NIS2-Glossar

Anlage 1 BSIG setzt Anhang I der NIS2-Richtlinie in deutsches Recht um und umfasst sieben Sektoren: Energie (unter anderem Strom, Fernwärme, Kraftstoffe, Gas), Transport und Verkehr (Luft, Schiene, Schifffahrt, Straße), Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser, Abwasser), Digitale Infrastruktur (unter anderem Cloud-Computing, Rechenzentren, Telekommunikation, Managed Services Provider) und Weltraum. Unternehmen dieser Sektoren sind ab 250 Mitarbeitenden oder mit über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme besonders wichtige Einrichtungen (§28 Abs. 1 BSIG), ab 50 Mitarbeitenden oder mit jeweils über 10 Mio. € Umsatz und Bilanzsumme wichtige Einrichtungen (§28 Abs. 2 BSIG).

Anlage 2 BSIG setzt Anhang II der NIS2-Richtlinie um und umfasst sieben Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Produktion und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau), Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke) sowie Forschung. Unternehmen dieser Sektoren sind ab 50 Mitarbeitenden oder mit jeweils über 10 Mio. € Jahresumsatz und Jahresbilanzsumme wichtige Einrichtungen (§28 Abs. 2 BSIG). Eine Einstufung als besonders wichtige Einrichtung über die Unternehmensgröße sieht §28 Abs. 1 BSIG nur für Sektoren der Anlage 1 vor.

APTs zeichnen sich durch hohe technische Reife, gezielte Auswahl der Opfer und sehr lange Verweildauer im Netzwerk aus, oft Monate bis Jahre. Die Angreifer setzen auf Tarnung (Living-off-the-Land, legitime Tools), schrittweise Privilegienausweitung und gezielte Datenabflüsse. Typische Ziele sind kritische Infrastrukturen, Behörden und Unternehmen mit geistigem Eigentum. Der BSI-Lagebericht zur IT-Sicherheit dokumentiert APT-Aktivitäten regelmäßig und benennt bekannte Akteure wie APT28 oder APT29. Die Erkennung erfordert moderne Detection-Fähigkeiten (EDR, SIEM, Threat Hunting), klassische Antivirenlösungen reichen nicht. Für NIS2-Pflichtige sind APTs der treibende Grund für Investitionen in Angriffserkennung.

Asset-Management im NIS2-Kontext umfasst die vollständige Erfassung aller Vermögenswerte, die für die Informationssicherheit relevant sind: Hardware (Server, Endpoints, Netzwerkgeräte), Software (Anwendungen, Bibliotheken, Lizenzen), Daten (Datenbanken, Dateien, Backups), Cloud-Dienste und Lieferantenbeziehungen. Jedes Asset erhält einen Verantwortlichen, eine Klassifizierung nach Schutzbedarf und idealerweise eine Verknüpfung zu Geschäftsprozessen. §30 Abs. 2 Nr. 1 BSIG nennt Asset-Management explizit als Pflichtmaßnahme. Ohne aktuelles Asset-Inventar sind Risikoanalyse (§30 Abs. 1) und Schwachstellenmanagement (§30 Abs. 2 Nr. 3) nicht belastbar möglich, denn man kann nur schützen, was man kennt. Tools reichen von Excel-Inventaren bis zu spezialisierten CMDBs.

Awareness-Schulungen im NIS2-Kontext sind strukturierte Programme zur Sensibilisierung der Belegschaft für Phishing, Social Engineering, sichere Passwortnutzung, Umgang mit Wechseldatenträgern, Meldepflichten bei Verdachtsfällen und Verhalten im Home-Office. §30 Abs. 2 Nr. 7 BSIG fordert sie ausdrücklich. Die Schulung soll regelmäßig (mind. jährlich) erfolgen, rollenbezogen aufgebaut sein (Geschäftsleitung anders als Sachbearbeiter) und durch praktische Elemente wie Phishing-Simulationen ergänzt werden. Anbieter sind z.B. KnowBe4, SoSafe, perseus oder G Data; auch eigene Materialien sind möglich. Nachweise müssen audit-tauglich geführt werden: Teilnehmerlisten, Lehrinhalte, Wiederholungstermine. Geschäftsleitungs-Schulungen nach §38 BSIG sind ein eigener, gesondert dokumentierter Strang.

§30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zum Risikomanagement zu treffen. Der Paragraf listet zehn Pflichtbereiche auf, darunter Risikomanagement, Vorfallbewältigung, Backups, Lieferkettensicherheit, Schwachstellenoffenlegung, Kryptographie, Zugriffskontrolle und Awareness-Schulungen. Die Maßnahmen müssen einem Stand der Technik genügen und sich am tatsächlichen Risikoexpositionsgrad orientieren. §30 BSIG ist seit dem 6. Dezember 2025 in Kraft und gilt ohne Übergangsfristen.

§32 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle (Major Incidents) über das BSI-Meldeportal zu melden. Die Meldekaskade ist dreistufig: eine Frühwarnung innerhalb von 24 Stunden, eine ausführliche Erstmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Inhaltlich umfasst die Meldung Zeitpunkt, Auswirkungen, vermutete Ursachen, getroffene Maßnahmen und potenzielle grenzüberschreitende Effekte. Die Frist beginnt mit Kenntniserlangung während der Arbeitszeit. Bei Versäumnis drohen Bußgelder. Praktisch erfordert §32 BSIG einen vorbereiteten Meldeprozess, integriert in den IR-Plan.

§38 BSIG überführt die Cybersicherheitsverantwortung in die direkte Pflicht der Geschäftsleitung. Vorstände und Geschäftsführer müssen die Maßnahmen nach §30 BSIG billigen, deren Umsetzung überwachen und sich selbst regelmäßig zu Cybersicherheitsthemen schulen. Die Schulungspflicht bezieht sich auf die Geschäftsleitung selbst, nicht nur auf nachgeordnete Mitarbeitende. Verstöße können zu persönlicher Haftung führen, etwa für Schäden, die durch unzureichende Aufsicht entstehen. Die Pflicht ist nicht delegierbar: ein bestellter CISO oder ISB entlastet die Geschäftsleitung nicht von ihrer Letztverantwortung. §38 ist damit ein Treiber für Boardroom-Engagement in der Cybersicherheit.

§39 BSIG fordert von Betreibern kritischer Anlagen einen regelmäßigen, formalen Nachweis der Wirksamkeit der getroffenen Sicherheitsmaßnahmen. Der Nachweis ist mindestens alle drei Jahre gegenüber dem BSI zu erbringen, etwa in Form von Audits, Zertifizierungen (z.B. ISO 27001) oder gleichwertigen Prüfverfahren. Die Pflicht trifft primär KRITIS-Betreiber im engeren Sinn. Besonders wichtige und wichtige Einrichtungen ohne KRITIS-Status unterliegen vergleichbaren Anforderungen, allerdings im Rahmen anlassbezogener Aufsicht. Praktisch führt §39 BSIG zu einer dauerhaften Audit- und Dokumentationsroutine, die enge Verzahnung mit dem ISMS erfordert.

§65 BSIG ist die zentrale Sanktionsnorm des NIS2UmsuCG. Für besonders wichtige Einrichtungen liegt der Bußgeldrahmen bei bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt). Für wichtige Einrichtungen gelten bis zu 7 Mio. EUR oder 1,4 % des Jahresumsatzes. Sanktioniert werden insbesondere unterlassene Registrierung, verletzte Meldepflichten nach §32 BSIG und unzureichende Risikomanagementmaßnahmen nach §30. Daneben bestehen weitere Tatbestände für formale Pflichtverstöße. Die Aufsichtsbehörde ist das BSI. Die Geschäftsleitung kann zusätzlich nach §38 BSIG persönlich haftbar werden.

BCM identifiziert kritische Geschäftsprozesse mittels Business Impact Analysis (BIA), bewertet Ausfallszenarien und etabliert Strategien für Prävention, Reaktion und Wiederherstellung. Es umfasst Notfallplanung, Krisenmanagement, IT-Service-Continuity und Lieferketten-Resilienz. ISO 22301 ist der führende Standard für BCM. §30 Abs. 2 Nr. 3 BSIG fordert ausdrücklich Backup- und Krisenmanagement. BCM ist breiter als reine IT-Notfallplanung, weil es organisatorische Abhängigkeiten, alternative Standorte und Krisenkommunikation einbezieht. Regelmäßige Übungen sind unerlässlich.

Der BCP ist das zentrale Ergebnis-Dokument des BCM und beschreibt konkret, welche Prozesse mit welchen Ressourcen wie lange aufrechterhalten oder wiederhergestellt werden. Er enthält Rollen und Verantwortlichkeiten, Eskalationswege, RTO/RPO/MTPD je Prozess sowie die Verzahnung mit IT-Notfallhandbuch und Krisenkommunikation. Der BCP wird durch die Geschäftsleitung freigegeben und mindestens einmal jährlich überprüft. Im Unterschied zum reinen IR-Plan (der konkrete Cyberangriffe adressiert) ist der BCP geschäftsprozess- und nicht angriffszentriert.

Besonders wichtige Einrichtungen sind in §28 Abs. 1 BSIG festgelegt. Dazu gehören Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter (jeweils unabhängig von der Größe), Anbieter öffentlicher Telekommunikationsnetze oder -dienste ab 50 Mitarbeitenden oder mit jeweils über 10 Mio. € Umsatz und Bilanzsumme sowie Unternehmen aus den Sektoren der Anlage 1 BSIG mit mindestens 250 Mitarbeitenden oder mit über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme. Die Größe wird nach der KMU-Empfehlung 2003/361/EG bestimmt (§28 Abs. 4 BSIG). Das BSI kann gegenüber besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§61 BSIG). Bußgelder für Verstöße gegen §30 oder §32 reichen bis 10 Mio. €, bei mehr als 500 Mio. € Gesamtumsatz bis 2 % des weltweiten Umsatzes (§65 BSIG).

Die BIA ist die strukturierte Methode aus dem Business Continuity Management (BCM) zur Ermittlung, welche Geschäftsprozesse kritisch sind, wie schnell sie wieder verfügbar sein müssen (RTO), wie viel Datenverlust toleriert werden kann (RPO) und ab wann eine Störung existenziell wird (MTPD). Sie wird über Interviews mit Fachbereichen, Prozessdokumentation und Schadenshochrechnung durchgeführt. §30 Abs. 2 Nr. 3 BSIG fordert geeignete Backup- und Wiederherstellungsverfahren, die ohne BIA-Grundlage nicht planbar sind. Eine BIA ist kein Einmal-Dokument: sie wird jährlich aktualisiert oder anlassbezogen, etwa bei größeren Prozessänderungen oder neuen IT-Systemen. ISO 22301 und BSI-Standard 200-4 beschreiben die Methodik im Detail.

Das Bundesamt für Sicherheit in der Informationstechnik mit Sitz in Bonn ist die zentrale Behörde für Cybersicherheit in Deutschland. Mit dem NIS2UmsuCG wurden seine Aufgaben erheblich erweitert: Aufsicht über rund 29.000 besonders wichtige und wichtige Einrichtungen, Betrieb des Registrierungsportals, Annahme von Meldungen nach §32 BSIG, Vergabe von Bußgeldern bis 10 Mio. EUR nach §65 BSIG. Gleichzeitig fungiert das BSI als nationales CSIRT und liefert technische Unterstützung sowie Lageberichte. Wichtig für die Abgrenzung: BSI ist die Behörde, BSIG ist das Gesetz.

Der Cloud Computing Compliance Criteria Catalogue (BSI C5) wurde 2016 veröffentlicht und 2020 grundlegend überarbeitet. Er definiert 121 Anforderungen in 17 Themenbereichen, etwa Organisation der Informationssicherheit, Identitäts- und Berechtigungsmanagement, kryptographische Verfahren, Sicherheitsprüfung und Verschlüsselung der Kommunikation. Cloud-Anbieter weisen die Erfüllung typischerweise über Prüfberichte nach ISAE 3000 oder IDW PS 951 nach. Im NIS2-Kontext ist C5 das praktisch wichtigste Werkzeug für Lieferanten-Audits gegenüber Cloud-Anbietern. Ein gültiger C5-Bericht erleichtert die Erfüllung der Pflichten aus §30 Abs. 2 Nr. 4 BSIG (Lieferkettensicherheit) erheblich, ersetzt aber keine eigene Risikobewertung des Cloud-Einsatzes.

BSI IT-Grundschutz ist ein systematischer Ansatz zur Informationssicherheit und besteht aus den BSI-Standards 200-1 (ISMS), 200-2 (Vorgehensweise), 200-3 (Risikoanalyse) sowie dem IT-Grundschutz-Kompendium mit rund 100 Bausteinen. Die Bausteine decken Themen wie Anwendungen (APP), Industrielle IT (IND), Infrastruktur (INF), Netze (NET), Betrieb (OPS), Organisation (ORP) und Konzepte (CON) ab. Konkrete Beispiele sind CON.3 (Datensicherungskonzept), OPS.1.1.5 (Protokollierung) oder NET.1.1 (Netzarchitektur). Die Methode ist mit der ISO/IEC 27001 kompatibel und in Deutschland breit etabliert. Eine Grundschutz-Zertifizierung gilt als anerkannter Nachweis für §39 BSIG.

Das BSI-Gesetz ist die zentrale Rechtsgrundlage für das Bundesamt für Sicherheit in der Informationstechnik. Es definiert Aufsichts-, Beratungs- und Eingriffsbefugnisse und wurde durch das NIS2UmsuCG erheblich erweitert. Seit dem 6. Dezember 2025 enthält das BSIG die Pflichtenkataloge für besonders wichtige und wichtige Einrichtungen, etwa Registrierung, Risikomanagement (§30) und Meldepflichten (§32). Das BSIG bildet damit den deutschen Rechtsrahmen für die NIS2-Umsetzung.

Die Chain of Custody dokumentiert für jedes Beweismittel, wer es wann und unter welchen Bedingungen entgegengenommen, gespeichert oder weitergegeben hat. Sie ist Voraussetzung dafür, dass digitale Beweise vor Gericht oder gegenüber Versicherungen anerkannt werden. Inhaltlich gehören dazu Beweismittel-ID, Zeitstempel, Verantwortliche, Speicherort und Prüfsummen (Hashes). BSI-Baustein CON.6 und die internationale Norm ISO/IEC 27037 beschreiben die Anforderungen detailliert. Im NIS2-Kontext ist die Chain of Custody zentraler Bestandteil der forensischen Phase im IR-Plan und der Post-Incident-Dokumentation.

Der Chief Information Security Officer steuert das Informationssicherheitsprogramm strategisch und berichtet typischerweise an Vorstand oder Geschäftsführung. Während der ISB im deutschen Sprachraum eine eher operativ geprägte Rolle ist, hat der CISO eine ausgeprägte Management- und Budgetverantwortung. In größeren Unternehmen können ISB und CISO parallel besetzt sein, in KMU werden die Rollen oft kombiniert. Unter NIS2 gilt: die Geschäftsleitung bleibt persönlich haftbar (§38 BSIG), unabhängig davon, ob ein CISO benannt ist.

Cold Storage ist die konsequente Umsetzung des Offsite-Anteils der 3-2-1-Regel. Die Backups sind nicht permanent online erreichbar, sondern werden auf Bänder, externe Festplatten, WORM-Speicher oder dedizierte Cloud-Tiers ausgelagert. Das schützt insbesondere vor Ransomware-Angriffen, die online erreichbare Backups mitverschlüsseln würden. BSI-Baustein CON.3.A4 und die EU-Durchführungsverordnung 2024/2690 verlangen geeignete Wiederherstellungsfähigkeiten auch bei kompromittierter Produktivumgebung. Wichtig ist, dass Restore-Tests regelmäßig durchgeführt werden, denn ein Cold Storage ohne prüfbare Restore-Fähigkeit ist keine wirksame Sicherung. Immutable Storage und Object-Lock sind moderne Varianten.

Der Cyber Resilience Act (EU-Verordnung 2024/2847) wurde im November 2024 verabschiedet und gilt mit Übergangsfristen ab 2027. Wo NIS2 die Cybersicherheit von Einrichtungen reguliert, regelt der CRA die Cybersicherheit der Produkte selbst: Software-Anbieter und Hersteller vernetzter Geräte müssen Sicherheits-by-Design nachweisen, Schwachstellen 24 Stunden nach Bekanntwerden melden und über den gesamten Produkt-Lebenszyklus Sicherheitsupdates liefern. Für NIS2-pflichtige Einrichtungen besonders relevant: CRA-konforme Produkte erleichtern die Lieferkettensicherheit nach §30 Abs. 2 Nr. 4 BSIG, weil sie nachweisbar Mindestanforderungen erfüllen.

Computer Security Incident Response Teams sind organisatorische Einheiten, die im Falle eines Cybersicherheitsvorfalls die technische und organisatorische Reaktion koordinieren. Unter NIS2 hat jeder Mitgliedstaat mindestens ein nationales CSIRT zu benennen. In Deutschland ist dies das BSI (§5 BSIG). Daneben gibt es sektorale CSIRTs, etwa CERT-Bund (öffentliche Verwaltung), DFN-CERT (Wissenschaft) und BSI-CERT (kritische Infrastrukturen). Für NIS2-pflichtige Einrichtungen ist das CSIRT vor allem über zwei Wege relevant: erstens als Empfänger der §32-Meldungen (binnen 24 Stunden Frühwarnung, binnen 72 Stunden Vollmeldung); zweitens als Lieferant für Threat Intelligence, Warnungen und Handlungsempfehlungen.

Das Common Vulnerability Scoring System ist ein Industrie-Standard von FIRST.org zur Bewertung der Kritikalität von Schwachstellen. Die Werte werden in vier Klassen unterteilt: Low (0,1-3,9), Medium (4,0-6,9), High (7,0-8,9) und Critical (9,0-10,0). Die Bewertung beruht auf Faktoren wie Angriffsvektor, Komplexität, Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Aktuelle Versionen sind CVSS v3.1 und v4.0. §30 Abs. 2 Nr. 5 BSIG fordert geeignete Schwachstellenbehandlung; CVSS-Scores sind Standard-Eingabe für SLA-basierte Patch-Prozesse. CVE-Datenbanken wie der NVD veröffentlichen Scores typischerweise innerhalb weniger Tage nach Bekanntwerden.

Bei DDoS-Angriffen werden gezielt Server, Anwendungen oder Netzwerkkomponenten mit Datenverkehr überflutet, sodass legitime Anfragen nicht mehr bearbeitet werden können. Quellen sind oft Botnetze aus kompromittierten Geräten. Typen sind Volumetrische Angriffe (Bandbreitenfluten), Protokoll-Angriffe (z.B. SYN-Flood) und Application-Layer-Angriffe (z.B. HTTP-Flood). Mitigation erfolgt durch spezialisierte Anti-DDoS-Provider, Rate-Limiting, Anycast-Netzwerke und Web Application Firewalls. Je nach Auswirkung kann ein DDoS-Vorfall meldepflichtig nach §32 BSIG sein, wenn er zu erheblichen Betriebsstörungen führt. Für Anbieter digitaler Infrastruktur und KRITIS gehört DDoS-Schutz zur Grundabsicherung.

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. DORA richtet sich an Banken, Versicherungen, Wertpapierdienstleister und weitere Finanzakteure sowie deren kritische IKT-Dienstleister. Inhaltlich umfasst DORA IKT-Risikomanagement, Vorfallmeldung, digitale Resilienztests (inkl. TLPT) und das Management von Drittparteienrisiken. Für Akteure im Anwendungsbereich gilt DORA als lex specialis und verdrängt teilweise die NIS2-Pflichten. Im Zweifel ist eine sorgfältige Prüfung erforderlich, weil viele Finanzunternehmen weiterhin NIS2-relevante Dienstleistungen erbringen. Es handelt sich um eine EU-Verordnung, nicht um eine Richtlinie.

Der Datenschutzbeauftragte ist nach Art. 37 DSGVO zu benennen, wenn die Datenverarbeitung kerngeschäftlich umfangreich ist oder besondere Datenkategorien betroffen sind. Im NIS2-Kontext ergibt sich eine wichtige Schnittstelle zum Informationssicherheitsbeauftragten (ISB): Bei Vorfällen, die sowohl Datenpannen (Art. 33 DSGVO) als auch erhebliche Sicherheitsvorfälle (§32 BSIG) sind, koordinieren DPO und ISB die Doppel-Meldung an Datenschutzaufsicht und BSI. Die beiden Rollen können personell zusammengelegt werden, sind aber funktional zu trennen: der DPO ist Datenschutz-fokussiert, der ISB Informationssicherheit-fokussiert. In größeren Unternehmen sind sie typischerweise getrennt besetzt.

Die DSGVO gilt seit dem 25. Mai 2018 und schützt personenbezogene Daten. Im NIS2-Kontext entstehen drei wichtige Schnittstellen: erstens die Doppel-Meldepflicht bei Datenpannen, die zugleich erhebliche Sicherheitsvorfälle sind (Art. 33 DSGVO an die Datenschutzaufsicht binnen 72 Stunden und §32 BSIG an das BSI binnen 24 Stunden); zweitens die Rollen-Abgrenzung zwischen Datenschutzbeauftragtem (DPO) nach Art. 37 DSGVO und Informationssicherheitsbeauftragtem (ISB) nach BSIG; drittens die Bußgeld-Regimes (DSGVO bis 20 Mio. EUR / 4 % Umsatz, NIS2 bis 10 Mio. EUR / 2 % Umsatz). Bei kombinierten Verstößen können beide Sanktionen kumuliert werden.

EDR-Lösungen überwachen kontinuierlich Endpunkte (Server, Clients, Mobile Devices), zeichnen Telemetrie auf und erkennen Anomalien mithilfe verhaltensbasierter Analytik. Im Vergleich zu klassischem Antivirus konzentriert sich EDR auf Erkennung, Untersuchung und Reaktion bei aktiven Angriffen. EDR ist ein zentraler Baustein moderner Angriffserkennung und unterstützt die Pflichten aus §30 Abs. 2 Nr. 2 BSIG (Bewältigung von Sicherheitsvorfällen). XDR-Lösungen erweitern EDR um Telemetrie aus Netzwerk, E-Mail und Cloud. Für KRITIS-Betreiber kann der Einsatz von Systemen zur Angriffserkennung gesetzlich verpflichtend sein.

Die European Union Agency for Cybersecurity mit Sitz in Athen und Heraklion ist die zentrale Cybersicherheitsbehörde der EU. Sie wird mehrfach in der NIS2-Richtlinie (EU 2022/2555) genannt und übernimmt eine koordinierende Rolle zwischen den nationalen Aufsichtsbehörden, darunter dem BSI. ENISA veröffentlicht Threat-Landscape-Reports, Leitlinien zur Auslegung von NIS2-Begriffen wie "erheblicher Sicherheitsvorfall" sowie technische Empfehlungen zu Mindestmaßnahmen. Für NIS2-pflichtige Einrichtungen sind ENISA-Dokumente eine wichtige Quelle, weil sie die EU-weite Interpretation der Richtlinie spiegeln, bevor sie in nationale Auslegung der Behörden übergehen.

Die Definition steht in §2 Nr. 11 BSIG: Erheblich ist ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für bestimmte digitale Einrichtungsarten (etwa Cloud-Anbieter, Rechenzentrumsdienste und Managed Services Provider) konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Kriterien. Ein erheblicher Sicherheitsvorfall löst die Meldekaskade nach §32 BSIG aus: frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung, Meldung mit erster Bewertung spätestens nach 72 Stunden und Abschlussmeldung einen Monat nach dieser Meldung. Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK.

Die Durchführungsverordnung (EU) 2024/2690 wurde am 17. Oktober 2024 von der Europäischen Kommission erlassen und gilt unmittelbar in allen Mitgliedstaaten. Sie konkretisiert die NIS2-Anforderungen für Anbieter digitaler Dienste, insbesondere DNS-Diensteanbieter, TLD-Name-Registries, Cloud-Anbieter, Rechenzentren, Content Delivery Networks, Managed-Service-Provider und Online-Marktplätze. Die Verordnung definiert konkrete Schwellenwerte (z.B. Nutzerzahlen, Ausfalldauern), ab denen ein Vorfall als erheblich gilt und gemeldet werden muss. Da es sich um eine Verordnung und nicht um eine Richtlinie handelt, gilt sie direkt und bedürfte keiner deutschen Umsetzung. Ergänzt wird sie durch §32 BSIG für Sektoren außerhalb digitaler Infrastruktur.

Der Begriff steht nicht im Gesetz, beschreibt aber eine häufige Situation. NIS2-pflichtige Einrichtungen müssen nach §30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette gewährleisten, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Daraus entstehen Sicherheitsfragebögen, Nachweisanforderungen und Vertragsklauseln für Zulieferer, auch wenn diese selbst keine Registrierungs- oder Meldepflicht nach BSIG haben. Die gesetzlichen Pflichten treffen dabei den Kunden; was der Zulieferer konkret zusagt, ergibt sich aus dem jeweiligen Vertrag.

Insider-Bedrohungen entstehen durch Personen, die bereits berechtigten Zugriff auf Systeme oder Daten haben. Ursachen reichen von vorsätzlichem Datendiebstahl über Fahrlässigkeit bis zu Erpressung. Besonders kritisch sind privilegierte Konten, ausscheidende Mitarbeitende und externe Dienstleister. BSI-Baustein ORP.2 und §30 Abs. 2 Nr. 7 BSIG (Awareness und Personalsicherheit) adressieren diesen Risikobereich. Wirksame Mitigation kombiniert technische, organisatorische und personelle Maßnahmen: Least Privilege, regelmäßige Access Reviews, konsequentes Offboarding, Awareness-Schulungen, Funktionstrennung und im Bedarfsfall Monitoring privilegierter Aktivitäten. Auch Background-Checks bei sicherheitskritischen Positionen sind angemessen.

Der IR-Plan strukturiert die Vorfallbewältigung typischerweise in sechs Phasen: Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Er enthält Rollen, Eskalationsketten mit Reaktionszeiten, einen Kommunikationsplan (intern und extern) sowie die Verzahnung mit dem Meldeprozess nach §32 BSIG. §30 Abs. 2 Nr. 2 BSIG verpflichtet zu einer angemessenen Vorfallbewältigung, wofür ein dokumentierter und geübter IR-Plan als Pflichtbestandteil gilt. Tabletop-Übungen, Lessons-Learned-Reviews und regelmäßige Aktualisierungen sind essentiell.

Der ISB plant, koordiniert und überwacht die Umsetzung der Informationssicherheit und berichtet direkt an die Geschäftsleitung. Im Kontext von §30 BSIG ist eine klar benannte Sicherheitsverantwortung de facto Pflicht, auch wenn das BSIG den Begriff "ISB" nicht ausdrücklich verwendet. BSI IT-Grundschutz beschreibt die Rolle ausführlich im Baustein ISMS.1. Der ISB darf keinen Interessenkonflikt zur operativen IT-Verantwortung haben und benötigt ausreichende Ressourcen.

Ein Informationssicherheits-Managementsystem definiert Rollen, Prozesse, Richtlinien und Kontrollen, mit denen Informationssicherheit kontinuierlich gesteuert und verbessert wird. Es folgt einem PDCA-Zyklus (Plan-Do-Check-Act) und beruht auf einem strukturierten Risikomanagement. ISO/IEC 27001 ist der international führende Standard, BSI IT-Grundschutz ist die deutsche Alternative. NIS2 fordert kein zertifiziertes ISMS, doch §30 BSIG lässt sich praktisch nur über einen ISMS-ähnlichen Ansatz erfüllen. Bestehende ISO-27001- oder Grundschutz-Strukturen lassen sich gut auf §30 mappen.

ISO 22301:2019 definiert Anforderungen an ein Managementsystem für Geschäftskontinuität. Es umfasst die Phasen Planung, Implementierung, Betrieb, Bewertung und Verbesserung gemäß PDCA-Zyklus. Kernelemente sind Business Impact Analysis (BIA), Risikobewertung, Strategien zur Aufrechterhaltung kritischer Prozesse, Notfallpläne, Übungen und kontinuierliche Verbesserung. ISO 22301 ist eng mit RTO, RPO und MTPD verzahnt. Im NIS2-Kontext liefert ISO 22301 das methodische Gerüst für die Pflicht aus §30 Abs. 2 Nr. 3 BSIG (Backup- und Krisenmanagement). Eine Zertifizierung ist nicht zwingend, aber erleichtert Nachweise gegenüber Kunden und Aufsicht erheblich.

ISO/IEC 27001:2022 ist der weltweit führende Standard für ISMS und definiert Anforderungen an Aufbau, Betrieb und kontinuierliche Verbesserung. Annex A listet 93 Controls in vier Themen: organisatorisch, personell, physisch und technologisch. Eine Zertifizierung erfolgt durch akkreditierte Stellen und ist drei Jahre gültig (mit jährlichen Überwachungsaudits). Im NIS2-Kontext deckt ISO 27001 schätzungsweise 60-70 Prozent der Anforderungen aus §30 BSIG ab. Themen wie sektorspezifische Meldepflichten, Lieferkettenrisiken nach NIS2-Logik und Geschäftsleitungs-Schulungen müssen ergänzt werden. Eine bestehende Zertifizierung ist anerkannter Nachweis für §39 BSIG.

Konzentrationsrisiken entstehen, wenn kritische Geschäftsprozesse von einem einzigen Anbieter, einer einzigen Cloud-Region oder einem einzigen Dienst abhängen. Fällt dieser aus, gibt es keine schnelle Alternative. §30 Abs. 2 Nr. 4 BSIG verpflichtet zur Sicherheit der Lieferkette und impliziert damit ein aktives Management solcher Risiken. Die EU-Durchführungsverordnung 2024/2690 erkennt Konzentrationsrisiken ausdrücklich als relevanten Faktor für Anbieter digitaler Infrastruktur. Mitigation erfolgt über Multi-Vendor-Strategien, dokumentierte Exit-Pläne, Multi-Cloud-Architekturen und vertragliche Verfügbarkeitszusagen mit Rückfallszenarien.

Der Begriff "Kritische Infrastrukturen" stammt aus dem deutschen IT-Sicherheitsrecht und bezeichnet Einrichtungen mit hoher Bedeutung für das Funktionieren des Gemeinwesens. Mit dem NIS2UmsuCG wurde der bestehende KRITIS-Begriff in die neue NIS2-Systematik (BWE/WE) integriert. KRITIS-Betreiber im engeren Sinn sind nun Betreiber kritischer Anlagen nach §28 Abs. 1-5 BSIG und unterliegen zusätzlich besonderen Pflichten, etwa zum Einsatz von Systemen zur Angriffserkennung. Schwellenwerte ergeben sich weiterhin aus der KRITIS-Verordnung.

Least Privilege ist ein Grundprinzip der Informationssicherheit und ergänzt das Need-to-Know-Prinzip. Nutzer, Dienste und Prozesse erhalten ausschließlich die minimal nötigen Rechte. Dadurch wird der Schaden bei kompromittierten Konten begrenzt und seitliche Bewegungen (Lateral Movement) erschwert. Privilegierte Konten benötigen zusätzliche Schutzmaßnahmen, etwa Just-in-Time-Zugriff, eigenständige Admin-Konten und MFA. §30 BSIG fordert geeignete Zugriffskontrollen und implizit damit auch Least Privilege. Die Umsetzung gelingt am wirksamsten über RBAC, regelmäßige Berechtigungsprüfungen und ein konsequentes Offboarding.

Lieferkettensicherheit umfasst die Identifikation kritischer Lieferanten, eine risikobasierte Bewertung, vertragliche Sicherheitsanforderungen, Monitoring während der Vertragslaufzeit sowie ein definiertes Offboarding. §30 Abs. 2 Nr. 4 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zur Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu ihren unmittelbaren Anbietern oder Diensteanbietern. Nach Art. 21 Abs. 3 der NIS2-Richtlinie sind dabei die spezifischen Schwachstellen der einzelnen Anbieter und die Gesamtqualität ihrer Produkte und Cybersicherheitspraxis zu berücksichtigen. Zulieferer, die selbst nicht unter NIS2 fallen, spüren die Pflicht deshalb indirekt über Fragebögen und Vertragsklauseln ihrer Kunden.

MFA kombiniert Faktoren aus mindestens zwei der drei Kategorien Wissen (Passwort), Besitz (Smartphone, Token) und Inhärenz (Biometrie). Sie reduziert das Risiko durch gestohlene oder erratene Passwörter erheblich. §30 Abs. 2 Nr. 9 BSIG fordert ausdrücklich den Einsatz von MFA für den Zugriff auf wichtige Systeme. In der Praxis sind FIDO2/Passkeys, Hardware-Token und Authenticator-Apps gegenüber SMS-Codes vorzuziehen, da SMS anfällig für SIM-Swapping ist. Privilegierte Konten und Remote-Zugänge sollten zwingend mit MFA geschützt sein.

Die MTPD ist eine strategische Kennzahl aus dem BCM, die den absoluten Schmerzpunkt eines Geschäftsprozesses markiert. Sie wird in der Business Impact Analysis ermittelt und liegt definitionsgemäß über der RTO. Die MTPD berücksichtigt finanzielle, regulatorische, vertragliche und reputative Auswirkungen über die Zeit. Sie wird häufig mit der Maximum Acceptable Outage (MAO) gleichgesetzt. Wichtig: überschreitet ein Vorfall die MTPD, drohen irreversible Schäden, etwa Kundenverlust oder Insolvenz. Die Differenz zwischen RTO und MTPD bildet einen Sicherheitspuffer für unerwartete Komplikationen.

Mehrere Branchen der Anlage 2 BSIG sind über NACE-Abteilungen definiert, etwa Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse (26), elektrische Ausrüstungen (27), Maschinenbau (28), Kraftwagen und Kraftwagenteile (29) sowie sonstiger Fahrzeugbau (30). Laut BSI ist der NACE-Code auf der im BSIG verwendeten Ebene der Abteilungen identisch mit der WZ-Nummer der deutschen Klassifikation der Wirtschaftszweige, Ausgabe 2008 (WZ 2008), die Unternehmen etwa aus Statistikmeldungen kennen. Maßgeblich ist die tatsächliche Geschäftstätigkeit; Tätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können nach §28 Abs. 3 BSIG unberücksichtigt bleiben.

Bei der Netzwerksegmentierung werden Netzwerke in Zonen aufgeteilt, etwa Büro, Produktion, Server und DMZ. Der Datenverkehr zwischen Zonen wird durch Firewalls oder Access-Control-Listen kontrolliert. Microsegmentation geht weiter und schottet einzelne Workloads voneinander ab. §30 Abs. 2 Nr. 9 BSIG verlangt geeignete Maßnahmen zur Netzwerksicherheit, BSI-Baustein NET.1.1 beschreibt die Anforderungen detailliert. Segmentierung ist eine zentrale Säule moderner Zero-Trust-Architekturen, weil sie das Schadensausmaß bei einem erfolgreichen Initialzugriff begrenzt. Besondere Bedeutung hat sie in OT-Umgebungen, wo Produktionssysteme strikt von Büronetzen getrennt werden müssen.

Die NIS2-Richtlinie wurde am 14. Dezember 2022 vom Europäischen Parlament und Rat verabschiedet und ersetzt die Vorgängerrichtlinie NIS1. Sie verpflichtet alle Mitgliedstaaten, einheitliche Cybersicherheitsanforderungen für wichtige Sektoren einzuführen, und definiert Pflichten für Risikomanagement, Vorfallmeldung und Aufsicht. Die Umsetzungsfrist lief am 17. Oktober 2024 ab. Deutschland hat die Richtlinie mit Verspätung über das NIS2UmsuCG umgesetzt, das seit dem 6. Dezember 2025 in Kraft ist. Es handelt sich um eine EU-Richtlinie, nicht um eine direkt anwendbare EU-Verordnung.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 13. November 2025 vom Bundestag verabschiedet und am 5. Dezember 2025 im Bundesgesetzblatt verkündet. Es setzt die EU-Richtlinie 2022/2555 in deutsches Recht um und novelliert insbesondere das BSI-Gesetz (BSIG). Rund 29.000 bis 30.000 Unternehmen in Deutschland fallen erstmals unter regulatorische Cybersicherheitspflichten. Das Gesetz unterscheidet zwischen besonders wichtigen Einrichtungen, wichtigen Einrichtungen und Betreibern kritischer Anlagen. Die BSI-Registrierungsfrist lief am 6. März 2026 ab.

Patch-Management umfasst Inventarisierung der Systeme, Schwachstellen-Monitoring, Risikobewertung, Tests und kontrollierten Rollout. Definierte Service-Level-Agreements legen fest, in welcher Frist kritische, hohe und mittlere Schwachstellen geschlossen werden müssen. §30 Abs. 2 Nr. 5 BSIG verlangt geeignete Maßnahmen zur Schwachstellenbehandlung und Wartung. BSI IT-Grundschutz beschreibt Patch-Management ausführlich im Baustein OPS.1.1.3. In der Praxis sind Out-of-Band-Patches für Zero-Day-Schwachstellen, ein Notfall-Patch-Prozess und die Behandlung von OT-/Legacy-Systemen besonders herausfordernd.

Die 3-2-1-Regel definiert eine Mindestanforderung für wirksame Datensicherung. Drei Kopien umfassen das Original und zwei Backups. Zwei verschiedene Medien sollen das Risiko technischer Ausfälle eines einzelnen Speichersystems reduzieren. Eine Kopie wird räumlich getrennt vorgehalten (offsite oder offline), idealerweise als Cold Storage oder Air-Gap-Backup. Damit werden auch Ransomware-Angriffe und Standortausfälle abgesichert. BSI-Baustein CON.3 und die EU-Durchführungsverordnung 2024/2690 verlangen entsprechend robuste Backup-Strategien. Moderne Erweiterungen wie 3-2-1-1-0 ergänzen eine unveränderliche (immutable) Kopie und null Fehler beim Restore-Test.

Bei RBAC werden Berechtigungen Rollen zugewiesen und Personen erhalten Zugriff über ihre Rollen-Mitgliedschaft. Das Modell vereinfacht die Verwaltung in mittleren und großen Organisationen und unterstützt das Least-Privilege-Prinzip. RBAC erleichtert außerdem die regelmäßige Berechtigungsprüfung (User Access Review), die §30 BSIG implizit über die Forderung nach Zugriffskontrolle erwartet. Wichtig sind klare Rollendefinitionen, Funktionstrennung (Segregation of Duties) und ein dokumentierter Onboarding/Offboarding-Prozess. Komplexere Umgebungen ergänzen RBAC um attributbasierte Modelle (ABAC).

Die Registrierungspflicht nach §33 Abs. 1 BSIG gilt für besonders wichtige und wichtige Einrichtungen. Spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als solche gilt, übermittelt sie dem BSI unter anderem Name und Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, den Sektor nach Anlage 1 oder 2 BSIG, die Mitgliedstaaten, in denen sie Dienste erbringt, sowie die zuständigen Aufsichtsbehörden. Betreiber kritischer Anlagen machen zusätzliche Angaben (§33 Abs. 2). Da das NIS2UmsuCG am 6. Dezember 2025 in Kraft trat, lief die Frist für bereits betroffene Unternehmen am 6. März 2026 ab. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI die Registrierung selbst vornehmen (§33 Abs. 3).

Risikomanagement im Sinne der NIS2-Richtlinie und des §30 BSIG bezeichnet einen kontinuierlichen Zyklus aus Identifikation, Analyse, Bewertung, Behandlung und Überwachung von Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Systemen. §30 Abs. 1 BSIG verpflichtet zu geeigneten, verhältnismäßigen technischen, operativen und organisatorischen Maßnahmen, die sich am tatsächlichen Risikoexpositionsgrad orientieren. Die zehn Pflichtbereiche aus §30 Abs. 2 sind operative Konkretisierungen dieses Schirmbegriffs. Methodisch greift Risikomanagement auf ISO 27005, BSI-Standard 200-3 oder NIST SP 800-30 zurück. Wichtig ist die Dokumentation: ohne nachvollziehbare Risikobewertung sind die Maßnahmen nicht audit-tauglich.

Die RCA geht über die unmittelbaren Symptome hinaus und identifiziert die zugrundeliegenden technischen, organisatorischen oder menschlichen Faktoren eines Vorfalls. Verbreitete Methoden sind die 5-Why-Analyse, das Ishikawa-Diagramm (Fishbone) und die Fault Tree Analysis. §32 BSIG verlangt im Abschlussbericht innerhalb eines Monats eine ausführliche Beschreibung der Ursachen, getroffenen Maßnahmen und potentiellen grenzüberschreitenden Auswirkungen. Eine sorgfältige RCA ist daher Pflichtbestandteil der Vorfallnachbereitung. Sie liefert zugleich die Grundlage für Lessons-Learned-Reviews und die kontinuierliche Verbesserung des ISMS.

Die RPO definiert, wie alt die Daten beim Wiederanlauf höchstens sein dürfen, und steuert damit Backup-Frequenz und Replikationsstrategie. Eine RPO von 15 Minuten erfordert beispielsweise synchrone Replikation oder hochfrequente Snapshots. Sie wird je kritischem Prozess in der Business Impact Analysis festgelegt. Die RPO ist eng mit dem Backup-Konzept und dem 3-2-1-Prinzip (drei Kopien, zwei Medien, eine offsite) verbunden. §30 Abs. 2 Nr. 3 BSIG verlangt geeignete Backup- und Wiederherstellungsverfahren, die ohne klare RPO-Vorgaben nicht belastbar planbar sind.

Die RTO wird im Rahmen der Business Impact Analysis je kritischem Prozess festgelegt. Sie steuert Investitionsentscheidungen, etwa für Hot-Standby, Cluster-Architekturen oder Cloud-Failover. Eine RTO von vier Stunden erfordert grundsätzlich teurere Lösungen als eine RTO von 24 Stunden. Wichtig ist die regelmäßige Prüfung im Rahmen von Notfallübungen, weil theoretische RTO-Werte von der gemessenen Realität abweichen können. RTO, RPO und MTPD bilden zusammen die Kernkennzahlen des Business Continuity Managements.

Software Bills of Materials beantworten die Frage "Was ist in unserer Software enthalten?". Sie listen alle direkten und transitiven Abhängigkeiten samt Versionen, Lizenzen und idealerweise auch Hash-Prüfsummen. Standardformate sind CycloneDX (OWASP) und SPDX (Linux Foundation). Im NIS2-Kontext sind SBOMs in zwei Richtungen relevant: erstens für die Lieferkettensicherheit nach §30 Abs. 2 Nr. 4 BSIG, weil sie es ermöglichen, beim Bekanntwerden einer Schwachstelle (z.B. Log4Shell, XZ-Backdoor) sofort zu prüfen, ob das eigene Unternehmen betroffen ist; zweitens fordert der Cyber Resilience Act (EU 2024/2847) für Hersteller digitaler Produkte explizit eine SBOM. Tools zur automatisierten SBOM-Erzeugung sind Syft, CycloneDX-CLI und Snyk.

Schwachstellenmanagement nach §30 Abs. 2 Nr. 3 BSIG erfasst typischerweise vier Phasen: Erkennen (durch CVE-Monitoring, automatisierte Scans wie Nessus, OpenVAS, Qualys, sowie SBOM-Abgleich), Bewerten (mit CVSS-Score und Kontextrisiko), Behandeln (Patching, Workaround, Risikoakzeptanz mit Begründung) und Verifizieren (Re-Scan nach Patching). Wichtig sind dokumentierte Patch-SLAs: kritische Schwachstellen meist binnen 7-14 Tagen, hohe binnen 30 Tagen, mittlere binnen 90 Tagen. EU-DVO 2024/2690 konkretisiert dies für relevante Sektoren. Eng verzahnt mit Asset-Management (man kann nur scannen, was im Inventar steht) und Patch-Management (operative Umsetzung der Behandlung).

Security Information and Event Management bezeichnet Plattformen, die Logs aus Servern, Netzwerkgeräten, Endpoints und Anwendungen zentralisieren und mit Korrelationsregeln durchsuchen. Klassische Vertreter sind Splunk, Microsoft Sentinel, Elastic SIEM und IBM QRadar; Open Source: Wazuh und Graylog. §30 Abs. 2 Nr. 3 BSIG verlangt die Bewältigung von Sicherheitsvorfällen, was ohne zentralisierte Logauswertung in der Praxis kaum erfüllbar ist. EU-DVO 2024/2690 konkretisiert dies für bestimmte Sektoren. Ein SIEM ist kein Selbstzweck: Wirksam wird es erst zusammen mit einem SOC oder mindestens einem alarmierungsbereiten Bereitschaftsdienst, der die Meldungen prüft und auf §32-relevante Vorfälle reagiert.

Ein Security Operations Center kombiniert Menschen, Prozesse und Technik für die laufende Überwachung der IT-Sicherheit. Klassische Aufgaben sind die Sichtung der SIEM-Alarme, die Triage von Sicherheitsvorfällen, die initiale Eindämmung sowie die Übergabe an das Incident-Response-Team. Modelle reichen von vollumfänglich In-house über co-managed bis hin zum vollständigen Managed-SOC (MSSP). Für KMU im NIS2-Pflichtkreis ist meist ein Managed-SOC realistisch, weil 24/7-Personal selbst aufzubauen ein Investitionsvolumen jenseits dessen voraussetzt, was ein 3-8-Personen-IT-Team leisten kann. §30 BSIG schreibt kein SOC explizit vor, doch ohne eine SOC-ähnliche Funktion sind die Anforderungen an Erkennung und Bewältigung kaum erfüllbar.

TLD-Name-Registries sind Organisationen, die Top-Level-Domains administrieren und Domain-Registrierungen koordinieren. In Deutschland betreibt die DENIC die .de-Domain. NIS2 ordnet TLD-Name-Registries ausdrücklich dem Sektor digitale Infrastruktur zu (Anhang 1) und behandelt sie unabhängig von der Unternehmensgröße als besonders wichtige Einrichtung. Der Grund ist die zentrale Bedeutung der DNS-Infrastruktur für das Internet. Ähnlich werden DNS-Diensteanbieter und qualifizierte Vertrauensdiensteanbieter unabhängig von Schwellenwerten erfasst.

TLPT simuliert Angriffe entlang konkret beobachteter Bedrohungsakteure und nutzt aktuelle Threat Intelligence, um Erkennungs- und Reaktionsfähigkeiten auf Produktivsystemen zu prüfen. TLPT geht über klassische Penetrationstests hinaus, da es ganzheitlich Menschen, Prozesse und Technologie adressiert. Im Finanzsektor ist TLPT über die EU-Verordnung DORA für bestimmte Akteure verpflichtend (TIBER-DE-Rahmen). Im NIS2-Kontext ist TLPT nicht generell verpflichtend, kann aber im Rahmen einer angemessenen Wirksamkeitsprüfung von Sicherheitsmaßnahmen sinnvoll sein, insbesondere bei besonders wichtigen Einrichtungen.

Verschlüsselung umfasst die symmetrischen (z.B. AES-256) und asymmetrischen Verfahren (z.B. RSA, ECC) zur Sicherung der Vertraulichkeit von Daten. §30 Abs. 2 Nr. 8 BSIG verpflichtet zu Konzepten und Verfahren der Kryptographie, einschließlich Schlüsselmanagement. Relevante Anwendungsfelder sind die Verschlüsselung von Datenträgern (z.B. BitLocker, LUKS), der Kommunikation (TLS, VPN), von Backups (vor allem im Cold Storage) und besonders schützenswerter Datenbanken. ENISA und BSI veröffentlichen jährlich aktualisierte Empfehlungen zu mindestens noch sicheren Algorithmen und Schlüssellängen. Wichtig im NIS2-Kontext: Verschlüsselung ersetzt keine Zugriffskontrolle, sondern ergänzt sie als zweite Verteidigungslinie.

Wichtige Einrichtungen sind in §28 Abs. 2 BSIG festgelegt: Unternehmen aus den Sektoren der Anlagen 1 und 2 BSIG mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. €, sofern sie nicht schon besonders wichtige Einrichtung sind, außerdem Vertrauensdiensteanbieter und kleinere Telekommunikationsanbieter. Die Risikomanagementmaßnahmen nach §30, die Meldepflicht nach §32, die Registrierung nach §33 und die Pflichten der Geschäftsleitung nach §38 BSIG gelten wie für besonders wichtige Einrichtungen. Unterschiede liegen in Aufsicht und Bußgeldrahmen: Das BSI prüft wichtige Einrichtungen, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen (§62 BSIG). Bußgelder für Verstöße gegen §30 oder §32 reichen bis 7 Mio. €, bei mehr als 500 Mio. € Gesamtumsatz bis 1,4 % des weltweiten Umsatzes (§65 BSIG).