Technische Maßnahmen — §30 BSIG und NIS2

Die Geschäftsleitung haftet persönlich. Nicht die IT-Abteilung.

§30 BSIG, die deutsche Umsetzung der NIS2-Richtlinie, nennt zehn verpflichtende Maßnahmen. Acht davon sind Technik: Zugriffskontrolle, Multi-Faktor-Authentifizierung, Schwachstellenmanagement, Angriffserkennung. Sie gelten seit dem 6. Dezember 2025, ohne Übergangsfrist. Die Nachfrist des BSI für die Registrierung endete am 31. Juli 2026. Der Vollzug läuft. Versagt eine dieser Maßnahmen, haftet die Geschäftsführung persönlich — nicht die IT-Abteilung.

Danach folgt meist derselbe Fehler. Ein Unternehmen kauft die Werkzeuge einzeln: einen Schwachstellenscanner hier, eine Awareness-Plattform dort, DDoS-Schutz separat. Ein Jahr später laufen fünf Verträge, fünf Dashboards, und niemand trägt die Verantwortung für das Gesamtbild.

Was jede Maßnahme abdeckt

Wir liefern diesen Block als eine operative Linie, jede Leistung direkt an §30 BSIG / NIS2 Art. 21 angebunden:

• Zugriffskontrolle und MFA — §30 Abs. 2 Nr. 9–10, beide Maßnahmen werden im Gesetz ausdrücklich genannt.
• Schwachstellenmanagement und Patch-Prozesse — §30 Abs. 2 Nr. 5, Sicherheit über den gesamten Systemlebenszyklus.
• Awareness-Schulung und Phishing-Simulation — §30 Abs. 2 Nr. 7, ergänzt durch die persönliche Teilnahmepflicht der Geschäftsleitung nach §38.
• IT/OT-Segmentierung — Produktionsnetze verlangen eine eigene Kompetenz, die wir uns dort holen, wo sie tatsächlich vorhanden ist.
• DDoS-Schutz — Verfügbarkeit zählt in §30 unmittelbar zu den Pflichtmaßnahmen.

Wofür wir geradestehen

Wir wählen die Plattform aus, konfigurieren sie gegen die Anforderungen des §30, betreiben sie und stehen für das Ergebnis gerade. Ein Ansprechpartner, nicht fünf separate Lieferantenbeziehungen.

Wo die technische Arbeit endet

Die rechtliche Einordnung und die BSI-Meldepflicht im Schadensfall bleiben bei Ihrem Rechtsberater; wir liefern die technische Grundlage, nicht die Rechtsberatung.