Maßnahmen nach §30 BSIG —
was konkret umgesetzt sein muss
§30 BSIG schreibt keine fertige Checkliste vor. Die Anforderung lautet: Maßnahmen müssen angemessen, verhältnismäßig und wirksam sein. Was das für ein mittelständisches Unternehmen konkret bedeutet — und in welcher Reihenfolge vorgegangen werden sollte.
Was §30 BSIG verlangt — und wo es bewusst vage bleibt
§30 BSIG nennt zehn Kategorien von Sicherheitsmaßnahmen. Darunter: Risikoanalyse, Incident-Management, Business Continuity, Lieferkettensicherheit, Zugangskontrollen, Kryptographie und Multi-Faktor-Authentifizierung. Das ist der Rahmen.
Was §30 BSIG nicht vorgibt, ist eine feste technische Tiefe. Die Anforderung lautet: Maßnahmen müssen zum Unternehmen passen — zur Größe, zum Risiko und zur Kritikalität der Dienste. Ein Unternehmen mit 60 Mitarbeitenden muss nicht dasselbe umsetzen wie ein Betreiber kritischer Energieinfrastruktur.
Angemessen bedeutet nicht minimal. Es bedeutet bewusst ausgewählt. Wer begründen kann, warum eine Maßnahme für das eigene Unternehmen passt — oder warum eine andere nicht verhältnismäßig wäre — hat die richtige Haltung zu §30 BSIG.
Was zuerst — und was danach
Nicht alle zehn Kategorien sind gleichgewichtig. Für den Einstieg gibt es Maßnahmen, die den größten Schutz bei überschaubarem Aufwand bringen — und die im Prüffall zuerst nachgefragt werden.
"Vorhanden" bedeutet nicht automatisch auch "wirksam" nach §30.
Eine eingerichtete Maßnahme inklusive Risiko- und Asset-Bezug, klarer Zuordnung von Owner und Gesamtverantwortung, ist der Start. Entscheidend ist, ob die betriebliche Umsetzung gelingt — und ob das Unternehmen die Wirksamkeit im Ereignisfall auch belegen kann.
MFA ist eingerichtet.
Backup läuft täglich.
Ein Dienstleister betreibt die IT.
Ein Vertrag liegt vor.
MFA wird überprüft — wer nutzt sie, wer nicht.
Backup wurde erfolgreich wiederhergestellt.
Der Dienstleister wird regelmäßig bewertet.
Der Vertrag wird auf Umsetzung geprüft.
Aktive NIS2-Umsetzung belegen können.
Das Ziel ist nicht Vollständigkeit auf dem Papier. Sondern nachvollziehbar zu zeigen, dass Maßnahmen bewusst ausgewählt, umgesetzt und überprüft werden.
Maßnahmenstand strukturiert erfassen
Das Maßnahmenpaket zeigt den aktuellen Stand übersichtlich — mit Ampelstatus, Zuständigen und Prüfterminen. Grundlage für den internen Review und die Prüfervorbereitung.
Noch keinen Überblick, welche Maßnahmen vorhanden sind? GAP-01 Gap-Übersicht als Einstieg →