§ 30 BSIG erklärt: die zehn Maßnahmen nach NIS2

Was verlangt § 30 BSIG?

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten (Abs. 1 Satz 1). Bei einem Hersteller sind das seine IT und seine Fertigung.

Was verhältnismäßig ist, richtet sich nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle und deren gesellschaftlichen und wirtschaftlichen Auswirkungen (Satz 2). Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen; sie müssen auf einem gefahrenübergreifenden Ansatz beruhen (Abs. 2 Satz 1). Die Einhaltung ist zu dokumentieren (Abs. 1 Satz 3).

Für wen gilt § 30 BSIG?

Für besonders wichtige und wichtige Einrichtungen nach § 28. Ob ein Unternehmen dazugehört, hängt an seiner Einrichtungsart aus Anlage 1 oder 2 und an seiner Größe; die Schwellen stehen in der Tabelle. Partner- und verbundene Unternehmen zählen nach der KMU-Empfehlung 2003/361/EG in der Regel mit (§ 28 Abs. 4).

Ausgenommen sind Telekommunikationsanbieter, Betreiber von Energienetzen und Energieanlagen unter §§ 5c bis 5e EnWG (§ 28 Abs. 5) und Finanzunternehmen unter DORA (§ 28 Abs. 6), soweit sie keine weiteren Tätigkeiten aus Anlage 1 oder 2 ausüben.

Für Gerätehersteller zählt Anlage 2 Nr. 5, das verarbeitende Gewerbe. Ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme ist ein Hersteller aus diesen Zweigen eine wichtige Einrichtung:

NACE C 26

Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse

NACE C 27

Elektrische Ausrüstungen

NACE C 28

Maschinenbau

NACE C 29

Kraftwagen und Kraftwagenteile

Welche Maßnahmen nennt § 30 Abs. 2 BSIG?

Absatz 2 Satz 2 zählt auf, was die Maßnahmen zumindest umfassen müssen. Die Liste ist nah am Wortlaut.

1. 1

   Risikoanalyse

   Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik.

2. 2

   Sicherheitsvorfälle

   Bewältigung von Sicherheitsvorfällen.

3. 3

   Betrieb aufrechterhalten

   Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

4. 4

   Lieferkette

   Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern.

5. 5

   Erwerb, Entwicklung, Wartung

   Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen.

6. 6

   Wirksamkeit prüfen

   Konzepte und Verfahren, um die Wirksamkeit der Risikomanagementmaßnahmen zu bewerten.

7. 7

   Schulung

   Grundlegende Schulungen und Sensibilisierung zur IT-Sicherheit.

8. 8

   Kryptographie

   Konzepte und Prozesse für den Einsatz kryptographischer Verfahren.

9. 9

   Personal und Zugriff

   Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen.

10. 10

    Authentifizierung und Kommunikation

    Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und, wo nötig, gesicherte Notfallkommunikation.

Gelten für IT-Dienstleister genauere Vorgaben?

Für DNS-Diensteanbieter, Cloud- und Rechenzentrumsanbieter, Managed Service Provider, Managed Security Service Provider und einige weitere digitale Anbieter hat die Durchführungsverordnung (EU) 2024/2690 der Kommission Vorrang (§ 30 Abs. 3). Sie legt die technischen und methodischen Anforderungen an die zehn Maßnahmen für diese Einrichtungsarten genauer fest.

Haftet die Geschäftsleitung nach § 38 BSIG?

Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1). Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform (Abs. 2). Sie muss außerdem regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagement in der IT-Sicherheit beurteilen zu können (Abs. 3).

Welche Bußgelder drohen bei Verstößen gegen § 30?

Ordnungswidrig handelt, wer eine Maßnahme nach § 30 Abs. 1 Satz 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift oder die Einhaltung nicht, nicht richtig oder nicht vollständig dokumentiert (§ 65 Abs. 2 Nr. 2 und 3).

Muss ich mich registrieren und die Umsetzung nachweisen?

Registrieren müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die Registrierungsmöglichkeit von BSI und BBK (§ 33 Abs. 1). Wer schon am 06.12.2025 dazugehörte, hatte bis zum 06.03.2026 Zeit.

Einen Nachweis gegenüber dem BSI verlangt § 39 nur von Betreibern kritischer Anlagen: durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, erstmals zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre. Dokumentieren müssen alle Einrichtungen (§ 30 Abs. 1 Satz 3). Von anderen besonders wichtigen Einrichtungen kann das BSI frühestens drei Jahre nach Inkrafttreten Nachweise anfordern (§ 61 Abs. 3).

Was hat Firmware mit § 30 BSIG zu tun?

Steuerungen, Gateways, Router und Sensoren gehören bei vielen Einrichtungen zu den Systemen, mit denen sie ihre Dienste erbringen. Drei der zehn Nummern betreffen deshalb auch ihre Firmware: Nr. 4 die Lieferkette, dazu gehört auch, was der Lieferant in das Gerät eingebaut hat; Nr. 5 Erwerb und Wartung samt Management von Schwachstellen, dazu gehört auch, welche bekannten Lücken die eingebauten Komponenten haben; Nr. 8 den Einsatz kryptographischer Verfahren im Gerät.

LegacyMind ordnet die Befunde aus einem Firmware-Image diesen Nummern zu: zu Nr. 5 und Nr. 8 trifft der Bericht eine Feststellung, für Nr. 4 liest er die Stückliste aus dem Image. Die übrigen Nummern sind Maßnahmen der Einrichtung, die in keiner Datei stehen.

Was ist der Unterschied zwischen § 30 BSIG und dem CRA?

§ 30 BSIG verpflichtet eine Einrichtung, ihren eigenen Betrieb abzusichern. Der Cyber Resilience Act verpflichtet den Hersteller eines Produkts, es sicher zu entwickeln und Schwachstellen über den Unterstützungszeitraum zu behandeln. Ein Hersteller aus Anlage 2 kann beides tragen: für seine Produkte den CRA, für die eigene IT und Fertigung § 30 BSIG.