Beratung und Umsetzung für besonders wichtige und wichtige Einrichtungen

NIS2 Maßnahmen: die zehn Pflichten aus Artikel 21 und § 30 BSIG

Seit Dezember 2025 verpflichtet § 30 BSIG besonders wichtige und wichtige Einrichtungen zu zehn Mindestmaßnahmen, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung.

  • 01Alle zehn Mindestmaßnahmen aus § 30 BSIG abgedeckt und priorisiert
  • 02Risikoanalyse, Incident Response und Notfallmanagement aus einer Hand
  • 03Wirksamkeit belegt durch Tests, Audits und Kennzahlen
  • 04Nachweisfähige Dokumentation für Prüfungen durch das BSI
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

NIS2 Maßnahmen nach Artikel 21: was Unternehmen umsetzen müssen

Artikel 21 der NIS2-Richtlinie, in Deutschland umgesetzt in § 30 BSIG, verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Sie sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit Ihrer IT-Systeme vermeiden und die Auswirkungen von Sicherheitsvorfällen gering halten. Das Gesetz nennt zehn Mindestmaßnahmen: Konzepte zur Risikoanalyse und IT-Sicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Schulungen und Sensibilisierung, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Asset Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz, erfassen also auch physische Risiken wie Feuer oder Stromausfall, und ihre Umsetzung ist zu dokumentieren.

Wir beginnen mit einer Bestandsaufnahme gegen alle zehn Maßnahmen, priorisieren die Lücken nach Risiko, Aufwand und Prüfrelevanz und setzen die Maßnahmen gemeinsam mit IT, Fachbereichen und Geschäftsleitung um. Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Wir bereiten sie darauf vor.

Für die Vertiefung einzelner Pflichten gibt es eigene Leistungen: NIS2 Risikoanalyse, NIS2 Incident Response, NIS2 Business Continuity Management, NIS2 Krisenmanagement und NIS2 Lieferkettensicherheit.

2 Leistungsbausteine

Leistungsumfang

01

Cybersicherheitsstrategie und technische Schutzmaßnahmen

Entwicklung und Implementierung einer umfassenden Cybersicherheitsstrategie mit allen erforderlichen technischen Sicherheitsmaßnahmen gemäß NIS2-Anforderungen.

  • Multi-Faktor-Authentifizierung und Zugangskontrollen
  • Verschlüsselung und Konzepte für kryptografische Verfahren
  • Netzsegmentierung und Perimeterschutz
  • Schwachstellen- und Patchmanagement
02

Risikomanagement und Incident Response

Aufbau belastbarer Risikomanagementprozesse und einer Incident Response, die Sicherheitsvorfälle schnell erkennt, eindämmt und fristgerecht an das BSI meldet.

  • Cyber-Risikobewertung und -management
  • Incident-Response-Pläne und Krisenmanagement
  • Business Continuity und Wiederherstellung nach einem Notfall
  • Kontinuierliche Überwachung und Auswertung von Bedrohungsinformationen

5 Phasen

Unser Vorgehen

Wir implementieren NIS2-Sicherheitsmaßnahmen systematisch mit einem ganzheitlichen Ansatz, der alle Dimensionen der Cybersicherheit abdeckt.

  1. Bestandsaufnahme gegen alle zehn Maßnahmen aus § 30 BSIG mit Risikoanalyse

  2. Priorisierter Maßnahmenplan nach Risiko, Aufwand und Prüfrelevanz

  3. Phasenweise Umsetzung technischer und organisatorischer Maßnahmen

  4. Wirksamkeitsprüfung durch Tests, Audits und Kennzahlen

  5. Schulung von Geschäftsleitung und Beschäftigten, Dokumentation für den Nachweis

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn
Effektive NIS2-Sicherheitsmaßnahmen entstehen durch die intelligente Integration von Technologie, Prozessen und Menschen. Unser ganzheitlicher Ansatz gewährleistet nicht nur Compliance, sondern schafft nachhaltige Cybersicherheits-Exzellenz.
Expertenmeinung von ADVISORI

Unsere Expertise

  • 01Tiefgreifende Expertise in den NIS2-Anforderungen und in der praktischen Umsetzung von Cybersicherheit
  • 02Bewährte Methodiken für komplexe Sicherheitstransformationen
  • 03Branchenspezifische Erfahrung in verschiedenen kritischen Sektoren
  • 04Integrierter Ansatz für Technologie, Prozesse und Organisationsentwicklung

Gefahrenübergreifender Ansatz nach § 30 BSIG

§ 30 BSIG verlangt einen gefahrenübergreifenden Ansatz: Neben Cyberangriffen zählen auch Systemfehler, menschliche Fehler, Diebstahl, Feuer, Wasser und Stromausfälle. Eine Maßnahme gilt erst dann als erfüllt, wenn sie wirksam ist und ihre Umsetzung dokumentiert ist.

Weiterführend

Verwandte Leistungen

6 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Maßnahmen

Welche 10 Maßnahmen verlangt NIS2 nach Artikel 21?

Artikel 21 Absatz 2 der NIS2-Richtlinie, in Deutschland § 30 Absatz 2 BSIG, verpflichtet besonders wichtige und wichtige Einrichtungen zu mindestens zehn Maßnahmen: (1) Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik, (2) Bewältigung von Sicherheitsvorfällen (Incident Response), (3) Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement, (4) Sicherheit der Lieferkette, (5) Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement, (6) Konzepte und Verfahren zur Bewertung der Wirksamkeit, (7) grundlegende Schulungen und Sensibilisierung, (8) Konzepte für kryptografische Verfahren, (9) Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen (Asset Management), (10) Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikation.

Was ist der Unterschied zwischen technischen und organisatorischen NIS2-Maßnahmen?

Technische NIS2-Maßnahmen wirken direkt auf IT-Systeme: Netzsegmentierung, Verschlüsselung, Multi-Faktor-Authentifizierung, Firewalls, Protokollierung und Backups. Organisatorische Maßnahmen regeln Verantwortung und Abläufe: Sicherheitskonzepte, Schulungen, Rollen, Lieferantenverträge und Notfallpläne. § 30 Abs. 1 BSIG verlangt technische und organisatorische Maßnahmen gemeinsam. Weder reine Technik noch reine Dokumentation erfüllt die Pflicht.

Was unterscheidet besonders wichtige und wichtige Einrichtungen bei den NIS2 Maßnahmen?

Die zehn Maßnahmen nach § 30 BSIG gelten für beide Kategorien gleich. Unterschiede bestehen bei Aufsicht und Bußgeld: Bei besonders wichtigen Einrichtungen kann das BSI Prüfungen anordnen und Nachweise anfordern, regelmäßige Nachweise frühestens drei Jahre nach Inkrafttreten (§ 61 BSIG); bei wichtigen Einrichtungen wird es nur tätig, wenn Tatsachen auf einen Verstoß hindeuten (§ 62 BSIG). Für Verstöße gegen zentrale Pflichten wie die Maßnahmenpflicht sieht § 65 BSIG bei besonders wichtigen Einrichtungen Geldbußen bis zu 10 Mio. Euro vor, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 2 % des Gesamtumsatzes. Bei wichtigen Einrichtungen sind es bis zu 7 Mio. Euro beziehungsweise 1,4 %.

Wie verhält sich NIS2 Art. 21 zu ISO 27001?

ISO 27001 und NIS2 Art. 21 überschneiden sich stark, sind aber nicht deckungsgleich. Eine ISO 27001-Zertifizierung erfüllt viele NIS2-Anforderungen (Risikoanalyse, Incident Management, Zugangskontrolle), deckt aber nicht alle NIS2-spezifischen Pflichten ab, z. B. die gesetzliche Meldepflicht gegenüber dem BSI oder spezifische Supply-Chain-Anforderungen. NIS2-pflichtige Unternehmen mit ISO 27001 haben dennoch einen erheblichen Umsetzungsvorsprung.

Wie wird die Wirksamkeit der NIS2 Maßnahmen bewertet und nachgewiesen?

§ 30 Abs. 2 Nr. 6 BSIG (Art. 21 Abs. 2 lit. f NIS2) verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit. In der Praxis heißt das: interne Audits, Penetrationstests, Schwachstellenscans, Kennzahlen und dokumentierte Überprüfungszyklen. Das BSI kann Nachweise anfordern; Einrichtungen müssen dann belegen, dass Maßnahmen nicht nur eingeführt, sondern wirksam sind.

Was bedeutet Verhältnismäßigkeit bei NIS2 Maßnahmen?

§ 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen. Für die Verhältnismäßigkeit zählen das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen. Die Maßnahmen sollen zudem den Stand der Technik einhalten. Verhältnismäßigkeit heißt nicht, Maßnahmen wegzulassen: Jede der zehn Maßnahmen ist zu adressieren, nur Umfang und Tiefe richten sich nach dem Risiko.