Die 10 Mindestmaßnahmen nach §30 BSIG in Klartext

§30 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) verpflichtet NIS2-betroffene Unternehmen zu zehn Kategorien von Risikomanagementmaßnahmen. Der Gesetzestext beschreibt was erreicht werden muss, nicht wie – das lässt bewusst Spielraum für die Größe und das Risikoprofil des jeweiligen Unternehmens. Genau dieser Spielraum sorgt aber auch für Verunsicherung: Ohne Übersetzung in konkrete Schritte bleibt der Gesetzestext abstrakt. Diese Übersicht schafft diese Übersetzung – mit einer realistischen Einstiegsreihenfolge für ein Unternehmen, das bei null anfängt.

Die Prioritätenfrage zuerst: womit anfangen?

Nicht alle zehn Maßnahmen sind gleich dringend oder gleich aufwändig. Für ein Unternehmen ohne bestehende Sicherheitsdokumentation empfiehlt sich diese Reihenfolge: zuerst Zugriffskontrolle und Multi-Faktor-Authentifizierung (schnell umsetzbar, hoher Sicherheitsgewinn), dann Risikoanalyse und Vorfallsbewältigung (Grundlage für alles Weitere), danach Schulung und Cyberhygiene (günstig, wirksam), erst zuletzt die aufwändigeren Themen wie Business Continuity und Lieferkettensicherheit, die mehr organisatorische Vorarbeit brauchen.

Die zehn Maßnahmenkategorien im Detail

1. Risikoanalyse und Sicherheitskonzept

Ein dokumentiertes, regelmäßig aktualisiertes Verständnis davon, welche Risiken für Ihr Unternehmen bestehen und wie Sie ihnen begegnen. In der Praxis: ein Risikoregister mit Wahrscheinlichkeit, Schadenshöhe und zuständiger Person je Risiko, vierteljährlich überprüft statt einmal erstellt und archiviert.

2. Bewältigung von Sicherheitsvorfällen

Ein Plan, der vor einem Vorfall existiert, nicht während. In der Praxis: klare Zuständigkeiten (wer entscheidet, wer meldet, wer informiert Betroffene), ein Vorfalls-Log zur Dokumentation, Kenntnis der Meldefristen (24/72 Stunden).

3. Aufrechterhaltung des Betriebs (Business Continuity)

Was passiert, wenn ein zentrales System ausfällt? In der Praxis: ein einfacher Notfallplan für die wichtigsten 2 bis 3 Systeme (nicht für alles), regelmäßig getestete Backups, ein alternativer Kommunikationsweg, falls E-Mail ausfällt.

4. Sicherheit der Lieferkette

Bewertung der Sicherheit direkter Zulieferer, insbesondere solcher mit Zugriff auf sensible Daten oder kritische Systeme. In der Praxis: Kategorisierung nach Kritikalität, gestaffelte Fragebögen, regelmäßiges Re-Audit für kritische Zulieferer.

5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen

Sicherheitsaspekte von Anfang an mitdenken, statt nachträglich zu reparieren. In der Praxis: Sicherheitsupdates zeitnah einspielen, neue Software vor Einführung auf Zugriffsrechte und Datenverarbeitung prüfen.

6. Bewertung der Wirksamkeit der Maßnahmen

Nicht nur Maßnahmen einführen, sondern regelmäßig prüfen, ob sie tatsächlich wirken. In der Praxis: ein jährlicher Review aller zehn Kategorien, dokumentiert, mit erkennbaren Verbesserungen gegenüber dem Vorjahr.

7. Grundlegende Verfahren der Cyberhygiene und Schulung

Regelmäßige Sensibilisierung der Mitarbeitenden. In der Praxis: kurze, wiederkehrende Schulungseinheiten statt einmaliger Jahresvideos, Dokumentation der Teilnahme.

8. Kryptografie und Verschlüsselung

Angemessener Einsatz von Verschlüsselung für sensible Daten, in Ruhe und bei Übertragung. In der Praxis: HTTPS überall, verschlüsselte Backups, Verschlüsselung sensibler Dateien vor externem Versand.

9. Personalsicherheit, Zugriffskontrolle und Anlagenmanagement

Wer darf auf was zugreifen, und wird das konsequent durchgesetzt und dokumentiert? In der Praxis: ein aktuelles Verzeichnis der IT-Assets, Zugriffsrechte nach dem Prinzip der minimal nötigen Berechtigung, Entzug von Zugriffsrechten bei Austritt.

10. Multi-Faktor-Authentifizierung und sichere Kommunikation

MFA für kritische Systeme, sichere Kommunikationswege für Notfälle. In der Praxis: MFA mindestens für E-Mail, Cloud-Speicher und Verwaltungszugänge; ein definierter alternativer Kommunikationsweg für den Fall, dass die reguläre IT-Infrastruktur kompromittiert ist.