Die zehn Maßnahmenbereiche des § 30 BSIG in der Praxis

§ 30 BSIG ist das materielle Herzstück der NIS2-Umsetzung. Die Vorschrift verpflichtet betroffene Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen ihrer IT und Auswirkungen von Sicherheitsvorfällen zu vermeiden oder gering zu halten. Absatz 2 zählt zehn Bereiche auf, die diese Maßnahmen mindestens abdecken müssen.

Dazu gehören Konzepte für Risikoanalyse und Informationssicherheit, die Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backup- und Wiederherstellungsmanagement sowie Krisenmanagement, die Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung von IT-Systemen einschließlich Schwachstellenmanagement, Konzepte zur Bewertung der Wirksamkeit der eigenen Maßnahmen, grundlegende Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit mit Zugriffskontrolle und Anlagenmanagement sowie der Einsatz von Multi-Faktor-Authentifizierung und gesicherter Kommunikation.

Verhältnismäßigkeit ist eingebaut

Der Katalog wirkt auf den ersten Blick wie ein ISMS-Pflichtenheft für Konzerne. Das Gesetz selbst relativiert diesen Eindruck: Bei der Bewertung der Verhältnismäßigkeit sind Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten und die Eintrittswahrscheinlichkeit von Vorfällen zu berücksichtigen. Ein Unternehmen mit 60 Beschäftigten muss nicht das Sicherheitsniveau eines Energiekonzerns erreichen – es muss aber für jeden der zehn Bereiche eine begründete, dokumentierte Antwort haben.

Genau daran lässt sich die Arbeit strukturieren. Der erste Schritt ist eine ehrliche Bestandsaufnahme je Bereich: vorhanden, teilweise vorhanden, offen. Daraus entsteht ein Maßnahmenplan mit Verantwortlichen und Fristen. Der zweite, häufig übersehene Schritt folgt aus dem Gesetz selbst: Die Wirksamkeit der Maßnahmen ist zu bewerten, also regelmäßig zu prüfen, ob das Backup wiederherstellbar ist, ob Berechtigungen noch stimmen, ob Schulungen stattgefunden haben. Ein Maßnahmenplan ohne Wiedervorlage veraltet schneller, als die nächste Prüfung kommt.

Wer die zehn Bereiche als Selbst-Check mit Erfüllungsgrad, abgeleiteten Maßnahmen und Wiedervorlagen führen will, findet die Umsetzung im Modul NIS2 – inklusive Vorlagen wie Informationssicherheitsleitlinie, Incident-Response-Plan und Backup-Konzept.