NIS2-Checkliste: 10 Risikomanagement-Maßnahmen nach §30 BSIG
§30 BSIG des NIS2UmsuCG setzt Art. 21 der NIS2-Richtlinie um und verpflichtet alle erfassten Einrichtungen zur Umsetzung von 10 Maßnahmenbereichen. Diese Checkliste dokumentiert alle Anforderungen — geeignet als Ausgangsbasis für Ihre interne Compliance-Bestandsaufnahme.
Wichtige und besonders wichtige Einrichtungen — unterschiedliche Anforderungstiefe
Alle 10 Maßnahmenbereiche gelten für beide Kategorien. Besonders wichtige Einrichtungen unterliegen strengeren Aufsichtsmaßnahmen (proaktive Prüfungen durch das BSI) und höheren Bußgeldern. Die konkrete Tiefe der Umsetzung richtet sich nach dem Stand der Technik, der Verhältnismäßigkeit und dem Risikoprofil der Einrichtung.
§30 BSIG Abs. 2 NIS2UmsuCG
Die 10 Maßnahmenbereiche im Überblick
Risikoanalyse und Sicherheitskonzepte
Konzepte zur Risikoanalyse und zur Sicherheit für Informationssysteme
Bewältigung von Sicherheitsvorfällen
Sicherheitsvorfälle — Bewältigung und Vermeidung (Incident Response)
Betriebskontinuität und Krisenmanagement
Aufrechterhaltung des Betriebs, Backup-Management, Notfallplan, Wiederherstellung und Krisenmanagement
Sicherheit der Lieferkette
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den Einrichtungen und ihren unmittelbaren Anbietern
Sicherheit bei Erwerb, Entwicklung und Wartung
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen
Bewertung der Wirksamkeit von Maßnahmen
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
Grundlegende Cyberhygiene und Schulungen
Grundlegende Cyberhygienepraktiken und Cybersicherheitsschulungen
Kryptographie und Verschlüsselung
Konzepte und Verfahren für den Einsatz von Kryptographie und Verschlüsselung
Personalsicherheit und Zugangskontrolle
Sicherheit des Personals, Konzepte für die Zugangskontrolle, Management von Anlagen
Multi-Faktor-Authentifizierung
Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme
Meldepflichten (§32 BSIG)
Erstmeldung
innerhalb 24 Stunden
Erste Benachrichtigung über erhebliche Sicherheitsvorfälle an das BSI
Folgemeldung
innerhalb 72 Stunden
Aktualisierter Bericht mit Ersteinschätzung zur Ursache und Schwere
Abschlussbericht
innerhalb 1 Monat
Umfassender Abschlussbericht mit Ursachenanalyse und getroffenen Maßnahmen
Pflichten der Geschäftsleitung (§38 BSIG)
Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an einschlägigen Schulungen teilnehmen. Verstöße können zur persönlichen Haftung führen.
Zur HaftungsseiteSind Sie bereits registriert?
Die BSI-Registrierungsfrist ist abgelaufen. Prüfen Sie mit dem NIS2-Checker Ihre Betroffenheit und Pflichten — kostenlos, ohne Anmeldung.
Diese Checkliste dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Sie ersetzt nicht die individuelle Prüfung durch qualifizierte Rechts- und IT-Sicherheitsberater. Maßgeblich ist das NIS2UmsuCG in der jeweils gültigen Fassung sowie die Konkretisierungen durch das BSI (Technische Richtlinien, Orientierungshilfen).