ENKontakt
Gilt fürEUDEAT

§ 30 BSIG

10 Pflichtmaßnahmen-Bereiche für NIS2-Risikomanagement

· Kategorie: NIS2 · Compliance-Kit

TL;DR

§ 30 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik – BSI-Gesetz, in Kraft seit 06.12.2025 durch das NIS2UmsuCG) verpflichtet besonders wichtige und wichtige Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten — mindestens in 10 explizit benannten Pflichtmaßnahmen-Bereichen. Die Einhaltung ist zu dokumentieren: Festzuhalten ist nicht nur, welche Maßnahmen vorgesehen sind, sondern dass sie tatsächlich eingehalten werden.

Was ist § 30 BSIG?

Die 10 Pflichtmaßnahmen-Bereiche nach § 30 Abs. 2 BSIG:

  1. Konzepte für die Risikoanalyse und -bewertung sowie für die Sicherheit von Informationssystemen
  2. Bewältigung von Sicherheitsvorfällen
  3. Aufrechterhaltung des Betriebs (Backup, Disaster Recovery, Krisenmanagement)
  4. Sicherheit der Lieferkette
  5. Sicherheit beim Erwerb, Entwickeln und Warten von Netz- und Informationssystemen
  6. Konzepte zur Beurteilung der Wirksamkeit der Maßnahmen
  7. Cyberhygiene und Schulungen im Bereich Cybersicherheit
  8. Konzepte für Kryptografie und Verschlüsselung
  9. Sicherheit des Personals, Zugriffskontroll-Konzepte
  10. MFA, kontinuierliche Authentifizierung, sichere Sprach-/Video-/Text-Kommunikation

§ 30 BSIG in Deutschland und Österreich

NIS2 wird in Deutschland und Österreich in getrennten nationalen Gesetzen umgesetzt. Die Risikomanagement-Pflichten beruhen jeweils auf Art. 21 der NIS-2-Richtlinie (RL (EU) 2022/2555), sind aber mit eigener Paragrafen-Nummerierung und eigener Aufsichtsbehörde geregelt.

Deutschland

Maßgeblich ist § 30 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik – BSI-Gesetz). Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen (§ 30 Abs. 1); der Mindestkatalog umfasst die zehn Bereiche nach § 30 Abs. 2 Nr. 1 bis 10. Aufsicht: Bundesamt für Sicherheit in der Informationstechnik (BSI).

Österreich

Das Pendant ist § 32 NISG 2026 (Netz- und Informationssystemsicherheitsgesetz, BGBl. I Nr. 94/2025). Wesentliche und wichtige Einrichtungen müssen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umsetzen (§ 32 Abs. 1); der Mindestkatalog ist in § 32 Abs. 4 lit. a bis j geregelt. Aufsicht: Cybersicherheitsbehörde.

Praxisbeispiel

Ein Maschinenbauer (350 MA, 'wichtige Einrichtung' nach § 28 BSIG) setzt § 30 wie folgt um:

  • Bereich 1: ISMS-Leitlinie + Risikoanalyse-Methodik nach ISO 27005 (jährlicher Review)
  • Bereich 2: Incident Response Policy + 24h/72h/30d-Meldevorlagen
  • Bereich 3: BCP, Backup, DR-Plan, Krisenmanagement
  • Bereich 4: Lieferanten-Fragebogen + Cybersecurity-Vertragsklauseln
  • Bereich 7: Cyberhygiene-Schulung jährlich, Phishing-Simulation quartalsweise
  • Bereich 10: MFA für alle Admin-Zugänge, sichere Kommunikation via S/MIME

Häufig gestellte Fragen

Reicht ISO 27001 als Nachweis?
ISO 27001 deckt die zehn Bereiche des § 30 BSIG strukturell ab, deckungsgleich aber in keinem. Laut BSI kann eine Zertifizierung den Nachweis erleichtern, muss aber im Hinblick auf den gesetzlichen Maßnahmenkatalog geprüft und gegebenenfalls ergänzt werden. Ergänzungen erforderlich für: NIS2-Meldepflichten (24 h / 72 h / 1 Monat), Lieferketten-Klauseln, sektorspezifische BSI-Anforderungen. Mapping-Workbooks helfen.
Was ist der Unterschied zu § 8a BSIG (alt, KRITIS)?
§ 30 ist breiter und gilt nach Angaben des BSI für rund 29.500 Einrichtungen; bislang waren etwa 4.500 Organisationen durch das BSI-Gesetz reguliert. Pflichtkatalog ist aus NIS2-RL Art. 21 abgeleitet, mit zusätzlicher deutscher Konkretisierung.
Wer prüft die Einhaltung?
BSI als zentrale Aufsichtsbehörde. Prüfungen: anlassbezogen, anlassunabhängig, im Rahmen von Vorfallsmeldungen. Nachweispflicht beim betroffenen Unternehmen.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.