§ 30 BSIG: zehn Pflichtbereiche und wie Sie die Umsetzung belegen

Welche Pflichten NIS2 insgesamt mit sich bringt, steht in der Übersicht der NIS2-Anforderungen; in welcher Reihenfolge Sie vorgehen, im NIS2-Maßnahmenplan.

Kurzantwort: für wen gilt § 30 BSIG und was verlangt er?

§ 30 BSIG gilt für besonders wichtige und wichtige Einrichtungen. Ob Ihr Unternehmen dazu gehört, klären Sie mit der Betroffenheitsprüfung. Für einige Einrichtungen gilt § 30 nach § 28 Abs. 5 und 6 nicht, etwa für Telekommunikationsanbieter (TK-Anbieter unter NIS2 und TKG), bestimmte Energieunternehmen und Finanzunternehmen nach DORA; die Ausnahmen und ihre Grenzen erklärt die Betroffenheitsprüfung.

Verlangt sind drei Dinge:

• Maßnahmen ergreifen, die geeignet, verhältnismäßig und wirksam sind, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit Ihrer IT zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten (Abs. 1 Satz 1).
• Zehn Bereiche abdecken: „Die Maßnahmen müssen zumindest Folgendes umfassen“, heißt es in Abs. 2 Satz 2, gefolgt von den Nummern 1 bis 10. Die Maßnahmen sollen den Stand der Technik einhalten, einschlägige Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen (Abs. 2 Satz 1).
• Einhaltung dokumentieren (Abs. 1 Satz 3). Fehlende Maßnahmen und fehlende Dokumentation sind jeweils eigene Bußgeldtatbestände nach § 65 BSIG.

Die Pflicht gilt seit dem Inkrafttreten des BSIG am 06.12.2025 durch das NIS2-Umsetzungsgesetz, ohne allgemeine Übergangsfrist und unabhängig davon, ob Sie schon registriert sind.

Wie viel Aufwand angemessen ist, bemisst das Gesetz an der Risikoexposition, der Größe der Einrichtung, den Umsetzungskosten sowie an Eintrittswahrscheinlichkeit, Schwere und Auswirkungen von Sicherheitsvorfällen (Abs. 1 Satz 2). Für ein Unternehmen mit 60 Beschäftigten kann danach ein anderes Maßnahmenniveau angemessen sein als für einen Konzern. Es sollte aber begründen können, warum seine Maßnahmen zu seinem Risiko passen.

Die zehn Bereiche mit geeigneten Nachweisbeispielen

Die Tabelle trennt drei Ebenen. Gesetzliche Pflicht ist nur der Wortlaut von § 30 Abs. 2 Satz 2 BSIG. Welche Dokumente die Umsetzung belegen, schreibt § 30 nicht vor. Die geeigneten Nachweisbeispiele sind unsere fachliche Empfehlung; wo das BSI etwas empfiehlt, steht es dabei. Das Blackfort-Beispiel zeigt, wie ein fiktiver Maschinenbauer mit 180 Beschäftigten den Bereich belegt hat.

Die Nummern 1 bis 10 entsprechen in gleicher Reihenfolge den Buchstaben a bis j in Art. 21 Abs. 2 der NIS2-Richtlinie. Der deutsche Wortlaut weicht an einigen Stellen ab: Nr. 7 spricht von Schulungen und Sensibilisierung, die Richtlinie zusätzlich von Cyberhygiene; Nr. 9 verlangt die „Erstellung von Konzepten“. Für Ihre Dokumentation zählt der Wortlaut des BSIG.

Checkliste § 30 BSIG als Excel

Die Checkliste bildet die zehn Bereiche und die Dokumentationspflicht als Tabelle ab. Sie tragen je Bereich Verantwortliche, Status, Nachweise und das Datum des jüngsten Nachweises ein. Ein zweites Blatt zeigt dieselbe Tabelle ausgefüllt für das fiktive Beispielunternehmen.

Version 1.1 vom 06.11.2026, Rechtsstand BSIG in der Fassung vom 22.10.2026. Checkliste herunterladen: Excel (xlsx)

Sie dürfen diese Vorlage im eigenen Unternehmen nutzen und anpassen. Eine Veröffentlichung oder ein Weiterverkauf ist nicht gestattet.

Inhalt der Datei:

• Deckblatt: Version, Stand, Rechtsstand, Anleitung in fünf Schritten, Hinweis, dass die Checkliste keine Rechtsberatung ist, Nutzungshinweis.
• Checkliste: Spalten Nr., Bereich, Wortlaut kurz, Status (Auswahl: offen, in Arbeit, umgesetzt, geprüft (wirksam)), Verantwortlich, Nachweis, Fundstelle, Datum.
• Beispiel: ausgefüllte Fassung, als fiktiv gekennzeichnet.

Vorschau des Blatts „Beispiel“ (Auszug, fiktives Unternehmen):

So nutzen Sie die Checkliste: Tragen Sie zuerst für jeden Bereich eine verantwortliche Person ein. Nennen Sie dann je Bereich die vorhandenen Dokumente mit Titel, Version und Ablageort. Wo nichts vorliegt, bleibt der Status „offen“. Legen Sie die Liste mindestens vierteljährlich der Geschäftsleitung vor: Sie muss die Umsetzung nach § 38 Abs. 1 BSIG überwachen, und die fortgeschriebene Liste zeigt, dass sie das tut. Mehr dazu auf der Seite zu den Pflichten der Geschäftsleitung.

Die Checkliste ist eine Arbeitshilfe. Sie ersetzt keine Risikoanalyse, und eine vollständig ausgefüllte Liste belegt für sich nicht, dass die Maßnahmen geeignet und wirksam sind.

Beispiel: ein Maschinenbauer arbeitet die zehn Bereiche ab

Fiktives Beispiel, kein Kunde. Ein Maschinenbauer mit 180 Beschäftigten, eigener Fertigungs-IT, ERP-System und einer IT-Abteilung mit drei Personen ist als wichtige Einrichtung eingestuft (Anlage 2, Maschinenbau). Die Geschäftsführung lässt im Herbst 2026 mit der Checkliste prüfen, was zu jedem Bereich vorliegt.

Ergebnis: drei Bereiche sind belegt (1, 7, 10), fünf in Arbeit (2, 3, 5, 9 und die Dokumentation), drei offen (4, 6, 8). Die IT hatte vieles umgesetzt, aber kaum aufgeschrieben. Die Geschäftsführung beschließt, die offenen Bereiche mit Verantwortlichen und Terminen in den Maßnahmenplan aufzunehmen, beginnend mit der Lieferkette, weil dort Verträge mit langen Laufzeiten betroffen sind.

Typische Lücken bei § 30 BSIG

Für wen gelten abweichende Regeln?

Digitale Einrichtungsarten: Für elf digitale Einrichtungsarten, etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, hat die Durchführungsverordnung (EU) 2024/2690 Vorrang (§ 30 Abs. 3); welche das sind, steht im Sektorenverzeichnis. Ihr Anhang regelt die zehn Bereiche in 13 Kapiteln deutlich genauer, etwa die mindestens jährliche Überprüfung des Sicherheitskonzepts durch die Leitungsorgane. Wer eine Anforderung, die dort „soweit angemessen“ gilt, nicht anwendet, muss die Begründung nachvollziehbar dokumentieren.

Betreiber kritischer Anlagen: Für sie gelten auch Maßnahmen über das Schutzniveau besonders wichtiger Einrichtungen hinaus als verhältnismäßig, und sie müssen Systeme zur Angriffserkennung einsetzen (§ 31 BSIG). Nachweise erbringen sie alle drei Jahre nach § 39 BSIG.

Alle anderen Einrichtungen weisen die Umsetzung nur nach, wenn das BSI es anordnet. Die Dokumentation sollte trotzdem jederzeit vorliegen, weil § 30 sie unabhängig von einer Prüfung verlangt.

Schreibt § 30 einen Standard vor?

Nein. Die Methode der Risikoanalyse ist frei, und der IT-Grundschutz ist nach Aussage des BSI nicht für alle verpflichtend. Eine umfassend umgesetzte ISO 27001 deckt nach dem BSI regelmäßig einen großen Teil der Maßnahmen nach § 30 ab, erfüllt aber nicht automatisch alle Pflichten: Registrierung, Meldefristen, Verantwortung und Schulung der Geschäftsleitung sind nicht Teil der Norm. Wie Grundschutz und NIS2 zusammenspielen, erklärt Grundschutz-Readiness: NIS2 und IT-Grundschutz.

Eine „NIS2-Zertifizierung“ gibt es nicht. Zertifikate nach ISO 27001 oder IT-Grundschutz können den Nachweis erleichtern, müssen aber gegen die zehn Bereiche geprüft und gegebenenfalls ergänzt werden.

Diese Seite ist eine allgemeine Information und keine Rechtsberatung. Ob und in welchem Umfang § 30 BSIG für Ihre Einrichtung gilt, ist im Einzelfall zu prüfen.