Umsetzung der NIS-2-Richtlinie: Risikomanagementpflichten nach dem neuen BSIG

Mit dem novellierten BSI-Gesetz (BSIG), das am 6. Dezember 2025 in Kraft getreten ist, hat der deutsche Gesetzgeber die NIS-2-Richtlinie umgesetzt. Betroffen sind „besonders wichtige“ und „wichtige“ Einrichtungen im Sinne des § 28 BSIG. Darunter fallen – stark verkürzt – insbesondere Betreiber kritischer Anlagen im Sinne der KRITIS-Verordnung sowie weitere, nach Sektor und Größe einzuordnende Unternehmen. Wer unter § 28 BSIG fällt, muss die Pflichten der §§ 30 ff. BSIG umsetzen.

§ 30 BSIG als Kern der neuen Pflichten

Im Mittelpunkt der neuen Anforderungen steht § 30 BSIG. Danach müssen wichtige und besonders wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Das Gesetz sieht dabei keine schematische Einheitslösung vor, sondern verfolgt ein risikobasiertes Modell. Maßgeblich sind insbesondere das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle. Die Einhaltung dieser Pflichten ist zudem zu dokumentieren.

Die Mindestmaßnahmen nach § 30 Abs. 2 BSIG

§ 30 Abs. 2 BSIG konkretisiert diese Pflichten durch einen verbindlichen Mindestkatalog. Gefordert sind insbesondere:

Risikoanalyse und Sicherheitskonzepte,
Backup-, Wiederherstellungs- und Krisenmanagement,
Sicherheit der Lieferkette,
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen,
Verfahren zur Wirksamkeitskontrolle der Risikomanagementmaßnahmen,
Schulungs- und Sensibilisierungsmaßnahmen,
Konzepte für kryptographische Verfahren,
Personalsicherheit, Zugriffskontrolle und Systemverwaltung,
Multi-Faktor-Authentifizierung sowie gesicherte Kommunikation.

Für Betreiber kritischer Anlagen gelten nach § 31 BSIG weitergehende Anforderungen; für sie sind insbesondere zusätzliche Sicherheitsmaßnahmen sowie der Einsatz von Systemen zur Angriffserkennung erforderlich.

Inhaltlich lehnt sich dieser Katalog weitgehend an etablierte Standards wie ISO/IEC 27001 und den BSI-Grundschutz an. Das BSI betont dabei, dass das Risikomanagement nicht nur digitale Bedrohungen, sondern auch physische Sicherheit, Systemfehler, menschliche Fehler, böswillige Handlungen und natürliche Phänomene mitdenken soll. Rechtlich entscheidend ist jedoch nicht die bloße Orientierung an Best Practices sondern die konkrete und nachweisbare Umsetzung im jeweiligen Unternehmen.

Lieferkettensicherheit als Praxisbrennpunkt

Lieferkettensicherheit als Praxisbrennpunkt
Besonders praxisrelevant ist die in § 30 Abs. 2 Nr. 4 BSIG ausdrücklich genannte Sicherheit der Lieferkette. Unternehmen müssen mögliche Schwachstellen bei ihren unmittelbaren Lieferanten und Dienstleistern erkennen und in ihr eigenes Risikomanagement einbeziehen.

Das hat unmittelbare Auswirkungen auf die Vertragsgestaltung: Verpflichtete Einrichtungen sollten vertraglich absichern, dass ihre Zulieferer verbindliche Sicherheitsstandards einhalten, Sicherheitsvorfälle melden und die Einhaltung der Anforderungen nachweisen. Die Umsetzung der Lieferkettensicherheit ist damit nicht zuletzt eine Frage belastbarer Verträge.

Leitungsebene in der Verantwortung

Besondere Bedeutung misst das BSIG der Geschäftsleitung bei. Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen nicht nur billigen und überwachen, sondern auch regelmäßig Schulungen absolvieren. Die Verantwortung für Cybersicherheit wird damit ausdrücklich auf Leitungsebene verankert. Im Fall schuldhafter Pflichtverletzungen kommt zudem eine Haftung nach den allgemeinen gesellschaftsrechtlichen Maßstäben in Betracht.

Weitere Folgepflichten

Zu den Risikomanagementmaßnahmen treten weitere Pflichten hinzu, insbesondere Meldepflichten bei erheblichen Sicherheitsvorfällen nach § 32 BSIG, die Registrierungspflicht nach § 33 BSIG sowie für Betreiber kritischer Anlagen regelmäßige Nachweispflichten nach § 39 BSIG.

Fazit

Der Schwerpunkt der neuen Pflichten liegt in einem risikobasierten, dokumentierten und organisatorisch verankerten Sicherheitsmanagement. § 30 BSIG verlangt keine formelhafte Pflichterfüllung, sondern ein belastbares Gesamtkonzept, das Technik, Organisation, Personal, Lieferkette und Krisenbewältigung zusammenführt. Gerade die Lieferkettensicherheit und die Verantwortung der Geschäftsleitung dürften sich dabei in der Praxis als besonders sensible Umsetzungsfelder erweisen.