Maßnahme 8: Kryptografie und Verschlüsselung.

Das Gesetz verlangt Konzepte und Prozesse, die festlegen, welche kryptografischen Verfahren Sie wofür einsetzen und wie Sie sie sicher betreiben.

  • § 30 Abs. 2 Nr. 8 BSIG
  • Stand: 19.10.2026
  • Lesezeit: 7 Min.

Kurzantwort.

Sie erfassen, wo Ihre Einrichtung Verschlüsselung, Signaturen, Schlüssel und Zertifikate einsetzt, und legen in einem freigegebenen Kryptokonzept fest, welche Verfahren zulässig sind. Schlüssel und Zertifikate verwalten Sie über ihren gesamten Lebenszyklus mit klaren Verantwortlichen. Veraltete Verfahren ersetzen Sie nach einem Plan, der auch die Umstellung auf Post-Quanten-Kryptografie berücksichtigt.

Was das Gesetz verlangt.

§ 30 Abs. 2 Nr. 8 BSIG nennt als Mindestmaßnahme „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“. Die Vorgabe setzt Art. 21 Abs. 2 Buchst. h der Richtlinie (EU) 2022/2555 um, der von Konzepten und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung spricht. Das Gesetz verlangt also keine Verschlüsselung aller Daten, sondern eine begründete Festlegung, wo Kryptografie Vertraulichkeit, Integrität und Authentizität schützt und wie sie betrieben wird.

Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen. Für Kryptografie verweist das BSI auf die Technische Richtlinie BSI TR-02102, die jährlich aktualisiert wird und Empfehlungen zu Verfahren und Schlüssellängen sowie zu TLS, IPsec und SSH enthält. Was vor fünf Jahren als sicher galt, kann heute veraltet sein; ein Kryptokonzept ist deshalb nie abgeschlossen.

Bei der Verhältnismäßigkeit sind nach § 30 Abs. 1 Satz 2 BSIG unter anderem die Risikoexposition, die Größe der Einrichtung und die Umsetzungskosten zu berücksichtigen. Welche Daten verschlüsselt werden und mit welchem Aufwand, folgt aus der Risikoanalyse. Das BSI nennt ausdrücklich auch langfristige Risiken durch Quantencomputer, bei denen heute abgefangene Daten später entschlüsselt werden könnten („Harvest now, decrypt later“).

§ 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren. Für Anbieter digitaler Dienste wie Cloud- und Rechenzentrumsdienste und Managed Service Provider gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor, die auch Vorgaben zur Kryptografie enthält. Betreiber kritischer Anlagen müssen nach § 31 Abs. 1 BSIG für ihre kritischen Systeme auch Maßnahmen über das Schutzniveau besonders wichtiger Einrichtungen hinaus als verhältnismäßig ansetzen.

Nachweise.

Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern und Prüfungen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für den Einsatz von Kryptografie werden typischerweise diese Unterlagen relevant sein. Die Tabelle ist ein Vorschlag; feste Formvorgaben hat das BSI für Nachweise nach § 30 BSIG bisher nicht veröffentlicht.

Nachweise zu Maßnahme 8: Nachweis, Form, Verantwortlich, Turnus
NachweisFormVerantwortlichTurnus
KryptokonzeptFreigegebenes Dokument mit zulässigen Verfahren, Schlüssellängen und AnwendungsfällenInformationssicherheit mit IT-Leitung, Freigabe durch GeschäftsleitungJährlich und nach Aktualisierung der BSI TR-02102
Krypto-InventarVerzeichnis der eingesetzten Verfahren, Protokolle und Schlüsselspeicher je SystemIT-BetriebLaufend, Review halbjährlich
ZertifikatsinventarListe mit Aussteller, Laufzeit, Verwendungszweck und VerantwortlichenIT-BetriebLaufend, Ablaufkontrolle monatlich
SchlüsselverantwortungZuordnung von Schlüsseln und Schlüsselspeichern zu verantwortlichen PersonenSystemverantwortlicheBei Änderungen, Review jährlich
Rotation und WiderrufProtokolle über Schlüsselwechsel, Zertifikatserneuerung und SperrungenIT-BetriebJe Vorgang
Prüfung der KonfigurationErgebnis eines TLS- oder Konfigurationsscans mit Abweichungen und MaßnahmenInformationssicherheitMindestens jährlich
MigrationsplanRoadmap mit Systemen, Zielverfahren und Terminen, einschließlich Post-Quanten-KryptografieIT-LeitungJährlich fortschreiben

Typische Lücken.

Niemand weiß, wo Kryptografie eingesetzt wird.

Verschlüsselung steckt in Webservern, VPN-Gateways, Datenbanken, Backups, E-Mail-Gateways und Cloud-Diensten, oft mit Standardeinstellungen des Herstellers. Ohne Bestandsaufnahme lässt sich weder sagen, ob die Verfahren dem Stand der Technik entsprechen, noch planen, was zuerst zu ersetzen ist. Das BSI nennt die Inventarisierung als Grundlage jeder Risiko- und Migrationsplanung.

Zertifikate laufen unbemerkt ab.

Abgelaufene Zertifikate führen zu Ausfällen, und unter Zeitdruck ausgestellte Ersatzzertifikate umgehen oft die vorgesehenen Abläufe. Ein Zertifikatsinventar mit Ablaufdaten und Verantwortlichen verhindert beides.

Das Konzept nennt Ziele, aber keine Verfahren.

Ein Satz wie „Daten werden nach dem Stand der Technik verschlüsselt“ ist kein Konzept. Prüfende erwarten in der Regel konkrete Festlegungen: welche Verfahren und Schlüssellängen zulässig sind, welche Protokollversionen deaktiviert sind und wer Ausnahmen genehmigt.

Schlüssel liegen neben den Daten.

Schlüssel im Quellcode, in Konfigurationsdateien oder auf demselben Server wie die verschlüsselten Daten heben den Schutz weitgehend auf. Das Kryptokonzept sollte regeln, wo Schlüssel gespeichert werden, wer Zugriff hat und wie sie gesichert und gelöscht werden.

Post-Quanten-Kryptografie wird vertagt.

Das BSI empfiehlt, kritische Systeme und langlebige Daten jetzt zu identifizieren und eine Roadmap für die Migration zu erstellen. Eine feste gesetzliche Frist für die Umstellung enthält das BSIG nicht; ein dokumentierter Plan zeigt aber, dass die Einrichtung das Risiko bewertet hat.

Umsetzung in Schritten.

  1. Schutzbedarf und Anwendungsfälle klären.

    Leiten Sie aus der Risikoanalyse ab, welche Informationen und Verbindungen Vertraulichkeit, Integrität oder Authentizität benötigen: Datenübertragung, gespeicherte Daten, Backups, mobile Geräte, Signaturen und Code-Signierung.

  2. Bestand erfassen.

    Inventarisieren Sie je System die eingesetzten Verfahren, Protokolle, Schlüsselspeicher und Zertifikate. Beginnen Sie bei extern erreichbaren Diensten und bei Systemen mit langlebigen Daten; automatische Scans helfen, Zertifikate und TLS-Konfigurationen zu finden.

  3. Kryptokonzept festlegen und freigeben.

    Legen Sie zulässige Verfahren, Mindestschlüssellängen und Protokollversionen fest und orientieren Sie sich dabei an der aktuellen BSI TR-02102. Regeln Sie, wer Ausnahmen genehmigt und wie lange sie gelten. Die Geschäftsleitung gibt das Konzept frei.

  4. Schlüssel und Zertifikate über den Lebenszyklus steuern.

    Beschreiben Sie Erzeugung, Speicherung, Zugriff, Erneuerung, Widerruf und Löschung. Weisen Sie jedem Schlüsselspeicher und jeder Zertifizierungsstelle eine verantwortliche Person zu und legen Sie fest, wie bei einem kompromittierten Schlüssel vorzugehen ist.

  5. Abweichungen beheben.

    Vergleichen Sie den Bestand mit dem Konzept. Deaktivieren Sie veraltete Protokollversionen, ersetzen Sie schwache Verfahren und dokumentieren Sie begründete Ausnahmen mit Ablaufdatum.

  6. Migrationsplan erstellen.

    Halten Sie fest, welche Systeme bis wann auf neue Verfahren umgestellt werden, einschließlich Post-Quanten-Kryptografie. Prüfen Sie bei Beschaffungen, ob Produkte neue Verfahren unterstützen können, und erproben Sie die Umstellung zunächst in einer Pilotumgebung.

  7. Regelmäßig überprüfen.

    Gleichen Sie das Konzept jährlich mit der aktuellen Fassung der BSI TR-02102 ab und prüfen Sie Konfigurationen stichprobenartig. Ergebnisse und Änderungen werden dokumentiert.

In Secani.

In Secani bildet der Katalog „NIS2 Deutschland“ § 30 Abs. 2 Nr. 8 BSIG als Anforderung DE-REQ-12 ab. Das Control DE-CTL-21 beschreibt die Umsetzung: zulässige Verfahren bestimmen und Schlüssel und Zertifikate über ihren Lebenszyklus kontrollieren. Dasselbe Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen.

Systeme und Dienste, die Kryptografie einsetzen, erfassen Sie im Inventar. Kryptokonzept, Scan-Ergebnisse und Protokolle über Schlüsselwechsel laden Sie in das Nachweis-Register und verknüpfen sie mit DE-CTL-21; die Aktualität der Nachweise bleibt sichtbar.

Für DE-CTL-21 legen Sie Verantwortliche und Reviewer fest. Das Kryptokonzept und Ausnahmen davon laufen über Freigaben mit Vier-Augen-Prinzip, und den jährlichen Abgleich mit der BSI TR-02102 planen Sie als wiederkehrende Aufgabe. Die Migration veralteter Verfahren führen Sie als Behandlungsplan im Risikoregister.

Controls im Katalog „NIS2 Deutschland“

  • DE-REQ-12Kryptografie und Verschlüsselung regeln
  • DE-CTL-21Kryptografie und Schlüssel verwalten
Umsetzungsgrad prüfen

Verwandte Maßnahmen.

Quellen.

Häufige Fragen.

Nein. § 30 Abs. 2 Nr. 8 BSIG verlangt Konzepte und Prozesse für den Einsatz kryptografischer Verfahren, keine flächendeckende Verschlüsselung. Wo Verschlüsselung, Signaturen oder andere Verfahren nötig sind, ergibt sich aus der Risikoanalyse und dem Schutzbedarf der Informationen. Die Entscheidung und ihre Begründung sollten dokumentiert sein.

Typischerweise der Geltungsbereich, die Anwendungsfälle, zulässige Verfahren, Schlüssellängen und Protokollversionen, Regeln für Erzeugung, Speicherung, Erneuerung, Widerruf und Löschung von Schlüsseln und Zertifikaten, Verantwortlichkeiten, der Umgang mit Ausnahmen und ein Plan für die Migration veralteter Verfahren. Als fachliche Grundlage nennt das BSI die BSI TR-02102.

Das BSIG schreibt die Technische Richtlinie nicht verbindlich vor. § 30 Abs. 2 Satz 1 BSIG verlangt aber, den Stand der Technik einzuhalten, und das BSI verweist für Kryptografie auf die BSI TR-02102. Wer davon abweicht, sollte begründen können, warum das gewählte Verfahren gleichwertig ist.

Eine gesetzliche Frist dafür enthält das BSIG nicht. Das BSI empfiehlt jedoch, kritische Systeme und langlebige Daten jetzt zu identifizieren, eine Roadmap für die Migration zu erstellen und erste Pilotumgebungen zu erproben. Besonders relevant ist das für Daten, die über viele Jahre vertraulich bleiben müssen.

Noch nicht sicher, ob NIS2 für Sie gilt?

Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.

Betroffenheit prüfen

Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.