NIS2 § 30 BSIG: alle 10 Pflichten in 1 Tabelle

Alle 10 Pflichten in 1 Tabelle

Diese Seite ist der Einstieg: § 30 Abs. 2 BSIG nennt zehn Maßnahmen-Bereiche, die jede besonders wichtige und jede wichtige Einrichtung abdecken muss — die folgende Tabelle führt alle zehn mit der deutschen und der österreichischen Fundstelle und einem Kurzstatus auf, und jede Zeile führt zum passenden Abschnitt der Vertiefung. Die Grundnorm steht in § 30 Abs. 1 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen von Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden und Auswirkungen von Sicherheitsvorfällen gering zu halten; die Einhaltung ist zu dokumentieren. Dazu kommt der Qualitätsmaßstab des § 30 Abs. 2 Satz 1 BSIG: „Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen.“ Eine starre Mindestliste enthält das Gesetz damit nicht — jeder der zehn Bereiche muss aber adressiert sein, und die Tiefe der Umsetzung skaliert mit dem Risiko.

Übersicht oder Vertiefung? Dieser Artikel ist die Übersicht mit kurzer Erklärung und den wichtigsten Maßnahmen je Bereich; die Vertiefung mit ISO-27001-Mapping (Anhang A) und den 22 Vorlagen aus der Umsetzung steht in § 30 BSIG: 10 NIS2-Pflichtmaßnahmen für Unternehmen erklärt.

Praxis-Lesart des gefahrenübergreifenden Ansatzes: Der Katalog erschöpft sich nicht in Angriffsabwehr — Notfall- und Krisenmanagement (Bereich 3) sowie Personalsicherheit und Zugriffskontrolle (Bereich 9) stehen gleichrangig neben Kryptographie (Bereich 8) und Authentifizierung (Bereich 10). Eine Risikoanalyse aus Bereich 1, die nur Angriffsszenarien betrachtet, lässt diese Bereiche im Nachweis unbelegt.

Zur Lesart der Spalten: Die AT-Fundstellen folgen derselben Reihenfolge wie die deutsche Nummerierung (lit. a bis j entsprechen Nr. 1 bis 10). Der Kurzstatus ordnet ein, wo ein nach ISO 27001 zertifiziertes Unternehmen erfahrungsgemäß trotzdem nachbessern muss — er ist Einordnung, keine Rechtsaussage. Welche Themen aus ISO/IEC 27001:2022 Anhang A je Bereich greifen, zeigt das ISO-27001-Mapping in der Vertiefung; es ersetzt nicht die Prüfung des eigenen Zertifizierungs-Scopes.

Wer die 10 Pflichten erfüllen muss — und was bei Verstößen droht

Kurz gefasst: In Deutschland trifft § 30 BSIG besonders wichtige und wichtige Einrichtungen; welche Organisation dazu zählt, entscheidet § 28 BSIG über die Kombination aus Einrichtungsart (Anlage 1 bzw. Anlage 1 oder 2) und Größe, daneben sind u. a. Betreiber kritischer Anlagen größenunabhängig erfasst. Der Anwendungsbereich umfasst nach Angabe des BSI rund 29.500 Einrichtungen. Registriert wird spätestens drei Monate nach erstmaliger Einstufung über die gemeinsame Registrierungsmöglichkeit von BSI und BBK (§ 33 Abs. 1 BSIG); das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist, ein amtliches Datum für den Beginn der Aufsichts- und Bußgeldpraxis liegt nicht vor. Verstöße gegen die Risikomanagement- und Meldepflichten können mit Geldbuße bis 10 Mio. EUR (besonders wichtige) bzw. 7 Mio. EUR (wichtige Einrichtung) geahndet werden (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG); die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und haftet der eigenen Einrichtung für schuldhaft verursachten Schaden (§ 38 Abs. 1 und 2 BSIG). Schwellenwerte und Fallstricke der Einstufung, die Umsatzvariante der Bußgelder und die Haftungsdetails stehen in der Vertiefung: Wer die 10 Bereiche umsetzen muss, Sanktionen und Geschäftsleitung.

1. Risikomanagement-System

Bereich 1 verlangt Konzepte für die Risikoanalyse und für die Sicherheit von Informationssystemen (§ 30 Abs. 2 Nr. 1 BSIG) — praktisch das ISMS-Fundament, auf dem die übrigen neun Bereiche aufsetzen. Konkret gehören dazu: eine festgelegte Methodik (z.B. ISO 27005), ein Risiko-Register mit bewerteten Risiken, ein Risikobehandlungs-Plan und eine ISMS-Leitlinie. Praxisüblich ist, die Leitlinie von der Geschäftsleitung genehmigen zu lassen. Warum das zuerst kommt: § 30 Abs. 1 BSIG verlangt verhältnismäßige Maßnahmen und deren Dokumentation — ohne dokumentierte Risikoanalyse lässt sich gegenüber der Aufsicht nicht begründen, warum die Umsetzungstiefe in Bereich 4 oder 10 gerade so gewählt wurde. Die Verantwortung dafür ist nicht delegierbar: Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und ihre Umsetzung überwachen. Praxisempfehlung (Rhythmus aus der Umsetzungspraxis): jährliches Update der Risikoanalyse und eine dokumentierte Behandlungsentscheidung zu jedem Risiko. In Österreich steht die Pflicht in § 32 Abs. 4 lit. a NISG 2026 (anwendbar ab 01.10.2026).

2. Incident Response

Bereich 2 verlangt die Bewältigung von Sicherheitsvorfällen (§ 30 Abs. 2 Nr. 2 BSIG) — und weil daran die Meldepflichten hängen, ist er der zeitkritischste der zehn. Meldeauslöser ist der erhebliche Sicherheitsvorfall nach § 2 Nr. 11 BSIG: ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Dann gilt in Deutschland gegenüber der gemeinsamen Meldestelle von BSI und BBK ein dreistufiges Pflichtschema plus Zwischenmeldung auf Ersuchen (§ 32 Abs. 1 Nr. 1 bis 4 BSIG): frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis; Meldung mit Erstbewertung spätestens binnen 72 Stunden; Zwischenmeldung auf Ersuchen des BSI; Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle; die Abschlussmeldung folgt dann nach abschließender Bearbeitung des Vorfalls (§ 32 Abs. 2 BSIG). Die 24 Stunden laufen ab Kenntnis, nicht ab Vorfallsbeginn — organisatorische Folge: Die Meldekette sollte auch außerhalb der Geschäftszeiten erreichbar sein, damit die Frist gehalten werden kann. Praxisempfehlung: Incident-Response-Plan, benannter Krisenstab, vorbereitete Meldevorlagen und Tabletop-Übungen. In Österreich: § 32 Abs. 4 lit. b NISG 2026, Meldung an das zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT (§ 34 Abs. 1), Fristen nach § 34 Abs. 2 Z 1 bis 5 NISG 2026.

3. BCM + DR

Bereich 3 verlangt die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ (§ 30 Abs. 2 Nr. 3 BSIG). Fünf Artefakte tragen diesen Bereich in der Praxis: eine Business-Impact-Analyse als Grundlage, ein Business Continuity Plan mit RTO und RPO je Geschäftsprozess, eine Backup-Strategie nach dem 3-2-1-Prinzip oder gleichwertig, ein Disaster-Recovery-Plan mit getesteter Wiederherstellungsroutine sowie ein Krisenmanagement-Plan samt interner und externer Kommunikation. Warum der Test zählt: § 30 Abs. 1 BSIG verlangt wirksame Maßnahmen — in der Praxis lässt sich ein nie erprobter Wiederherstellungsplan gegenüber einer Aufsicht kaum als wirksam belegen, und RTO/RPO bleiben ohne Testlauf Zahlen ohne Deckung. Praxisempfehlung (Rhythmus aus der Umsetzungspraxis): mindestens jährliche DR-Tests mit protokolliertem Ergebnis; die Wiederherstellungszeit aus dem Test eignet sich zugleich als KPI für Bereich 6. In Österreich steht die Pflicht in § 32 Abs. 4 lit. c NISG 2026.

4. Lieferketten-Sicherheit

Bereich 4 verlangt die Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) — also die dokumentierte Sorgfalt gegenüber Dienstleistern und Zulieferern. Vier Bausteine: ein Lieferanten-Inventar mit Risikoklassifizierung, Cybersecurity-Klauseln in den Standardverträgen, ein Right-to-Audit für kritische Lieferanten und eine vertragliche Pflicht des Lieferanten, Sicherheitsvorfälle an Sie als Auftraggeber zu melden (Praxisempfehlung: Vertragsfrist von maximal 24 Stunden, damit Ihre eigene 24-Stunden-Meldung nach § 32 Abs. 1 Nr. 1 BSIG haltbar bleibt). Was in die Cybersecurity-Klausel gehört (Praxis): die Sicherheitsanforderungen an den Lieferanten, seine Meldepflicht bei Sicherheitsvorfällen samt Frist und das Prüfrecht für kritische Lieferanten — ohne diese drei Punkte bleibt die Risikoklassifizierung des Lieferanten folgenlos. Wo der Lieferant zusätzlich personenbezogene Daten in Ihrem Auftrag verarbeitet, tritt der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO mit seinem gesetzlichen Mindestinhalt daneben; er regelt den Datenschutz, die vier Bausteine dieses Bereichs sind in der Praxis davon getrennt zu führen. Praxisempfehlung: Audits auf die Top-20-Lieferanten nach Kritikalität konzentrieren statt auf Vollerhebung; womit Audits in diesem Bereich typischerweise ansetzen, steht in der FAQ zu den häufigsten Audit-Beanstandungen. In Österreich: § 32 Abs. 4 lit. d NISG 2026.

5. Sichere System-Beschaffung + -Wartung

Bereich 5 verlangt Sicherheit beim Erwerb, Entwickeln und Warten von IT-Systemen (§ 30 Abs. 2 Nr. 5 BSIG) — er deckt damit den gesamten Lebenszyklus ab, nicht nur den Betrieb. Operativ heißt das: ein Patch-Management mit definierten Fristen je Kritikalität, regelmäßige Schwachstellen-Scans (regelmäßige Schwachstellen-Scans in einer in der Patch-Richtlinie festgelegten Frequenz), dokumentierte Hardening-Standards für Server, Clients und Netzkomponenten sowie ein Schwachstellenmanagement-Prozess nach dem CVD-Modell (Coordinated Vulnerability Disclosure) mit veröffentlichter Vulnerability Disclosure Policy. Die Fristen je Kritikalitätsstufe legt die Einrichtung selbst in der Patch-Richtlinie fest und leitet sie aus der Risikoanalyse aus Bereich 1 ab. Die Einhaltung der Maßnahmen ist nach § 30 Abs. 1 BSIG zu dokumentieren — ohne dokumentierte Fristen lässt sich die Verhältnismäßigkeit gegenüber der Aufsicht nicht begründen. Wer selbst entwickelt, arbeitet typischerweise OWASP-orientiert und verankert die Sicherheitsanforderungen als Anforderungskatalog bereits in der Beschaffung — als Vorgabe im Lastenheft und als Prüfliste im Code-Review; Anforderungen, die im Vertrag fehlen, lassen sich später erfahrungsgemäß kaum nachfordern. Warum das zählt: Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen; genau hier wird dieser Maßstab operativ messbar. In Österreich: § 32 Abs. 4 lit. e NISG 2026.

6. Wirksamkeits-Bewertungen Cybersicherheit

Bereich 6 verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 6 BSIG) — also den Nachweis, dass die Maßnahmen aus den übrigen neun Bereichen tatsächlich greifen. Messbar wird das über KPIs je Bereich, etwa Patch-Compliance-Rate, Phishing-Klickrate und tatsächliche Recovery-Time aus dem DR-Test. Praxisempfehlungen (Rhythmen aus der Umsetzungspraxis): quartalsweises Reporting an die Geschäftsleitung, jährlicher Penetrationstest, jährliches internes Audit und externes Audit alle zwei Jahre; ein ISO-27001-Audit kommt optional hinzu. Davon zu trennen ist der Nachweis gegenüber der Aufsicht. In Deutschland trifft die regelmäßige Nachweispflicht primär Betreiber kritischer Anlagen: Sie weisen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als Betreiber gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach und übermitteln die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel (§ 39 Abs. 1 BSIG). Österreich regelt das breiter: Alle wesentlichen und wichtigen Einrichtungen übermitteln binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine strukturierte Selbstdeklaration; auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung belegen (§ 33 Abs. 1 und 2 NISG 2026). Der Maßnahmen-Bereich selbst steht dort in § 32 Abs. 4 lit. f NISG 2026.

7. Schulung + Awareness

Bereich 7 verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 7 BSIG). Der geläufige Begriff „Cyberhygiene“ stammt nicht aus dem BSIG, sondern aus Art. 21 Abs. 2 Buchst. g der Richtlinie (EU) 2022/2555 („grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“). Praxisempfehlungen (Rhythmen aus der Umsetzungspraxis): jährliche Cybersecurity-Schulung aller Mitarbeitenden mit Lernkontrolle, quartalsweise Phishing-Simulation mit Click-Rate-Monitoring als Kennzahl für Bereich 6, Onboarding-Schulung für neue Beschäftigte in den ersten vier Wochen und eine sektorspezifische Vertiefung dort, wo das Risiko sitzt (etwa SCADA-Schulung in der Industrie). Was als Nachweis taugt: eine Lernkontrolle in Form eines Quiz am Ende der Schulung, deren Ergebnis je Teilnehmer protokolliert wird — damit sind Teilnahme und Verständnis dokumentiert; welche Befunde Audits hier typischerweise auslösen, steht in der FAQ zu den häufigsten Audit-Beanstandungen. Getrennt davon zu führen ist die Schulungspflicht der Leitungsebene: Nach § 38 Abs. 3 BSIG müssen Geschäftsleitungen selbst regelmäßig an Schulungen teilnehmen; in Österreich verlangt § 31 NISG 2026 spezifisch gestaltete Cybersicherheitsschulungen für die Leitungsorgane und regelmäßige Schulungsangebote an die Mitarbeiter. Der Maßnahmen-Bereich selbst steht dort in § 32 Abs. 4 lit. g NISG 2026.

8. Kryptographie + Verschlüsselung

§ 30 Abs. 2 Nr. 8 BSIG verlangt „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“ — also ein Krypto-Konzept, das die freigegebenen Algorithmen und Schlüssellängen benennt (BSI TR-02102) und die Anwendungsfälle durchdekliniert. Welche Standards das Konzept je Anwendungsfall festlegt, gibt die Norm nicht vor. Übliche Festlegungen aus der Praxis: Daten in Transit mit TLS 1.3 nach BSI TR-02102 und durchgängigem HTTPS; Daten at Rest mit AES-256 für Datenträger und Backups; E-Mail-Sicherheit mit S/MIME oder PGP für sensible Kommunikation; Schlüsselverwaltung über ein HSM oder ein gleichwertiges Key-Management-System. Hinzu kommt die Vorbereitung auf Post-Quantum-Verfahren auf Basis der NIST-Standards von 2024 — ein Punkt, den ein Krypto-Konzept heute zumindest als Migrationspfad benennen sollte. Warum sich der Aufwand doppelt rechnet: Nach Art. 34 Abs. 3 DSGVO kann die Benachrichtigung betroffener Personen bei einer Datenschutzverletzung entfallen, wenn geeignete technische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden; die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO folgt eigenen Voraussetzungen. In Österreich: § 32 Abs. 4 lit. h NISG 2026.

9. Personalsicherheit, Zugriffskontrolle + Asset Management

§ 30 Abs. 2 Nr. 9 BSIG fasst drei Themen zusammen: „Sicherheit des Personals, die Zugriffskontrolle und … die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“. Praktisch heißt das: Zuverlässigkeitsprüfung, Vertraulichkeitsvereinbarungen und geregeltes On-/Offboarding (Personal); Berechtigungskonzept nach Least Privilege, IAM, PAM für privilegierte Zugänge, Conditional Access und regelmäßige Rezertifizierung (Zugriffskontrolle); Asset-Inventar, Klassifikation, BYOD-Policy und EOL-Management (Verwaltung der IKT-Systeme).

Zwei Artefakte tragen diesen Bereich: das Berechtigungskonzept nach dem Need-to-Know-Prinzip und ein gepflegtes Asset-Inventar — ohne Inventar lässt sich weder der Geltungsbereich des ISMS aus Bereich 1 sauber ziehen noch das Patch-Management aus Bereich 5 vollständig ausrollen. Praxisempfehlung: privilegierte Zugänge (PAM) über separate Admin-Konten getrennt vom Tagesbenutzer, protokollierte Sitzungen und zeitlich befristete Rechtevergabe abbilden; Rezertifizierung privilegierter Berechtigungen halbjährlich, aller übrigen jährlich, jeweils mit protokolliertem Ergebnis; dazu ein Offboarding-Workflow, der den Entzug aller Zugänge am letzten Arbeitstag protokolliert.

Praxisempfehlung zu den Begriffen, die im Audit am häufigsten ohne Artefakt bleiben: EOL-Management heißt operativ eine Liste der Systeme mit dem Support-Enddatum des Herstellers und einer Entscheidung je System vor Ablauf — Ablösung, Verlängerung oder dokumentierte Kompensationsmaßnahme. Conditional Access bindet den Zugriff an Gerätezustand, Standort oder Netzsegment und setzt dort an, wo externe Zugänge aus Bereich 10 auf schützenswerte Systeme treffen. Die BYOD-Policy sollte festlegen, welche Datenklassen auf Privatgeräten überhaupt zulässig sind — ohne diese Festlegung bleibt die Klassifikation folgenlos. Auch die Zuverlässigkeitsprüfung bleibt ohne Rollenbezug folgenlos — Praxisempfehlung: die Rollen mit Zugriff auf schützenswerte Systeme in der Risikoanalyse aus Bereich 1 benennen, die zulässige Prüftiefe je Rolle vorab arbeitsrechtlich klären und das Prüfergebnis mit Datum zur Personalakte dokumentieren. In Österreich: § 32 Abs. 4 lit. i NISG 2026.

10. Sichere Authentifizierung + Kommunikation

§ 30 Abs. 2 Nr. 10 BSIG verlangt „Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung“ sowie gesicherte Sprach-, Video- und Textkommunikation und — soweit erforderlich — gesicherte Notfallkommunikation; die Norm lässt also beide Authentifizierungswege zu, die Wahl gehört mit ihrer Begründung in die Dokumentation nach § 30 Abs. 1 BSIG. Praxisempfehlung: jeder Kontenklasse ausdrücklich einen der beiden Wege zuordnen, statt die Entscheidung offenzulassen — die Zuordnung und ihre Begründung sind der Nachweis. Übliche Praxis: MFA für alle Admin-Konten und alle externen Zugänge wie VPN und Cloud-Dienste — als Verfahren kommen dort etwa FIDO2/Passkey in Betracht; für die reine Mitarbeiter-Office-Nutzung ist eine risikobasierte Abstufung begründbar, sofern die Begründung in der Risikoanalyse aus Bereich 1 dokumentiert ist. Der zweite Teil der Norm lohnt eigene Aufmerksamkeit: Die Notfallkommunikation muss auch dann tragen, wenn die primäre Umgebung kompromittiert ist. Praxisempfehlung: die Notfallkommunikation gemeinsam mit dem Krisenmanagement-Plan aus Bereich 3 testen, sonst bleibt sie Papier. In Österreich: § 32 Abs. 4 lit. j NISG 2026.

Österreich: derselbe Katalog, anderes Gesetz

Hinweis Österreich: Der inhaltsgleiche Maßnahmenkatalog steht dort nicht im BSIG, sondern in § 32 Abs. 4 lit. a bis j NISG 2026 (BGBl. I Nr. 94/2025); Aufsichtsbehörde ist die Cybersicherheitsbehörde. Dieser Artikel folgt der deutschen Nummerierung des § 30 BSIG.

Vier Unterschiede sind für die Umsetzung relevant. Erstens der Zeitplan: Das NISG 2026 wurde am 23.12.2025 kundgemacht und wird am 01.10.2026 anwendbar — neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten (§ 51 Abs. 1 und 2 NISG 2026); ab diesem Tag greifen die Risikomanagement-Pflichten des § 32. Zweitens die Registrierung: Sie erfolgt bei der Cybersicherheitsbehörde binnen drei Monaten ab Inkrafttreten (§ 29 Abs. 2 und 3 NISG 2026), also bis Ende 2026; Änderungen der Kerndaten sind binnen zwei Wochen nachzumelden (§ 29 Abs. 4). Konzerne mit deutschen und österreichischen Gesellschaften müssen in beiden Ländern separat registrieren. Drittens die Behördenarchitektur: Zuständig ist das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit bundesweiter Zuständigkeit und Sitz in Wien (§ 3a Abs. 1 und 2, § 3b Abs. 3 NISG 2026); Verwaltungsstrafen verhängt dagegen die Bezirksverwaltungsbehörde (§ 44 Abs. 1) — für Verwaltungsübertretungen nach § 45 Abs. 1 bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem welcher Betrag höher ist (§ 45 Abs. 2 und 3), sonstige Übertretungen bis 50.000 EUR und im Wiederholungsfall bis 100.000 EUR (§ 45 Abs. 4). Viertens die Leitungsverantwortung: § 31 NISG 2026 verpflichtet die Leitungsorgane, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen, enthält aber keine ausdrückliche Innenhaftungs-Regel analog § 38 Abs. 2 BSIG.