NIS2 · § 30 BSIG · Technik
NIS2: technische Maßnahmen konkret umsetzen
Das Gesetz verlangt wirksame Maßnahmen, aber keine Konfigurationen. Dieser Beitrag übersetzt die zehn Pflichtbereiche in acht technische Fähigkeiten und sagt, womit Sie anfangen.
- Zehn Bereiche aus § 30 Absatz 2 BSIG
- Acht technische Fähigkeiten
- Selbstcheck mit 16 Fragen
01
Ergebnisse vorgeschrieben, Mittel offen
Das deutsche NIS2-Umsetzungsgesetz verlangt von betroffenen Unternehmen „geeignete, verhältnismäßige und wirksame“ Maßnahmen, nennt aber keine Konfigurationen. Hier steht, was jeweils ein belastbarer Mindeststand ist, wo typische Zielkonflikte liegen und in welcher Reihenfolge der Aufbau trägt.
Das Gesetz verlangt Ergebnisse (Verfügbarkeit, Integrität, Vertraulichkeit schützen, Auswirkungen von Vorfällen begrenzen) und überlässt die Auswahl der Mittel einer Verhältnismäßigkeitsprüfung. Eine amtliche Checkliste mit Konfigurationen gibt es dort nicht. Ein Teil der Anforderungen ist zudem nicht technisch (Risikomethodik, Schulung, Notfallkommunikation); wer ihn ausklammert, hat die Aufgabe nicht erfüllt.
Die Reihenfolge entscheidet über den Erfolg: Ohne Inventar keine Priorität, ohne Wiederherstellung keine Resilienz, ohne Protokolle keine fristgerechte Meldung.
02
Fünf Vorschriften, auf die sich die Technik stützt
Die Aussagen beruhen auf dem Wortlaut des BSI-Gesetzes in der Fassung des NIS2-Umsetzungsgesetzes (BGBl. 2025 I Nr. 301, verkündet am 5. Dezember 2025, in Kraft seit 6. Dezember 2025). Den Wortlaut der Paragrafen haben wir am Bundesgesetzblatt geprüft (Artikel 1, Prüfdatum 13. November 2026); die Fundstelle steht jeweils in der Tabelle.
| Vorschrift | Was sie verlangt | Quelle |
|---|---|---|
| § 30 Absatz 1 Maßnahmenpflicht | Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, Komponenten und Prozesse zu vermeiden, die sie für ihre Dienste nutzen, und Auswirkungen von Vorfällen möglichst gering zu halten. Bei der Verhältnismäßigkeit zählen Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen. Die Einhaltung ist zu dokumentieren. | § 30 BSIG, BGBl. 2025 I Nr. 301, S. 22 f. |
| § 30 Absatz 2 Mindestinhalt | Die Maßnahmen sollen den Stand der Technik einhalten, einschlägige Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Sie müssen zumindest zehn Bereiche umfassen: (1) Risikoanalyse- und Sicherheitskonzepte, (2) Bewältigung von Sicherheitsvorfällen, (3) Betriebsaufrechterhaltung einschließlich Backup-Management, Wiederherstellung und Krisenmanagement, (4) Sicherheit der Lieferkette, (5) Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, (6) Verfahren zur Wirksamkeitsbewertung, (7) Schulungen und Sensibilisierung, (8) Kryptographie, (9) Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, (10) Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gegebenenfalls Notfallkommunikation. | § 30 BSIG, BGBl. 2025 I Nr. 301, S. 22 f. |
| § 30 Absatz 3 und 4 Vorrang europäischer Durchführungsrechtsakte | Für bestimmte Einrichtungsarten (unter anderem DNS-Diensteanbieter, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Managed Service Provider und Managed Security Service Provider) hat der Durchführungsrechtsakt der Kommission zu den technischen und methodischen Anforderungen Vorrang. Gehören Sie zu diesen Einrichtungsarten, sind dessen Anhänge für Ihre technische Umsetzung maßgeblich, nicht nur § 30 Absatz 2. | Durchführungsverordnung (EU) 2024/2690 |
| § 32 Absatz 1 Meldepflichten | Bei einem erheblichen Sicherheitsvorfall: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis eine frühe Erstmeldung; spätestens innerhalb von 72 Stunden eine Meldung mit erster Bewertung und gegebenenfalls Kompromittierungsindikatoren; auf Ersuchen eine Zwischenmeldung; spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. Die Pflicht gilt nach Satz 2 frühestens ab Einrichtung des Meldewegs. | § 32 BSIG, BGBl. 2025 I Nr. 301, S. 24 |
| § 38 Verantwortung der Geschäftsleitung | Die Geschäftsleitung muss die Maßnahmen umsetzen und deren Umsetzung überwachen und haftet bei schuldhafter Pflichtverletzung nach den gesellschaftsrechtlichen Regeln; sie muss regelmäßig an Schulungen teilnehmen. | § 38 BSIG, BGBl. 2025 I Nr. 301, S. 26 f. |
03
Fällt Ihr Unternehmen überhaupt darunter?
Das ist keine technische Frage. Zwei Hinweise aus dem Gesetz, damit Sie sie richtig stellen: Welche Einrichtungen „besonders wichtig“ oder „wichtig“ sind, regelt § 28 BSIG. Und nach § 28 Absatz 5 und 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für bestimmte Einrichtungen, unter anderem für Finanzunternehmen nach Artikel 2 Absatz 2 der DORA-Verordnung und bestimmte Telekommunikations- und Energieunternehmen. Für diese gelten andere Rahmen (zum Beispiel DORA). Lassen Sie Ihre Einordnung juristisch klären, bevor Sie Budget planen.
04Fähigkeit 1 · Bereiche 1, 6
Inventar: ohne Bestandsliste keine Priorität
Die Verdichtung von zehn Bereichen auf acht Fähigkeiten ist unsere fachliche Interpretation, keine amtliche Auslegung. Sie folgt der Frage: Welche technische Fähigkeit muss vorhanden sein, damit der jeweilige Bereich überhaupt erfüllbar ist?
Was Sie nicht kennen, können Sie weder schützen noch priorisieren. Typische Lücke: Schatten-IT und vergessene Testumgebungen mit Produktivdaten. Zielkonflikt: Vollständigkeit kostet Pflegeaufwand; automatische Erfassung ist teurer im Aufbau, aber im Betrieb billiger.
- Aktuelles Inventar von Systemen, Cloud-Konten, Netzen, Datenspeichern und externen Diensten
- Möglichst aus dem Zustand der Infrastruktur abgeleitet (Infrastructure as Code, Konfigurationsexporte)
- Nicht von Hand gepflegt
05
Fünf weitere Fähigkeiten mit Mindeststand und Sollbruchstelle
Jede Karte nennt den Mindeststand, die typische Lücke und den Zielkonflikt.
-
Identitäten und MFA (Bereiche 9, 10)
Mindeststand: personalisierte Konten, Least Privilege, MFA für Administratorzugänge und Fernzugriff, befristeter privilegierter Zugriff, Notfallzugänge dokumentiert und überwacht. Lücke: geteilte Administratorkonten, Dienstkonten mit Dauerrechten, MFA nur für Mitarbeitende, nicht für Dienstleister. Zielkonflikt: Phishing-resistente Verfahren sind wirksamer, aber nicht in jeder Anwendungslandschaft einsetzbar; Altsysteme ohne moderne Anmeldung brauchen vorgelagerte Lösungen.
-
Schwachstellen und Patchstand (Bereich 5)
Mindeststand: bekannter Patchstand je System, definierte Fristen nach Schweregrad, automatisierte Updates wo möglich, Scan von Images und Abhängigkeiten, Prozess für nicht behebbare Fälle mit begründeter Ausnahme und Ablaufdatum. Lücke: Systeme, die „nie angefasst“ werden, weil unklar ist, was sie tragen. Zielkonflikt: Patchen gegen Verfügbarkeit; kontrollierte Wartungsfenster und Tests auf einer Vorabumgebung verhindern, dass der Schutz selbst zum Ausfall wird.
-
Lieferkette und Dienstleisterzugriffe (Bereich 4)
Mindeststand: technisches Inventar externer Dienste und ihrer Zugriffe, begrenzte und protokollierte Dienstleisterzugänge, für eigene Software Herkunftsnachweise der Artefakte (SBOM, Signatur). Die vertragliche und organisatorische Bewertung von Lieferanten ist nicht technisch. Lücke: Dauerzugänge von Dienstleistern ohne Ablaufdatum. Zielkonflikt: Strenge Kontrolle verlangsamt Dienstleister; befristete, genehmigte Zugänge sind der übliche Kompromiss.
-
Kryptographie und Schlüssel (Bereich 8)
Mindeststand: Verschlüsselung ruhender Daten und der Übertragung, Schlüsselverwaltung mit getrennten Zuständigkeiten, Rotation, dokumentierte Verfahren. Lücke: Verschlüsselung ist aktiv, aber Schlüssel liegen neben den Daten oder niemand kann sagen, wer sie verwalten darf.
-
Wirksamkeitsprüfung (Bereich 6, Bezug zu 7)
Mindeststand: wiederholbare Prüfungen der Konfiguration gegen Ihre Vorgaben (Drift-Erkennung), Wiederherstellungs- und Alarmtests nach Kalender, Befundverfolgung. Lücke: Maßnahmen werden einmal eingeführt und nie wieder geprüft, bis zum Vorfall. Unabhängige Audits und Penetrationstests sind ein eigener Baustein. Schulung und Sensibilisierung (Bereich 7) sind organisatorisch, die Geschäftsleitung hat dazu eine eigene Pflicht (§ 38 Absatz 3).
06Fähigkeit 3 · Bereich 3
Backup: die Kopie, an die ein Angreifer nicht herankommt
Als Faustregel für Anzahl und Orte von Kopien ist das „3-2-1“-Prinzip verbreitet; es ist eine Branchenregel, keine Vorgabe des Gesetzes. Typische Lücke: Backups existieren, aber die Wiederherstellung wurde nie getestet, oder die Zugangsdaten zum Backup liegen im selben Verwaltungsbereich wie die Produktion.
Zielkonflikt: Unveränderbarkeit schützt vor Verschlüsselung durch Angreifer, kann aber mit Löschpflichten nach Datenschutzrecht kollidieren; Aufbewahrungsfristen und Löschkonzept gehören deshalb gemeinsam mit dem Datenschutzbeauftragten entworfen. Wiederanlaufziele (wie lange darf was ausfallen, wie viel Datenverlust ist tragbar) sind eine Geschäftsentscheidung, keine technische.
- Kopien in getrennter Umgebung mit getrennten Zugangsdaten
- Mindestens eine unveränderbare oder nicht ohne Weiteres löschbare Kopie
- Dokumentierte Wiederanlaufreihenfolge
- Regelmäßiger Wiederherstellungstest
Fähigkeit 4 · Bereich 2
Die 24 Stunden laufen ab Kenntnis, nicht ab Vorfall
Wer erst nach Tagen merkt, dass etwas passiert ist, hat die Meldefrist nach § 32 faktisch nicht in der Hand. Mindeststand: zentrale Protokolle für Anmeldungen, Rollenänderungen, administrative Aktionen und Plattformereignisse, manipulationsgeschützt, mit synchronisierter Zeit und festgelegter Aufbewahrung; Alarmierung für wenige, klar definierte kritische Ereignisse. Typische Lücke: Protokolle auf den Systemen, die ein Angreifer als Erstes löscht. Zielkonflikt: Mehr Protokolle erhöhen Speicher, Kosten und Datenschutzaufwand, weil sie oft personenbezogene Daten enthalten; wir empfehlen, mit wenigen aussagekräftigen Quellen zu beginnen.
07
Welche Reihenfolge trägt?
Drei Stufen, jede baut auf der vorigen auf. Das ist unsere Redaktionsempfehlung, keine gesetzliche Reihenfolge.
08
Priorisierungsmatrix der acht Fähigkeiten
Die Matrix ist unsere Empfehlung aus Engineering-Sicht. „Wirkung“ meint die Verringerung des Schadensradius eines typischen Vorfalls; „Voraussetzung für“ nennt, was ohne diese Fähigkeit nicht belastbar umsetzbar ist. Aufwand ist relativ und hängt von Ihrer Ausgangslage ab.
| Fähigkeit | Wirkung | Voraussetzung für | Relativer Aufwand | Phase |
|---|---|---|---|---|
| Inventar | Grundlage für alles | Priorisierung, Patchen, Zugriffskontrolle | gering bis mittel | 1 |
| Identitäten und MFA (Administratoren, Fernzugriff) | hoch | Zugriffskontrolle, Protokollierung | mittel | 1 |
| Backup mit getrennter Kopie und Wiederherstellungstest | hoch | Betriebsaufrechterhaltung | mittel | 1 |
| Protokollierung (zentral, geschützt) | hoch | Erkennung, Meldefristen | mittel | 1 |
| Patch- und Schwachstellenmanagement | hoch | Wirksamkeitsprüfung | mittel bis hoch | 2 |
| Kryptographie und Schlüsselverwaltung | mittel bis hoch | Datenschutz-Controls | mittel | 2 |
| Lieferketten- und Dienstleisterkontrolle | mittel | Wirksamkeitsprüfung | mittel bis hoch | 2 |
| Wirksamkeitsprüfung (Drift, Tests) | mittel, verhindert Erosion | Nachweisfähigkeit | gering bis mittel nach Aufbau | 3 |
Phase 1 enthält die Fähigkeiten, die Schaden schnell begrenzen und deren Fehlen die anderen Maßnahmen entwertet. Phase 2 baut Schutzschichten auf Basis des Inventars und der Protokolle aus. Phase 3 sichert die Dauerhaftigkeit. Die Phasen überlappen; wer ein Backup-Konzept hat, aber keinen Test, ist nicht in Phase 2.
09
16 Fragen an Ihre Umgebung
Beantworten Sie mit Ja, Nein oder „unbekannt“. „Unbekannt“ ist ein Befund über Ihre Sichtbarkeit, nicht über Ihre Sicherheit; jedes „Nein“ und „unbekannt“ ist ein Kandidat für die Maßnahmenliste. Auswertung: Fragen 1 bis 7, 9 und 10 betreffen die Phase-1-Fähigkeiten, mehrere „Nein“ dort sind das Signal, vor allem anderen diese Lücken zu schließen. Fragen 8 und 11 sind keine technischen Fragen, aber ohne sie fehlt den technischen Maßnahmen die Zielgröße.
- Gibt es ein aktuelles Inventar aller Systeme, Cloud-Konten und externen Dienste?
- Wissen Sie, welche Daten wo liegen und wie schutzbedürftig sie sind?
- Haben alle Administratorkonten MFA, und gilt das auch für Dienstleister und Fernzugriff?
- Gibt es keine geteilten Administratorkonten und keine Dienstkonten mit Dauer-Vollzugriff?
- Wird die Rechtevergabe regelmäßig überprüft, mit Protokoll?
- Gibt es mindestens eine Backup-Kopie, die von der Produktionsumgebung getrennt und nicht ohne Weiteres löschbar ist?
- Wurde die Wiederherstellung kritischer Systeme in den letzten zwölf Monaten tatsächlich getestet?
- Sind Wiederanlaufziele von der Geschäftsseite festgelegt?
- Werden Anmeldungen, Rollenänderungen und administrative Aktionen zentral und manipulationsgeschützt protokolliert?
- Würden Sie einen erheblichen Vorfall innerhalb weniger Stunden bemerken und könnten den Zeitpunkt der Kenntnis belegen?
- Gibt es einen definierten Ablauf, wer entscheidet, ob eine Meldung nach § 32 zu erstatten ist, und wer sie absendet?
- Ist der Patchstand je System bekannt, mit Fristen nach Schweregrad?
- Werden Images und Abhängigkeiten beim Build auf Schwachstellen geprüft?
- Sind Dienstleisterzugänge befristet, begrenzt und protokolliert?
- Wird Verschlüsselung durch ein Schlüsselkonzept mit getrennten Zuständigkeiten gestützt?
- Werden Konfiguration, Wiederherstellung und Alarmierung nach Kalender geprüft und die Ergebnisse dokumentiert?
10
Wo NIS2-Projekte technisch ins Leere laufen
-
Dokumente statt Konfiguration
Ein Maßnahmenkatalog ohne Verbindung zu tatsächlichen Einstellungen ist keine Umsetzung. Die Dokumentationspflicht verlangt, dass Sie die Einhaltung belegen können.
-
Werkzeug als Antwort auf eine Anforderung
Ein SIEM, ein Scanner oder ein Backup-Produkt erfüllt keinen Bereich, wenn niemand die Ergebnisse auswertet und handelt.
-
Gleiche Tiefe überall
§ 30 Absatz 1 verlangt Verhältnismäßigkeit. Kritische Systeme verdienen mehr Aufwand als der Rest; wer alles gleich behandelt, schützt das Wichtige zu wenig.
-
Meldefähigkeit vergessen
Erst im Vorfall zu klären, wer was melden darf, kostet die ersten 24 Stunden.
-
Cloud-Verantwortung unterschätzen
Die Nutzung eines Cloud-Dienstes verlagert Betrieb, aber nicht Ihre Pflicht nach § 30; Konfiguration und Zugriffe bleiben bei Ihnen.
11
Eigenbau oder externe Hilfe: wann was passt
Wenn Ihre Teams die Fähigkeiten selbst aufbauen können, brauchen Sie keine Beratung; die Matrix und der Selbstcheck oben reichen als Arbeitsgrundlage. Externe Hilfe lohnt sich typischerweise bei fehlender Kapazität, bei Plattformen, die gerade neu gebaut werden, oder wenn Sie eine unabhängige technische Bestandsaufnahme wollen.
Offenlegung: SKAFFON bietet technische Umsetzung nach § 30 BSIG als Dienstleistung an, siehe NIS2-Beratung; diese Seite ist davon getrennt und nennt bewusst auch den Weg ohne uns. Rechtsberatung, Zertifizierung und unabhängige Penetrationstests bieten wir nicht an.
12
Weiterlesen zu NIS2 und Nachbarthemen
-
NIS2-Beratung
Technische Umsetzung nach § 30 BSIG als Dienstleistung.
-
Cybersecurity im Überblick
Alle Sicherheitsthemen von IAM bis Datensicherheit.
-
Wissensübersicht
Weitere Leitfäden und Vergleiche.
Phase 1 gemeinsam durchgehen?
Schildern Sie uns Ihre Ausgangslage, wir sagen Ihnen, welche der acht Fähigkeiten zuerst anstehen.