Compliance-Lexikon · NIS-2
NIS-2 Mindestmassnahmen
auch: NIS-2-Basismassnahmen, technische und organisatorische Mindestanforderungen
Die NIS-2-Mindestmassnahmen sind zehn Bereiche technischer und organisatorischer Sicherheitsmassnahmen, die alle wesentlichen und wichtigen Einrichtungen nach § 30 BSIG implementieren muessen - von Risikoanalyse ueber Kryptographie bis Lieferkettensicherheit - als verbindlicher Mindeststandard unabhaengig von individueller Risikobewertung.
Warum die zehn Mindestmassnahmen der Kern jeder NIS-2-Umsetzung sind
NIS-2 § 30 Abs. 2 listet zehn verbindliche Massnahmenbereiche, die jede wesentliche und wichtige Einrichtung umsetzen muss: Risikoanalyse und Sicherheitskonzepte, Bewaeltigung von Sicherheitsvorfaellen, Aufrechterhaltung des Betriebs (Backup, Krisenmanagement), Lieferkettensicherheit, Sicherheit bei Erwerb/Entwicklung/Wartung von Systemen, Bewertung der Wirksamkeit, Cyber-Hygiene und Schulungen, Kryptographie und Verschluesselung, Personalsicherheit und Zugriffskontrolle, sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Diese Liste ist nicht optional - sie ist die Grundausstattung.
Wo die Mindestmassnahmen gefordert werden
| Framework | Referenz | Anforderung |
|---|---|---|
| NIS-2 / BSIG | § 30 Abs. 2 | Vollstaendige Liste der zehn Mindestmassnahmenbereiche als gesetzliche Pflicht. |
| NIS-2-Richtlinie (EU) 2022/2555 | Art. 21 | Risikomanagementmassnahmen: Europaeische Grundlage der zehn Massnahmenbereiche. |
| ENISA | Technical Guidance | Technische Umsetzungsleitlinien der ENISA fuer alle zehn Massnahmenbereiche. |
| ISO 27001:2022 | Annex A | Kontrollkatalog als anerkannter Umsetzungsrahmen fuer die NIS-2-Mindestmassnahmen. |
| BSI IT-Grundschutz | vollstaendig | Alternativer, deutschlandspezifischer Umsetzungsrahmen fuer die Mindestmassnahmen. |
BAM-Objektreferenz
Haeufige Fehler
- Nicht alle zehn Bereiche systematisch abgedeckt - punktuelle statt vollstaendige Umsetzung
- Kein Mapping der vorhandenen Massnahmen auf die zehn gesetzlichen Bereiche
- Umsetzungsstatus nicht dokumentiert oder nachweisbar
- Massnahmen nicht regelmaessig auf Wirksamkeit geprueft (Bereich 6 wird oft vergessen)
Strukturierte Umsetzung durch Mapping
Der effizienteste Ansatz ist ein Mapping der zehn gesetzlichen Bereiche auf bestehende Frameworks: ISO-27001-Annex-A-Kontrollen oder BSI-IT-Grundschutz-Bausteine decken die meisten Anforderungen ab. Eine Luecken-Analyse zeigt, welche der zehn Bereiche noch nicht vollstaendig abgedeckt sind - haeufig betrifft das die explizite Wirksamkeitsbewertung der Massnahmen (Bereich 6), die in vielen Organisationen fehlt.
Naechster Schritt
NIS-2-Stresstest starten
Kostenloser Compliance-Stresstest zu allen zehn Mindestmassnahmen.