Die 10 Mindestmaßnahmen nach § 30 BSIG im Detail

§ 30 BSIG ist der operative Kern des deutschen NIS2-Rechts. Der Paragraph legt konkret fest, welche Maßnahmen betroffene Einrichtungen mindestens ergreifen müssen – nicht als Empfehlung, sondern als gesetzliche Pflicht mit direktem Bezug zum Bußgeldkatalog des § 65 BSIG. Wer NIS2 in der eigenen Organisation umsetzen will, beginnt hier.

§ 30 BSIG im Überblick: Ziel, Struktur und Reichweite

§ 30 Abs. 1 BSIG formuliert das Grundprinzip: Betroffene Einrichtungen müssen „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen" ergreifen, um Störungen ihrer Netz- und Informationssysteme zu vermeiden und Auswirkungen von Sicherheitsvorfällen zu minimieren. Diese Formulierung setzt Art. 21 Abs. 1 NIS2-RL ins deutsche Recht um.

§ 30 Abs. 2 Nr. 1–10 listet die zehn Mindestmaßnahmen auf. Das Wort „mindestens" ist entscheidend: Der Katalog definiert die gesetzliche Untergrenze, nicht die Decke. Je nach Sektor, Risikoprofil und Einrichtungstyp kann das BSI über Orientierungshilfen zusätzliche Anforderungen konkretisieren.

Der Paragraph gilt für beide Einrichtungstypen – besonders wichtige Einrichtungen (bwE) und wichtige Einrichtungen (wE) –, jedoch mit unterschiedlichem Überwachungsniveau. Das BSI prüft besonders wichtige Einrichtungen proaktiv und anlassunabhängig (§ 61 BSIG); wichtige Einrichtungen werden reaktiv bei Vorfällen oder Hinweisen geprüft (§ 62 BSIG).

Das Verhältnismäßigkeitsprinzip: Was „angemessen" wirklich bedeutet

„Verhältnismäßig" ist kein Freibrief für Untätigkeit kleiner Einrichtungen. Es bedeutet, dass der Aufwand dem konkreten Risiko entsprechen muss. Eine Einrichtung mit 60 Mitarbeitenden und überschaubarer IT-Infrastruktur muss nicht denselben Maßnahmenkatalog wie ein kritischer Infrastrukturbetreiber umsetzen – aber sie muss einen nachvollziehbaren, risikobasierten Ansatz dokumentieren.

Praxisregel: Das Verhältnismäßigkeitsprinzip schützt nur, wer es aktiv anwendet. Wer keine Risikoanalyse durchgeführt hat, kann keine verhältnismäßige Maßnahmenauswahl begründen. Kein Risikoregister – keine Grundlage für die Verhältnismäßigkeitsargumentation im Prüfungsfall.

Wie das BSI die 10 Maßnahmen rahmt

Im April-2026-Webinar #nis2know hat das BSI die zehn Maßnahmen als zusammenhängenden Katalog präsentiert und ihren gemeinsamen Zweck offiziell formuliert. Das ist relevant, weil es zeigt, wie die Aufsichtsbehörde selbst auf § 30 Abs. 2 BSIG schaut – als Bündel von Maßnahmen, die auf ein klar definiertes Schutzziel einzahlen, nicht als Checkliste.

Ziel der Risikomanagementmaßnahmen nach § 30 BSIG ist es, „Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten." (BSI-Webinar #nis2know, 07.04.2026, Slide 8)

Praktisch hat das zwei Konsequenzen. Erstens: Alle zehn Maßnahmen müssen im Verbund auf dieses Schutzziel einzahlen – Cherry-Picking einzelner Punkte ist mit der Lesart des BSI nicht vereinbar. Zweitens: Das Schutzziel rahmt die Verhältnismäßigkeit. Eine Maßnahme darf nur dann auf niedrigem Niveau umgesetzt werden, wenn das gemeinsame Ziel – Schutz von Verfügbarkeit, Integrität und Vertraulichkeit für die Diensterbringung – dadurch nicht gefährdet wird.

Eine Beobachtung am Rand: Das BSI verwendet im Webinar wahlweise „Cyberhygiene und Schulungen" (Slide 8) oder „Schulungen + Sensibilisierungsmaßnahmen" (Slide 19) für dieselbe Maßnahme nach § 30 Abs. 2 Nr. 7 BSIG. Für die formale Dokumentation gilt der Gesetzestext; beide BSI-Begriffe sind als Synonyme zulässig.

Der methodische Rahmen, in dem diese zehn Maßnahmen wirksam werden – der PDCA-Zyklus aus BSI-Standard 200-3 – ist Gegenstand des Vertiefungsartikels A-69 (BSI-PDCA-Zyklus in der Praxis).

Die 10 Mindestmaßnahmen im Detail

Nr. 1 – Konzepte für Risikoanalyse und Informationssicherheit

Nr. 1 ist das Fundament, auf dem alle anderen Maßnahmen aufbauen. Gefordert werden dokumentierte Richtlinien zur Risikoanalyse und zur Informationssicherheit: eine Informationssicherheitsrichtlinie (IS-Richtlinie) als formell verabschiedetes Dokument der Geschäftsführung sowie ein definierter Prozess zur regelmäßigen Risikoanalyse.

Der häufigste Fehler: Eine IS-Richtlinie, die das IT-Team intern erstellt hat, ohne dass die Geschäftsführung sie formal genehmigt und unterzeichnet hat. § 38 BSIG verlangt ausdrücklich, dass Leitungsorgane Sicherheitsmaßnahmen genehmigen. Eine IS-Richtlinie ohne Geschäftsführungsbeschluss erfüllt diese Anforderung nicht – und wird bei einer BSI-Prüfung nicht als Nachweis anerkannt.

Nr. 2 – Bewältigung von Sicherheitsvorfällen

Nr. 2 verlangt ein funktionierendes Incident-Management-System: Erkennung, Klassifizierung und Reaktion auf Sicherheitsvorfälle, eine dokumentierte Eskalationskette, definierte Kommunikationsprozesse und systematische Nachbereitung durch Post-Mortem-Analysen.

Die Verbindung zu § 32 BSIG ist direkt: Ohne funktionierendes Incident-Management kann keine Einrichtung die 24-Stunden-Frühwarnung einhalten. Art. 21 Abs. 2 lit. b NIS2-RL spricht ausdrücklich von „Behandlung von Sicherheitsvorfällen" als Prozess – nicht als Dokument. Ein Incident-Response-Plan, der nie geübt wurde, ist im Ernstfall wertlos.

Nr. 3 – Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement

Nr. 3 ist der breiteste Punkt im Katalog: Business Continuity Management, Backup-Strategie und Krisenmanagement. Die häufigsten Umsetzungslücken:

• Backups ohne Wiederherstellungstest: Backups werden erstellt, aber nie auf erfolgreiche Wiederherstellung getestet.
• Fehlende Wiederherstellungsziele: RTO und RPO sind nicht formal definiert und dokumentiert.
• Verwechslung BCM und IT-Notfallplanung: Krisenmanagement und IT-Wiederherstellung werden gleichgesetzt, obwohl BCM die gesamte Einrichtung umfasst – nicht nur die IT.

Das BSI erwartet, dass kritische Geschäftsprozesse durch eine Business Impact Analysis identifiziert wurden, konkrete Wiederherstellungsziele gesetzt und diese regelmäßig getestet werden.

Nr. 4 – Sicherheit der Lieferkette

Nr. 4 verpflichtet zur aktiven Auseinandersetzung mit der Sicherheit direkter Lieferanten und Dienstleister – einer der am häufigsten unterschätzten Punkte im gesamten Katalog, und einer, bei dem das BSI wachsendes Interesse zeigt.

• Perimeter-Denken: IT-Sicherheit wird auf den eigenen Perimeter beschränkt; Lieferanten bleiben außen vor.
• Keine vertraglichen Anforderungen: Sicherheitsanforderungen an Lieferanten sind weder definiert noch vertraglich verankert.
• Cloud als Blackbox: Cloud-Dienste werden als alleinige Verantwortung des Anbieters behandelt, obwohl das Restrisiko beim Auftraggeber liegt.

Das Gesetz fordert keine Echtzeit-Überwachung aller Lieferanten – aber eine dokumentierte Bewertung kritischer Lieferanten mit identifizierten Risiken und definierten Mindestanforderungen.

Nr. 5 – Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen

Nr. 5 umfasst Schwachstellenmanagement und – wo relevant – Anforderungen an Softwareentwicklung und -beschaffung. Für die meisten KMU bedeutet das konkret: einen dokumentierten Patch-Management-Prozess mit definierten Fristen abhängig vom CVSS-Schweregrad, ein vollständiges Asset-Inventar als Grundlage und ein systematisches Verfahren zur Behandlung bekannter Schwachstellen.

„Erwerb und Entwicklung" greift auch bei der Beschaffung neuer Systeme: Sicherheitsanforderungen sollten Teil jedes IT-Beschaffungsprozesses sein – vom Auswahlkriterium bis zur vertraglichen Anforderung an den Hersteller.

Nr. 6 – Bewertung der Wirksamkeit von Risikomanagementmaßnahmen

Nr. 6 ist das qualitative Bindeglied des Katalogs: Einrichtungen müssen ihre eigenen Maßnahmen regelmäßig auf Wirksamkeit prüfen. Das bedeutet keine jährliche externe Prüfungspflicht – aber interne Sicherheitsüberprüfungen, Penetrationstests (bei entsprechendem Risikoprofil) und dokumentierte Audit-Ergebnisse.

Wer keine Wirksamkeitsprüfungen nachweisen kann, kann nicht belegen, dass seine Maßnahmen tatsächlich funktionieren. Das BSI fragt bei Prüfungen gezielt nach diesen Nachweisen.

Nr. 7 – Cyberhygiene und Schulungen im Bereich der Cybersicherheit

Nr. 7 verbindet zwei Anforderungen: grundlegende Cyberhygiene-Konzepte (Passwortrichtlinien, sicherer Umgang mit Endgeräten, Clean-Desk-Regelungen, Update-Prozesse) und Schulungen für die gesamte Belegschaft.

Die Schulungspflicht nach Nr. 7 ist breiter als die Pflichtschulung der Leitungsorgane nach § 38 Abs. 3 BSIG. Sie betrifft die gesamte Organisation. Cyberhygiene-Konzepte müssen schriftlich dokumentiert sein – informell gelebte Praktiken gelten im Prüfungsfall als nicht vorhanden.

Nr. 8 – Konzepte und Verfahren für den Einsatz von Kryptografie

Nr. 8 verlangt eine dokumentierte Kryptografierichtlinie: welche Algorithmen zulässig sind, wo Verschlüsselung Pflicht ist (Daten in Transit, Daten at Rest bei schutzbedürftigen Informationen) und wie Schlüssel verwaltet werden.

Häufiger Fehler: TLS-Zertifikate existieren, aber ein dokumentierter Prozess für Zertifikatsverwaltung und Schlüsselrotation fehlt. Veraltete Algorithmen (MD5, SHA-1, TLS 1.0/1.1) sind bei BSI-Prüfungen ein konkretes Thema. Das BSI orientiert sich an seinen eigenen Kryptoempfehlungen (BSI TR-02102).

Nr. 9 – Sicherheit des Personals, Zugangskontrolle und Asset-Management

Nr. 9 fasst drei zusammenhängende Themenblöcke zusammen:

• Personalsicherheit: Überprüfung von Mitarbeitenden für sensible Positionen, Sicherheitsverpflichtungen (NDAs, Sicherheitserklärungen) und vollständige Offboarding-Prozesse. Der häufigste Fehler: Ehemalige Mitarbeitende behalten Zugänge – oft über Wochen oder Monate nach dem Austritt.
• Zugangskontrolle: Identitätsmanagement, Least-Privilege-Prinzip und regelmäßige Zugriffsüberprüfungen (Access Reviews). Ohne kohärentes Zugriffsmanagement ist die Erfüllung von § 30 BSIG nicht möglich.
• Asset-Management: Ein vollständiges, aktuell gehaltenes Inventar aller IT-Assets. Ohne Inventar fehlt die Grundlage für Patch-Management (Nr. 5), Risikoanalyse (Nr. 1) und Zugangskontrolle.

Nr. 10 – Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Nr. 10 ist die einzige Maßnahme im Katalog, bei der der Gesetzgeber eine konkrete Technologieanforderung benennt: MFA oder kontinuierliche Authentifizierung sowie gesicherte Kommunikationskanäle innerhalb der Einrichtung. MFA ist damit keine optionale Empfehlung, sondern gesetzliche Pflicht.

Die Formulierung „oder kontinuierliche Authentifizierung" schafft Raum für Zero-Trust-Ansätze – risikobasierte, kontextabhängige Authentifizierung –, ohne klassische MFA auszuschließen. Für die Praxis: Privilegierte Accounts, Remote-Zugang und kritische Systeme erfordern MFA in jedem Fall. Bei Low-Risk-Systemen im internen Netz besteht mehr Spielraum – dieser muss aber risikobasiert begründet werden.

Was bedeutet das in der Praxis?

Drei Beobachtungen aus der Praxis für die strukturierte Umsetzung von § 30 BSIG:

Erstens: Die Maßnahmen sind nicht gleichwertig. Nr. 1 (Risikoanalyse) ist das Fundament – ohne sie fehlt die Grundlage für alle anderen Entscheidungen. Nr. 6 (Wirksamkeitsprüfung) ist das Bindeglied zwischen Papierprozess und gelebtem Sicherheitssystem. Wer diese beiden vernachlässigt, hat einen formalen Katalog, aber kein funktionierendes Sicherheitsmanagement.

Zweitens: Das BSI prüft Dokumentation, nicht Absichten. Jede Maßnahme, die nicht schriftlich nachweisbar ist, gilt im Prüfungsfall als nicht umgesetzt. Das ist keine bürokratische Übung – es ist die einzige Möglichkeit, Sorgfalt zu belegen. Besonders wichtige Einrichtungen müssen damit rechnen, dass das BSI diese Nachweise aktiv einfordert.

Drittens: Umsetzung ist ein dokumentierter Prozess, keine Einmalinvestition. § 30 BSIG verlangt nicht, dass am Stichtag alle 10 Maßnahmen vollständig umgesetzt sind – aber es erfordert einen nachvollziehbaren, fortschreitenden Prozess mit dokumentierten Meilensteinen. Einrichtungen, die heute strukturiert beginnen, stehen bei einer BSI-Prüfung erheblich besser da als solche, die nichts unternommen haben.

Für die strukturierte Selbsteinschätzung, welche der 10 Maßnahmen bereits umgesetzt, in Arbeit oder noch offen sind, steht das Gap-Assessment-Template (NIS2 Gap-Assessment, Excel) zur Verfügung. Es enthält für jede der 10 Nummern eine Bewertungsspalte und Nachweisfelder und ist im NIS2 Guide unter Schritt 2-4 verlinkt.

§ 30 BSIG ist der Ausgangspunkt für die operative NIS2-Umsetzung – aber nicht der Endpunkt. Die einzelnen Maßnahmen werden in den zugehörigen Artikeln der Knowledge Hub vertieft: Risikoanalyse in A-03, B-03 und A-69 (BSI-PDCA-Zyklus in der Praxis), Incident Management in A-07 und B-09, BCM in A-13 und B-16, Lieferkettensicherheit in A-11, Patch-Management in A-06 und MFA in A-05.

Dieser Artikel ersetzt keine Rechtsberatung. Für Fragen zur konkreten rechtlichen Einordnung Ihrer Situation wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.