sind die Gründe für das Eingehen der Restrisiken „umfassend“ zu erläutern (Anhang Nummer 2.1.2 Buchstabe j) [4].

Für jedes Risiko, das Sie mindern, sollte der Eintrag im Risikoregister festhalten: die vorgesehene Maßnahme oder Maßnahmen, die für die Umsetzung verantwortliche Person, den Umsetzungstermin und die erwartete Restrisikobewertung nach Umsetzung. Für die elf Einrichtungsarten der Durchführungsverordnung entspricht das den Buchstaben i und j der Nummer 2.1.2 [4].

Schritt 7: Freigabe durch die Geschäftsleitung

Die NIS2-Richtlinie verlangt in Artikel 20 Absatz 1, dass die Leitungsorgane die Risikomanagementmaßnahmen „billigen“ und ihre Umsetzung überwachen [3]. Der deutsche Gesetzgeber hat dies in § 38 Absatz 1 BSIG als Pflicht der Geschäftsleitung formuliert, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen „umzusetzen und ihre Umsetzung zu überwachen“ [2]; eine ausdrückliche Billigungspflicht enthält das BSIG nicht. Für die elf Einrichtungsarten der Durchführungsverordnung verlangt Anhang Nummer 2.1.1 zusätzlich, dass die Leitungsorgane – oder rechenschaftspflichtige und befugte Personen bei angemessener Berichterstattung an die Leitung – die Ergebnisse der Risikobewertung und die Restrisiken akzeptieren [4].

Eine dokumentierte Freigabe von Risikoregister und Behandlungsplan ist deshalb der naheliegende Beleg dafür, dass die Geschäftsleitung ihrer Umsetzungs- und Überwachungspflicht nachkommt. Halten Sie fest: Datum, Teilnehmende, vorgelegte Risiken, beschlossene Behandlungsentscheidungen und die Freigabe selbst. Verletzt die Geschäftsleitung ihre Pflichten aus § 38 Absatz 1 BSIG, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform (§ 38 Absatz 2 BSIG); zudem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen (§ 38 Absatz 3 BSIG) [2]. Einzelheiten erläutert unser Beitrag zur Geschäftsleiterhaftung nach § 38 BSIG.

Beispiel: Risikobewertung eines produzierenden KMU

Organisation (fiktiv): Ein Hersteller von Präzisionsteilen für Kraftfahrzeuge mit 75 Mitarbeitenden und rund 18 Mio. € Jahresumsatz, der Automobilhersteller in drei EU-Mitgliedstaaten beliefert. Die Herstellung von Kraftwagen und Kraftwagenteilen (NACE Abteilung C 29) ist in Anlage 2 Nummer 5.5 BSIG aufgeführt [11]; bei 75 Mitarbeitenden ist das Unternehmen in der Regel eine wichtige Einrichtung, vorbehaltlich der Prüfung im Einzelfall – siehe NIS2-Betroffenheit prüfen. Es handelt sich um die erste formale Risikobewertung. Alle Zahlen sind Annahmen zur Veranschaulichung der Methodik.

Nach den sieben oben beschriebenen Schritten hat das Team 23 Risiken in fünf Asset-Kategorien ermittelt. Drei davon sind nachfolgend im Detail dargestellt, um das Format eines ausgefüllten Risikoregisters zu zeigen.

Risiko-ID	Vermögenswert	Bedrohung	Auswirkung	Wahrscheinlichkeit	Punktzahl	Niveau	Behandlung	Verantwortlich	Frist
R-001	ERP-System	Ransomware-Angriff über Phishing-E-Mail	4	4	16	Kritisch	Mindern	IT-Leiter/in	60 Tage
R-002	Produktions-OT-Netzwerk	Seitliche Ausbreitung aus dem IT-Netz nach einer Erstkompromittierung	5	2	10	Hoch	Mindern	IT-Leiter/in und Produktionsleiter/in	90 Tage
R-003	Kundendatenbank	Versehentliches Löschen durch eine/n IT-Administrator/in	3	2	6	Mittel	Mindern	IT-Leiter/in	30 Tage

R-001: Ransomware auf dem ERP-System — Behandlung im Detail

Das ERP-System enthält alle Fertigungsaufträge, Lieferantendaten und Finanzdaten. Ein erfolgreicher Ransomware-Angriff würde Auftragsabwicklung und Rechnungsstellung sofort stoppen. Das Team schätzt, dass ein 48-stündiger Stillstand rund 150.000 € an Produktionsausfall zuzüglich Wiederherstellungskosten verursachen würde.

Gewählte Maßnahmen: MFA für alle ERP-Benutzerkonten; EDR-Software auf allen Arbeitsplätzen und dem ERP-Server; tägliches verschlüsseltes Backup an einen Offline- bzw. Offsite-Standort mit monatlichem Wiederherstellungstest; vierteljährliche Phishing-Simulationen und Sensibilisierungsschulungen. Erwartetes Restrisiko: Auswirkung 4, Wahrscheinlichkeit 2 = Risiko 8 (Mittel). Begründung: EDR und MFA senken die Wahrscheinlichkeit deutlich; getestete Backups stellen sicher, dass eine Wiederherstellung auch nach einem erfolgreichen Angriff möglich ist.

R-002: Kompromittierung des OT-Netzwerks — Behandlung im Detail

Das OT-Netzwerk steuert CNC-Maschinen und Qualitätsprüfsysteme. Eine Kompromittierung, durch die fehlerhafte Anweisungen an Maschinen gesendet werden, könnte Ausschuss ganzer Chargen, Anlagenschäden und Sicherheitsvorfälle für Beschäftigte verursachen; das Team rechnet mit einer Wiederherstellungsdauer von mehreren Tagen. Selbst bei Wahrscheinlichkeit 2 (unwahrscheinlich) macht die kritische Auswirkung dies zu einem hohen Risiko mit Behandlungspriorität.

Gewählte Maßnahmen: Netzwerksegmentierung mit strikt gefilterter Grenze zwischen IT- und OT-Netz; Industrie-Firewall am IT/OT-Übergang; eigener Patch-Zeitplan für OT-Systeme; Fernzugriffe von Herstellern auf OT-Systeme nur über einen verwalteten Jump-Server mit vollständiger Sitzungsaufzeichnung. Erwartetes Restrisiko: Auswirkung 5, Wahrscheinlichkeit 1 = Risiko 5 (Mittel).

R-003: Versehentliches Löschen der Kundendatenbank — Behandlung im Detail

Die Kundendatenbank umfasst 2.400 Kundendatensätze mit Preisvereinbarungen, Bestellhistorie und Kontaktdaten. Ein versehentliches Löschen durch eine/n Administrator/in mit weitreichenden Rechten könnte eine Wiederherstellung von 12 bis 24 Stunden erfordern, in denen der Vertrieb keinen Zugriff hat. Ein mittleres Risiko, das sich aber einfach mindern lässt.

Gewählte Maßnahmen: rollenbasierte Zugriffskontrolle, sodass nur die Datenbankadministration Datensätze löschen kann; tägliches automatisiertes Backup mit getesteter Point-in-Time-Wiederherstellung; Änderungsverfahren mit Vier-Augen-Freigabe für jede Änderung an der Produktivdatenbank. Erwartetes Restrisiko: Auswirkung 3, Wahrscheinlichkeit 1 = Risiko 3 (Niedrig). Umsetzung innerhalb von 30 Tagen mit geringem Aufwand.

Vorlagen für die Dokumentation

Ein vollständiges Risikomanagement nach § 30 BSIG lässt sich mit drei Kerndokumenten abbilden. Sie sind im NIS2 Risikomanagement-Paket enthalten und orientieren sich an § 30 BSIG und Anhang Nummer 2.1 der Durchführungsverordnung (EU) 2024/2690.

Dokument	Vorlage	Zweck
Risikobeurteilungsmethodik	Dok. 05	Legt den gewählten Ansatz fest: Skalen, Gefahrengruppen, Akzeptanzkriterien und Überprüfungsturnus. Sie sollte vor Beginn der Bewertung von der Geschäftsleitung freigegeben werden und macht nachvollziehbar, dass die Risikobewertung systematisch und nicht ad hoc erfolgt.
Risikobewertungstabelle (Risikoregister)	Dok. 06	Erfasst jedes ermittelte Risiko mit Vermögenswert, Bedrohung, Auswirkung, Wahrscheinlichkeit, Risikoniveau, Behandlungsentscheidung, verantwortlicher Person, Umsetzungstermin und Restrisiko.
Risikobehandlungsplan	Dok. 10	Verfolgt die Umsetzung der Maßnahmen für mittlere, hohe und kritische Risiken. Verknüpft jede Maßnahme mit dem adressierten Risiko, der verantwortlichen Person, dem Termin und dem Status – für das Berichtswesen an die Geschäftsleitung und als Nachweis gegenüber dem BSI.

Dok. 08 (Akzeptanz von Restrisiken) dient als Freigabedokument für bewusst getragene Restrisiken, Dok. 09 (Risikobewertungsbericht) fasst den gesamten Bewertungszyklus in einem Dokument für die Geschäftsleitung zusammen. Um alle weiteren Maßnahmen aus § 30 Absatz 2 BSIG neben der Risikobewertung zu verfolgen, nutzen Sie die NIS2-Compliance-Checkliste als Umsetzungstracker.

Häufige Fehler, die Sie vermeiden sollten

• Eine zu komplexe Methodik wählen. ISO 27005 ist ausgezeichnet, kann in einem KMU ohne eigenes Sicherheitsteam aber Monate binden. Eine in wenigen Wochen abgeschlossene 5×5-Bewertung ist mehr wert als eine anspruchsvolle Methodik, die nie fertig wird.
• Die Verantwortlichen für die Vermögenswerte nicht einbinden. Die IT-Leitung allein kann die geschäftlichen Folgen eines Ausfalls von ERP-System, Personaldaten oder OT-Netz kaum zutreffend einschätzen. Finanz-, Personal- und Produktionsleitung gehören in die Auswirkungsbewertung – reine IT-Bewertungen unterschätzen die geschäftlichen Folgen häufig.
• Risiken isoliert betrachten. Risiken wirken zusammen. Ein Ransomware-Angriff auf das ERP-System (R-001), der sich ins OT-Netz ausbreitet (R-002), hat weit größere Folgen als jedes Einzelrisiko. Betrachten Sie Kaskaden und punktuelle Ausfälle (Single Points of Failure) – die Durchführungsverordnung verlangt deren Ermittlung ausdrücklich (Anhang Nummer 2.1.2 Buchstabe d) [4].
• Die Geschäftsleitung außen vor lassen. Ein nur von der IT-Leitung abgezeichnetes Risikoregister belegt nicht, dass die Geschäftsleitung ihrer Pflicht aus § 38 Absatz 1 BSIG nachkommt, die Maßnahmen umzusetzen und deren Umsetzung zu überwachen [2]. Legen Sie Register und Behandlungsplan der Geschäftsleitung vor und dokumentieren Sie die Freigabe.
• Die Risikobewertung als einmalige Übung behandeln. Eine Bewertung aus dem Vorjahr bildet die Lage nicht mehr zutreffend ab, wenn inzwischen neue Cloud-Dienste eingeführt wurden, ein Vorfall eingetreten ist oder sich die Bedrohungslage wesentlich verändert hat. Planen Sie die jährliche Überprüfung von Anfang an fest ein.
• Nach wesentlichen Änderungen nicht aktualisieren. Ein neues ERP-System, der Wechsel des Cloud-Anbieters, ein neuer Großlieferant mit Systemzugang oder ein Unternehmenskauf sind typische Anlässe für eine anlassbezogene Teilbewertung. Wer bis zur jährlichen Überprüfung wartet, lässt in der Zwischenzeit eine Lücke entstehen.

Häufig gestellte Fragen

Wie oft muss die NIS2-Risikobewertung wiederholt werden?

Das BSIG nennt kein festes Intervall. Für die elf Einrichtungsarten der Durchführungsverordnung (EU) 2024/2690 gilt: „in geplanten Zeitabständen und mindestens jährlich“ sowie bei wesentlichen Änderungen der Betriebsabläufe oder der Risiken oder bei erheblichen Sicherheitsvorfällen (Anhang Nummer 2.1.4) [4]. Für alle übrigen Einrichtungen ist ein jährlicher Turnus plus anlassbezogene Überprüfung eine naheliegende Orientierung, weil § 30 BSIG wirksame Maßnahmen und Verfahren zur Bewertung ihrer Wirksamkeit verlangt [1].

Ist für NIS2 eine bestimmte Risikobewertungsmethodik vorgeschrieben?

Nein. Weder § 30 BSIG noch die NIS2-Richtlinie schreiben eine Methode vor; § 30 Absatz 2 BSIG verlangt nur, einschlägige Normen zu berücksichtigen [1] [3]. Die elf Einrichtungsarten der Durchführungsverordnung müssen „eine Risikomanagementmethodik befolgen“, ohne dass eine bestimmte vorgegeben wird [4]. ISO/IEC 27005, der BSI-Standard 200-3 oder ein vereinfachter Matrix-Ansatz sind gleichermaßen denkbar. Entscheidend ist, dass die gewählte Methodik vor Beginn der Bewertung schriftlich festgelegt wird.

Können wir die Risikobewertung in einer Tabellenkalkulation durchführen?

Ja. Kein Gesetz verlangt spezielle Risikomanagement-Software. Verlangt ist, dass die Maßnahmen dokumentiert sind (§ 30 Absatz 1 Satz 3 BSIG) [1]. Ein gut strukturiertes Excel-Risikoregister, das Vermögenswerte, Bedrohungen, Auswirkungs- und Wahrscheinlichkeitswerte, Risikoniveaus und Behandlungsentscheidungen erfasst, kann diese Dokumentation leisten.

Was bedeutet der gefahrenübergreifende Ansatz (All-Hazards-Ansatz)?

Die Risikobewertung berücksichtigt alle Gefahren, die einen Sicherheitsvorfall auslösen können – nicht nur Cyberangriffe. § 30 Absatz 2 Satz 1 BSIG schreibt ihn ausdrücklich vor [1]; die Richtlinie bezieht die physische Umwelt der Systeme ein und nennt in Erwägungsgrund 79 Beispiele wie Diebstahl, Feuer, Überschwemmungen sowie Telekommunikations- oder Stromausfälle [3]. Eine Risikobewertung, die nur IT- oder Cyberrisiken abdeckt, wird dem nicht gerecht.

Gilt die Durchführungsverordnung (EU) 2024/2690 für unser Unternehmen?

Nur wenn Ihre Einrichtung zu einer der elf in Artikel 1 genannten Arten gehört – etwa Cloud-Anbieter, Rechenzentrumsdienstleister, Managed Service Provider oder Vertrauensdiensteanbieter [4]. Für alle anderen besonders wichtigen und wichtigen Einrichtungen gilt § 30 Absatz 2 BSIG; der Anhang der Verordnung bleibt aber eine nützliche Auslegungshilfe [1].

Brauchen wir externe Berater für die NIS2-Risikobewertung?

Vorgeschrieben ist das nicht. Ein KMU mit einer IT-Leitung und eingebundenen Fachverantwortlichen kann eine Risikobewertung mit strukturierten Vorlagen und einer dokumentierten Methodik selbst durchführen. Externe Unterstützung kann sinnvoll sein, wenn kein internes Sicherheitswissen vorhanden ist, komplexe OT-Umgebungen betrieben werden oder parallel eine ISO-27001-Zertifizierung angestrebt wird.

Quellen

1. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de — insbesondere Absatz 1 Satz 1 bis 3, Absatz 2 Satz 1, Absatz 2 Nummern 1 und 6, Absatz 3.
2. § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de.
3. Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), deutsche Amtsblattfassung, EUR-Lex — Artikel 20 Absatz 1, Artikel 21 Absätze 1 und 2, Erwägungsgrund 79.
4. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, deutsche Amtsblattfassung, EUR-Lex — Artikel 1 und 2, Anhang Nummern 2.1.1 bis 2.1.4, 12.1 und 12.4.
5. ENISA. Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025 (PDF) — Leitfaden zu Anhang Nummern 2.1.1 und 2.1.2.
6. BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz, Bundesamt für Sicherheit in der Informationstechnik — Version 1.0, Oktober 2017; Kapitel 1.3 zur Begriffsabgrenzung.
7. ISO/IEC 27005:2022 — Information security, cybersecurity and privacy protection — Guidance on managing information security risks, ISO (4. Ausgabe, Oktober 2022).
8. ENISA. ENISA Threat Landscape 2026, veröffentlicht am 22. September 2026 — Auswertung des Berichtszeitraums 1. Januar bis 31. Dezember 2025.
9. BSI. Die Lage der IT-Sicherheit in Deutschland 2025, Bundesamt für Sicherheit in der Informationstechnik.
10. § 61 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen und § 62 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen, gesetze-im-internet.de.
11. Anlage 2 BSIG — Sektoren und Einrichtungsarten (u. a. Nummer 5.5 Herstellung von Kraftwagen und Kraftwagenteilen), gesetze-im-internet.de.