Schutzziele der Informationssicherheit: Die CIA-Triade nennt drei — NIS2 vier

VonMichael Rewers
Abstrakte Darstellung von vier vernetzten Schutzzielen der Informationssicherheit

Die CIA-Triade — Vertraulichkeit, Integrität, Verfügbarkeit — ist das Standardmodell der Informationssicherheit. In der NIS2-Richtlinie steht sie so nicht. Deren eigene Legaldefinition in Artikel 6 Nummer 2 nennt vier Eigenschaften, und sie beginnt nicht mit der Vertraulichkeit: „die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter oder übermittelter oder verarbeiteter Daten oder der Dienste“. Dieselbe Viererreihe steht in der Definition des Sicherheitsvorfalls (Artikel 6 Nummer 6) und des Beinahe-Vorfalls (Nummer 5).

Das deutsche Umsetzungsgesetz zählt anders. § 30 Absatz 1 BSIG verpflichtet Einrichtungen, „Störungen der Verfügbarkeit, Integrität und Vertraulichkeit“ zu vermeiden — drei, ohne Authentizität. Im gesamten BSIG kommt das Wort „Authentizität“ genau einmal vor, und zwar an einer Stelle, die mit Risikomanagement nichts zu tun hat.

Für die meisten Einrichtungen ändert das wenig. Für elf Einrichtungsarten ändert es die Schutzbedarfsfeststellung, weil über dem BSIG eine unmittelbar geltende EU-Verordnung steht, die eine Klassifizierung auf vier Dimensionen ausdrücklich verlangt. Dieser Artikel zeigt, welche Zählung für wen gilt und woran man das im Text festmacht.

Die CIA-Triade: Vertraulichkeit, Integrität, Verfügbarkeit

Im Klartext: Drei Fragen an jede Information — wer darf sie sehen, stimmt sie noch, und ist sie da, wenn man sie braucht.

Kostenloses PDF

Lesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.

Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.

✓ Bitte prüfen Sie Ihr Postfach — das PDF ist unterwegs.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt diese drei im IT-Grundschutz-Kompendium als „Grundwerte der Informationssicherheit“ und setzt sie im Glossar ausdrücklich mit dem Begriff Schutzziel gleich: „Die Schutzziele oder auch Grundwerte der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit.“

Schutzziel Was es sichert Typischer Verletzungsfall Übliche Maßnahmen
Vertraulichkeit (confidentiality) Nur Berechtigte nehmen die Information zur Kenntnis. Abfluss einer Kundendatenbank; falsch gesetzte Ordnerberechtigung. Berechtigungskonzept, Verschlüsselung, Need-to-know.
Integrität (integrity) Die Information ist korrekt und vollständig; Systeme arbeiten wie vorgesehen. Manipulierte Messwerte in der Leittechnik; stillschweigend veränderte Stammdaten. Prüfsummen, Vier-Augen-Prinzip, Änderungsprotokolle.
Verfügbarkeit (availability) Berechtigte können zum vorgesehenen Zeitpunkt zugreifen. Ransomware-Verschlüsselung; Ausfall des Rechenzentrums. Backup und Wiederherstellung, Redundanz, Notfallplanung.

Wichtig für alles Weitere: Das BSI behandelt die Dreizahl nicht als abschließend. Der Glossareintrag „Grundwerte der Informationssicherheit“ stellt es jedem Anwender „natürlich frei, bei der Schutzbedarfsfeststellung weitere Grundwerte zu betrachten“, und nennt als Beispiele „Authentizität, Verbindlichkeit, Zuverlässigkeit und Nichtabstreitbarkeit“. Das ist eine Einladung, keine Pflicht — und genau dieser Unterschied trägt den Rest dieses Artikels.

Authentizität ist dabei kein Synonym für Integrität. Integrität fragt, ob eine Nachricht unterwegs verändert wurde. Authentizität fragt, ob sie tatsächlich von dem stammt, der als Absender erscheint. Eine perfekt unveränderte Rechnung von einem gefälschten Absender ist integer und trotzdem wertlos.

Was im Gesetz steht: NIS2 kennt vier Schutzziele

Im Klartext: Die Richtlinie nennt die Schutzziele nicht dort, wo man sie sucht — nicht im Pflichtenkatalog, sondern in den Begriffsbestimmungen.

Artikel 21 ist der Kern der NIS2-Richtlinie und enthält die zehn Risikomanagementmaßnahmen. Liest man Absatz 1 und Absatz 2 im Wortlaut, findet sich dort kein einziges Schutzziel. Absatz 2 sagt nur, die Maßnahmen müssten „auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen“.

Der Inhalt steckt also im definierten Begriff. „Sicherheitsvorfall“ ist in Artikel 6 Nummer 6 legaldefiniert als „ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste … beeinträchtigt“. Über diese Verweisung — und nur über sie — bekommt Artikel 21 seine Schutzziele. Es sind vier.

Eine Wortzählung über den amtlichen deutschen Volltext der Richtlinie (Stand: EUR-Lex, September 2026) bestätigt das Bild: „Authentizität“ erscheint viermal, und zwar ausschließlich in dieser Viererformel — in Artikel 6 Nummer 2, Nummer 5 und Nummer 6 sowie in Erwägungsgrund 79. Der Erwägungsgrund ist nicht bindend; er erläutert nur, warum der gefahrenübergreifende Ansatz gewählt wurde. Die drei tragenden Fundstellen sind Legaldefinitionen und damit sehr wohl verbindlich, sobald ein operativer Artikel den Begriff verwendet — was Artikel 21 Absatz 2 tut.

Bemerkenswert ist auch die Reihenfolge. Die Richtlinie beginnt mit der Verfügbarkeit, nicht mit der Vertraulichkeit. Rechtlich folgt daraus keine Rangordnung — Aufzählungen im Unionsrecht sind nicht priorisiert. Als Signal passt es aber zum Zweck der Richtlinie: Es geht um die Funktionsfähigkeit von Diensten, nicht primär um Geheimnisschutz.

Das Wort „Schutzziel“ selbst kommt in der NIS2-Richtlinie übrigens kein einziges Mal vor. Es ist ein Begriff des IT-Grundschutzes, kein Rechtsbegriff — was erklärt, warum die Suche danach im Gesetzestext ins Leere läuft.

Wo das BSIG abweicht — und wo nicht

Im Klartext: Der deutsche Gesetzgeber hat die Schutzziele aus den Definitionen in den Pflichtensatz geholt — und dabei eines weggelassen.

§ 30 Absatz 1 Satz 1 BSIG lautet: Einrichtungen sind verpflichtet, Maßnahmen zu ergreifen, „um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“

Zwei Unterschiede zur Richtlinie stecken in diesem einen Satz. Erstens die Zahl: drei statt vier. Zweitens der Schutzgegenstand: Das BSIG schützt an dieser Stelle Systeme, Komponenten und Prozesse, während Artikel 6 Nummer 2 NIS2 auf Daten und Dienste abstellt. Die Differenz ist nicht bloß stilistisch — sie entscheidet, ob man in der Schutzbedarfsfeststellung den Server bewertet oder die Information, die darauf liegt.

Die Dreizahl zieht sich durch das ganze Gesetz. § 2 Nummer 17 BSIG definiert „Informationssicherheit“ als „den angemessenen Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen“ — die CIA-Triade wortwörtlich im Gesetzestext. § 2 Nummer 39 („Sicherheit in der Informationstechnik“), § 2 Nummer 40 („Sicherheitsvorfall“) und § 2 Nummer 1 („Beinahevorfall“) nennen ebenfalls je drei, obwohl die beiden letzten unmittelbar Artikel 6 Nummer 6 und Nummer 5 der Richtlinie umsetzen, die dort vier nennen.

Eine Zählung über den amtlichen Volltext des BSIG ergibt: „Authentizität“ kommt genau einmal vor — in § 56 Absatz 6 Nummer 4, der Ermächtigung zum Erlass von Rechtsverordnungen. Dort heißt es, eine Komponente könne durch Rechtsverordnung als kritische Komponente bestimmt werden, wenn „eine Störung der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der Komponente“ die Funktionsfähigkeit kritischer Anlagen beeinträchtigen könnte. Ausgerechnet in einer Delegationsnorm taucht die Viererreihe also auf; im Pflichtenkatalog des § 30 fehlt sie. Das Wort „Schutzziel“ kommt im BSIG kein einziges Mal vor.

Praktisch am spürbarsten ist die Abweichung im Meldepfad. § 32 Absatz 1 BSIG knüpft die 24- und 72-Stunden-Fristen an den „erheblichen Sicherheitsvorfall“. Der ist nach § 2 Nummer 11 ein „Sicherheitsvorfall, der“ bestimmte Schwellen reißt — und „Sicherheitsvorfall“ führt nach § 2 Nummer 40 auf die drei zurück. Die Kette der Richtlinie endet bei vier, die deutsche bei drei.

Was das nicht heißt

Aus dieser Beobachtung folgt nicht, dass deutsche Einrichtungen Authentizität ignorieren dürften. Mindestens drei Gegenargumente sind ernst zu nehmen, und keines davon ist bisher gerichtlich geklärt:

  • Die Maßnahme ist da, auch ohne das Schutzziel. § 30 Absatz 2 Nummer 10 BSIG verlangt ausdrücklich „Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ — eine Authentizitätsmaßnahme im Kern, nur ohne das Etikett.
  • Authentizität lässt sich als Unterfall der Integrität lesen. Wer die Herkunft einer Nachricht fälscht, verfälscht in aller Regel auch ihren Inhalt oder ihre Metadaten. Viele Praktiker subsumieren deshalb; das BSI führt Authentizität umgekehrt als eigenständigen generischen Oberbegriff.
  • Nationales Recht ist richtlinienkonform auszulegen. Eine Aufsichtsbehörde kann § 30 BSIG im Licht von Artikel 21 NIS2 lesen und Authentizität hineinlesen, auch wenn das Wort dort nicht steht.

Die belastbare Aussage lautet deshalb: Der deutsche Wortlaut nennt drei, der unionsrechtliche vier, und wer sich auf die Dreizahl verlässt, trägt das Auslegungsrisiko selbst. Für elf Einrichtungsarten erübrigt sich die Frage ohnehin — siehe nächster Abschnitt.

Für elf Einrichtungsarten gelten trotzdem vier

Im Klartext: Über dem BSIG steht für bestimmte Digitaldienstleister eine EU-Verordnung, die ohne Umweg gilt und Authentizität ausdrücklich verlangt.

§ 30 Absatz 3 BSIG ordnet selbst an, dass der Durchführungsrechtsakt der Kommission nach Artikel 21 Absatz 5 Unterabsatz 1 NIS2 „für die vorgenannten Einrichtungsarten Vorrang“ hat. Gemeint ist die Durchführungsverordnung (EU) 2024/2690, in Deutschland meist NIS2UmsVO genannt. Sie gilt als Verordnung unmittelbar und erfasst: DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter.

In dieser Verordnung erscheint „Authentizität“ 21-mal — gegenüber einmal im gesamten BSIG. Drei Fundstellen sind für die Schutzziel-Frage entscheidend:

  • Anhang Nummer 12.1.2 Buchstabe b (zu Artikel 21 Absatz 2 Buchstabe i NIS2): Einrichtungen müssen „allen Anlagen und Werte eine Klassifizierungsstufe zuordnen, die auf Vertraulichkeits-, Integritäts-, Authentizitäts- und Verfügbarkeitsanforderungen beruht“. Das ist die Schutzbedarfsfeststellung, und sie hat hier vier Dimensionen.
  • Anhang Nummer 2.1.2 Buchstabe d: Im Risikomanagement sind Risiken zu ermitteln und zu dokumentieren, „die zu Störungen der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der Netz- und Informationssysteme führen könnten“.
  • Artikel 5 bis 14 legen je Einrichtungsart fest, wann ein Sicherheitsvorfall erheblich ist. Die wiederkehrende Formel lautet: „die Integrität, Vertraulichkeit oder Authentizität der … Daten ist beeinträchtigt“. Authentizität ist dort ein eigenständiger Meldeauslöser — sie muss nicht mit einer Vertraulichkeits- oder Integritätsverletzung einhergehen.

Interessant ist eine vierte Stelle, weil sie zeigt, dass die Verordnung die Ziele bewusst einzeln setzt: Im Kryptografie-Abschnitt (zu Artikel 21 Absatz 2 Buchstabe h) verlangt sie den Schutz von „Vertraulichkeit, Authentizität und Integrität der Daten“ — ohne Verfügbarkeit. Verschlüsselung schützt Verfügbarkeit eben nicht; sie kann sie sogar gefährden. Wo die Verordnung vier Ziele nennt, meint sie vier; wo drei, meint sie drei.

Welche Zählung gilt für mich?

Einrichtung Maßgebliche Norm Dimensionen in der Klassifizierung Authentizitätsvorfall allein meldepflichtig?
DNS, TLD, Cloud, Rechenzentrum, CDN, MSP, MSSP, Online-Marktplatz, Suchmaschine, soziales Netzwerk, Vertrauensdienst DVO (EU) 2024/2690, unmittelbar; § 30 Abs. 3 BSIG erklärt ihren Vorrang Vier — Anhang 12.1.2 Buchst. b ist verbindlich Ja — Art. 5 bis 14 nennen Authentizität eigenständig
Alle übrigen besonders wichtigen und wichtigen Einrichtungen § 30 BSIG Drei im Wortlaut; vier bei richtlinienkonformer Auslegung vertretbar Offen — die Kette § 32 → § 2 Nr. 11 → § 2 Nr. 40 endet bei drei
Zusätzlich: Einrichtungen, die nach IT-Grundschutz arbeiten BSI-Standard, neben dem BSIG Drei Grundwerte; weitere ausdrücklich freigestellt Richtet sich nach BSIG bzw. DVO, nicht nach dem Standard

Was das für Ihre Schutzbedarfsfeststellung bedeutet

Im Klartext: Wer nach IT-Grundschutz klassifiziert, hat drei Spalten. Wer unter die NIS2UmsVO fällt, braucht eine vierte.

Hier liegt die konkreteste Konsequenz dieses ganzen Textvergleichs, und sie ist leicht zu übersehen. Der IT-Grundschutz stellt es ausdrücklich frei, weitere Grundwerte zu betrachten. Anhang 12.1.2 Buchstabe b der NIS2UmsVO stellt es nicht frei — dort steht „müssen“. Eine Einrichtung, die nach Lehrbuch dreispaltig klassifiziert und zugleich als Cloud-Anbieter oder MSP unter die Verordnung fällt, erfüllt die Klassifizierungsanforderung nicht vollständig. Der Befund ergibt sich unmittelbar aus dem Verordnungswortlaut.

Die ENISA hat zu dieser Vorschrift im Juni 2025 einen technischen Umsetzungsleitfaden veröffentlicht. Er gibt den Verordnungstext mit allen vier Anforderungen wieder und empfiehlt in den Leitlinien unter anderem, „die Integrität und Authentizität von Informationen“ zu schützen. Bemerkenswert: Derselbe Leitlinienblock schließt mit dem Hinweis, rechtliche Anforderungen an „Vertraulichkeit, Integrität oder Verfügbarkeit“ einzuhalten — dort also wieder nur drei. Wer sich beim Klassifizierungsschema an den Leitlinien statt am Verordnungstext orientiert, kann die vierte Dimension auf diesem Weg verlieren. Der bindende Text steht im Anhang, nicht in der Leitlinie.

Wer im Haus was tun muss

Rolle Konkreter nächster Schritt Aufwand
ISB / CISO Klassifizierungsschema prüfen: Gibt es neben Vertraulichkeit, Integrität und Verfügbarkeit eine Spalte für Authentizitätsanforderungen? Falls nein und die DVO gilt: ergänzen und bestehende Werte nachziehen. Mittel
Compliance / Recht Feststellen, ob die Einrichtung zu den elf Arten des § 30 Abs. 3 BSIG gehört. Diese Einordnung entscheidet die ganze Frage und gehört dokumentiert. Gering
Incident-Response-Verantwortliche Meldekriterien um den Fall „Authentizität beeinträchtigt, Vertraulichkeit und Integrität unberührt“ ergänzen — etwa gefälschte Signaturen oder Absenderidentitäten. Gering
Geschäftsleitung Die Restrisiko-Akzeptanz nach Anhang 2.1 der DVO unterschreiben. Sie bestätigen damit auch die gewählte Zahl der Dimensionen. Gering

Für die Praxis genügt meist eine kleine Änderung: eine zusätzliche Spalte im Klassifizierungsschema und ein Satz in der Methodik, der festhält, auf welche Rechtsgrundlage sich die Zahl der Dimensionen stützt. Wie diese Einstufung in die übrige Risikobewertung eingebettet wird, ändert sich dadurch nicht.

Häufig gestellte Fragen

Wie viele Schutzziele kennt NIS2?

Vier. Artikel 6 Nummer 2, Nummer 5 und Nummer 6 der Richtlinie (EU) 2022/2555 nennen übereinstimmend Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit. Artikel 21 selbst nennt keines, sondern verweist über den Begriff „Sicherheitsvorfall“ auf Artikel 6 Nummer 6.

Warum steht Authentizität nicht in § 30 BSIG?

Die Gründe des Gesetzgebers sind aus dem Wortlaut nicht ersichtlich. Feststellbar ist nur der Befund: § 30 Absatz 1 BSIG nennt drei Schutzziele, ebenso die Begriffsbestimmungen in § 2 Nummer 1, 17, 39 und 40. Im gesamten BSIG erscheint „Authentizität“ einmal, in § 56 Absatz 6 Nummer 4 — einer Verordnungsermächtigung zur Bestimmung kritischer Komponenten, nicht in einer Pflichtennorm.

Muss ich meine Schutzbedarfsfeststellung jetzt umbauen?

Nur wenn Ihre Einrichtung zu den elf Arten gehört, für die § 30 Absatz 3 BSIG der Durchführungsverordnung (EU) 2024/2690 Vorrang einräumt. Dann verlangt Anhang 12.1.2 Buchstabe b eine Klassifizierung auf Basis von Vertraulichkeits-, Integritäts-, Authentizitäts- und Verfügbarkeitsanforderungen. Für alle übrigen Einrichtungen ist die Dreizahl des § 30 Absatz 1 BSIG der Wortlaut; eine vierte Dimension zu führen ist zulässig und mit Blick auf die Richtlinie gut vertretbar.

Ist Authentizität nicht einfach ein Teil der Integrität?

Das ist eine verbreitete Lesart, aber keine, die der Text stützt. Die Richtlinie, die Durchführungsverordnung und das BSI im IT-Grundschutz-Glossar führen beide Begriffe nebeneinander. Fachlich fragt Integrität nach Unverändertheit, Authentizität nach der Echtheit der Herkunft — eine unveränderte Nachricht eines gefälschten Absenders verletzt nur das zweite.

Was ist mit Nichtabstreitbarkeit und Verbindlichkeit?

Das BSI nennt sie im IT-Grundschutz-Kompendium als weitere generische Oberbegriffe, die man bei der Schutzbedarfsfeststellung freiwillig berücksichtigen kann. Weder die NIS2-Richtlinie noch das BSIG noch die Durchführungsverordnung machen sie zu einer eigenen Anforderung.

Gilt die CIA-Triade damit als überholt?

Nein. Sie bleibt das tragende Modell und steht in § 2 Nummer 17 BSIG sogar wörtlich im Gesetz. Sie ist nur nicht identisch mit dem, was die NIS2-Richtlinie und ihre Durchführungsverordnung verlangen — und diese Differenz gehört dokumentiert, nicht wegdefiniert.

Dieser Beitrag bietet allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Einrichtungsart und Sektor abweichen. Für eine auf Ihre Situation zugeschnittene Beurteilung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft.

Quellen

Ihr nächster Schritt

Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?

Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.

✓ Bitte prüfen Sie Ihr Postfach — das PDF ist unterwegs.

Ähnliche Beiträge