TOM-Basis-Paket für KMU: 12 Mindest-Maßnahmen

Hauptartikel: TOM Art. 32 DSGVO Prüfliste — dort stehen 14 typische TOMs für KMU und der risikobasierte Maßstab des Art. 32 DSGVO; dieser Artikel behandelt die zwölf Maßnahmen des Basis-Pakets.

Die zwölf Maßnahmen sind unverändert nummeriert. Jeder Punkt nennt jetzt drei Dinge: was konkret zu tun ist, warum — mit Fundstelle —, und ob es sich um eine Rechtspflicht oder um eine Praxisempfehlung handelt. Zwei Abgrenzungen vorab. Erstens: Produktnamen und Aufwandsangaben in diesem Artikel stammen aus der Erstfassung (Stand: 2. Mai 2026), sind unverändert übernommen und für diese Aktualisierung nicht neu erhoben; Preise nennt der Artikel nicht als Beträge, sondern über ihre Kostentreiber (siehe FAQ). Zweitens: Alle Fundstellen aus BSIG und NISG 2026 gelten nur für Einrichtungen, die in den Anwendungsbereich der NIS2-Umsetzung fallen — wer das ist, klärt der nächste Abschnitt. Die datenschutzrechtliche Ebene gilt unabhängig davon.

Praxisempfehlung zur Reihenfolge: Beginnen Sie mit den Punkten 1, 2, 3, 4 und 7 — den fünf Maßnahmen, die der TL;DR als Top-5 nennt (MFA, Verschlüsselung, Patch-Management, Backup, Rollenkonzept). Sie sind nach der Zuordnungstabelle fünf verschiedenen der zehn Katalogbereiche zugeordnet, und für zwei von ihnen führt die datenschutzrechtliche Fallsystematik unmittelbar in einen Meldefall nach Art. 33 DSGVO: der Verlust eines unverschlüsselten Datenträgers (Punkt 2) und ein Hardware-Defekt mit Datenverlust (Punkt 4). Die Reihenfolge ist Praxisempfehlung, keine gesetzliche Rangfolge.

Rechtsrahmen: was Pflicht ist — und für wen

Für dieses Maßnahmenpaket gibt es zwei Pflichtebenen und eine freiwillige Orientierungsebene. Die Datenschutz-Ebene ist die breitere: Direkt verpflichtend ist Art. 32 Abs. 1 DSGVO; dokumentiert wird das Ergebnis im Verarbeitungsverzeichnis, denn zu jeder Verarbeitungstätigkeit gehört, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 30 Abs. 1 lit. g DSGVO), für Auftragsverarbeiter, wenn möglich, eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 (Art. 30 Abs. 2 lit. d DSGVO). Sinnvoll ist dabei kein eigenes TOM je Verarbeitungstätigkeit, sondern der Verweis auf ein zentrales TOM-Konzept.

Die zweite Ebene ist die NIS2-Umsetzung. Sie greift im Regelfall bei doppelter Voraussetzung: Die Einrichtung muss einer Einrichtungsart der jeweiligen Anlage zuzuordnen sein und zusätzlich die Größenschwelle erfüllen. Bestimmte Arten sind davon unabhängig erfasst — in Deutschland u. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 BSIG), in Österreich entsprechend § 24 NISG 2026. Für die Größenbestimmung ist die Empfehlung 2003/361/EG maßgeblich, ohne Art. 3 Abs. 4 ihres Anhangs; Österreich verweist dafür ausdrücklich auf Art. 1 bis 6 dieses Anhangs (§ 25 NISG 2026). Die Schwellenwerte sind damit nicht nach eigener Zählweise zu bilden, sondern nach dem Unternehmensbegriff des Anhangs — klären Sie vor der Einstufung, welche Einheiten Ihr Haus danach einzubeziehen hat.

Die dritte Ebene ist freiwillig: BSI IT-Grundschutz und ISO 27001 sind freiwillige Orientierungsrahmen; sie können die Angemessenheitsentscheidung nach Art. 32 Abs. 1 DSGVO stützen, sind aber selbst keine Pflichtquelle. Ihre Einzelanforderungen behandelt dieser Artikel nicht. Praxisempfehlung: Wer sein TOM-Konzept an einem der beiden Kataloge gliedert, hat damit zugleich eine Struktur für die Dokumentation nach § 30 Abs. 1 BSIG und für die Selbstdeklaration nach § 33 Abs. 1 NISG 2026.

Prüfen Sie die Betroffenheit in dieser Reihenfolge. Erstens die Einrichtungsart: Die Anlagen 1 und 2 sind Bestandteil des BSIG beziehungsweise des NISG 2026. Anlage 1 führt die Sektoren mit hoher Kritikalität — in Deutschland Energie, Transport und Verkehr, Finanzwesen (Bankwesen und Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser und Abwasser), digitale Infrastruktur einschließlich der Verwaltung von IKT-Diensten sowie Weltraum. Anlage 2 führt die sonstigen kritischen Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Produktion und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Österreich führt dieselben Sektoren in § 2 und den Anlagen 1 und 2 des NISG 2026; die öffentliche Verwaltung gehört dort zur Anlage 1, während in Deutschland die Bundesverwaltung gesondert nach § 29 BSIG erfasst wird. Zweitens die Größenschwelle nach der jeweiligen Zeile der folgenden Übersicht. Alle Zeilen sind gesetzliche Einstufungs- und Verfahrensregeln; die österreichischen Angaben sind ab dem 1. Oktober 2026 anwendbar (siehe unten):

Zeitlich: Das deutsche NIS2UmsuCG ist seit 6. Dezember 2025 in Kraft; das österreichische NISG 2026 (BGBl. I Nr. 94/2025) wird ab 1. Oktober 2026 angewendet — dieses Datum stützt sich auf die Darstellung im Schwester-Artikel zu NIS2 in Österreich, nicht auf eine hier zitierte amtliche Übergangsbestimmung. Der europäische Bezugspunkt beider Umsetzungen ist Art. 21 Abs. 1 und Abs. 2 der NIS-2-Richtlinie.

Welche NIS2-Bereiche die zwölf Maßnahmen abdecken

Die zwölf Maßnahmen belegen acht der zehn Bereiche des gesetzlichen Mindestkatalogs ganz oder teilweise; zwei Bereiche bleiben ohne Entsprechung und sind — für Einrichtungen im NIS2-Anwendungsbereich — zusätzlich aufzusetzen. Die Zuordnung ist die redaktionelle Lesart dieses Artikels, keine amtliche Zuordnung — die Fundstelle steht in der Kopfzeile und bei jeder Maßnahme.

Die Maßnahmen 6 (Firewall und Segmentierung) und 11 (physische Sicherheit) ordnet dieser Artikel keinem einzelnen Katalogpunkt zu; sie stützen sich hier auf die Generalklausel des § 30 Abs. 1 BSIG beziehungsweise des § 32 Abs. 1 NISG 2026. Für Einrichtungen im NIS2-Anwendungsbereich heißt das: Die zwölf Maßnahmen sind die Arbeitsliste, nicht der vollständige Pflichtenkatalog.

Für die beiden vollständig offenen Bereiche brauchen Sie zwei eigene Dokumente: ein Risikoanalyse- und Sicherheitskonzept und ein Verfahren zur Bewertung der Wirksamkeit mit dokumentiertem Ergebnis. Beide sind nicht Teil dieses Maßnahmenpakets — die Anforderungen dazu stehen in § 30 BSIG: 10 Pflichtmaßnahmen und ISMS aufbauen. Die vier teilweise offenen Bereiche schließen Sie ergänzend: Beschaffungs- und Entwicklungsvorgaben neben Punkt 3, weitere Cyberhygiene-Maßnahmen neben Punkt 5, gesicherte Kommunikation neben Punkt 1, Personalsicherheit neben Punkt 7.

1. MFA überall

Praxisempfehlung: Multi-Faktor-Authentifizierung auf jeden Zugang von außen und auf jedes Administratorkonto. Microsoft Authenticator + FIDO2-Keys für Admins. Die Kosten hängen vor allem davon ab, ob vorhandene Lizenzen MFA bereits enthalten und wie viele Hardware-Keys benötigt werden.

Warum: Katalogbereich: Multi-Faktor-Authentifizierung und gesicherte Kommunikation (Zeile 10 der Zuordnungstabelle) — dort teilweise offen, weil dieser Punkt nur die Authentifizierung abdeckt; die gesicherte Kommunikation ist ergänzend zu regeln. Multi-Faktor-Authentifizierung ist im gesetzlichen Mindestkatalog der Risikomanagementmaßnahmen ausdrücklich genannt — in Deutschland in § 30 Abs. 2 BSIG, in Österreich in § 32 Abs. 4 NISG 2026, europäisch in Art. 21 Abs. 2 der NIS-2-Richtlinie. Gesetzlich genannt ist damit der Maßnahmenbereich; der Abdeckungsgrad — jeder Fernzugang und jedes Administratorkonto — ist Praxisempfehlung.

Praxisempfehlung zur Reihenfolge: zuerst privilegierte Konten, dann alle Fernzugriffe, dann die übrigen Konten. Halten Sie den Abdeckungsgrad je Konto-Typ mit Datum fest — das ist der Beleg, den die Dokumentation nach § 30 Abs. 1 BSIG trägt.

Fundstellen: § 30 Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT) Art. 21 Abs. 2 NIS-2-RL

2. Verschlüsselung at-rest + in-transit

Verschlüsseln Sie ruhende Daten auf allen Endgeräten und Datenträgern und den gesamten Transport. Gesetzlich genannt ist der Maßnahmenbereich; der hier beschriebene Abdeckungsgrad ist Praxisempfehlung. BitLocker auf allen Endgeräten, TLS 1.3 für alle Web-Verbindungen.

Warum: Katalogbereich: Kryptografie und Verschlüsselung (Zeile 8 der Zuordnungstabelle) — dort vollständig durch diesen Punkt belegt. Der zweite, im Alltag unterschätzte Effekt liegt im Datenschutzrecht: Nach Art. 34 Abs. 3 DSGVO ist die Benachrichtigung der betroffenen Personen nicht erforderlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden. Wirksam ist das nur, solange der Schlüssel nicht mitkompromittiert wurde. Die Meldung an die Aufsichtsbehörde richtet sich davon unabhängig nach Art. 33 Abs. 1 DSGVO; sie entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Praxisempfehlung: Schlüssel und Recovery-Keys getrennt von den verschlüsselten Daten verwahren und den Verwahrort dokumentieren — sonst wird die Verschlüsselung im Ernstfall zum eigenen Verfügbarkeitsproblem (siehe Punkt 4).

Fundstellen: § 30 Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT) Art. 21 Abs. 2 NIS-2-RL Art. 34 Abs. 1 und Abs. 3 DSGVO Art. 33 Abs. 1 DSGVO

3. Patch-Management

Patchen Sie nach festem Zyklus und behandeln Sie kritische Lücken außerhalb dieses Zyklus. Zyklus und Reaktionszeit sind Praxisempfehlung, keine gesetzliche Frist; gesetzlich gefordert ist das Schwachstellenmanagement als solches. Microsoft Defender for Endpoint, monatliche Patch-Zyklen, kritische Patches binnen 72h.

Warum: Katalogbereich: Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement (Zeile 5 der Zuordnungstabelle) — dort teilweise offen, weil dieser Punkt nur die Wartung abdeckt.

Praxis-Rhythmus: Monatszyklus und 72-Stunden-Behandlung kritischer Patches sind Praxis-Rhythmen aus der Erstfassung dieses Artikels; die gesetzlich belegten Fristen dieses Artikels stehen in den Tabellen unter Nachweis und Meldung. Voraussetzung für beides ist ein aktuelles Asset-Inventar: Was nicht inventarisiert ist, wird nicht gepatcht. Legen Sie zudem schriftlich fest, wer nach welchem Kriterium eine Lücke als kritisch einstuft und damit den verkürzten Zyklus auslöst; ohne diese Festlegung ist die 72-Stunden-Behandlung nicht nachweisbar und die Ausnahmeliste nicht prüfbar. Ausnahmen mit Begründung und Wiedervorlagedatum festhalten.

Fundstellen: Art. 21 Abs. 2 NIS-2-RL § 30 Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT)

4. Backup 3-2-1 + immutable

Halten Sie drei Kopien Ihrer Daten auf zwei verschiedenen Medientypen, davon eine Kopie außer Haus, und schützen Sie mindestens eine Kopie gegen nachträgliche Veränderung (immutable) — und testen Sie die Wiederherstellung, nicht nur die Sicherung. Das 3-2-1-Schema ist Praxisempfehlung, keine gesetzliche Vorgabe; gesetzlich gefordert ist das Backup-Management als solches. Veeam mit Hardened Repository, quartalsweise Restore-Tests.

Warum: Katalogbereich: Aufrechterhaltung des Betriebs mit Backup-Management und Krisenmanagement (Zeile 3 der Zuordnungstabelle) — dort gemeinsam mit Punkt 10 belegt. Die Generalklausel des § 30 Abs. 1 BSIG nennt ausdrücklich auch Störungen der Verfügbarkeit — nicht nur der Vertraulichkeit. Datenschutzrechtlich zählt derselbe Fall: Ein Hardware-Defekt mit Datenverlust wird in der Praxis als Verfügbarkeitsverletzung nach Art. 33 DSGVO gemeldet.

Praxis-Rhythmus: Der quartalsweise Restore-Test ist eine Praxisempfehlung aus der Erstfassung. Protokollieren Sie je Test Datum, wiederhergestellte Datenmenge und benötigte Dauer — die Dauer ist die einzige belastbare Grundlage für Ihre Wiederanlaufplanung.

Fundstellen: § 30 Abs. 1 und Abs. 2 BSIG (DE) § 32 Abs. 1 und Abs. 4 NISG 2026 (AT) Art. 21 Abs. 2 NIS-2-RL Art. 33 Abs. 1 DSGVO

5. Anti-Malware

Betreiben Sie den Schutz vor Schadsoftware auf allen Endgeräten und Servern zentral verwaltet, nicht als Einzelinstallation je Gerät. Gesetzlich genannt ist der Maßnahmenbereich; der hier beschriebene Abdeckungsgrad ist Praxisempfehlung. Microsoft Defender for Endpoint (in M365 E5 enthalten) oder Bitdefender, Sophos.

Warum: Katalogbereich: Cyberhygiene und Schulungen im Bereich der Cybersicherheit (Zeile 7 der Zuordnungstabelle) — dort gemeinsam mit Punkt 9 belegt, im Übrigen teilweise offen: weitere Cyberhygiene-Maßnahmen jenseits von Schadsoftwareschutz und Schulung sind ergänzend zu regeln. Zentrale Verwaltung ist deshalb kein Komfortmerkmal: Ohne sie lässt sich der Abdeckungsgrad nicht dokumentieren, und die Dokumentation der Umsetzung verlangt § 30 Abs. 1 BSIG ausdrücklich.

Praxisempfehlung: Gleichen Sie die Konsole regelmäßig gegen das Asset-Inventar aus Punkt 3 ab. Die typischen Lücken sind immer dieselben: privat mitgebrachte Geräte, Server außerhalb der Standardverwaltung und Altsysteme, die niemand mehr betreut.

Fundstellen: Art. 21 Abs. 2 NIS-2-RL § 30 Abs. 1 und Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT)

6. Firewall + Segmentierung

Setzen Sie die Firewall auf Default-Deny und trennen Sie das Netz in Zonen, damit ein kompromittiertes Segment nicht das gesamte Unternehmen mitnimmt. Firewall mit Default-Deny, Netz-Segmente Office/Production/Backup.

Warum: Die Anknüpfung ist hier die Generalklausel, nicht ein einzelner Katalogpunkt: § 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten. § 32 Abs. 1 NISG 2026 formuliert dieselbe Pflicht als Reduktion der Risiken für Netz- und Informationssysteme, Art. 21 Abs. 1 und Abs. 2 der NIS-2-Richtlinie als Beherrschung dieser Risiken auf gefahrenübergreifender Grundlage.

Praxisempfehlung: Die konkrete Zonen-Aufteilung ist Praxisumsetzung dieser Generalklausel. Trennen Sie das Backup-Netz strikt vom Office-Netz — sonst verliert Punkt 4 im Ernstfall seine Wirkung. Jede Freigabe im Regelwerk mit Zweck, Antragsteller und Datum begründen.

Fundstellen: § 30 Abs. 1 BSIG (DE) § 32 Abs. 1 NISG 2026 (AT) Art. 21 Abs. 1 und Abs. 2 NIS-2-RL

7. Zugriffskontrolle (RBAC)

Vergeben Sie Rechte über Rollen statt über Personen und nur so weit, wie die Aufgabe es erfordert. Microsoft Entra ID + Conditional Access, Need-to-Know-Prinzip.

Warum: Katalogbereich: Personalsicherheit und Konzepte für die Zugriffskontrolle (Zeile 9 der Zuordnungstabelle) — dort teilweise offen, weil dieser Punkt die Zugriffskontrolle abdeckt, die Personalsicherheit (u. a. Eignungs- und Austrittsprozesse) aber nur am Rand berührt. Datenschutzrechtlich setzt sich die Zugriffsfrage bei Dienstleistern fort — die Anforderungen an Auftragsverarbeiter nach Art. 28 DSGVO stehen in Punkt 12.

Österreich: Zusätzlich greift das Datengeheimnis nach § 6 DSG — Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet. Praxisempfehlung: die Verpflichtung auf das Datengeheimnis im selben Onboarding-Schritt wie die Rollenvergabe dokumentieren.

Praxisempfehlung: Rollenmatrix je Fachbereich pflegen, Rechteentzug fest an den Austrittsprozess koppeln und die privilegierten Rollen mindestens zu jedem Vollaudit sowie bei jedem Rollenwechsel rezertifizieren; Ergebnis mit Datum und prüfender Person ablegen.

Fundstellen: § 30 Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT) Art. 21 Abs. 2 NIS-2-RL Art. 28 Abs. 1 DSGVO § 6 DSG (AT)

8. Logging + Monitoring

Protokollieren Sie sicherheitsrelevante Ereignisse zentral und alarmieren Sie bei kritischen Mustern — Protokolle sind die Grundlage jeder Melde-Entscheidung. Microsoft Sentinel oder ELK-Stack, 90 Tage Aufbewahrung, 24/7-Alarmierung kritischer Events.

Warum: Katalogbereich: Bewältigung von Sicherheitsvorfällen (Zeile 2 der Zuordnungstabelle) — dort gemeinsam mit Punkt 10 belegt. Praktisch entscheidet sich hier, ob Sie die Fristen aus Abschnitt Meldung überhaupt einhalten können: Die Meldung mit Erstbewertung binnen 72 Stunden (§ 32 Abs. 1 Nr. 2 BSIG; § 34 Abs. 2 Z 2 NISG 2026) und die Angaben nach Art. 33 Abs. 3 DSGVO — ungefähre Zahl betroffener Personen und Datensätze, Datenkategorien, voraussichtliche Folgen — lassen sich ohne Protokolle nicht belastbar erstellen.

Praxis-Rhythmus: Die 90 Tage Aufbewahrung sind eine Angabe der Erstfassung. Stimmen Sie die Aufbewahrungsdauer der Protokolle mit den Löschfristen des Verarbeitungsverzeichnisses ab, damit beide Dokumente dieselbe Aussage treffen.

Fundstellen: § 30 Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT) Art. 21 Abs. 2 NIS-2-RL Art. 33 Abs. 3 DSGVO

9. Schulung + Awareness

Schulen Sie alle Beschäftigten wiederkehrend — und die Geschäftsleitung zwingend mit. Jährliche Pflicht-Schulung + quartalsweise Phishing-Simulation.

Warum: Im NIS2-Anwendungsbereich ist die Schulungsteilnahme der Geschäftsleitung eine persönliche Pflicht — in Deutschland, in Österreich und europäisch jeweils ausdrücklich geregelt; sie trifft die Leitung selbst, nicht nur die Belegschaft. In Österreich sind für die Leitungsorgane spezifisch gestaltete Cybersicherheitsschulungen vorgesehen; den Mitarbeitern sind entsprechende Schulungen regelmäßig anzubieten. Katalogbereich: Cyberhygiene und Schulungen im Bereich der Cybersicherheit (Zeile 7 der Zuordnungstabelle) — dort gemeinsam mit Punkt 5 belegt.

Österreich: Die Verpflichtung auf das Datengeheimnis (§ 6 DSG, siehe Punkt 7) lässt sich mit demselben Termin verbinden — Praxisempfehlung.

Praxis-Rhythmus: Belegt ist die Pflicht der Geschäftsleitung zur Schulungsteilnahme — in Deutschland zur regelmäßigen Teilnahme (§ 38 Abs. 3 BSIG), in Österreich zur Teilnahme an spezifisch gestalteten Cybersicherheitsschulungen (§ 31 Abs. 2 NISG 2026); der konkrete Turnus — jährliche Pflichtschulung, quartalsweise Phishing-Simulation — stammt aus der Erstfassung dieses Artikels und ist Praxisempfehlung. Halten Sie Teilnahmenachweise mit Datum und Themenliste fest, getrennt für Geschäftsleitung und Belegschaft.

Fundstellen: § 38 Abs. 3 BSIG (DE) § 31 Abs. 2 NISG 2026 (AT) Art. 20 Abs. 1 und Abs. 2 NIS-2-RL § 6 DSG (AT)

10. Incident Response Plan

Legen Sie vorab fest, wer entscheidet, wer meldet und an wen — denn die Fristen laufen ab Kenntnis, nicht ab abgeschlossener Klärung. Krisenstab, Eskalationspfade, Tabletop-Übung jährlich.

Warum: Die Bewältigung von Sicherheitsvorfällen gehört zum Mindestkatalog. Entscheidend ist der Fristbeginn: Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO läuft ab dem Zeitpunkt, zu dem dem Verantwortlichen die Verletzung bekannt wurde — nicht erst nach Abschluss der internen Bewertung. Erfolgt die Meldung später, ist ihr eine Begründung für die Verzögerung beizufügen. Im NIS2-Anwendungsbereich kommt das dreistufige Schema aus Abschnitt Meldung hinzu.

Praxisempfehlung für den Ablauf: Erkennung und Aktivierung des Krisenstabs in den ersten beiden Stunden; Eindämmung und erste Forensik bis Stunde 8; Klassifizierung der betroffenen Datenarten, Anzahl und Risiko bis Stunde 24; Entwurf der datenschutzrechtlichen Meldung und Abstimmung mit der Geschäftsführung bis Stunde 48; Absenden und Bestätigung dokumentieren bis Stunde 72; die Betroffenen-Information parallel vorbereiten. Die jährliche Tabletop-Übung ist ebenfalls Praxisempfehlung. Abzugrenzen davon: Im NIS2-Anwendungsbereich greift hier eine gesetzliche Frist — die erste Meldestufe ist spätestens 24 Stunden nach Kenntnis fällig, in Deutschland als frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 Nr. 1 BSIG), in Österreich als Frühwarnung an das zuständige CSIRT (§ 34 Abs. 2 Z 1 NISG 2026). Die übrigen Stundenangaben dieses Absatzes sind Praxisempfehlung.

Wer meldet was: Die Meldung nach Art. 33 DSGVO geht an die Datenschutz-Aufsicht — in Deutschland für nichtöffentliche Stellen an die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG), in Österreich an die Datenschutzbehörde (§ 18 Abs. 1 DSG). Die NIS2-Meldung geht an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG) beziehungsweise an das zuständige CSIRT (§ 34 Abs. 2 NISG 2026). Legen Sie beide Zuständigkeiten samt Vertretung vorab im Krisenstab fest, sonst wird die Frage im Vorfall selbst geklärt.

Fundstellen: Art. 33 Abs. 1 DSGVO § 32 Abs. 1 BSIG (DE) § 34 Abs. 2 NISG 2026 (AT) § 40 Abs. 1 BDSG (DE) § 18 Abs. 1 DSG (AT)

11. Physische Sicherheit

Sichern Sie Räume und Geräte physisch ab — der beste Kryptoschlüssel hilft nicht gegen einen offen stehenden Serverraum. Zutritts-Kontrolle, Server-Räume verschlossen, Besucher-Begleitung.

Warum: Anknüpfungspunkt ist die Generalklausel aus Punkt 6 (§ 30 Abs. 1 BSIG; § 32 Abs. 1 NISG 2026). Die Folgen sind datenschutzrechtlich messbar: Der Verlust eines unverschlüsselten Datenträgers und der Diebstahl einer unverschlüsselten Backup-Festplatte werden in der Fallsystematik als hohes Risiko eingestuft und lösen dann sowohl die Meldung nach Art. 33 als auch die Benachrichtigung der Betroffenen nach Art. 34 DSGVO aus — bei wirksamer Verschlüsselung greift dagegen die Ausnahme des Art. 34 Abs. 3 DSGVO (siehe Punkt 2).

Österreich — Videoüberwachung: Das DSG regelt die Bildaufnahme eigenständig. § 12 DSG bestimmt die Zulässigkeit; eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist unzulässig (§ 12 Abs. 4 Z 2 DSG). § 13 DSG verlangt die Kennzeichnung der Bildaufnahme (Abs. 5); eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen (Abs. 3). Kontrollmaßnahmen, die die Menschenwürde berühren, setzen eine Betriebsvereinbarung voraus (§ 96 Abs. 1 Z 3 ArbVG).

Deutschland: Für Beschäftigtendaten ist § 26 BDSG die einschlägige nationale Ergänzungsnorm; bei Mitarbeiterdaten ist sie in der Praxis meist die Rechtsgrundlage, die im Verarbeitungsverzeichnis zu benennen ist.

Fundstellen: § 30 Abs. 1 BSIG (DE) § 32 Abs. 1 NISG 2026 (AT) § 12 Abs. 4 Z 2 DSG (AT) § 13 Abs. 3 und Abs. 5 DSG (AT) § 96 Abs. 1 Z 3 ArbVG (AT) § 26 BDSG (DE)

12. Lieferanten-Audit

Prüfen Sie Dienstleister vor der Beauftragung und danach wiederkehrend — und regeln Sie die Zusammenarbeit vertraglich. Top-20-Lieferanten jährlich auditieren, AVV mit Pflicht-Klauseln.

Warum: Katalogbereich: Sicherheit der Lieferkette (Zeile 4 der Zuordnungstabelle) — dort allein durch diesen Punkt belegt. Datenschutzrechtlich verlangt Art. 28 Abs. 1 DSGVO, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag hat nach Art. 28 Abs. 3 DSGVO einen vorgegebenen Mindestinhalt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.

Praxis-Rhythmus: Der jährliche Audit-Turnus für die 20 wichtigsten Lieferanten ist eine Praxisempfehlung aus der Erstfassung. Jeder Auftragsverarbeiter gehört zusätzlich mit seiner Empfänger-Kategorie ins Verarbeitungsverzeichnis; veraltete Empfänger-Listen — alte Newsletter- oder Analyse-Werkzeuge, die nie ausgetragen wurden — sind ein häufiger Prüfbefund.

Fundstellen: § 30 Abs. 2 BSIG (DE) § 32 Abs. 4 NISG 2026 (AT) Art. 21 Abs. 2 NIS-2-RL Art. 28 Abs. 1 und Abs. 3 DSGVO Art. 30 Abs. 1 DSGVO

Nachweis und Dokumentation: Deutschland und Österreich getrennt

Nachgewiesen wird nicht die Absicht, sondern die Umsetzung — und dafür gelten in Deutschland und Österreich unterschiedliche Regeln. Deutschland verlangt von allen besonders wichtigen und wichtigen Einrichtungen die Dokumentation der Einhaltung, den regelmäßigen Nachweis durch Audits, Prüfungen oder Zertifizierungen aber primär von Betreibern kritischer Anlagen. Österreich dreht die Reihenfolge um: Dort steht am Anfang eine Selbstdeklaration für alle wesentlichen und wichtigen Einrichtungen, der Nachweis durch eine unabhängige Stelle folgt erst auf Aufforderung. Alle Zeilen der folgenden Tabelle sind gesetzliche Pflichten; die österreichischen Zeilen sind ab dem 1. Oktober 2026 anwendbar (siehe Rechtsrahmen). Die Spalte „Gilt für" nennt den jeweiligen Adressatenkreis.

Governance: Die Verantwortung sitzt oben. In Deutschland muss die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen; verletzt sie diese Pflicht, haftet sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 1 und Abs. 2 BSIG). Hinzu kommt die persönliche Pflicht zur regelmäßigen Schulungsteilnahme (§ 38 Abs. 3 BSIG). In Österreich haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen und an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen (§ 31 Abs. 1 und Abs. 2 NISG 2026).

Praxisempfehlung zur Ablage: eine gültige Fassung des TOM-Konzepts mit Versionsstand und Datum, eine Änderungshistorie und je Maßnahme ein Beleg — Konsolen-Auswertung, Test-Protokoll, Teilnahmeliste, Audit-Bericht. Der Review-Turnus selbst ist Praxisempfehlung (siehe FAQ); gesetzlich belegt sind die Fristen dieser Tabelle.

Wenn eine Maßnahme versagt: Melde- und Reaktionsfristen

Versagt eine Maßnahme, laufen zwei Fristensysteme parallel — das der DSGVO und, im NIS2-Anwendungsbereich, das der Cybersicherheitsaufsicht. Sie schließen einander nicht aus: Ein Ransomware-Vorfall mit Datenabfluss kann beide auslösen. Alle Zeilen der folgenden Tabelle sind gesetzliche Vorgaben; die auf das NISG 2026 gestützten österreichischen Angaben sind ab dem 1. Oktober 2026 anwendbar (siehe Rechtsrahmen).

Erheblich — und damit meldepflichtig — ist ein Sicherheitsvorfall, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung (Österreich: schwerwiegende finanzielle Verluste) verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG — soweit keine konkretisierende Rechtsverordnung nach § 56 Abs. 5 BSIG ergeht; § 35 Abs. 1 NISG 2026).

Sanktionsrahmen: Der Bußgeldrahmen gilt für Verstöße u. a. gegen die Risikomanagement- und Meldepflichten und richtet sich nach der Einrichtungsklasse. In Deutschland bis 10 Mio. EUR gegen besonders wichtige und bis 7 Mio. EUR gegen wichtige Einrichtungen; bei einem Gesamtumsatz von mehr als 500 Mio. EUR abweichend bis 2 % beziehungsweise 1,4 % des weltweiten Gesamtumsatzes (§ 65 Abs. 5 Nr. 1 sowie Abs. 6 und Abs. 7 BSIG). In Österreich für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 bis 10 Mio. EUR oder 2 % für wesentliche und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und Abs. 3 NISG 2026). Datenschutzrechtlich fallen Verstöße gegen die Pflichten der Art. 25 bis 39 DSGVO — dazu zählt Art. 32 — in den Rahmen des Art. 83 Abs. 4 DSGVO: bis 10 Mio. EUR oder bis 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.