NIS-2-Anforderungen nach Artikel 21
NIS2-Anforderungen nach Artikel 21 der Richtlinie und § 30 BSIG: die zehn Mindestmaßnahmen erklärt und wie Sie sie mit IT-Grundschutz praktisch umsetzen.
Die NIS2-Anforderungen an die IT-Sicherheit stehen in Artikel 21 der EU-Richtlinie und in Deutschland in § 30 des BSI-Gesetzes. Sie verlangen keine bestimmte Technik, sondern «geeignete, verhältnismäßige und wirksame» Maßnahmen, die sich an Ihren Risiken und Ihrer Größe orientieren.
Die zehn Mindestbereiche
Das Gesetz nennt zehn Themen, die jedes betroffene Unternehmen abdecken muss: Risikoanalyse und Sicherheitskonzept, Umgang mit Sicherheitsvorfällen, Notfallvorsorge mit Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Wartung von IT, Überprüfung der Wirksamkeit, Schulungen, Verschlüsselung, Personal- und Zugriffsregeln samt Geräteverwaltung sowie Multi-Faktor-Anmeldung und sichere Kommunikation.
Was das praktisch heißt
Vieles davon ist bewährte Grundhygiene, die in kleinen und mittleren Betrieben oft schon teilweise vorhanden ist, aber selten vollständig und dokumentiert. Neu ist vor allem, dass Sie die Umsetzung nachweisen können müssen und die Geschäftsleitung dafür geradesteht.
Der nächste Schritt
Gleichen Sie Ihren Ist-Stand mit den zehn Bereichen ab und notieren Sie, wo etwas fehlt oder nicht dokumentiert ist. Daraus entsteht eine priorisierte Maßnahmenliste. Beginnen Sie mit den Punkten, die im Ernstfall am meisten schützen, etwa Datensicherung und Multi-Faktor-Anmeldung. Der IT-Grundschutz des BSI liefert für jeden Bereich passende Bausteine, an denen Sie sich orientieren können.
Rechtsgrundlage
Artikel 21 der Richtlinie (EU) 2022/2555 verpflichtet die Mitgliedstaaten, von wesentlichen und wichtigen Einrichtungen Risikomanagementmaßnahmen zu verlangen. In Deutschland setzt § 30 BSIG das um. Absatz 1 fordert «geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen», um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Vorfällen gering zu halten. Bei der Verhältnismäßigkeit zählen Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Die Einhaltung ist zu dokumentieren.
Absatz 2 verlangt, dass die Maßnahmen den Stand der Technik einhalten, einschlägige Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Sie umfassen mindestens zehn Bereiche.
Die zehn NIS2-Anforderungen im Einzelnen
1. Risikoanalyse und Sicherheitskonzepte
Eine nachvollziehbare Risikoanalyse und ein darauf aufbauendes Sicherheitskonzept. Orientierung bieten BSI-Standard 200-2 (Methodik) und 200-3 (Risikoanalyse), im IT-Grundschutz-Kompendium die Bausteine ISMS.1 und CON-Bausteine.
2. Bewältigung von Sicherheitsvorfällen
Prozesse zum Erkennen, Bewerten und Behandeln von Vorfällen, einschließlich der Meldewege nach § 32 BSIG. Im Kompendium: Schicht DER (Detektion und Reaktion).
3. Aufrechterhaltung des Betriebs und Krisenmanagement
Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement. Grundlage kann BSI-Standard 200-4 sein; für Datensicherung der Baustein CON.3.
4. Sicherheit der Lieferkette
Sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern: Auswahl, Verträge, Zugriffsrechte, Überprüfung. Im Kompendium etwa OPS.2.3 (Nutzung von Outsourcing).
5. Sicherheit bei Erwerb, Entwicklung und Wartung
Sicherheitsanforderungen bei Beschaffung und Betrieb von IT einschließlich Management und Offenlegung von Schwachstellen, also auch Patch- und Schwachstellenmanagement.
6. Bewertung der Wirksamkeit
Konzepte und Verfahren, mit denen Sie prüfen, ob die Maßnahmen wirken, zum Beispiel interne Audits, Kennzahlen oder technische Tests.
7. Schulungen und Sensibilisierung
Grundlegende Schulungen für alle Beschäftigten, getrennt von der Schulungspflicht der Geschäftsleitung nach § 38 BSIG. Im Kompendium: ORP.3.
8. Kryptografie
Konzepte und Prozesse für den Einsatz von Verschlüsselung, etwa für Datenträger, Übertragungen und Backups. Im Kompendium: CON.1.
9. Personalsicherheit, Zugriffskontrolle, Asset Management
Regeln für Ein- und Austritt, Rechtevergabe nach dem Prinzip der minimalen Rechte und ein aktuelles Verzeichnis der IT-Systeme. Im Kompendium etwa ORP.2, ORP.4.
10. Multi-Faktor-Authentifizierung und sichere Kommunikation
MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation innerhalb der Einrichtung.
Die Baustein-Kürzel beziehen sich auf die Edition 2023 des IT-Grundschutz-Kompendiums. Die Zuordnung ist eine Orientierungshilfe und kein amtliches Mapping; das BSI stellt in seinen NIS-2-Infopaketen eigene Hilfestellungen je Bereich bereit.
Konkretisierung durch die EU
Für bestimmte digitale Einrichtungsarten, darunter Cloud- und Rechenzentrumsdienste, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze und Vertrauensdienste, legt die Durchführungsverordnung (EU) 2024/2690 detaillierte technische und methodische Anforderungen fest. Wer zu diesen Gruppen gehört, sollte die Verordnung direkt heranziehen, weil sie über die allgemeine Formulierung des § 30 BSIG hinausgeht.
Umsetzung in der Praxis
Ist-Stand und Lückenanalyse
Erfassen Sie je Bereich, was vorhanden ist, was dokumentiert ist und wer verantwortlich ist. Eine einfache Tabelle mit Bewertung (umgesetzt, teilweise, offen) und Nachweisdokument genügt für den Anfang.
Geltungsbereich beachten
Die Maßnahmen gelten für die gesamte regulierte Einrichtung, nicht nur für einen ausgewählten Bereich. Das ist ein wichtiger Unterschied zu einem frei abgegrenzten ISMS.
Dokumentation und Nachweisfähigkeit
§ 30 BSIG verlangt die Dokumentation der Einhaltung. Das BSI kann Nachweise anfordern. Halten Sie Richtlinien, Risikoanalyse, Maßnahmenplan, Schulungsnachweise und Prüfberichte so vor, dass Sie sie kurzfristig vorlegen können.
Billigung durch die Leitung
Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen (§ 38 BSIG). Lassen Sie den Maßnahmenplan formal beschließen und berichten Sie regelmäßig über den Fortschritt.
Prioritäten für den Einstieg
Nicht alles muss gleichzeitig fertig sein, aber einige Punkte haben erfahrungsgemäß die größte Wirkung und sind Voraussetzung für die Meldepflicht:
- Multi-Faktor-Authentifizierung für Fernzugänge, E-Mail und Administratorkonten.
- Getestete, vom Netz getrennte Datensicherungen mit dokumentierter Wiederherstellung.
- Ein Ablauf für Sicherheitsvorfälle mit Zuständigkeiten, Erreichbarkeit und Meldeweg zum BSI.
- Ein aktuelles Verzeichnis der Systeme, Dienste und Dienstleister.
- Zeitnahes Einspielen von Sicherheitsupdates.
Darauf aufbauend folgen Risikoanalyse, Richtlinien, Lieferkettenregeln und die Wirksamkeitsprüfung.
Stand der Technik richtig verstehen
«Stand der Technik» meint Maßnahmen, die sich in der Praxis bewährt haben und am Markt verfügbar sind, nicht das technisch Neueste. Er verändert sich über die Zeit: Was vor einigen Jahren ausreichte, etwa reine Passwortanmeldung für Fernzugänge, gilt heute nicht mehr als angemessen. Deshalb sollten Sie Ihre Maßnahmen mindestens jährlich und nach größeren Vorfällen oder Veränderungen überprüfen. Hinweise zum aktuellen Stand geben unter anderem die BSI-Publikationen, Technische Richtlinien und branchenspezifische Sicherheitsstandards.
Häufige Fragen
Welche Maßnahmen verlangt NIS-2?
Mindestens zehn Bereiche nach Artikel 21 der Richtlinie bzw. § 30 Abs. 2 BSIG, von Risikoanalyse und Vorfallbewältigung über Backup, Lieferkette und Schulungen bis zu Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Muss ich für NIS-2 einen bestimmten Standard umsetzen?
Nein. Das Gesetz verlangt den Stand der Technik und die Berücksichtigung einschlägiger Normen, schreibt aber keinen Standard vor. IT-Grundschutz oder ISO 27001 sind geeignete Grundlagen.
Was bedeutet verhältnismäßig bei NIS-2?
Die Maßnahmen richten sich nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle. Ein mittelständischer Betrieb muss nicht dasselbe leisten wie ein Großkonzern, aber alle zehn Bereiche angemessen abdecken.