§ 30 BSIG: 10 NIS2-Pflichtmaßnahmen für Unternehmen erklärt

Überblick: Was § 30 BSIG verlangt

So ist dieser Artikel aufgebaut: Er geht die zehn Maßnahmen-Bereiche des § 30 Abs. 2 BSIG einzeln durch — je Bereich, was die Norm verlangt, was in der Praxis dazugehört und woran sich die Umsetzung belegen lässt. Nach den Bereichen folgen Österreich, Nachweis, Geschäftsleitung und Sanktionen; danach ordnet das ISO-27001-Mapping jedem Bereich die Themen aus ISO/IEC 27001:2022 Anhang A samt Lücken-Einschätzung zu, und die Praxis-Checkliste nennt die 22 Vorlagen, die dabei typischerweise entstehen. Vorab der rechtliche Rahmen.

Vertiefung oder Übersicht? Dieser Artikel ist die Vertiefung mit ISO-Mapping und Vorlagen. Wer zuerst nur alle zehn Pflichten mit deutscher und österreichischer Fundstelle und Kurzstatus auf einen Blick braucht, findet sie in NIS2 § 30 BSIG: alle 10 Pflichten in 1 Tabelle.

§ 30 BSIG (BSI-Gesetz, amtlich: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen; in Kraft seit 06.12.2025 durch das NIS2UmsuCG) verpflichtet besonders wichtige Einrichtungen und wichtige Einrichtungen — so die amtliche Terminologie des BSIG für die von der NIS-2-Richtlinie als "wesentlich" bzw. "wichtig" bezeichneten Einrichtungen — zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen zur Beherrschung von Cyberrisiken (§ 30 Abs. 1 BSIG).

"Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen." — § 30 Abs. 2 Satz 1 BSIG

Das Gesetz — das BSIG ist ein Bundesgesetz, keine Verordnung — listet in § 30 Abs. 2 zehn Maßnahmen-Bereiche auf, die jede betroffene Einrichtung adressieren muss; die Tiefe der Umsetzung skaliert mit dem Risiko.

Das Schutzziel nennt § 30 Abs. 1 BSIG selbst: Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme vermeiden und die Auswirkungen von Sicherheitsvorfällen gering halten. Derselbe Absatz enthält die operativ wichtigste Nebenpflicht — die Einhaltung ist zu dokumentieren. Praxis-Lesart der drei Adjektive: „geeignet" meint die Passung von Maßnahme und Risiko, „verhältnismäßig" das Verhältnis von Aufwand und Risiko, „wirksam" den Beleg, dass die Maßnahme greift — dafür existiert Bereich 6.

Europäische Grundlage ist Art. 21 der Richtlinie (EU) 2022/2555: geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen (Abs. 1), gefahrenübergreifender Ansatz und zumindest die zehn Bereiche der Buchst. a bis j (Abs. 2). Das BSIG übernimmt diesen Katalog und ergänzt ihn um „wirksam" und um die Dokumentationspflicht.

Hinweis Österreich: § 30 BSIG gilt nur in Deutschland. In Österreich steht der inhaltlich gleichlaufende Katalog in § 32 Abs. 4 lit. a bis j NISG 2026 (BGBl. I Nr. 94/2025) — ebenfalls zehn Bereiche, mit derselben Reihenfolge (lit. d = Sicherheit der Lieferkette, lit. g = Cyberhygiene und Schulungen). Zuständig ist dort nicht das BSI, sondern die Cybersicherheitsbehörde; Meldungen gehen an das zuständige CSIRT. Das NISG 2026 wurde am 23.12.2025 kundgemacht und wird erst ab dem 01.10.2026 angewendet.

Die 10 Bereiche des § 30 Abs. 2 BSIG auf einen Blick

§ 30 Abs. 2 BSIG nennt zehn Maßnahmen-Bereiche, und in jedem davon muss eine betroffene Einrichtung Maßnahmen treffen — die Nummerierung ist die gesetzliche Reihenfolge, keine Priorisierung.

Wer die 10 Bereiche umsetzen muss

Die Pflicht trifft besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Außerhalb der größenunabhängig erfassten Einrichtungen (u. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter, bestimmte TK-Anbieter, § 28 Abs. 1 Nr. 1 bis 3 und Abs. 2 BSIG) beginnt die Einstufung nicht bei der Mitarbeiterzahl, sondern bei der Frage, ob das Unternehmen einer Einrichtungsart nach Anlage 1 oder Anlage 2 des BSIG zuzuordnen ist; erst dann folgt die Größenprüfung.

Zwei Fallstricke erklären die meisten Fehleinordnungen. Erstens genügt der Umsatz allein nie: § 28 Abs. 1 Nr. 4 Buchst. b BSIG verlangt Umsatz über 50 Mio. EUR und zusätzlich eine Bilanzsumme über 43 Mio. EUR; eigenständig wirkt nur die Mitarbeiterzahl ab 250. Zweitens kennen wichtige Einrichtungen keine Mitarbeiter-Obergrenze — da § 28 Abs. 1 Nr. 4 BSIG nur Anlage-1-Arten erfasst, bleibt ein Großunternehmen einer Anlage-2-Art (etwa verarbeitendes Gewerbe, Lebensmittel, Chemie, Abfallbewirtschaftung, Forschung) wichtige Einrichtung und muss alle zehn Bereiche umsetzen. Für die Größenberechnung gilt die Empfehlung 2003/361/EG außer Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG); die Bundesverwaltung wird gesondert nach § 29 BSIG erfasst. Parallel läuft die Registrierung: spätestens drei Monate nach erstmaliger Einstufung über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, Änderungen binnen zwei Wochen (§ 33 Abs. 1 und 5 BSIG).

Bereich 1 + 2: Risikoanalyse + Vorfälle

Bereich 1 verlangt Konzepte für Risikoanalyse und für die Sicherheit von Informationssystemen, Bereich 2 die Bewältigung von Sicherheitsvorfällen — beide tragen die übrigen acht Bereiche.

Bereich 1 — was zu tun ist: Methodik festlegen, damit Assets, Bedrohungen und Risiken bewerten, Ergebnis im Risiko-Register führen, Risikobehandlungs-Plan ableiten. Warum: § 30 Abs. 1 BSIG verlangt verhältnismäßige Maßnahmen — verhältnismäßig wozu, lässt sich nur aus einer dokumentierten Risikoanalyse begründen. Sie belegt zugleich, dass ein Bereich bewusst schlank umgesetzt und nicht vergessen wurde.

Bereich 2 — was zu tun ist: Erkennung, Bewertung, Eindämmung und Nachbereitung prozessual festlegen und die Meldekette an die gemeinsame Meldestelle von BSI und BBK verankern — nach dem dreistufigen Schema des § 32 Abs. 1 BSIG:

Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung; diese folgt nach abschließender Bearbeitung (§ 32 Abs. 2 BSIG). Ausgelöst wird die Meldekette vom „erheblichen Sicherheitsvorfall" nach § 2 Nr. 11 BSIG: ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Quantitative Schwellen enthält die EU-Durchführungsverordnung 2024/2690 — jedoch nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, TLD-Name-Registries, Cloud- und Rechenzentrumsdienste, Managed (Security) Service Provider, Online-Marktplätze und Vertrauensdiensteanbieter (vgl. § 30 Abs. 3 BSIG). Für alle übrigen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG.

Praxis-Hinweis: Die 24-Stunden-Frist der Frühwarnung läuft ab Kenntnis — nicht ab Vorfalls-Beginn. Organisatorische Folge: Die Meldekette sollte auch außerhalb der Geschäftszeiten erreichbar sein, damit die Frist gehalten werden kann. Praxisempfehlung: Legen Sie schriftlich fest, wer im Unternehmen „Kenntnis" auslöst, und hinterlegen Sie die Meldevorlagen dort, wo der Bereitschaftsdienst nachts arbeitet — gerissene Fristen scheitern selten an Technik, meist an einer ungeklärten Eskalationsschwelle.

Bereich 3: Business Continuity

"Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement" — § 30 Abs. 2 Nr. 3 BSIG.

• Business Continuity Plan (BCP) mit RTO/RPO pro Geschäftsprozess
• Backup-Strategie (3-2-1-Prinzip oder gleichwertig)
• Disaster Recovery Plan mit getesteter Wiederherstellungsroutine
• Krisenmanagement-Plan + interne/externe Kommunikation

Warum die drei Elemente zusammengehören: Der Wortlaut nennt Backup-Management, Wiederherstellung und Krisenmanagement in einem Zug. Ein Backup ohne getestete Wiederherstellung lässt sich in der Praxis nicht als wirksam belegen; eine Wiederherstellung ohne Krisenorganisation ebenso wenig. Wer die 72-Stunden-Meldung mit Erstbewertung (§ 32 Abs. 1 Nr. 2 BSIG) halten will, braucht in genau diesem Fenster eine handlungsfähige Krisenorganisation — Meldung und Wiederanlauf laufen parallel.

Praxis-Rhythmus (keine gesetzliche Frist): RTO- und RPO-Werte mit den Fachbereichen abstimmen, nicht allein in der IT festlegen; Wiederherstellung so testen, dass ein Protokoll mit Datum, Umfang und Ergebnis entsteht. Dieses Protokoll belegt die von § 30 Abs. 1 BSIG geforderte Wirksamkeit unmittelbar.

Bereich 4 + 5: Lieferkette + sichere Entwicklung

Bereich 4 gehört in der Praxis zu den häufigsten Lücken (Einschätzung der Redaktion, keine amtliche Statistik). Typische Inhalte (Praxis-Standard, keine abschließende gesetzliche Liste):

• Lieferanten-Bewertung mit Risikoklassifizierung
• Cybersecurity-Klauseln in Standard-Verträgen
• Right-to-Audit für kritische Lieferanten
• Vorfall-Notification durch Lieferanten an Sie als Auftraggeber (max. 24h)

Abgrenzung zur 24-Stunden-Frist: Die 24-Stunden-Vorgabe gegenüber Lieferanten ist eine Vertragsgestaltung aus der Praxis, keine gesetzliche Lieferantenfrist. Gesetzlich adressiert ist die Frühwarnung nach § 32 Abs. 1 Nr. 1 BSIG, und sie trifft die meldepflichtige Einrichtung selbst. Der Grund für die vertragliche Spiegelung: Ihre eigene Frist läuft ab Ihrer Kenntnis — meldet ein Dienstleister erst nach Tagen, ist der Vorfall längst eskaliert.

Bereich 5: sichere Softwareentwicklung — typischerweise OWASP-orientiert + Schwachstellen-Management nach CVD-Prozess (Coordinated Vulnerability Disclosure). Der gesetzliche Zuschnitt ist breiter: § 30 Abs. 2 Nr. 5 BSIG erfasst die Sicherheit beim Erwerb, beim Entwickeln und beim Warten einschließlich Schwachstellenmanagement. Damit fallen auch der Einkauf fertiger Software und die Patch-Praxis für zugekaufte Systeme in diesen Bereich — für Unternehmen ohne eigene Entwicklung der eigentlich relevante Teil.

Bereich 6: Wirksamkeitsbewertung

Pflicht zu "Konzepten und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik" — § 30 Abs. 2 Nr. 6 BSIG. Praktisch:

• KPIs pro Bereich (z.B. Patch-Compliance-Rate, Phishing-Klickrate, Recovery-Time)
• Quartalsweises Reporting an Geschäftsleitung
• Pentest jährlich (Praxis-Rhythmus)
• Internes Audit + externes Audit alle 2 Jahre

Warum dieser Bereich schwerer wiegt, als seine Position vermuten lässt: § 30 Abs. 1 BSIG verlangt ausdrücklich auch wirksame Maßnahmen. Bereich 6 ist das Verfahren, mit dem Sie diese Wirksamkeit belegen; zusammen mit der Dokumentationspflicht bildet er den Teil Ihrer Umsetzung, den eine Aufsicht prüfen kann, ohne Ihre Technik anzufassen.

Praxis-Rhythmus statt Gesetzesfrist: Quartalsreporting, jährlicher Pentest und der Zwei-Jahres-Audit-Turnus oben sind Praxis-Rhythmen, keine Fristen aus § 30 BSIG. Einen gesetzlich festen Turnus regelt § 39 Abs. 1 BSIG für Betreiber kritischer Anlagen — Einzelheiten im Abschnitt zu Dokumentation und Nachweis.

Bereich 7: Cyberhygiene

"grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik" — § 30 Abs. 2 Nr. 7 BSIG. Der geläufige Begriff "Cyberhygiene" stammt nicht aus dem BSIG, sondern aus der NIS-2-Richtlinie: "grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit" (Art. 21 Abs. 2 Buchst. g der Richtlinie (EU) 2022/2555).

• Phishing-Simulation quartalsweise mit Click-Rate-Monitoring
• Schulung aller Mitarbeitenden jährlich (mit Quiz)
• Onboarding-Schulung für neue Beschäftigte (Praxis-Rhythmus: in den ersten 4 Wochen)
• Sektorspezifische Vertiefung (z.B. SCADA-Schulung in Industrie)

Die zweite Schulungspflicht wird regelmäßig übersehen: Bereich 7 adressiert die Beschäftigten — § 38 Abs. 3 BSIG verpflichtet zusätzlich die Geschäftsleitungen selbst zur regelmäßigen Schulungsteilnahme. Auf EU-Ebene steht beides in Art. 20 Abs. 2 der Richtlinie (EU) 2022/2555; in Österreich gilt die Parallelvorschrift § 31 Abs. 2 NISG 2026 ab dem 01.10.2026.

Praxis-Rhythmus (keine gesetzliche Frist): Quartalsweise Simulation, jährliche Grundschulung und die Vier-Wochen-Regel im Onboarding sind bewährte Taktungen, keine Vorgaben des § 30 BSIG. Führen Sie Teilnahmenachweise personen- und datumsgenau — die Teilnahmequote ist eine der wenigen KPI für Bereich 6, die ohne zusätzliches Werkzeug messbar ist.

Bereich 8: Kryptografie

Bereich 8 betrifft Kryptografie und Verschlüsselung (§ 30 Abs. 2 Nr. 8 BSIG). Weil § 30 Abs. 1 BSIG die Dokumentation der Einhaltung verlangt, genügt eingesetzte Technik allein nicht — festzuhalten ist, welches Verfahren wo gilt und wer die Schlüssel verwaltet.

Die Tabelle ist eine Praxis-Orientierung am Stand der Technik, keine gesetzliche Aufzählung: Welche Verfahren konkret einzusetzen sind, folgt aus der Risikoanalyse nach Bereich 1 und ändert sich mit dem Stand der Technik. Deshalb gehört zu Bereich 8 ein Revisionsstand — eine Kryptografie-Policy ohne Überprüfungsdatum kann den laufenden Abgleich nicht belegen.

Bereich 9 + 10: Personalsicherheit + Authentifizierung

Bereich 9 und 10 regeln, wer an Systeme herankommt und wie diese Person sich ausweist — die beiden Bereiche mit dem unmittelbarsten Bezug zum Arbeitsalltag.

Zu Bereich 9: § 30 Abs. 2 Nr. 9 BSIG verbindet Personalsicherheit und Zugriffskontrolle. Der Offboarding-Workflow ist die Schnittstelle beider Themen und der einfachste Prüfpunkt: Ein Abgleich der aktiven Konten gegen die Personalliste zeigt in Minuten, ob das Berechtigungskonzept gelebt oder nur beschrieben wird.

Zu Bereich 10: Das Gesetz nennt „Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung" — die Alternative ist Teil der Norm, die Wahl also risikobasiert zu begründen und zu dokumentieren. Der zweite Teil betrifft die gesicherte Kommunikation einschließlich Notfallkommunikation: Ein Krisenplan, der ausschließlich über die möglicherweise kompromittierte Regel-Infrastruktur kommuniziert, trägt in der Praxis nicht.

Österreich: § 32 NISG 2026 statt § 30 BSIG

Für österreichische Einrichtungen gilt nicht § 30 BSIG, sondern § 32 NISG 2026 — mit eigenem Wortlaut und erst ab dem 01.10.2026. Nach § 32 Abs. 1 NISG 2026 sind geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen, um Risiken für die Netz- und Informationssysteme zu reduzieren. Das Merkmal „wirksam" aus § 30 Abs. 1 BSIG enthält der österreichische Wortlaut nicht — die Normen sind verwandt, aber nicht wortgleich. Die Einstufung folgt § 24 und § 25 NISG 2026 (großes Unternehmen ab zumindest 250 Mitarbeitern oder bei Jahresumsatz über 50 Mio. EUR und Bilanzsumme über 43 Mio. EUR; mittleres Unternehmen ab zumindest 50 Mitarbeitern oder bei jeweils über 10 Mio. EUR).

Konzernstrukturen mit deutschen und österreichischen Gesellschaften registrieren sich in beiden Ländern separat. Übertragbar sind Risikomanagement, ISMS, Incident-Response-Playbook und Lieferanten-Bewertung; nicht übertragbar sind die österreichischen Aufsichts- und Meldewege sowie die Nachweis- und Selbstdeklarationspflichten des § 33 NISG 2026.

Dokumentation und Nachweis

Nachgewiesen wird zuerst über die eigene Dokumentation: § 30 Abs. 1 BSIG macht die Dokumentation der Einhaltung zur Pflicht — für alle betroffenen Einrichtungen, nicht nur für Betreiber kritischer Anlagen. Zu jedem der zehn Bereiche gehören ein benanntes Dokument, ein Verantwortlicher und ein Stand. Darüber hinaus unterscheiden sich die Nachweisregime beider Länder:

• Deutschland: Betreiber kritischer Anlagen weisen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt nach — frühestens drei Jahre nach erstmaliger Einstufung, anschließend alle drei Jahre, durch Sicherheitsaudits, Prüfungen oder Zertifizierungen; die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel sind zu übermitteln (§ 39 Abs. 1 BSIG).
• Österreich (ab 01.10.2026): Alle wesentlichen und wichtigen Einrichtungen übermitteln der Cybersicherheitsbehörde binnen zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen zu den umgesetzten Maßnahmen — eine Selbstdeklaration (§ 33 Abs. 1 NISG 2026). Auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 2 NISG 2026). Die erstmalige Aufforderung kann frühestens zwei Jahre nach Inkrafttreten erfolgen, also ab dem 01.10.2028.

Praxisempfehlung: Halten Sie die Zuordnung Dokument → Bereich schriftlich fest und pflegen Sie sie mit jedem Release weiter. Diese Liste ist bei einer Anfrage die schnellste Antwort und zugleich ein Baustein der nach § 30 Abs. 1 BSIG geforderten Dokumentation der Einhaltung.

Geschäftsleitung: Billigung, Überwachung, Schulung

Die Verantwortung für die zehn Bereiche liegt bei der Geschäftsleitung: § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 2 BSIG); nach dem BSIG selbst haftet die Geschäftsleitung nur subsidiär, nämlich wenn das maßgebliche Gesellschaftsrecht keine solche Haftungsregelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Hinzu kommt die Pflicht zur regelmäßigen Schulungsteilnahme (§ 38 Abs. 3 BSIG). Europäisch entspricht dem Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555. In Österreich haben Leitungsorgane ab dem 01.10.2026 die Einhaltung der Maßnahmen nach § 32 sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026) — eine ausdrückliche Innenhaftungs-Regel wie § 38 Abs. 2 BSIG enthält das NISG 2026 nicht.

Sanktionen bei Verstößen

Verstöße gegen die Risikomanagement- und Meldepflichten sind bußgeldbewehrt; die Höhe richtet sich nach der Einrichtungsklasse, nicht danach, welcher der zehn Bereiche betroffen ist.

Anders als die Richtlinie kennt das BSIG kein pauschales „höherer Wert gilt": Die Umsatzvariante greift nur bei einem Gesamtumsatz über 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße. Gesamtumsatz ist die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG). In Österreich verhängt ab dem 01.10.2026 die Verwaltungsstrafen die Bezirksverwaltungsbehörde (§ 44 Abs. 1 NISG 2026); sonstige Übertretungen sind dort mit bis zu 50.000 EUR bedroht, im Wiederholungsfall bis zu 100.000 EUR (§ 45 Abs. 4 NISG 2026).

ISO 27001-Mapping

Eine bestehende ISO-27001-Zertifizierung trägt einen großen Teil der zehn Bereiche, schließt sie aber nicht — die Lücken liegen dort, wo NIS2 aufsichtsrechtliche Pflichten ergänzt, die eine Managementsystem-Norm nicht kennt. Die Spalte „Lücken-Wahrscheinlichkeit" ist eine Praxis-Einschätzung, keine normative Aussage.

Die größten Lücken sind inhaltlich erklärbar: Die Meldefristen des § 32 Abs. 1 BSIG haben keine Entsprechung in Annex A, und das an die Geschäftsleitung adressierte Reporting folgt aus § 38 Abs. 1 BSIG, nicht aus der Zertifizierungslogik.

Praxis-Checkliste: 22 Vorlagen für die 10 § 30-BSIG-Bereiche

Die Liste ordnet den zehn Bereichen die Dokumente zu, die in der Umsetzung typischerweise entstehen — eine Praxis-Checkliste, keine gesetzlich vorgeschriebene Dokumentenliste: § 30 BSIG gibt Bereiche vor, keine Dateinamen.

1. ISMS-Leitlinie
2. Risikoanalyse-Methodik
3. Risiko-Register
4. Risikobehandlungs-Plan
5. Incident Response Policy
6. Incident Playbook
7. 24h/72h/30d-Meldevorlagen (3 Stück)
8. Business Continuity Plan
9. Backup & Recovery-Konzept
10. Disaster Recovery Plan
11. Krisenmanagement-Plan
12. Lieferanten-Fragebogen
13. Cybersecurity-Vertragsklauseln
14. Schwachstellenmanagement-Prozess
15. Vulnerability Disclosure Policy
16. Cyberhygiene-Schulung
17. Phishing-Simulation-Konzept
18. Kryptografie-Policy
19. Berechtigungskonzept
20. MFA-Policy
21. Asset-Inventar
22. Audit-Checkliste + Wirksamkeitsmessung