NIS2 Anforderungen: Die 10 Sicherheitsmaßnahmen nach Art. 21 NIS2 im Detail

Art. 21(2) NIS2 verpflichtet wesentliche und wichtige Einrichtungen, zehn konkrete technische und organisatorische Maßnahmen zu ergreifen. Diese Maßnahmen gelten ab dem Zeitpunkt der Registrierung beim BSI und müssen verhältnismäßig, nachweisbar und dauerhaft wirksam sein.

---

Überblick: Was Art. 21 NIS2 verlangt

Artikel 21 der NIS2-Richtlinie (EU) 2022/2555 legt das Herzstück der operativen Pflichten fest. Absatz 1 verlangt einen risikobasierten Ansatz: Maßnahmen müssen „geeignet und verhältnismäßig" sein, gemessen an Schadensrisiko, Unternehmensgröße und Umsetzungskosten. Absatz 2 listet dann zehn Mindestmaßnahmen, die jede betroffene Einrichtung abdecken muss — unabhängig davon, ob sie als wesentlich oder wichtig eingestuft ist.

Das deutsche NIS2UmsuCG (Umsetzungsgesetz, in Kraft seit Oktober 2024) konkretisiert diese Anforderungen in nationalen Paragrafen und gibt dem BSI weitreichende Befugnisse zur Aufsicht. Die folgende Darstellung orientiert sich an der Nummerierung des Art. 21(2) NIS2 und zeigt für jede Maßnahme, was das BSI IT-Grundschutz-Kompendium dazu bietet.

---

Die 10 Maßnahmen nach Art. 21(2) NIS2

Maßnahme (a): Risikoanalyse und Sicherheitskonzepte

Was die Richtlinie verlangt: Einrichtungen müssen eine systematische Risikoanalyse durchführen und darauf basierende Sicherheitskonzepte erstellen und aktuell halten.

Kein anderer Punkt steht weiter vorne auf der Prioritätsliste — denn alle übrigen neun Maßnahmen bauen auf dem Ergebnis der Risikoanalyse auf. Eine Risikoanalyse im Sinne von Art. 21(2)(a) ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Sie muss Bedrohungsszenarien für die eigene Branche, die Kritikalität der betroffenen Dienste und den aktuellen Stand der Technik berücksichtigen.

Das BSI IT-Grundschutz-Kompendium adressiert dies primär über den Baustein ISMS.1 (Sicherheitsmanagement) und ORP.3 (Sensibilisierung und Schulung). Unternehmen, die bereits eine Erklärung zur Anwendbarkeit (Statement of Applicability) nach ISO 27001 führen, können diese als Ausgangspunkt nutzen, müssen sie aber um NIS2-spezifische Bedrohungsszenarien ergänzen.

Was Auditoren sehen wollen: Ein datiertes Risikoregister, das die Methodik beschreibt, Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit) je Asset definiert und Restrisiken mit Entscheidungen der Leitungsebene dokumentiert.

---

Maßnahme (b): Incident-Handling (Erkennung, Analyse, Eindämmung)

Was die Richtlinie verlangt: Verfahren zur Erkennung, Analyse, Eindämmung und Behebung von Sicherheitsvorfällen sowie zur Meldung erheblicher Vorfälle.

NIS2 macht die Meldekaskade zum zentralen Element: Innerhalb von 24 Stunden muss eine Frühwarnung an das BSI erfolgen, nach 72 Stunden ein Erstbericht und nach einem Monat ein Abschlussbericht. Für Betreiber kritischer Anlagen gelten zusätzlich nationale Regelungen.

Das Incident-Response-Konzept muss Eskalationspfade, Kommunikationsverantwortliche und technische Sofortmaßnahmen beschreiben. Relevanter BSI-Baustein: DER.2.1 (Incident Management) und DER.2.2 (Vorsorge für die IT-Forensik).

Achtung: Die 24-Stunden-Frist beginnt mit dem Zeitpunkt der Kenntnisnahme, nicht mit der Entdeckung. Eine unklare Zuständigkeitskette ist damit ein Compliance-Risiko.

---

Maßnahme (c): Business Continuity und Krisenmanagement

Was die Richtlinie verlangt: Maßnahmen zur Aufrechterhaltung des Betriebs bei Sicherheitsvorfällen, einschließlich Backup-Management, Notfallwiederherstellung und Krisenmanagement.

Im deutschen Recht wird diese Maßnahme durch §11 NIS2UmsuCG konkretisiert. Gefordert sind: regelmäßige Backups mit definierten Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO), getestete Notfallpläne und ein Krisenstab mit klaren Entscheidungskompetenzen.

BSI IT-Grundschutz bietet hierfür den Baustein BCM (Business Continuity Management) und CON.3 (Datensicherungskonzept). Backup-Tests müssen dokumentiert werden — die bloße Existenz einer Backup-Lösung genügt nicht.

Häufiger Fehler: Backups werden angelegt, aber nie wiederherstellungsgetestet. Ein Backup ohne validierten Restore-Prozess hat für Auditoren keinen Nachweisvert.

---

Maßnahme (d): Sicherheit der Lieferkette

Was die Richtlinie verlangt: Maßnahmen zur Absicherung der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen Einrichtungen und ihren direkten Lieferanten oder Dienstleistern.

§28 NIS2UmsuCG setzt diese Pflicht für Deutschland um. Einrichtungen müssen ihre direkten Zulieferer und IKT-Dienstleister nach Risikokriterien bewerten. Dies bedeutet: Sicherheitsklauseln in Verträgen, Lieferantenbewertungen und regelmäßige Überprüfung der Sicherheitslage der wichtigsten Zulieferer.

Der BSI-Baustein CON.9 (Informationsaustausch) und OPS.2.3 (Nutzung von Outsourcing) sind hier maßgeblich. Besondere Aufmerksamkeit gilt Managed Service Providern (MSPs), die Zugriff auf kritische Systeme haben.

Was nicht verlangt wird: NIS2 schreibt keine vollständige Supply-Chain-Zertifizierung aller Lieferanten vor. Eine risikobasierte Priorisierung ist zulässig und sachgerecht.

---

Maßnahme (e): Sicherheit bei Beschaffung, Entwicklung und Wartung von IKT-Systemen

Was die Richtlinie verlangt: Sicherheitsanforderungen bei der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich des Umgangs mit Schwachstellen.

Wer Software entwickelt, muss einen Secure Development Lifecycle (SDLC) nachweisen. Wer Software beschafft, muss Sicherheitsanforderungen in Ausschreibungen verankern und Patch-Management-Prozesse betreiben. Art. 21(2)(e) ist eng verzahnt mit dem Cyber Resilience Act (CRA), der für Hersteller von Produkten mit digitalen Elementen eigene Pflichten schafft — hier sind noch harmonisierte Standards offen.

Relevante BSI-Bausteine: CON.8 (Software-Entwicklung), OPS.1.1.3 (Patch- und Änderungsmanagement).

---

Maßnahme (f): Überprüfung der Wirksamkeit der Maßnahmen

Was die Richtlinie verlangt: Strategien und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen des Risikomanagements im Bereich der Cybersicherheit.

Eine Maßnahme, die nicht überprüft wird, ist keine Maßnahme. Art. 21(2)(f) verlangt aktive Wirksamkeitsprüfung: interne Audits, Penetrationstests, Vulnerability Scans und ISMS-interne Bewertungen. Die Ergebnisse müssen dokumentiert und der Leitungsebene vorgelegt werden.

BSI IT-Grundschutz adressiert dies über DER.3.1 (Audits und Revisionen) und DER.3.2 (Revisionen auf Basis des Leitfadens IS-Revision). Wer nach IT-Grundschutz zertifiziert ist, hat diese Kontrollen bereits in den regulären ISMS-Zyklus integriert.

---

Maßnahme (g): Cyber-Hygiene und Schulungen

Was die Richtlinie verlangt: Grundlegende Cyber-Hygiene-Praktiken und Cybersicherheitsschulungen.

Art. 20 NIS2 geht hier deutlich weiter: Das Leitungsorgan — also Geschäftsführer, Vorstand oder vergleichbare Führungsebene — muss Schulungen zu Cybersicherheitsrisiken absolvieren. Die Schulungspflicht der Geschäftsleitung ist kein Kann, sondern ein Muss, und ihre Nichteinhaltung kann zur persönlichen Haftung führen.

Für die Belegschaft gilt: Awareness-Schulungen zu Phishing, sicherer Passwortverwaltung und Vorfallmeldung müssen nachweislich stattfinden. Frequenz und Inhalte sollten sich am aktuellen Bedrohungslagebericht des BSI orientieren, der jährlich erscheint.

BSI-Baustein: ORP.3 (Sensibilisierung und Schulung zur Informationssicherheit).

---

Maßnahme (h): Kryptographie und Verschlüsselung

Was die Richtlinie verlangt: Einsatz von Kryptographie und gegebenenfalls Verschlüsselung.

Art. 21(2)(h) legt keine konkreten Algorithmen fest — das bleibt bewusst technologieneutral. Maßgeblich ist der „Stand der Technik", der in Deutschland durch BSI-Technische Richtlinien (TR) konkretisiert wird. Relevant sind insbesondere die BSI TR-02102 (Kryptographische Verfahren: Empfehlungen und Schlüssellängen) und BSI TR-03116 (Kryptographische Vorgaben für Projekte der Bundesregierung).

Praktische Mindestanforderungen: TLS 1.2 oder höher für alle Übertragungen, Verschlüsselung ruhender Daten für kritische Informationen, Key-Management-Prozesse mit dokumentierten Schlüssellebenszyklen.

Offener Punkt: Die Auswirkungen von Post-Quanten-Kryptographie auf langfristige Compliance ist noch nicht abschließend geregelt. BSI TR-02102-1 enthält erste Empfehlungen, aber verbindliche Fristen fehlen noch.

---

Maßnahme (i): Personalsicherheit, Zugriffskontrolle und Asset-Management

Was die Richtlinie verlangt: Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Asset-Management.

Diese Maßnahme bündelt drei verwandte Bereiche: Hintergrundüberprüfungen und Sicherheitsüberprüfungen für kritische Rollen (soweit rechtlich zulässig), Prinzip der minimalen Rechtevergabe (Least Privilege), und ein vollständiges Inventar aller informationsverarbeitenden Assets.

BSI-Bausteine: ORP.4 (Identitäts- und Berechtigungsmanagement), OPS.1.1.2 (Ordnungsgemäße IT-Administration), ISMS.1 (Sicherheitsmanagement) für das Asset-Inventar.

Asset-Management bedeutet konkret: Jedes relevante System, jede Anwendung und jeder Datensatz muss einem Verantwortlichen zugeordnet sein. Veraltete Assets ohne aktiven Owner sind ein typisches Auditfinding.

---

Maßnahme (j): Multi-Faktor-Authentifizierung und sichere Kommunikation

Was die Richtlinie verlangt: Verwendung von Multi-Faktor-Authentifizierung (MFA) oder kontinuierlicher Authentifizierungslösungen sowie sichere Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikationssysteme.

MFA ist für privilegierte Zugänge, Fernzugriffe und kritische Verwaltungsschnittstellen obligatorisch. Die Formulierung „kontinuierliche Authentifizierung" öffnet die Tür für Zero-Trust-Architekturen, ohne diese explizit vorzuschreiben.

Für Notfallkommunikation — also Kommunikationskanäle, die auch bei einem Cyberangriff auf die Hauptinfrastruktur funktionieren — verlangt Art. 21(2)(j), dass belastbare Ausweichkanäle existieren. BSI-Baustein: OPS.1.2.4 (Telearbeit), INF.10 (Mobiler Arbeitsplatz) für sichere Remote-Kommunikation.

---

Übersichtstabelle: NIS2-Maßnahmen, BSI IT-Grundschutz und ISO 27001

Nr.	NIS2-Maßnahme (Art. 21(2))	BSI IT-Grundschutz-Baustein	ISO 27001:2022 Annex A
a	Risikoanalyse und Sicherheitskonzepte	ISMS.1, ORP.3	A.6.1, A.8.2
b	Incident-Handling	DER.2.1, DER.2.2	A.5.24, A.5.26
c	Business Continuity und BCM	BCM, CON.3	A.5.29, A.5.30
d	Sicherheit der Lieferkette	CON.9, OPS.2.3	A.5.19, A.5.20
e	Beschaffung und Entwicklung von IKT	CON.8, OPS.1.1.3	A.8.25, A.8.29
f	Wirksamkeitsprüfung der Maßnahmen	DER.3.1, DER.3.2	A.5.35, A.5.36
g	Cyber-Hygiene und Schulungen	ORP.3	A.6.3
h	Kryptographie und Verschlüsselung	CON.1 (BSI TR-02102)	A.8.24
i	Personalsicherheit, Zugriffskontrolle, Assets	ORP.4, OPS.1.1.2	A.5.9, A.5.15
j	MFA und sichere Kommunikation	OPS.1.2.4, INF.10	A.8.5, A.5.14

---

Unterschiede zwischen wesentlichen und wichtigen Einrichtungen

Beide Kategorien müssen alle zehn Maßnahmen nach Art. 21(2) NIS2 vollständig umsetzen. Der Unterschied liegt nicht im Pflichtenkatalog, sondern in der Aufsichtsintensität:

Merkmal	Wesentliche Einrichtungen (Annex I)	Wichtige Einrichtungen (Annex II)
Aufsichtsmodus	Proaktiv (anlasslos)	Reaktiv (bei Verdacht oder Vorfall)
Bußgeldrahmen	Bis 10 Mio. € oder 2 % Weltumsatz	Bis 7 Mio. € oder 1,4 % Weltumsatz
Audits	BSI kann jederzeit anordnen	Aufsicht primär nach Ereignis
Beispielbranchen	Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur	Post, Abfallwirtschaft, Chemie, Lebensmittel, Forschung

Die Betroffenheitsprüfung — also die Frage, ob und in welche Kategorie eine Einrichtung fällt — erfolgt nach §28 NIS2UmsuCG. Unternehmen sind verpflichtet, sich selbst zu prüfen und beim BSI zu registrieren. Eine Wartehaltung bis zur Aufforderung durch das BSI ist rechtlich riskant.

---

Was Auditoren konkret erwarten: Nachweisführung

Technische Maßnahmen sind notwendig, reichen aber allein nicht aus. NIS2-Compliance ist Dokumentations-Compliance. Auditoren des BSI oder externer Zertifizierungsstellen prüfen folgende Nachweise:

Dokumentationsartefakte:

• Aktuelles Risikoregister mit Datum der letzten Überprüfung
• Sicherheitskonzept (ISMS-Policy und untergeordnete Richtlinien)
• Schulungsnachweise für alle Mitarbeitenden und die Geschäftsleitung
• Protokolle der Business-Continuity-Tests (Datum, Testergebnis, Teilnehmer)
• Lieferantenverzeichnis mit Sicherheitsbewertung
• Audit-Berichte und Penetrationstest-Reports mit Maßnahmenplan
• MFA-Konfigurationsnachweis für privilegierte Accounts
• Incident-Response-Protokolle für alle gemeldeten Vorfälle

Prozessnachweise:

• Nachweislich gelebte Change-Management-Prozesse (Ticketsystem, Genehmigungen)
• Regelmäßige Managementreviews mit Protokoll und Entscheidungen
• Patchstände auf Systemen (technischer Nachweis, nicht nur Policy)

---

Häufige Umsetzungsfehler

1. Risikoanalyse ohne Aktualisierungszyklus: Eine einmalige Risikoanalyse bei Projektbeginn erfüllt Art. 21(2)(a) nicht dauerhaft. Sie muss bei wesentlichen Änderungen der Systemlandschaft oder nach Sicherheitsvorfällen überarbeitet werden.

2. Incident-Response-Plan existiert, wird aber nie getestet: Ein Dokument in einem SharePoint-Ordner ist kein Nachweis für ein funktionierendes Incident-Handling. Tabletop-Übungen und technische Übungen müssen dokumentiert stattfinden.

3. Lieferkettensicherheit auf Tier-1 beschränkt: Viele Einrichtungen bewerten nur direkte Hauptlieferanten. Art. 21(2)(d) schreibt keine unbegrenzte Tiefe vor, verlangt aber eine risikobasierte Betrachtung — und ein kompromittierter Subunternehmer des MSP ist ein eigenes Risiko.

4. MFA nur für externe Zugänge: Privilegierte interne Administrationszugänge ohne MFA sind ein regelmäßiges Auditfinding. Art. 21(2)(j) schränkt MFA nicht auf Fernzugriffe ein.

5. Schulungen der Geschäftsleitung vergessen: Art. 20 NIS2 ist eindeutig: Die Schulungspflicht gilt explizit für das Leitungsorgan. Reine Mitarbeiterschulungen erfüllen diese Pflicht nicht.

6. Keine BSI-Registrierung: Ohne aktive Selbstregistrierung beim BSI (Meldeportal MELDP) fehlt die Grundlage für die Meldekaskade. Die Registrierungspflicht besteht unabhängig davon, ob das BSI eine Einrichtung bereits kennt.

7. Kryptographische Verfahren nicht dokumentiert: Es genügt nicht, TLS einzusetzen. Die verwendeten Algorithmen, Schlüssellängen und deren Überprüfungsdatum müssen dokumentiert sein — BSI TR-02102 gibt den Bewertungsrahmen vor.

---

Weiterführende Ressourcen

Zur Vertiefung der NIS2-Umsetzung empfehlen sich folgende Beiträge:

• NIS2 Hub: Überblick über alle NIS2-Pflichten
• ISMS-Leitfaden: Informationssicherheits-Managementsystem aufbauen
• NIS2-Checkliste: Schritt-für-Schritt zur Compliance

Offizielle Quellen (kostenlos):

• BSI-Orientierungshilfen zu NIS2: bsi.bund.de
• BSI IT-Grundschutz-Kompendium: kostenfrei als PDF und im BSI-Webkurs verfügbar
• NIS2UmsuCG: Volltext im Bundesgesetzblatt
• BSI TR-02102: Technische Richtlinie Kryptographische Verfahren

---

Häufig gestellte Fragen (FAQ)

Welche Einrichtungen fallen unter die NIS2-Anforderungen?

Wesentliche Einrichtungen (Annex I NIS2) und wichtige Einrichtungen (Annex II NIS2) ab bestimmten Schwellenwerten — in der Regel ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz in kritischen Sektoren wie Energie, Transport, Gesundheit, digitale Infrastruktur und weitere. Die genaue Betroffenheitsprüfung erfolgt nach §28 NIS2UmsuCG.

Was sind die 10 Maßnahmen nach Art. 21(2) NIS2?

Art. 21(2) NIS2 listet: (a) Risikoanalyse und Sicherheitskonzepte, (b) Incident-Handling, (c) Business Continuity und Krisenmanagement, (d) Sicherheit der Lieferkette, (e) Sicherheit bei Beschaffung und Entwicklung von IKT, (f) Wirksamkeitsprüfung der Maßnahmen, (g) Cyber-Hygiene und Schulungen, (h) Kryptographie und Verschlüsselung, (i) Personalsicherheit, Zugriffskontrolle und Asset-Management sowie (j) MFA und sichere Kommunikation.

Haftet die Geschäftsleitung persönlich nach NIS2?

Ja. Art. 20 NIS2 verpflichtet das Leitungsorgan zur Genehmigung und Überwachung der Sicherheitsmaßnahmen. Bei wesentlichen Einrichtungen können Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, zusätzlich droht eine persönliche Haftung der Geschäftsführer.

Bis wann müssen NIS2-Maßnahmen umgesetzt sein?

Das NIS2UmsuCG gilt in Deutschland seit Oktober 2024. Einrichtungen, die erstmals unter den Anwendungsbereich fallen, haben nach der Registrierung beim BSI in der Regel drei Monate Zeit zur Erstumsetzung, müssen die Maßnahmen aber vollständig und dauerhaft nachweisen.

Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?

Beide Kategorien unterliegen denselben technischen und organisatorischen Pflichten nach Art. 21 NIS2. Der Unterschied liegt in der Aufsichtsintensität: Wesentliche Einrichtungen unterliegen proaktiver Aufsicht (z. B. anlasslosen Audits), wichtige Einrichtungen reaktiver Aufsicht (Prüfung erst bei Verdacht oder Vorfällen).

Welchen Mehrwert bietet der BSI IT-Grundschutz bei der NIS2-Umsetzung?

BSI IT-Grundschutz liefert für jede NIS2-Maßnahme konkrete Umsetzungshinweise in Form von Bausteinen und Anforderungen. Wer eine anerkannte IT-Grundschutz-Zertifizierung besitzt, kann viele NIS2-Nachweise direkt daraus ableiten. Das BSI hat zudem kostenlose Orientierungshilfen speziell für NIS2-Pflichten veröffentlicht.

Welche Meldepflichten bestehen bei Sicherheitsvorfällen unter NIS2?

Einrichtungen müssen erhebliche Vorfälle innerhalb von 24 Stunden als Frühwarnung an das BSI melden, innerhalb von 72 Stunden einen detaillierten Bericht einreichen und spätestens nach einem Monat einen Abschlussbericht vorlegen. Diese dreistufige Meldekaskade gilt für wesentliche und wichtige Einrichtungen gleichermaßen.

Muss für NIS2 eine ISO-27001-Zertifizierung vorliegen?

Nein, NIS2 schreibt keine spezifische Zertifizierung vor. Art. 24 NIS2 ermöglicht es Behörden jedoch, zertifizierte Produkte und Dienste anzuerkennen. Eine ISO-27001- oder BSI-IT-Grundschutz-Zertifizierung ist kein Pflichtnachweis, reduziert aber den Aufwand der behördlichen Prüfung erheblich, da viele Anforderungen bereits dokumentiert sind.