Maßnahme 5: Sicherheit bei Erwerb, Entwicklung und Wartung.

§ 30 Abs. 2 Nr. 5 BSIG verlangt „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“. Die Vorgabe entspricht Art. 21 Abs. 2 Buchst. e der Richtlinie (EU) 2022/2555. Nach Auffassung des BSI sind damit alle Systeme, Komponenten und Prozesse gemeint, die eine Einrichtung für die Erbringung ihrer Dienste nutzt, im Einzelfall auch OT-Systeme wie industrielle Steuerungen und Gebäudeautomation.

Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen. Das BSI ordnet der Maßnahme unter anderem die Controls A.8.8, A.8.9, A.8.25, A.8.29 und A.8.32 aus ISO/IEC 27001 zu, betont aber, dass eine Umsetzung nach diesen Standards nicht automatisch die Anforderungen nach § 30 BSIG erfüllt. Den Umfang bestimmt die Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 BSIG; die Umsetzung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren.

Für die Offenlegung sieht Art. 12 der Richtlinie (EU) 2022/2555 eine koordinierte Offenlegung von Schwachstellen vor, bei der ein von jedem Mitgliedstaat benanntes CSIRT als Koordinator zwischen meldender Person und Hersteller vermittelt. Das BSI nimmt Schwachstellenmeldungen über ein zentrales Portal entgegen, auch anonym. § 30 Abs. 6 BSIG ergänzt: Bestimmte IKT-Produkte, -Dienste und -Prozesse dürfen nur mit einer europäischen Cybersicherheitszertifizierung verwendet werden, soweit eine Rechtsverordnung nach § 56 Abs. 3 BSIG sie benennt. Eine allgemeine Zertifizierungspflicht ist das nicht.

Für Anbieter digitaler Dienste wie Cloud- und Rechenzentrumsdienste und Managed Service Provider gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor. Wer selbst Produkte mit digitalen Elementen herstellt, hat zusätzlich Pflichten aus dem Cyber Resilience Act, der Verordnung (EU) 2024/2847; das BSI verweist bei der Meldung von Schwachstellen ausdrücklich darauf.

Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern und Prüfungen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für Erwerb, Entwicklung und Wartung werden typischerweise diese Unterlagen relevant sein. Die Tabelle ist ein Vorschlag; feste Formvorgaben hat das BSI für Nachweise nach § 30 BSIG bisher nicht veröffentlicht.

Im Katalog „NIS2 Deutschland“ der Framework-Bibliothek ist § 30 Abs. 2 Nr. 5 BSIG als Anforderung DE-REQ-09 abgebildet. Dazu gehören DE-CTL-08 für Konfigurationen und Änderungen, DE-CTL-16 für Schwachstellen und Patches, DE-CTL-17 für die Meldestelle und DE-CTL-18 für die Beschaffung. Wer Software entwickelt, ergänzt DE-CTL-50 und DE-CTL-51, Einrichtungen mit Produktionsanlagen DE-CTL-48 für OT-Netze und Fernwartung. Ein Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen.

Systeme und Dienste mit ihren Verantwortlichen führen Sie im Inventar. Baselines, Änderungsprotokolle und Penetrationstestberichte laden Sie als Nachweise hoch und verknüpfen sie mit dem Control; Prüfberichte im Vault werden ausgewertet. Hersteller und Dienstleister prüfen Sie in der Lieferantenverwaltung mit Fragebögen.

Befristete Ausnahmen behandeln Sie im Risikoregister als Risikoakzeptanz mit Ersatzmaßnahme und geben sie über Freigaben mit Vier-Augen-Prinzip frei. Ablaufdaten und regelmäßige Scans planen Sie als wiederkehrende Aufgaben; mit Wirksamkeitsprüfungen bewerten Sie, ob die Behebungsfristen eingehalten werden.