Risikoanalyse nach § 30 BSIG: Anforderungen und ausgefülltes Beispiel

Risikoanalyse und Sicherheitskonzept sind die erste der zehn Maßnahmen aus § 30 Abs. 2 BSIG. Alle zehn Maßnahmen im Überblick stehen auf der Seite § 30 BSIG, die Reihenfolge der Umsetzung im Maßnahmenplan. Rechtsstand: BSIG in der Fassung vom 22.10.2026. Die Seite ist allgemeine Information, keine Rechtsberatung.

Was verlangt § 30 Abs. 2 Nr. 1 BSIG?

Das Gesetz verlangt „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Satz 2 Nr. 1). Die NIS2-Richtlinie formuliert in Art. 21 Abs. 2 Buchst. a fast gleich: „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“.

Die Nummer steht nicht für sich. Sie konkretisiert die Grundpflicht aus § 30 Abs. 1: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, Komponenten und Prozesse zu vermeiden, die die Einrichtung für ihre Dienste nutzt. Drei weitere Vorgaben aus § 30 bestimmen, wie die Risikoanalyse aussehen muss:

• Verhältnismäßigkeit (Abs. 1 Satz 2): zu berücksichtigen sind Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen. Genau diese Größen liefert eine Risikoanalyse.
• Dokumentation (Abs. 1 Satz 3): Die Einhaltung ist zu dokumentieren.
• Gefahrenübergreifend (Abs. 2 Satz 1): Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen; sie sollen den Stand der Technik einhalten und einschlägige Normen berücksichtigen.

Die Pflicht gilt seit dem 06.12.2025 ohne allgemeine Übergangsfrist, unabhängig von der Registrierung beim BSI.

Wie ist die Pflicht auszulegen?

Die Methode ist frei. Das BSI schreibt dazu: „Bei der Wahl der Risikoanalysemethodik sind die Einrichtungen frei.“ Empfohlen wird eine Orientierung an bestehenden Standards, etwa BSI-Standard 200-3 oder ISO 27001. IT-Grundschutz ist für die NIS2-Umsetzung nicht verpflichtend.

Nach dem Infopaket des BSI gehören zu einer Risikoanalyse im Sinne von NIS2:

1. Kontext verstehen: Unternehmen, Anwendungsbereich, Beteiligte und ihre Anforderungen.
2. Werte erfassen und Risiken erkennen: schützenswerte Geschäftsprozesse, Informationen, Anwendungen, Systeme und Räume; Bedrohungen und Schwachstellen.
3. Risiken bewerten: Kategorien für Eintrittswahrscheinlichkeit und Auswirkung, Bewertungskriterien, Akzeptanzkriterien, Risikoeigentümer.
4. Risiken behandeln: vermeiden, verringern, übertragen oder akzeptieren; jeder Maßnahme eine verantwortliche Person.
5. Dokumentieren: Ergebnisse nachvollziehbar festhalten.
6. Regelmäßig überprüfen: bei Änderungen in der Organisation, nach Sicherheitsvorfällen und in festen Abständen.

Zwei Punkte unterscheiden die NIS2-Risikoanalyse von einer reinen ISO-Übung. Erstens gilt § 30 für die gesamte Einrichtung; ein frei gewählter, enger Anwendungsbereich reicht nicht. Zweitens weist das BSI darauf hin, dass ISO 27001 Risikoakzeptanz oder -transfer erlaubt, während das BSIG die Umsetzung angemessener, wirksamer und verhältnismäßiger Maßnahmen fordert. Ein Risiko nur zu akzeptieren, sollte deshalb die Ausnahme sein, begründet und von der Geschäftsleitung entschieden.

Zum zweiten Teil der Nummer, dem Sicherheitskonzept: Gemeint ist das übergeordnete Konzept für die Informationssicherheit, auch Sicherheitsleitlinie genannt. Es legt Ziele, Zuständigkeiten und Mittel fest, und die Risikoanalyse zeigt, wo es ansetzen muss.

Was ergänzt die Durchführungsverordnung 2024/2690?

Für elf digitale Einrichtungsarten, etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, hat die Durchführungsverordnung (EU) 2024/2690 nach § 30 Abs. 3 BSIG Vorrang; welche das sind, steht im Sektorenverzeichnis. Ihr Anhang regelt Nr. 1 in zwei Kapiteln:

Nach den Erwägungsgründen der Verordnung kommt das Akzeptieren eines Risikos nur in Ausnahmefällen in Betracht. Wer eine Anforderung, die nur „soweit angemessen“ gilt, nicht anwendet, muss die Begründung verständlich dokumentieren (Art. 2 Abs. 2). Für alle anderen Einrichtungen ist die Verordnung nicht verbindlich, beschreibt aber gut, was eine nachvollziehbare Risikoanalyse enthält. Das Beispiel unten folgt ihr deshalb.

Welche ISO-27001-Anforderungen entsprechen Nr. 1?

Die Risikobeurteilung steht in ISO/IEC 27001:2022 im Hauptteil, nicht im Anhang A. Die folgende Zuordnung ist unsere eigene Einordnung; ein amtliches Mapping veröffentlicht das BSI bisher nur für die Lieferkette. Den Vergleich von ISO 27001 und NIS2 insgesamt behandelt die Seite NIS2 und ISO 27001.

Wer mit IT-Grundschutz arbeitet: Wie sich NIS2 und Grundschutz++ zueinander verhalten, erklärt die Schwesterseite NIS2 und Grundschutz++ auf grundschutz-readiness.de.

Welche Nachweise eignen sich?

Es gibt kein vorgeschriebenes Nachweispaket. Ein Nachweis wird ohnehin nur auf Anordnung des BSI fällig. Geeignete Nachweisbeispiele, getrennt nach Herkunft:

Beispiel: Risikoanalyse einer Großbäckerei

Fiktives Beispiel, kein Kunde. Eine industrielle Großbäckerei mit 220 Beschäftigten beliefert Handelsketten. Als Lebensmittelunternehmen in der industriellen Produktion fällt sie unter Anlage 2 und ist wichtige Einrichtung. Drei Produktionslinien werden über einen Leitstand gesteuert, Bestellungen der Handelskunden kommen per EDI über einen Dienstleister, die Kühlhäuser werden elektronisch überwacht. Die IT besteht aus zwei Personen, die Lohnabrechnung macht ein externer Dienstleister, die Linien warten die Maschinenhersteller per Fernzugang.

Annahmen für die Bewertung: Ein Lieferausfall von mehr als 24 Stunden gefährdet Verträge mit den Handelsketten. Rezepturen sind Geschäftsgeheimnisse.

Arbeitsprodukt: ausgefüllte Risikoanalyse

1. Methode und Kriterien (angelehnt an BSI-Standard 200-3, vereinfacht)

Risiko = E × A. Stufen: 1-3 niedrig, 4-6 mittel, 8-9 hoch, 12-16 sehr hoch. Risikotoleranz: Restrisiken bis „mittel“ akzeptiert die IT-Leitung mit Begründung; Restrisiken „hoch“ und „sehr hoch“ entscheidet die Geschäftsführung, nur befristet und mit Übergangsmaßnahmen.

2. Risikoregister und Behandlungsplan

3. Freigabe und Überprüfung

Das Register zeigt, warum die Analyse vom Geschäftsprozess ausgehen sollte: Zwei der drei höchsten Risiken liegen bei der Fernwartung und einer Altanlage in der Produktion; dazu kommt Ransomware über das Büronetz. Eine reine Büro-IT-Sicht hätte zwei davon übersehen. R3 und R6 betreffen Dienstleister; wie man sie bewertet, zeigt die Seite Lieferkette.

Drei typische Lücken

Wie Blackfort Technology unterstützt

Wir führen die Risikoanalyse mit Ihren Fachbereichen in Workshops durch, bewerten Produktion, IT und Dienstleister gemeinsam und liefern Register, Behandlungsplan und Entscheidungsvorlage für die Geschäftsleitung. Der Einstieg ist die NIS2-Gap-Analyse.