Maßnahme 1: Risikoanalyse und Sicherheitskonzepte.

§ 30 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen. Sie sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, Komponenten und Prozesse vermeiden, die für die Erbringung der Dienste genutzt werden, und die Auswirkungen von Sicherheitsvorfällen gering halten. Die erste der zehn Mindestmaßnahmen in § 30 Abs. 2 BSIG sind „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“. Die Vorgabe entspricht Art. 21 Abs. 2 Buchst. a der Richtlinie (EU) 2022/2555.

Die Risikoanalyse ist der Maßstab für alle anderen Maßnahmen. Bei der Verhältnismäßigkeit sind nach § 30 Abs. 1 Satz 2 BSIG das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit, Schwere und gesellschaftliche und wirtschaftliche Auswirkungen von Sicherheitsvorfällen zu berücksichtigen. Ohne eine dokumentierte Bewertung lässt sich nicht begründen, warum eine Maßnahme angemessen ist oder warum eine andere unterbleibt.

Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Neben Cyberangriffen gehören damit auch Stromausfall, Brand, Wasser, Diebstahl und menschliche Fehler in die Analyse. Eine bestimmte Methode schreibt das Gesetz nicht vor; das BSI nennt den BSI-Standard 200-3 und ISO/IEC 27001 als Orientierung.

§ 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren. Für Anbieter digitaler Dienste wie Cloud- und Rechenzentrumsdienste, Managed Service Provider und Online-Marktplätze gehen nach § 30 Abs. 3 BSIG die technischen und methodischen Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor. Betreiber kritischer Anlagen müssen nach § 31 Abs. 1 BSIG für ihre kritischen Systeme ein höheres Schutzniveau als verhältnismäßig ansetzen.

Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern und Prüfungen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für die Risikoanalyse werden typischerweise diese Unterlagen relevant sein. Die Tabelle ist ein Vorschlag; feste Formvorgaben hat das BSI für Nachweise nach § 30 BSIG bisher nicht veröffentlicht.

In Secani fügen Sie den Katalog „NIS2 Deutschland“ aus der Framework-Bibliothek hinzu. Er bildet § 30 Abs. 2 Nr. 1 BSIG als Anforderung DE-REQ-05 ab und schlägt dazu Controls zur Umsetzung vor. Ein Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen, sodass Sie die Risikoanalyse nicht für jedes Regelwerk getrennt pflegen.

Risiken führen Sie im Risikoregister mit Bewertung, Behandlungsplan und Risikoeigentümer. Systeme, Dienste und Dienstleister liegen im Inventar und sind mit den Risiken verknüpft. Die Methodendokumentation, Konzepte und Protokolle laden Sie als Nachweise hoch und verbinden sie mit dem Control, das sie belegen.

Für jedes Control legen Sie Verantwortliche und Reviewer fest. Die Akzeptanz von Restrisiken und die Freigabe von Konzepten laufen über Freigaben mit Vier-Augen-Prinzip; jede Entscheidung bleibt mit Datum und Person im Verlauf nachvollziehbar. Wiederkehrende Überprüfungen planen Sie als Aufgaben.