NIS2 Maßnahmen: Die 10 wichtigsten Pflichten einfach erklärt

Welche NIS2 Maßnahmen für Ihr Unternehmen gelten, ist für viele Verantwortliche aktuell die drängendste Frage. Die Registrierung beim BSI ist dabei nur der erste Schritt. Der eigentliche Kern der Regulierung liegt in §30 BSIG: Dort definiert der Gesetzgeber zehn Risikomanagementmaßnahmen, die besonders wichtige und wichtige Einrichtungen umsetzen müssen. Diese beiden Kategorien ergeben sich aus einer Kombination von Branche und Unternehmensgröße und betreffen damit auch zahlreiche mittelständische Unternehmen, etwa aus den Bereichen Finanzwesen, Gesundheitswesen, verarbeitendes Gewerbe oder Logistik. Seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 gelten diese Maßnahmen ohne Übergangsfrist.

In diesem Beitrag erklären wir Ihnen die zehn Pflichtmaßnahmen einfach und verständlich, damit Sie wissen, wo Sie in Ihrem Unternehmen ansetzen müssen, denn die NIS2 Anforderungen betreffen praktisch jeden Unternehmensbereich. Einen kompakten Sofort-Überblick über die ersten Schritte, gibt Ihnen zusätzlich unsere NIS2 Checkliste.

Welche NIS2 Maßnahmen gelten für Ihr Unternehmen?

§30 Absatz 1 BSIG verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Die konkreten NIS2 Maßnahmen folgen dabei einem gefahrenübergreifenden Ansatz: Es geht nicht nur um Cyberangriffe, sondern auch um physische Risiken wie Stromausfälle oder Naturereignisse. Ziel ist es, Störungen zu vermeiden und die Auswirkungen von Sicherheitsvorfällen zu minimieren.

Darüber hinaus verlangt §30 BSIG ausdrücklich, dass die Umsetzung und Einhaltung der Risikomanagementmaßnahmen dokumentiert wird. Unternehmen müssen daher Nachweise über ihre Sicherheitsmaßnahmen führen, beispielsweise in Form von Richtlinien, Verfahrensanweisungen, Schulungsnachweisen, Auditberichten oder Risikobewertungen.

Die Umsetzung orientiert sich am Stand der Technik und kann an bestehenden Standards wie ISO 27001 oder dem IT-Grundschutz des BSI ansetzen. Wichtig zu wissen: Die Anforderungen beschränken sich nicht nur auf produktionsnahe oder kritische Systeme. Laut Gesetzesbegründung sind grundsätzlich sämtliche informationstechnischen Systeme, Komponenten und Prozesse betroffen, die für die Erbringung der Dienste des Unternehmens genutzt werden. Dazu kann ausdrücklich auch die Büro-IT gehören. Für die Geschäftsführung fassen wir die wichtigsten Punkte zusätzlich in unserem NIS2 GF-Briefing kompakt zusammen.

Die 10 NIS2 Pflichtmaßnahmen nach §30 BSIG einfach erklärt

Die folgenden zehn Bereiche bilden den Kern der NIS2 Maßnahmen und sind für jede betroffene Einrichtung verpflichtend umzusetzen.

1. 1.
   Risikoanalyse und Sicherheitskonzepte
   Bevor Sie Maßnahmen umsetzen, müssen Sie wissen, welchen Risiken Ihr Unternehmen ausgesetzt ist. Die Risikoanalyse bildet die Grundlage für alle weiteren Schritte und kann sich beispielsweise am BSI-Standard 200-3 orientieren.
2. 2.
   Bewältigung von Sicherheitsvorfällen (Incident Response)
   Wenn es zu einem Sicherheitsvorfall kommt, muss klar sein, wer was tut. §30 BSIG verlangt dafür dokumentierte Incident-Response-Prozesse mit klaren Verantwortlichkeiten. Bei signifikanten Vorfällen kommt zusätzlich die gesonderte Meldepflicht nach §32 BSIG mit einer 24-Stunden-Frist zum Tragen.
3. 3.
   Aufrechterhaltung des Betriebs (Business Continuity Management)
   Backup-Management, Notfallwiederherstellung und Krisenmanagement sorgen dafür, dass Ihr Unternehmen auch nach einem Vorfall handlungsfähig bleibt.
4. 4.
   Sicherheit der Lieferkette
   Unternehmen müssen Sicherheitsrisiken entlang ihrer Liefer- und Dienstleisterkette bewerten und angemessen steuern. Dabei sind insbesondere sicherheitsrelevante Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern zu berücksichtigen.
5. 5.
   Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
   Beim Einkauf und der Entwicklung neuer Systeme müssen Sicherheitsaspekte von Anfang an mitgedacht werden, inklusive dem Umgang mit und der Offenlegung von Schwachstellen.
6. 6.
   Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
   Maßnahmen umzusetzen reicht nicht aus. Sie müssen regelmäßig prüfen, ob diese auch wirken, und das dokumentieren.
7. 7.
   Grundlegende Schulungen und Sensibilisierungsmaßnahmen
   Ein großer Teil der Sicherheitsvorfälle entsteht durch menschliches Fehlverhalten. §30 BSIG verlangt deshalb grundlegende Schulungs- und Sensibilisierungsmaßnahmen im Bereich der IT-Sicherheit, damit Mitarbeitende Risiken wie Phishing erkennen und sich sicher verhalten.
8. 8.
   Kryptografie und Verschlüsselung
   Konzepte für den Einsatz von Verschlüsselung schützen Daten sowohl bei der Speicherung als auch bei der Übertragung.
9. 9.
   Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen
   Wer darf auf welche Systeme zugreifen, und wie werden IKT-Systeme, -Produkte und -Prozesse verwaltet? Diese Maßnahme umfasst Konzepte für die Sicherheit des Personals sowie Berechtigungs- und Zugriffskontrollkonzepte.
10. 10.
    Multi-Faktor-Authentifizierung und gesicherte Kommunikation
    Der Einsatz von Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation runden den Maßnahmenkatalog ab, ebenso wie gesicherte Notfallkommunikationssysteme.

Die Geschäftsleitung steht in der Verantwortung

Die Umsetzung der NIS2 Anforderungen ist keine reine IT-Aufgabe. Nach §38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Die Gesetzesbegründung stellt klar, dass sie die Maßnahmen aktiv verantworten und kontinuierlich überwachen muss. Diese Pflicht ist nicht delegierbar, auch bei Einschaltung von Hilfspersonen bleibt die Geschäftsleitung letztverantwortlich. Zusätzlich müssen Geschäftsführerinnen und Geschäftsführer regelmäßig an Cybersicherheitsschulungen teilnehmen, nach der Gesetzesbegründung gelten dabei Schulungen als regelmäßig, die mindestens alle drei Jahre erfolgen. Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie persönlich gegenüber dem eigenen Unternehmen.

Weitere Hintergründe zu Chancen und Pflichten rund um NIS2 finden Sie in unserem aktualisierten NIS2 Whitepaper.

Strukturiert umsetzen statt einzeln abarbeiten

Zehn Maßnahmenbereiche auf einmal wirken zunächst umfangreich, und auch die NIS2 Anforderungen insgesamt erscheinen auf den ersten Blick komplex. In der Praxis lassen sie sich jedoch in überschaubare Arbeitspakete zerlegen, priorisiert nach Risiko und Aufwand. Tools wie das SAVISCON GRC-COCKPIT unterstützten Sie dabei, Risikomanagement, Compliance und Informationssicherheit strukturiert und nachvollziehbar an einem Ort zu steuern, von der Risikoanalyse bis zur Nachweisdokumentation.

Wer die Registrierungsfrist bereits verpasst hat oder noch nicht strukturiert gestartet ist, kann mit dem NIS2 Kickstart sofort loslegen: ein vorkonfiguriertes NIS2-System im GRC-COCKPIT, inklusive einem Monat kostenfreiem Sparring.

Fazit

Die NIS2 Anforderungen enden nicht mit der Registrierung beim BSI. Wer die zehn Maßnahmen nach §30 BSIG jetzt strukturiert angeht, schafft nicht nur Rechtssicherheit, sondern auch eine solide Basis für Informationssicherheit im gesamten Unternehmen.

Für bestimmte Einrichtungen können zusätzlich europäische Durchführungsrechtsakte konkrete technische und methodische Mindestanforderungen an einzelne Maßnahmen vorgeben. Unternehmen sollten daher neben dem BSIG auch die sektorbezogenen Vorgaben der Europäischen Union im Blick behalten.

Jetzt kostenlos und unverbindlich einen Beratungstermin buchen

Oder den NIS2 Kickstart anfordern