NIS2 § 30 BSIG: alle 10 Pflichten in 1 Tabelle
TL;DR
- 10 Pflicht-Maßnahmen nach § 30 BSIG (NIS2UmsuCG seit 06.12.2025 in Kraft)
- Geltungsbereich: ca. 29.500 Unternehmen (vorher ca. 4.500)
- BSI-Registrierung: wesentliche Einrichtungen bis 06.03.2026, wichtige unverzüglich
- Bußgelder: bis 10 Mio. EUR / 2 % Weltumsatz (wesentlich), bis 7 Mio. / 1,4 % (wichtig)
- GF-Innenhaftung: § 38 BSIG persönlich bei grober Pflichtverletzung
1. Risikomanagement-System
Methodik (z.B. ISO 27005), jährliches Update, dokumentierte Behandlung.
2. Incident Response
IRP, Krisenstab, Tabletop-Übungen, BSI-Meldewesen 24/72/30.
3. BCM + DR
BIA, RTO/RPO, Notfall-Plan, jährliche DR-Tests.
4. Lieferketten-Sicherheit
Lieferanten-Inventar, Audit-Recht, AVV-Klauseln, Top-20-Audits.
5. Sichere System-Beschaffung + -Wartung
Patch-Management, Schwachstellen-Scans, Hardening-Standards.
6. Wirksamkeits-Bewertungen Cybersicherheit
Internes Audit, externes Pen-Testing, ISO 27001-Audit (optional).
7. Schulung + Awareness
Jährliche Cybersecurity-Schulung, Phishing-Simulationen.
8. Kryptographie + Zugriffsmanagement
MFA, Conditional Access, IAM, PAM für privilegierte Zugänge.
9. Asset Management
Inventar, Klassifikation, BYOD-Policy, EOL-Management.
10. Sichere Authentifizierung + Kommunikation
FIDO2/Passkey, verschlüsselte Kommunikation, Zero Trust.
Häufig gestellte Fragen
Sind alle 10 Pflicht?
Reicht ISO 27001?
Quellen
Werkzeuge & Selbsttests