NIS-2-Anforderungen: die 10 Pflichten nach §30 BSIG — verständlich erklärt
NIS-2 verlangt von betroffenen Unternehmen zehn Mindestmaßnahmen für die Cybersicherheit: von Risikoanalyse und Vorfallsbewältigung über Lieferketten- und Anlagensicherheit bis zu Schulungen und Mehrfaktor-Authentifizierung — festgeschrieben in §30 des BSI-Gesetzes. Dazu kommen Registrierungs-, Melde- und Geschäftsleitungspflichten. Dieser Leitfaden erklärt jede Pflicht, nennt den Nachweis, den ein Prüfer sehen will, und den jeweils ersten Schritt.
Stand: 27. August 2026 · 18 Min. · Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung.
Die 10 Mindestmaßnahmen im Überblick
§30 Absatz 2 BSIG zählt die Maßnahmen auf, die jede betroffene Einrichtung umsetzen muss — verhältnismäßig zum Risiko, aber ohne Wahlrecht beim Ob. In Kurzform:
Nr.
Maßnahme
Worum es geht
1
Risikoanalyse und Sicherheitskonzepte
Risiken kennen, bewerten und Richtlinien daraus ableiten
2
Bewältigung von Sicherheitsvorfällen
Vorfälle erkennen, eindämmen, dokumentieren
3
Betriebskontinuität und Krisenmanagement
Backups, Wiederanlauf, Notfallpläne
4
Sicherheit der Lieferkette
Dienstleister und Zulieferer bewerten und vertraglich binden
5
Sicherheit bei Erwerb, Entwicklung und Wartung
Schwachstellen managen, sichere Beschaffung und Pflege
6
Wirksamkeitsbewertung
Prüfen, ob die Maßnahmen tatsächlich wirken
7
Cyberhygiene und Schulungen
Grundregeln im Alltag, regelmäßige Trainings
8
Kryptografie und Verschlüsselung
Konzepte für Verschlüsselung, wo angemessen
9
Personal, Zugriffskontrolle und Anlagenmanagement
Wer darf was — und welche Assets gibt es überhaupt
10
Mehrfaktor-Authentifizierung und gesicherte Kommunikation
MFA, gesicherte Sprach-, Video- und Textkommunikation
Die Aufzählung klingt nach reiner IT — ist sie aber nicht: Mindestens drei der zehn Maßnahmen reichen tief in die physische Welt aus Anlagen, Wartung und Prüfnachweisen hinein. Genau dort scheitern in der Praxis die meisten Nachweise.
Gilt NIS-2 für mein Unternehmen?
Betroffen sind Einrichtungen aus 18 Sektoren — darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe, Ernährung und öffentliche Verwaltung. Als Faustregel gilt: ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Bilanzsumme rutscht ein Unternehmen aus einem dieser Sektoren in die Kategorie „wichtige Einrichtung“, größere in die Kategorie „besonders wichtige Einrichtung“ — mit entsprechend schärferen Aufsichts- und Nachweispflichten. Einige Einrichtungen sind größenunabhängig erfasst, etwa qualifizierte Vertrauensdiensteanbieter.
Oft übersehen: Auch wer selbst unter keiner Schwelle liegt, bekommt NIS-2 über die Lieferkette auf den Tisch. Maßnahme 4 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Dienstleister zu bewerten — und die reichen die Anforderungen per Fragebogen, Audit-Klausel und Vertrag an ihre Zulieferer weiter. Wer für einen NIS-2-regulierten Kunden IT betreibt, Anlagen wartet oder Software liefert, muss faktisch liefern, was der Kunde nachweisen muss.
Ob du direkt betroffen bist, kannst du in zwei Minuten prüfen — unser kostenloser Betroffenheits-Check führt durch Sektor- und Größenfragen.
Für jede der zehn Maßnahmen findest du hier drei Dinge: was verlangt wird, welchen Nachweis ein Prüfer typischerweise sehen will — und den ersten Schritt, mit dem du morgen anfangen kannst.
1. Risikoanalyse und Sicherheitskonzepte
Was verlangt wird
Du musst die Risiken für deine IT-Systeme und die davon abhängigen Dienste systematisch ermitteln, bewerten und behandeln — und daraus Sicherheitsrichtlinien ableiten, die die Geschäftsleitung trägt. Wichtig: „Systeme“ meint auch die physische Basis — Stromversorgung, Kühlung, Zutritt, Brandschutz. Ein Serverraum mit ungewarteter USV ist ein Risiko wie eine ungepatchte Firewall.
Was der Prüfer sehen will
Ein gepflegtes Risiko-Register mit Bewertung (Eintrittswahrscheinlichkeit × Schaden), abgeleiteten Maßnahmen und Wiedervorlage-Daten — plus die von der Geschäftsleitung gebilligte Sicherheitsrichtlinie. Bei physischen Risiken zusätzlich: das Anlagenverzeichnis mit Prüfstatus, auf das sich die Bewertung stützt.
Der erste Schritt
Ein Register mit den zehn größten Risiken anlegen — ehrlich bewertet, mit je einer Maßnahme und einem Verantwortlichen. Perfektion kommt später; ein lebendes Dokument schlägt das perfekte leere.
2. Bewältigung von Sicherheitsvorfällen
Was verlangt wird
Du brauchst einen definierten Ablauf, wie Vorfälle erkannt, gemeldet, eingedämmt und aufgearbeitet werden — inklusive Zuständigkeiten, Erreichbarkeiten und der Verzahnung mit den gesetzlichen Meldefristen (dazu unten).
Was der Prüfer sehen will
Ein dokumentierter Incident-Response-Prozess mit benannten Rollen — und mindestens ein durchgespielter oder echter Vorfall mit lückenloser Chronologie: erkannt wann, gemeldet wann, behoben wann, gelernt was.
Der erste Schritt
Einen einseitigen Ablauf schreiben: Wer meldet an wen, wer entscheidet, wer dokumentiert. Dann eine Übung: ein fiktives Phishing auf ein Postfach, einmal komplett durchspielen.
3. Betriebskontinuität und Krisenmanagement
Was verlangt wird
Backup-Management, Wiederherstellung nach Ausfällen und Krisenpläne — der Betrieb muss auch dann weiterlaufen oder geordnet wiederanlaufen, wenn Systeme ausfallen. Dazu gehört die Technik, die Ausfälle physisch abfedert: USV, Netzersatz, Klimatisierung, Brandmeldetechnik — samt deren Wartung, denn eine USV mit müden Akkus ist Betriebskontinuität nur auf dem Papier.
Was der Prüfer sehen will
Getestete Backups (Protokoll des letzten Restore-Tests mit Datum und Dauer), ein Notfallplan mit Wiederanlaufreihenfolge — und die Wartungs- und Prüfnachweise der Infrastruktur, die den Weiterbetrieb sichert: letzter USV-Batterietest, Klimawartung, Netzersatzprobelauf.
Der erste Schritt
Den letzten Backup-Restore-Test heraussuchen. Gibt es keinen: einen terminieren und das Protokoll ablegen. Parallel prüfen, wann USV und Klima zuletzt gewartet wurden.
4. Sicherheit der Lieferkette
Was verlangt wird
Du musst die Sicherheit deiner unmittelbaren Dienstleister und Lieferanten bewerten und angemessen absichern — vom Cloud-Anbieter über den IT-Dienstleister bis zum Wartungsunternehmen mit Zutritt zum Serverraum.
Was der Prüfer sehen will
Ein Lieferanten-Register mit Kritikalitätsbewertung, hinterlegten Verträgen bzw. AVV und dokumentierten Sicherheitsanforderungen je kritischem Dienstleister — plus Wiedervorlage für die regelmäßige Neubewertung.
Der erste Schritt
Die zehn wichtigsten Dienstleister auflisten und je Anbieter drei Fragen beantworten: Was fällt aus, wenn er ausfällt? Welche Daten sieht er? Welche Zusagen liegen schriftlich vor?
5. Sicherheit bei Erwerb, Entwicklung und Wartung
Was verlangt wird
Sicherheitsanforderungen gehören in Beschaffung, Entwicklung und Pflege von IT-Systemen — inklusive eines geordneten Umgangs mit Schwachstellen: erfassen, priorisieren, beheben, belegen.
Was der Prüfer sehen will
Ein Schwachstellen-Prozess mit nachvollziehbarer Historie (gefunden → bewertet → behoben), Patch-Stände für kritische Systeme und Sicherheitskriterien in Beschaffungsunterlagen.
Der erste Schritt
Für die fünf wichtigsten Systeme notieren, wie Sicherheitsupdates dort ankommen — automatisch, manuell, gar nicht. Die „gar nicht“-Fälle sind deine erste Arbeitsliste.
6. Bewertung der Wirksamkeit
Was verlangt wird
Du musst regelmäßig prüfen, ob deine Sicherheitsmaßnahmen greifen — durch interne Überprüfungen, Audits, Tests oder Kennzahlen. Einführen allein genügt nicht; NIS-2 verlangt den Wirksamkeitsnachweis.
Was der Prüfer sehen will
Ein Prüfplan (was wird wann von wem geprüft), Ergebnisse der letzten Überprüfung und der Umgang mit Abweichungen — sichtbar als Maßnahmen mit Status.
Der erste Schritt
Einen jährlichen Prüfzyklus festlegen: Welche drei Kontrollen werden dieses Quartal getestet? Ergebnis schriftlich, Abweichung als Maßnahme.
7. Cyberhygiene und Schulungen
Was verlangt wird
Grundlegende Verhaltensregeln (Passwörter, Updates, Umgang mit E-Mail) und regelmäßige Schulungen für alle Beschäftigten — die Geschäftsleitung eingeschlossen, für die die Teilnahme ausdrücklich Pflicht ist.
Was der Prüfer sehen will
Schulungsnachweise mit Datum und Teilnehmerliste, idealerweise ergänzt um Ergebnisse simulierter Phishing-Tests — und der Beleg, dass auch die Führungsebene teilgenommen hat.
Der erste Schritt
Eine Schulung terminieren und die Teilnahme dokumentieren. Ein simulierter Phishing-Test dazu liefert gleich die Kennzahl für Maßnahme 6.
8. Kryptografie und Verschlüsselung
Was verlangt wird
Konzepte für den Einsatz von Verschlüsselung, wo sie angemessen ist: Daten bei der Übertragung, Daten im Ruhezustand, Schlüsselverwaltung.
Was der Prüfer sehen will
Eine Krypto-Richtlinie (was wird womit verschlüsselt, wer verwaltet Schlüssel) und Stichproben: TLS-Konfiguration, Festplattenverschlüsselung auf mobilen Geräten, verschlüsselte Backups.
Der erste Schritt
Drei Fragen beantworten: Sind die Notebooks verschlüsselt? Sind die Backups verschlüsselt? Läuft jede externe Verbindung über TLS? Jedes „Nein“ ist eine Maßnahme.
9. Personal, Zugriffskontrolle und Anlagenmanagement
Was verlangt wird
Sicherheit des Personals (Rollen, Vertretungen, Onboarding/Offboarding), Konzepte für Zugriffsrechte — und Management der eigenen Anlagen und Systeme (im Gesetzestext „Anlagenmanagement“). Ohne vollständiges Verzeichnis der Assets, physisch wie digital, lässt sich weder Zugriff noch Risiko steuern: Was nicht erfasst ist, wird nicht gewartet, nicht geprüft und nicht geschützt.
Was der Prüfer sehen will
Ein aktuelles Anlagen- und Systemverzeichnis mit Verantwortlichen und Prüf-/Wartungsstatus, ein Berechtigungskonzept und Belege für entzogene Zugänge beim Austritt.
Der erste Schritt
Das Anlagenverzeichnis auf Vollständigkeit prüfen: ein Rundgang durch Serverraum und Technikflächen mit der Liste in der Hand. Jede Anlage ohne Eintrag kommt sofort dazu.
10. Mehrfaktor-Authentifizierung und gesicherte Kommunikation
Was verlangt wird
MFA bzw. kontinuierliche Authentifizierung, wo angemessen — praktisch: für alle aus dem Internet erreichbaren Zugänge und Administrationswege — sowie gesicherte Sprach-, Video- und Textkommunikation und Notfallkommunikation.
Was der Prüfer sehen will
Die MFA-Abdeckung je System (welche Zugänge, welches Verfahren, welche Ausnahmen mit Begründung) und ein definierter Kanal, über den im Krisenfall kommuniziert wird, wenn die primären Systeme ausfallen.
Der erste Schritt
Alle von außen erreichbaren Logins auflisten (VPN, E-Mail, Cloud-Konsolen, Fernwartung) und für jeden ohne MFA einen Termin zur Aktivierung setzen.
Registrierung beim BSI und Fristen
Das deutsche NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft — und anders als bei der DSGVO gab es keine Schonfrist: Die Pflichten gelten für betroffene Einrichtungen seither unmittelbar. Wer feststellt, dass er unter das Gesetz fällt, muss sich innerhalb von drei Monaten über das Portal des Bundesamts für Sicherheit in der Informationstechnik (BSI) registrieren — mit Angaben zu Einrichtung, Sektor, Kontaktstelle und Erreichbarkeit.
Die Registrierung ist bewusst der einfachste Teil: Sie kostet einen Nachmittag, ihr Fehlen fällt aber als Erstes auf und ist bußgeldbewehrt. Besonders wichtige Einrichtungen müssen zusätzlich damit rechnen, ihre Maßnahmen gegenüber dem BSI aktiv nachzuweisen; bei wichtigen Einrichtungen prüft die Aufsicht anlassbezogen — etwa nach einem gemeldeten Vorfall.
Prüfe zuerst die Betroffenheit, dann registriere dich, dann arbeite die Maßnahmen ab — diese Reihenfolge nimmt den größten Zeitdruck aus dem Thema.
Geschäftsleitung: Billigungs-, Überwachungs- und Schulungspflicht
NIS-2 adressiert ausdrücklich die Leitungsebene: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen — delegieren lässt sich die Arbeit, nicht die Verantwortung. §38 BSIG verpflichtet Geschäftsleiter außerdem, regelmäßig an Schulungen teilzunehmen, um Risiken und Maßnahmen beurteilen zu können.
Verletzt die Geschäftsleitung diese Pflichten, haftet sie der Einrichtung gegenüber nach den allgemeinen gesellschaftsrechtlichen Regeln für den entstandenen Schaden. Praktisch heißt das: Der Sicherheitsbeauftragte darf vorbereiten, aber die Leitung muss entscheiden, dokumentiert freigeben — und selbst auf der Teilnehmerliste der Schulung stehen.
Für den Nachweis genügt ein sauberer Dreiklang: Beschluss zur Sicherheitsrichtlinie mit Datum und Unterschrift, ein wiederkehrender Tagesordnungspunkt „Informationssicherheit“ mit Protokoll, Schulungsnachweis der Leitungsebene.
Meldepflichten: 24 Stunden / 72 Stunden / 1 Monat
Erhebliche Sicherheitsvorfälle müssen an das BSI gemeldet werden — in drei Stufen: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine vollständigere Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat danach. Bei andauernden Vorfällen tritt an dessen Stelle zunächst ein Fortschrittsbericht.
Die Fristen sind kurz — bewusst. Sie lassen sich nur halten, wenn der Ablauf vorher steht: Wer erkennt, wer bewertet „erheblich“, wer meldet, und wo die Chronologie mitgeschrieben wird. Die Details samt Muster-Ablauf behandeln wir in einem eigenen Artikel zu den Meldepflichten.
Doppelte Buchführung vermeiden: Dieselbe Vorfalls-Dokumentation, die die Meldung speist, ist auch der Nachweis für Maßnahme 2 — ein Grund, Vorfälle von Anfang an in einem System statt in verstreuten Mails zu führen.
NIS-2 und ISO 27001: was sich überschneidet
Wer bereits ein ISMS nach ISO 27001 betreibt, hat für NIS-2 massiv vorgearbeitet: Risikoanalyse, Lieferantensteuerung, Zugriffskontrolle, Schulungen und Wirksamkeitsprüfung sind in beiden Welten zu Hause. Ein Zertifikat ersetzt die NIS-2-Pflichten aber nicht automatisch — es deckt nur den selbst gewählten Geltungsbereich ab, und die gesetzlichen Melde-, Registrierungs- und Leitungs-Pflichten kommen obendrauf.
Die Übersetzungstabelle zeigt die wichtigsten Entsprechungen:
NIS-2-Maßnahme (§30)
ISO/IEC 27001:2022 (Auszug)
1 — Risikoanalyse & Konzepte
Kap. 6.1, 8.2 (Risikobeurteilung), A.5.1
2 — Vorfallsbewältigung
A.5.24–A.5.28 (Incident Management)
3 — Betriebskontinuität
A.5.29–A.5.30, A.8.13–A.8.14
4 — Lieferkette
A.5.19–A.5.22
5 — Beschaffung & Schwachstellen
A.8.8, A.8.25 ff.
6 — Wirksamkeit
Kap. 9 (Bewertung), A.5.35–A.5.36
7 — Hygiene & Schulung
A.6.3
8 — Kryptografie
A.8.24
9 — Personal, Zugriff, Anlagen
A.6.1 ff., A.5.15–A.5.18, A.5.9 (Asset-Inventar)
10 — MFA & Kommunikation
A.5.17, A.8.5
Umgekehrt gilt: Wer NIS-2 sauber umsetzt, hat den Kern eines ISO-27001-ISMS bereits stehen — der Weg zum Zertifikat wird deutlich kürzer.
Die ersten 90 Tage: Umsetzungsfahrplan
Kein Unternehmen setzt zehn Maßnahmen gleichzeitig um. Diese Reihenfolge hat sich bewährt:
Tage 1–30: Klarheit schaffen
Betroffenheit prüfen und Ergebnis dokumentieren (auch ein begründetes „nicht betroffen“ ist ein Nachweis)
Registrierung beim BSI anstoßen
Anlagen- und Systemverzeichnis aufbauen oder vervollständigen — die Grundlage für alles Weitere
Risiko-Register mit den zehn größten Risiken starten
Tage 31–60: Die Pflichten mit Fristen
Incident-Ablauf definieren und Meldewege zum BSI hinterlegen (24 h/72 h werden sonst unhaltbar)
MFA auf allen von außen erreichbaren Zugängen aktivieren
Backup-Restore-Test durchführen und protokollieren
Erste Schulung inklusive Geschäftsleitung terminieren
Tage 61–90: Nachweise härten
Lieferanten-Register mit Kritikalität und Verträgen füllen
Sicherheitsrichtlinie durch die Geschäftsleitung billigen lassen (Beschluss dokumentieren)
Wartungs- und Prüfnachweise der kritischen Infrastruktur (USV, Klima, Brandschutz) zusammenführen
Prüfplan für die Wirksamkeitsbewertung aufsetzen — damit aus dem Projekt ein Betrieb wird
Häufige Fragen
Welche Bußgelder drohen bei Verstößen?
Der Rahmen reicht für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % — je nachdem, welcher Wert höher ist. Auch Verstöße gegen Registrierungs- und Meldepflichten sind bußgeldbewehrt, nicht nur fehlende Sicherheitsmaßnahmen.
Reicht ein ISO-27001-Zertifikat als Nachweis?
Es hilft erheblich, ersetzt die gesetzlichen Pflichten aber nicht: Registrierung, Meldefristen und Geschäftsleitungs-Pflichten gelten daneben, und das Zertifikat muss den relevanten Geltungsbereich tatsächlich abdecken. Die Mapping-Tabelle oben zeigt, wie viel sich wiederverwenden lässt.
Was ist mit Bestandsanlagen und OT — gilt NIS-2 auch dort?
Ja. Die Maßnahmen erfassen die informationstechnischen Systeme, mit denen die kritischen Dienste erbracht werden — dazu gehören Produktions- und Gebäudetechnik (OT) genauso wie klassische IT. Für Bestandsanlagen ohne moderne Sicherheitsfunktionen heißt das: Risiko bewerten, kompensierende Maßnahmen (Netztrennung, Zugriffskontrolle, Wartung) umsetzen und dokumentieren.
Wer kontrolliert die Umsetzung?
Aufsichtsbehörde ist das BSI. Besonders wichtige Einrichtungen müssen mit aktiver Aufsicht und regelmäßigen Nachweisen rechnen, wichtige Einrichtungen mit anlassbezogenen Prüfungen — typischer Auslöser ist ein gemeldeter Vorfall oder ein Hinweis. Die Geschäftsleitung bleibt intern in der Verantwortung.
Wir sind (noch) nicht betroffen — lohnt sich die Umsetzung trotzdem?
Häufig ja: Über Lieferketten-Anforderungen der Kunden kommen die Pflichten faktisch auch bei nicht regulierten Unternehmen an, und die Maßnahmen selbst — Backups, MFA, Schulungen, Anlagenverzeichnis — sind schlicht solide Betriebsführung. Wer früh dokumentiert, beantwortet Kundenfragebögen in Minuten statt Wochen.
Prüfe in 2 Minuten, ob du betroffen bist
Unser kostenloser NIS-2-Check führt durch die Sektor- und Größenfragen und liefert eine erste Einschätzung samt nächsten Schritten. Und wenn du die Pflichten umsetzt: Opspect unterstützt dich dabei — mit Risiko-Register, Maßnahmenplan, Vorfalls-Meldefristen und dem Anlagenverzeichnis samt Prüfnachweisen in einem System.
