NIS2 Risikomanagement-Vorlage: 10 Pflicht-Maßnahmen Art. 21

Hauptartikel: NIS2-Leitfaden 2026 — Pflichten, Bußgelder und Roadmap im Überblick. Diese Seite vertieft das Risikomanagement: Methodik, Vorlage und Nachweise.

Art. 21 NIS-2-Richtlinie ist das Herzstück der Regulierung. Er verlangt von wesentlichen und wichtigen Einrichtungen, „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen" zu ergreifen, „um die Risiken für die Sicherheit der Netz- und Informationssysteme … zu beherrschen". Deutschland hat das in § 30 Abs. 1 und 2 BSIG umgesetzt, Österreich in § 32 NISG 2026. Diese Seite zeigt, wie eine Risikomanagement-Vorlage aufgebaut sein sollte, damit sie bei einer Prüfung nachvollziehbar ist, welche Methodik sich anbietet und welche Risiken je Branche typisch sind. Den Umsetzungsplan für Deutschland finden Sie unter NIS2-Umsetzung Deutschland.

1. Was verlangt Art. 21 NIS-2-Richtlinie konkret?

Abs. 1 legt den Grundsatz fest: Die Maßnahmen müssen geeignet und verhältnismäßig sein und unter Berücksichtigung des Stands der Technik ein Sicherheitsniveau gewährleisten, das dem bestehenden Risiko angemessen ist. Für die Verhältnismäßigkeit zählen Risikoexposition, Größe der Einrichtung, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Das ist ein Angemessenheitsmaßstab, kein Maximalstandard.

Deutsche Umsetzung: § 30 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen; bei der Verhältnismäßigkeit sind auch die Umsetzungskosten zu berücksichtigen, und die Einhaltung ist zu dokumentieren. Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Begrifflich gilt: „Wesentliche" Einrichtungen heißen im BSIG „besonders wichtige Einrichtungen".

Abs. 2 nennt den Katalog, den jede Risikomanagement-Vorlage abdecken muss: Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz, der auch die physische Umwelt der Systeme einschließt, und umfassen „zumindest" die zehn Bereiche der Buchstaben a bis j. Den gefahrenübergreifenden Ansatz verlangt auch § 30 Abs. 2 Satz 1 BSIG, den Mindestkatalog („zumindest") § 30 Abs. 2 Satz 2 BSIG. Der Katalog ist ein Mindestinhalt, keine abschließende Liste. Für Betreiber kritischer Anlagen (KRITIS) kommen die besonderen Anforderungen des § 31 BSIG hinzu, darunter Systeme zur Angriffserkennung (§ 31 Abs. 2 BSIG).

Abs. 3 konkretisiert die Lieferkette: Zu berücksichtigen sind die spezifischen Schwachstellen der unmittelbaren Anbieter, die Gesamtqualität ihrer Produkte und ihre Cybersicherheitspraxis. Abs. 4 verlangt unverzügliche Korrekturmaßnahmen, sobald eine Einrichtung feststellt, dass sie den Maßnahmen nach Abs. 2 nicht nachkommt. Daran knüpft der Verbesserungszyklus an, den eine Vorlage mit Wiedervorlage und Maßnahmenstatus abbildet.

Sonderfall digitale Einrichtungsarten: Für DNS-Diensteanbieter, TLD-Name-Registries, Cloud- und Rechenzentrumsdienste, Content Delivery Networks, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen fest; sie hat für diese Einrichtungsarten Vorrang (§ 30 Abs. 3 BSIG).

2. Die 10 Maßnahmen-Bereiche (a) bis (j) im Überblick

Die zehn Bereiche sind auf § 30 BSIG: 10 NIS2-Pflichtmaßnahmen (mit ISO-27001-Mapping) und in der Übersichtstabelle zu § 30 BSIG ausführlich erläutert. Hier steht deshalb nur die Zuordnung: Richtlinie, deutsches und österreichisches Recht, zugehörige Vorlage im NIS2-Kit und Vertiefung. Buchstabe a, die Risikoanalyse, ist der Kern dieser Seite und folgt ab Abschnitt 3 im Detail.

Zwei Punkte zur Rechtslage, die eine Vorlage richtig abbilden sollte (Audits und Nachweise zu Buchst. f: Abschnitt 7):

• Meldeschema (Buchst. b): Frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, jeweils an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG); die Pflicht gilt frühestens ab Einrichtung des Meldewegs. Eine 24/7-Erreichbarkeit des Krisenstabs ist keine gesetzliche Pflicht, aber eine Praxisempfehlung, damit die Frist ab Kenntnis gehalten werden kann.
• Schulungsnachweise (Buchst. g): Das BSIG nennt keine Aufbewahrungsfrist für Schulungsnachweise. Gesetzlich geregelt ist die regelmäßige Schulungsteilnahme der Geschäftsleitung (§ 38 Abs. 3 BSIG). Wie lange Sie Nachweise aufbewahren, legen Sie intern fest und begründen es.

3. Risikoanalyse-Methodik: BSI 200-3 vs. ISO/IEC 27005

Weder Art. 21 NIS-2-Richtlinie noch § 30 BSIG schreiben eine bestimmte Methodik vor. Verlangt ist ein risikobasierter, gefahrenübergreifender Ansatz, der den Stand der Technik einhält und die einschlägigen europäischen und internationalen Normen berücksichtigt (§ 30 Abs. 2 Satz 1 BSIG). In der Praxis haben sich zwei Wege etabliert:

Entscheidend ist die dokumentierte Wahl und ihre konsistente Anwendung. Mischformen sind möglich, müssen aber begründet sein. Der BSI-Standard 200-3 betont selbst, dass seine Beispielmatrix nur der Veranschaulichung dient und an die eigenen Bedürfnisse anzupassen ist. Wer bereits nach ISO/IEC 27001 zertifiziert ist, findet den Abgleich mit den NIS2-Pflichten unter NIS2 + ISO 27001-Zertifizierung.

4. Vorlagen-Struktur: Schutzbedarfsanalyse → Bedrohungsanalyse → Risikomatrix → Maßnahmen-Plan

Schritt 1: Schutzbedarfsanalyse

Für jedes wesentliche Asset (System, Daten, Geschäftsprozess) wird der Schutzbedarf in den Dimensionen Vertraulichkeit, Integrität und Verfügbarkeit eingestuft, also genau den Schutzzielen, die § 30 Abs. 1 BSIG nennt. Der BSI-Standard 200-2 arbeitet mit drei Schutzbedarfskategorien (normal, hoch, sehr hoch); wer nach ISO/IEC 27005 arbeitet, legt Methodik und Skalen selbst fest. Ergebnis ist eine Schutzbedarfsmatrix mit einer Einstufung je Asset und Dimension. Grundlage ist ein vollständiges Asset-Inventar.

Schritt 2: Bedrohungs- und Schwachstellenanalyse

Für jedes Asset mit hohem oder sehr hohem Schutzbedarf werden Bedrohungen identifiziert (z. B. Ransomware, Innentäter, kompromittierte Lieferanten, Naturereignisse) und vorhandene Schwachstellen erfasst (z. B. fehlende MFA, veraltete Software, unzureichende Backups). Als Ausgangskatalog eignen sich die elementaren Gefährdungen des IT-Grundschutzes. Laufende Quellen für die Bedrohungsanalyse: BSI-Lagebericht, ENISA Threat Landscape, sektorspezifische CERT-Berichte und die eigene Vorfallshistorie.

Schritt 3: Risikobewertung und Risikomatrix

Für jede Kombination aus Bedrohung und Schwachstelle werden Eintrittswahrscheinlichkeit und Schadenshöhe bewertet; das Produkt ergibt den Risikowert. Die Vorlage arbeitet mit einer 5×5-Matrix (fünf Stufen je Achse); der BSI-Standard 200-3 empfiehlt höchstens fünf Kategorien je Dimension. Die Euro-Klassen in der Tabelle sind ein Praxisbeispiel und an Umsatz und Größe der Einrichtung anzupassen.

Die Zonen der Matrix werden farblich gekennzeichnet:

• Grün (sehr gering/gering): Akzeptanz möglich, Gefährdung weiter beobachten
• Gelb (mittel): dokumentierte Akzeptanz durch die Geschäftsleitung oder Behandlung
• Rot (hoch/sehr hoch): Behandlung erforderlich

Schritt 4: Risikobehandlungsplan (Maßnahmen-Plan)

Je Risiko: Behandlungsoption (vermeiden, reduzieren, übertragen, akzeptieren), konkrete Maßnahmen, Verantwortliche, Frist, erwartetes Restrisiko und ein Wirksamkeitsindikator. Der Indikator verbindet den Plan mit Buchstabe f: Er belegt, dass die Maßnahme nicht nur geplant, sondern wirksam ist, wie es § 30 Abs. 1 BSIG verlangt.

Schritt 5: Restrisiko-Akzeptanz

Nach der Umsetzung wird das Restrisiko je Risiko dokumentiert. Akzeptierte Restrisiken werden mit Begründung und Wiedervorlagetermin festgehalten. Dass die Geschäftsleitung sie schriftlich akzeptiert, ist Praxisempfehlung; rechtlich trägt sie nach § 38 Abs. 1 BSIG die Pflicht, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen.

Im NIS2-Kit: Modul 03 enthält die Informationssicherheitsrichtlinie, die Risikoanalyse-Methodik, die Risikobewertungsmatrix (Excel) und den Risikobehandlungsplan, Modul 10 das Asset-Inventar. Das NIS2-Kit gibt es als Fassung für Deutschland oder Österreich, im Paket Basis (66 Dokumente) für 990 €, Plus mit Schulungs-Pack für 1.390 €, Komplett mit E-Learning für 1.690 €, jeweils netto und einmalig, mit 12 Monaten Rechtsstand-Updates, nur für Unternehmen.

5. Beispiel-Risiken pro Branche

Die folgenden Beispiele sind eine redaktionelle Auswahl als Startpunkt für Schritt 2, keine abschließende Liste.

IT-Dienstleister und SaaS-Anbieter

• Lieferkettenangriff über eine kompromittierte Open-Source-Bibliothek
• Kontoübernahme durch Phishing bei privilegierten Konten
• Datenabfluss durch Innentäter
• Fehlkonfiguration in der Cloud, etwa öffentlich zugänglicher Speicher
• Verfügbarkeitsverlust durch DDoS

Für Cloud-, Rechenzentrums- und Managed-Service-Anbieter gelten vorrangig die technischen und methodischen Anforderungen der Durchführungsverordnung (EU) 2024/2690 (§ 30 Abs. 3 BSIG). Vertiefung: NIS2 für Cloud-Provider und SaaS-Anbieter.

Energieversorgung (Stadtwerke, Netzbetreiber)

• Angriffe auf SCADA- und Leitsysteme
• Manipulation der Smart-Meter-Kommunikation
• Innentäter-Risiken bei Fernwartungszugängen
• Lieferkettenrisiken, etwa bei Herstellern von Schaltanlagen
• Physische Angriffe auf Umspannwerke in Kombination mit Cyberangriffen

Vertiefung: NIS2 in der Energieversorgung.

Gesundheitswesen (Krankenhäuser, Praxen)

• Ransomware mit Verschlüsselung von Patientenakten und Bildgebung
• Manipulation von Medizingeräten
• Abfluss von Gesundheitsdaten (besondere Kategorien nach Art. 9 Abs. 1 DSGVO)
• Ausfall der Telematikinfrastruktur
• Phishing über gefälschte Schreiben von Abrechnungsstellen

Vertiefung: NIS2 im Gesundheitswesen.

Verkehr und Logistik

• Angriffe auf Telematik- und Flottenmanagementsysteme
• Manipulation von Verkehrsleitsystemen
• GPS-Spoofing in Logistikketten
• Lieferketten-Unterbrechung durch Ransomware bei Sublieferanten
• Innentäter in der Hafenlogistik

Vertiefung: NIS2 in Verkehr und Logistik. Weitere Branchen: Maschinenbau und OT-Sicherheit, Wasser und Abfall, Banken und Finanzdienstleister (DORA).

6. Wie oft aktualisieren?

Einen festen Aktualisierungsturnus für die Risikoanalyse nennt § 30 BSIG nicht. Weil die Maßnahmen dem Stand der Technik folgen sollen (§ 30 Abs. 2 Satz 1 BSIG) und die Mitgliedstaaten sicherstellen müssen, dass Einrichtungen erkannte Lücken unverzüglich korrigieren (Art. 21 Abs. 4 NIS-2-Richtlinie), ist die Risikoanalyse aber ein lebendes Dokument. Die folgenden Anlässe sind Praxisempfehlungen, keine Gesetzesfristen:

• Jährlich: Standard-Review im Rahmen des Management-Reviews des ISMS (ISO-27001-Praxis)
• Wesentliche IT-Änderungen: neue Systeme, Cloud-Migration, Architekturumbau
• Neue Bedrohungen: BSI-Warnungen, neue Angriffstechniken, sektorspezifische Lagebilder
• Nach Vorfällen: Erkenntnisse aus der Nachbereitung in das Risikoregister übernehmen
• Personalwechsel: insbesondere bei privilegierten Rollen, im Krisenstab und in der Geschäftsleitung
• Regulatorische Änderungen: neue Aufsichtsvorgaben, geänderte Schwellenwerte, sektorspezifische Verordnungen
• Lieferantenwechsel: insbesondere bei kritischen Diensten (Cloud, Outsourcing, IT und Telekommunikation)

Jede Aktualisierung wird versioniert, freigegeben und archiviert; die Dokumentenlenkung ist Teil des ISMS. Wie sich Turnus, interne Audits und Management-Review in einen Projektplan fügen, zeigt ISMS nach NIS2 aufbauen.

7. Nachweisführung im Audit

Grundlage für jede Prüfung ist die Dokumentationspflicht des § 30 Abs. 1 BSIG: Alle besonders wichtigen und wichtigen Einrichtungen müssen die Einhaltung der Maßnahmen dokumentieren. Wann das BSI prüft, hängt von der Einrichtungsklasse ab:

• Besonders wichtige Einrichtungen: Das BSI kann anordnen, Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen durchführen zu lassen (§ 61 Abs. 1 BSIG).
• Wichtige Einrichtungen: Das BSI wird anlassbezogen tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG).
• Betreiber kritischer Anlagen: Nachweis zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach der erstmaligen Einstufung, danach alle drei Jahre, durch Sicherheitsaudits, Prüfungen oder Zertifizierungen (§ 39 Abs. 1 BSIG).

Für die Risikoanalyse haben sich folgende Nachweise bewährt (Praxisempfehlung):

1. Methodendokument: welche Methodik (BSI 200-3 oder ISO/IEC 27005), warum gewählt, wer freigibt
2. Schutzbedarfsanalyse: aktuell, alle wesentlichen Assets erfasst
3. Bedrohungs- und Schwachstellenanalyse: aktuelle Bedrohungsquellen referenziert
4. Risikoregister: versioniert, mit Bewertungen und Maßnahmen verknüpft
5. Maßnahmen-Plan: Umsetzungsstatus je Maßnahme
6. Restrisiko-Akzeptanz: Freigabe durch die Geschäftsleitung je mittlerem Restrisiko
7. Management-Review-Protokoll: dokumentierte Befassung der Geschäftsleitung, mindestens jährlich
8. Wirksamkeitskennzahlen: messbare Indikatoren mit Trendentwicklung

Verstöße gegen die Risikomanagementpflichten können mit Geldbußen bis 10 Mio. EUR für besonders wichtige und bis 7 Mio. EUR für wichtige Einrichtungen geahndet werden (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG); 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes kommen nur bei einem Gesamtumsatz über 500 Mio. EUR in Betracht (§ 65 Abs. 6 bis 8 BSIG). Die Einzelheiten und die österreichischen Werte (§ 45 Abs. 2 und 3 NISG 2026) stehen unter Sanktionen bei Verstößen gegen § 30 BSIG; zur persönlichen Verantwortung der Geschäftsleitung siehe § 38 BSIG GF-Haftung.

Österreich: § 32 NISG 2026 statt § 30 BSIG

Österreich (AT): Für österreichische Einrichtungen gilt nicht das BSIG, sondern das NISG 2026 (BGBl. I Nr. 94/2025), dessen §§ 2 bis 45 seit 1. Oktober 2026 anzuwenden sind (§ 51 Abs. 2 NISG 2026). Wesentliche und wichtige Einrichtungen müssen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umsetzen (§ 32 Abs. 1 NISG 2026); der Mindestkatalog steht in § 32 Abs. 4 lit. a bis j und entspricht den Buchstaben der Richtlinie. Das Merkmal „wirksam" aus § 30 Abs. 1 BSIG enthält der österreichische Wortlaut nicht. Die Leitungsorgane haben die Einhaltung sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026) und müssen an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen (§ 31 Abs. 2 NISG 2026).

Für die Vorlage besonders wichtig ist die Selbstdeklaration: Binnen zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln die Einrichtungen der Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) strukturiert Informationen zu den umgesetzten Maßnahmen, ausdrücklich auch die Ergebnisse der durchgeführten Risikoanalyse (§ 33 Abs. 1 NISG 2026). Auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung binnen zwei Monaten belegen (§ 33 Abs. 2 NISG 2026). Die erstmalige Aufforderung ist frühestens nach Ablauf von zwei Jahren ab Inkrafttreten des NISG 2026 zulässig (§ 33 Abs. 2 letzter Satz NISG 2026). Erhebliche Cybersicherheitsvorfälle gehen an das zuständige CSIRT (§ 34 Abs. 1 NISG 2026). Mehr dazu unter NIS2 Österreich (NISG 2026).