Zum Hauptinhalt springen
NIS2 Service
NIS2 Service – Startseite
§ 30 BSIG

NIS2-Anforderungen

Zehn Maßnahmenbereiche, die jede betroffene Einrichtung abdecken muss — mit dem, was organisatorisch und technisch entstehen muss, und mit den Nachweisen, die eine Prüfung sehen will.

Was verlangt NIS2 konkret?

§ 30 Abs. 2 BSIG verpflichtet betroffene Einrichtungen zu zehn Maßnahmenbereichen — von der Risikoanalyse über die Lieferkettensicherheit bis zur Mehr-Faktor-Authentifizierung. Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Hinzu kommen die Registrierung beim BSI (§ 33), die Meldepflicht bei erheblichen Vorfällen (§ 32) und die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung (§ 38).

Eine Zertifizierung schreibt das Gesetz nicht vor. Verlangt wird die Fähigkeit, die Umsetzung nachzuweisen — und genau daran scheitern die meisten Erstprüfungen, nicht an fehlender Technik.

Die zehn Maßnahmenbereiche nach § 30 Abs. 2 BSIG mit Ziel und zentralem Nachweis
Nr.MaßnahmenbereichZielZentraler Nachweis
1Risikoanalyse und SicherheitskonzepteDie Einrichtung muss begründen können, warum sie genau diese Maßnahmen ergreift — und keine anderen.Freigegebene Leitlinie mit Datum und Unterschrift
2Bewältigung von SicherheitsvorfällenEin Vorfall muss erkannt, eingestuft, eingedämmt und gemeldet werden — innerhalb von Stunden, nicht Tagen.Incident-Response-Plan mit Freigabedatum
3Aufrechterhaltung des BetriebsNach einem Ausfall muss der Betrieb in einer vorher festgelegten Zeit wieder laufen — nachweislich, nicht hoffentlich.Business-Impact-Analyse mit Freigabe
4Sicherheit der LieferketteDas Sicherheitsniveau der eigenen Dienstleister muss bekannt, bewertet und vertraglich abgesichert sein.Lieferantenverzeichnis mit Kritikalitätsbewertung
5Sicherheit bei Erwerb, Entwicklung und WartungSicherheit entsteht beim Beschaffen und Bauen — nicht als Nachrüstung im Betrieb.Beschaffungsunterlagen mit Sicherheitskriterien
6Bewertung der WirksamkeitEs genügt nicht, Maßnahmen zu haben. Es muss belegt sein, dass sie wirken.Kennzahlenbericht über mehrere Perioden
7Schulungen und SensibilisierungBeschäftigte müssen Angriffe erkennen und wissen, wohin sie einen Verdacht melden.Schulungskonzept mit Freigabe
8Kryptografie und VerschlüsselungSchützenswerte Daten müssen bei Übertragung und Speicherung verschlüsselt sein — nach einer festgelegten Regel, nicht nach Gefühl.Kryptokonzept mit Freigabedatum
9Personalsicherheit, Zugriffskontrolle und AnlagenverwaltungJede Person hat genau die Rechte, die sie für ihre Aufgabe braucht — und verliert sie beim Austritt am selben Tag.Berechtigungskonzept mit Freigabe
10Mehr-Faktor-Authentifizierung und gesicherte KommunikationEin gestohlenes Passwort allein darf keinen Zugang verschaffen.Konfigurationsnachweis der Mehr-Faktor-Authentifizierung

Die zehn Maßnahmenbereiche im Detail

Je Bereich: der Wortlaut des Gesetzes, was organisatorisch und technisch entstehen muss, welche Nachweise eine Prüfung erwartet, wer verantwortet — und der Fehler, der am häufigsten auffällt.

§ 30 Abs. 2 Nr. 1

Risikoanalyse und Sicherheitskonzepte

„Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“

Die Einrichtung muss begründen können, warum sie genau diese Maßnahmen ergreift — und keine anderen.

Organisatorisch

  • Eine verabschiedete Informationssicherheitsleitlinie, die von der Geschäftsleitung getragen wird
  • Eine dokumentierte Methodik, nach der Risiken bewertet werden — Skalen, Kriterien, Akzeptanzschwellen
  • Ein gepflegtes Risikoregister mit Eigentümer, Bewertung, Maßnahme und Restrisiko je Eintrag
  • Eine festgelegte Wiederholung: mindestens jährlich und bei wesentlichen Änderungen

Technisch

  • Vollständige Inventarisierung der Informationswerte, ohne die eine Risikoanalyse ins Leere läuft
  • Abbildung der Abhängigkeiten zwischen Systemen, Prozessen und Dienstleistern
  • Werkzeuggestützte Nachverfolgung der Maßnahmen statt einer Tabelle ohne Historie

Nachweise, die eine Prüfung sehen will

  • Freigegebene Leitlinie mit Datum und Unterschrift
  • Risikoregister in zwei Versionsständen, aus denen die Fortschreibung erkennbar ist
  • Protokoll der Risikobewertung mit Teilnehmenden
  • Dokumentierte Risikoakzeptanz der Geschäftsleitung für bewusst getragene Restrisiken
Verantwortung
Geschäftsleitung (Umsetzung und Überwachung nach § 38), ISB (Durchführung)
Häufigster Fehler
Das Risikoregister existiert, wurde aber seit der Ersterstellung nicht fortgeschrieben. Ein Register ohne zweiten Versionsstand belegt keinen Prozess, sondern ein einmaliges Projekt.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Klausel 6.1.2 und 6.1.3, Anhang A 5.1
§ 30 Abs. 2 Nr. 2

Bewältigung von Sicherheitsvorfällen

„Bewältigung von Sicherheitsvorfällen“

Ein Vorfall muss erkannt, eingestuft, eingedämmt und gemeldet werden — innerhalb von Stunden, nicht Tagen.

Organisatorisch

  • Ein Incident-Response-Plan mit klaren Rollen, Erreichbarkeiten und Eskalationsstufen
  • Definierte Kriterien, wann ein Vorfall „erheblich" im Sinne des § 32 BSIG ist
  • Eine Rufbereitschaft, die auch nachts und am Wochenende trägt
  • Nachbereitung jedes Vorfalls mit dokumentierten Lehren

Technisch

  • Zentrale Protokollierung mit ausreichender Aufbewahrungsdauer
  • Angriffserkennung, die Auffälligkeiten meldet, statt sie nur zu speichern
  • Vorbereitete Isolationsmöglichkeiten für Systeme und Konten
  • Forensiktaugliche Sicherung von Beweismitteln vor der Wiederherstellung

Nachweise, die eine Prüfung sehen will

  • Incident-Response-Plan mit Freigabedatum
  • Vorfallregister, auch wenn es leer ist — dann mit Beleg der regelmäßigen Prüfung
  • Protokoll einer Übung oder eines realen Vorfalls samt Zeitachse
  • Nachweis der Meldewege zum BSI inklusive hinterlegter Zugänge
Verantwortung
IT-Leitung und ISB gemeinsam, Eskalation an die Geschäftsleitung
Häufigster Fehler
Der Plan beschreibt die Technik, aber nicht die Meldepflicht. Wer die 24-Stunden-Frist erst im Ernstfall liest, hat sie bereits verloren.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 5.24 bis 5.28
§ 30 Abs. 2 Nr. 3

Aufrechterhaltung des Betriebs

„Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“

Nach einem Ausfall muss der Betrieb in einer vorher festgelegten Zeit wieder laufen — nachweislich, nicht hoffentlich.

Organisatorisch

  • Business-Impact-Analyse, aus der Wiederanlaufzeiten je Prozess hervorgehen
  • Notfallhandbuch mit Wiederanlaufreihenfolge und benannten Verantwortlichen
  • Krisenstab mit definierter Einberufung und Entscheidungsbefugnis
  • Mindestens eine dokumentierte Übung pro Jahr

Technisch

  • Datensicherung nach dem 3-2-1-Prinzip mit mindestens einer nicht veränderbaren Kopie
  • Vom Produktivnetz getrennte Sicherungen, die ein Angreifer nicht mitverschlüsseln kann
  • Regelmäßige Rückspieltests — eine Sicherung ohne erfolgreichen Restore ist unbewiesen
  • Redundanz für die Systeme, die die kürzesten Wiederanlaufzeiten tragen

Nachweise, die eine Prüfung sehen will

  • Business-Impact-Analyse mit Freigabe
  • Protokolle erfolgreicher Wiederherstellungstests mit Datum und Ergebnis
  • Übungsbericht mit Feststellungen und deren Abarbeitung
  • Belege zur Unveränderbarkeit der Sicherungen
Verantwortung
IT-Betrieb (Umsetzung), Geschäftsleitung (Freigabe der Wiederanlaufzeiten)
Häufigster Fehler
Backups laufen, wurden aber nie zurückgespielt. Der erste Restore-Versuch im Ernstfall ist der teuerste Test überhaupt.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 5.29, 5.30 und 8.13, ergänzend BSI-Standard 200-4
§ 30 Abs. 2 Nr. 4

Sicherheit der Lieferkette

„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“

Das Sicherheitsniveau der eigenen Dienstleister muss bekannt, bewertet und vertraglich abgesichert sein.

Organisatorisch

  • Vollständiges Verzeichnis der Lieferanten mit Zugriff auf Systeme oder Daten
  • Kritikalitätseinstufung, die den Prüfaufwand steuert — nicht jeder Lieferant braucht dieselbe Tiefe
  • Sicherheitsanforderungen als Vertragsbestandteil, inklusive Melde- und Auditrechten
  • Wiederkehrende Überprüfung, nicht nur eine Prüfung bei Vertragsschluss

Technisch

  • Kontrollierte und protokollierte Fernwartungszugänge
  • Eigene Konten je Dienstleister statt geteilter Sammelzugänge
  • Zeitlich begrenzte Berechtigungen für Wartungsfenster
  • Überwachung der Schnittstellen zu Dienstleistersystemen

Nachweise, die eine Prüfung sehen will

  • Lieferantenverzeichnis mit Kritikalitätsbewertung
  • Ausgefüllte Sicherheitsfragebögen oder vorgelegte Zertifikate
  • Vertragsanlagen mit Sicherheitsanforderungen
  • Protokolle der Wiederholungsprüfungen
Verantwortung
Einkauf und Vendor-Management gemeinsam mit dem ISB
Häufigster Fehler
Geprüft werden die großen Anbieter, übersehen wird der kleine Dienstleister mit dauerhaftem Fernzugang. Angriffe nehmen den bequemsten Weg, nicht den größten Anbieter.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 5.19 bis 5.23
§ 30 Abs. 2 Nr. 5

Sicherheit bei Erwerb, Entwicklung und Wartung

„Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen“

Sicherheit entsteht beim Beschaffen und Bauen — nicht als Nachrüstung im Betrieb.

Organisatorisch

  • Sicherheitsanforderungen als festes Kriterium in Beschaffungsentscheidungen
  • Freigabeprozess für Änderungen mit Sicherheitsbewertung
  • Getrennte Umgebungen für Entwicklung, Test und Produktion
  • Geregelter Umgang mit gemeldeten Schwachstellen inklusive Fristen

Technisch

  • Schwachstellenscans in festem Rhythmus, nicht anlassbezogen
  • Patch-Management mit Fristen, die sich nach der Kritikalität richten
  • Abgesicherte Grundkonfigurationen statt Auslieferungszustand
  • Prüfung eingebundener Fremdkomponenten auf bekannte Schwachstellen

Nachweise, die eine Prüfung sehen will

  • Beschaffungsunterlagen mit Sicherheitskriterien
  • Change-Protokolle mit Sicherheitsbewertung
  • Scanberichte über mehrere Zeitpunkte, aus denen die Behebung erkennbar ist
  • Patch-Berichte mit Einhaltung der eigenen Fristen
Verantwortung
IT-Betrieb und Entwicklung, fachlich begleitet vom ISB
Häufigster Fehler
Schwachstellen werden gefunden und dokumentiert, aber nicht mit Frist versehen. Ein Scanbericht ohne Behebungsnachweis belegt nur, dass man das Problem kannte.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 8.8, 8.9, 8.25 bis 8.34
§ 30 Abs. 2 Nr. 6

Bewertung der Wirksamkeit

„Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“

Es genügt nicht, Maßnahmen zu haben. Es muss belegt sein, dass sie wirken.

Organisatorisch

  • Festgelegte Kennzahlen je Maßnahmenbereich mit Zielwert und Messrhythmus
  • Interne Audits nach einem mehrjährigen Prüfplan
  • Managementbewertung mit dokumentierten Entscheidungen
  • Nachverfolgung von Feststellungen bis zum Abschluss

Technisch

  • Automatisierte Erhebung der Kennzahlen, wo es möglich ist
  • Technische Wirksamkeitsprüfungen wie Penetrationstests oder Phishing-Simulationen
  • Auswertbare Protokolle statt reiner Sammlung

Nachweise, die eine Prüfung sehen will

  • Kennzahlenbericht über mehrere Perioden
  • Auditberichte mit Feststellungen und Status
  • Protokoll der Managementbewertung mit Beschlüssen
  • Maßnahmenverfolgung mit Abschlussdatum
Verantwortung
ISB (Messung), Geschäftsleitung (Bewertung und Entscheidung)
Häufigster Fehler
Kennzahlen werden erhoben, aber nie bewertet. Eine Zahl ohne Zielwert und ohne Konsequenz ist keine Wirksamkeitsprüfung.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Klausel 9.1 bis 9.3, Auditdurchführung nach ISO 19011
§ 30 Abs. 2 Nr. 7

Schulungen und Sensibilisierung

„grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit“

Beschäftigte müssen Angriffe erkennen und wissen, wohin sie einen Verdacht melden.

Organisatorisch

  • Schulungskonzept mit Zielgruppen, Inhalten und Wiederholung
  • Eigene Inhalte für die Geschäftsleitung — deren Schulungspflicht steht in § 38 BSIG
  • Rollenspezifische Vertiefung für Administration, Einkauf und Entwicklung
  • Teilnahmenachweise je Person

Technisch

  • Meldeweg für verdächtige Nachrichten, der mit einem Klick erreichbar ist
  • Phishing-Simulationen mit Auswertung und gezielter Nachschulung
  • Lernplattform mit belastbarem Teilnahmenachweis

Nachweise, die eine Prüfung sehen will

  • Schulungskonzept mit Freigabe
  • Teilnahmelisten mit Datum und Inhalt
  • Auswertung der Simulationen über die Zeit
  • Gesonderter Nachweis der Schulung der Geschäftsleitung
Verantwortung
Personalabteilung und ISB, Geschäftsleitung als eigene Zielgruppe
Häufigster Fehler
Alle Beschäftigten werden geschult, die Geschäftsleitung nicht. Genau deren Schulung verlangt § 38 BSIG ausdrücklich und persönlich.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 6.3, Klausel 7.2 und 7.3
§ 30 Abs. 2 Nr. 8

Kryptografie und Verschlüsselung

„Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“

Schützenswerte Daten müssen bei Übertragung und Speicherung verschlüsselt sein — nach einer festgelegten Regel, nicht nach Gefühl.

Organisatorisch

  • Kryptokonzept mit zugelassenen Verfahren und Mindestschlüssellängen
  • Geregelte Schlüsselverwaltung über den gesamten Lebenszyklus
  • Festgelegter Umgang mit Zertifikaten inklusive Ablaufüberwachung
  • Regelmäßige Prüfung gegen die BSI-Empfehlungen, insbesondere TR-02102

Technisch

  • Transportverschlüsselung nach aktuellem Stand, veraltete Protokolle abgeschaltet
  • Verschlüsselung ruhender Daten auf Endgeräten und in Sicherungen
  • Zentrale Schlüsselverwaltung statt verstreuter Ablage
  • Überwachung ablaufender Zertifikate

Nachweise, die eine Prüfung sehen will

  • Kryptokonzept mit Freigabedatum
  • Konfigurationsnachweise der eingesetzten Verfahren
  • Protokoll eines Schlüsselwechsels
  • Prüfbericht zur Abschaltung veralteter Verfahren
Verantwortung
IT-Betrieb, fachlich freigegeben durch den ISB
Häufigster Fehler
Verschlüsselung ist aktiv, aber niemand verwaltet die Schlüssel. Ein verlorener Schlüssel unterscheidet sich im Ergebnis nicht von einem erfolgreichen Angriff.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 8.24, technische Vorgaben aus BSI TR-02102
§ 30 Abs. 2 Nr. 9

Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung

„Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen“

Jede Person hat genau die Rechte, die sie für ihre Aufgabe braucht — und verliert sie beim Austritt am selben Tag.

Organisatorisch

  • Berechtigungskonzept nach dem Prinzip der geringsten Rechte
  • Geregelte Prozesse für Eintritt, Wechsel und Austritt
  • Wiederkehrende Rezertifizierung der Berechtigungen
  • Gesonderte Regeln für privilegierte Konten

Technisch

  • Zentrale Identitätsverwaltung statt gewachsener Einzelkonten
  • Vollständiges und gepflegtes Verzeichnis der IKT-Systeme
  • Abgesicherte und protokollierte administrative Zugänge
  • Automatische Sperrung verwaister Konten

Nachweise, die eine Prüfung sehen will

  • Berechtigungskonzept mit Freigabe
  • Protokoll einer Rezertifizierung mit entzogenen Rechten
  • Austrittsprotokolle mit Nachweis der Sperrung
  • Aktuelles Systemverzeichnis
Verantwortung
Personalabteilung und IT-Betrieb, Kontrolle durch den ISB
Häufigster Fehler
Konten ausgeschiedener Beschäftigter bleiben aktiv. Das ist der Befund, der in Audits am häufigsten und am schnellsten gefunden wird.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 5.15 bis 5.18, 6.1 bis 6.6, 8.1 bis 8.5
§ 30 Abs. 2 Nr. 10

Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

„Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“

Ein gestohlenes Passwort allein darf keinen Zugang verschaffen.

Organisatorisch

  • Festlegung, für welche Zugänge ein zweiter Faktor zwingend ist — Fernzugriff und administrative Konten immer
  • Geregeltes Verfahren für verlorene zweite Faktoren, das keine Hintertür schafft
  • Vorbereitete Notfallkommunikation, die auch bei Ausfall der Hauptsysteme trägt

Technisch

  • Mehr-Faktor-Authentifizierung für Fernzugriff, Administration und Cloud-Dienste
  • Phishing-resistente Verfahren gegenüber SMS-Codes bevorzugen
  • Gesicherte Sprach- und Textkommunikation für den Krisenfall
  • Ausnahmen dokumentiert, befristet und begründet

Nachweise, die eine Prüfung sehen will

  • Konfigurationsnachweis der Mehr-Faktor-Authentifizierung
  • Liste der Ausnahmen mit Begründung und Befristung
  • Nachweis der Notfallkommunikation aus einer Übung
Verantwortung
IT-Betrieb, Ausnahmen freigegeben durch die Geschäftsleitung
Häufigster Fehler
Der zweite Faktor gilt für Beschäftigte, aber nicht für Administrations- und Dienstkonten. Genau diese sind das Ziel.
Anhaltspunkt ISO 27001
ISO/IEC 27001:2022 Anhang A 8.5, ergänzend A 5.14

Was § 30 nicht abdeckt

Die zehn Maßnahmenbereiche sind der technisch-organisatorische Kern. Drei weitere Pflichten stehen an anderer Stelle im Gesetz und werden deshalb regelmäßig übersehen.

§ 32 BSIGMeldepflichtErhebliche Sicherheitsvorfälle sind in drei Stufen zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.§ 33 BSIGRegistrierungBetroffene Einrichtungen müssen sich beim BSI registrieren und ihre Angaben aktuell halten.§ 38 BSIGPflichten der GeschäftsleitungDie Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzung haftet sie der eigenen Einrichtung nach Gesellschaftsrecht.§ 39 BSIGNachweispflichtBetreiber kritischer Anlagen weisen die Umsetzung gegenüber dem BSI nach — die Nachfolgeregelung des früheren § 8a BSIG.

Häufige Fragen zu den NIS2-Anforderungen

Welche Anforderungen stellt NIS2 konkret?
§ 30 Abs. 2 BSIG nennt zehn Maßnahmenbereiche, die jede betroffene Einrichtung abdecken muss: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung, Bewertung der Wirksamkeit, Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Mehr-Faktor-Authentifizierung. Hinzu kommen Registrierung nach § 33, Meldepflicht nach § 32 und die Pflichten der Geschäftsleitung nach § 38.
Muss NIS2 zertifiziert werden?
Nein. Das BSIG verlangt keine Zertifizierung. Es verlangt geeignete, verhältnismäßige und wirksame Maßnahmen sowie die Fähigkeit, deren Umsetzung nachzuweisen. Eine ISO-27001-Zertifizierung ist ein anerkannter Weg, die Nachweise strukturiert vorzuhalten, ersetzt aber die Prüfung am Maßstab des BSIG nicht und wird vom Gesetz auch nicht als Konformitätsvermutung behandelt.
Was bedeutet „verhältnismäßig“ in § 30 BSIG?
Der Umfang der Maßnahmen richtet sich nach dem Risiko, der Größe der Einrichtung und den möglichen Auswirkungen eines Vorfalls. Ein Stadtwerk mit 80 Beschäftigten muss nicht dieselbe Tiefe erreichen wie ein bundesweiter Netzbetreiber. Verhältnismäßigkeit ist allerdings kein Freibrief: Alle zehn Bereiche müssen adressiert sein, nur die Umsetzungstiefe darf sich unterscheiden — und diese Abwägung muss dokumentiert sein.
Welche Nachweise verlangt das BSI?
Verlangt werden Dokumente, die einen laufenden Prozess belegen, nicht ein einmaliges Projekt: Leitlinie und Risikoregister in mehreren Versionsständen, Incident-Response-Plan mit Übungsprotokoll, erfolgreiche Wiederherstellungstests, Lieferantenverzeichnis mit Bewertung, Schulungsnachweise einschließlich der Geschäftsleitung, Rezertifizierung der Berechtigungen sowie Auditberichte und die Managementbewertung.
Reicht ein bestehendes ISMS nach ISO 27001 aus?
Ein gepflegtes ISMS deckt einen großen Teil der zehn Bereiche bereits ab und verkürzt die Umsetzung erheblich. Gezielt nachzuarbeiten sind in der Praxis meist drei Punkte: die Meldeprozesse nach § 32 BSIG mit ihren Fristen, die dokumentierte Überwachung durch die Geschäftsleitung nach § 38 BSIG und deren eigene, regelmäßige Schulung. Diese Pflichten kennt die Norm in dieser Form nicht.
Wie oft müssen die Maßnahmen überprüft werden?
Das BSIG nennt keinen festen Turnus, verlangt aber in § 30 Abs. 2 Nr. 6 ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit. In der Praxis hat sich ein jährlicher Zyklus etabliert: Risikoanalyse und Managementbewertung jährlich, interne Audits nach einem mehrjährigen Prüfplan, Wiederherstellungstests und Rezertifizierung der Berechtigungen mindestens jährlich, zusätzlich anlassbezogen bei wesentlichen Änderungen.

Rechtsstand und Einordnung

Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Der zitierte Wortlaut stammt aus § 30 BSIG. Diese Seite ordnet die Anforderungen fachlich ein und beschreibt ihre technische und organisatorische Umsetzung. Sie ersetzt keine Rechtsberatung im Einzelfall.

Welche der zehn Bereiche sind bei Ihnen offen?

Eine Gap-Analyse beantwortet das anhand Ihrer Nachweise — nicht anhand einer Selbsteinschätzung. Ergebnis ist eine priorisierte Liste dessen, was fehlt.

Gap-Analyse ansehen