Maßnahme 6: Bewertung der Wirksamkeit der Maßnahmen.
Das Gesetz verlangt Konzepte und Verfahren, mit denen Sie regelmäßig prüfen, ob Ihre Sicherheitsmaßnahmen umgesetzt sind und Risiken tatsächlich senken.
- § 30 Abs. 2 Nr. 6 BSIG
- Stand: 19.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
Sie legen fest, welche Maßnahmen Sie wie oft und nach welchen Kriterien prüfen, und führen die Prüfungen anhand von Nachweisen durch: Stichproben, technische Tests, Kennzahlen, interne und externe Audits. Abweichungen erfassen Sie mit Verantwortlichen und Terminen. Die Geschäftsleitung erhält die Ergebnisse regelmäßig, bewertet sie und entscheidet über Verbesserungen.
Was das Gesetz verlangt.
§ 30 Abs. 2 Nr. 6 BSIG nennt als Mindestmaßnahme „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Die Vorgabe setzt Art. 21 Abs. 2 Buchst. f der Richtlinie (EU) 2022/2555 um. Sie knüpft an § 30 Abs. 1 Satz 1 BSIG an, der nicht nur geeignete und verhältnismäßige, sondern ausdrücklich wirksame Maßnahmen verlangt.
Eng damit verbunden ist § 38 Abs. 1 BSIG: Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Die Bewertung der Wirksamkeit liefert dafür die Grundlage. Das BSI beschreibt sie als „Check“ im PDCA-Zyklus und erwartet, dass die Unternehmensleitung die Messergebnisse selbst bewertet, Berichte genehmigt und bei Bedarf verbindliche Vorgaben beschließt.
Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen dem Stand der Technik entsprechen und einschlägige Normen berücksichtigen. Das BSI verweist auf ISO/IEC 27001 (Abschnitte 6.2, 9.1 und 9.3), auf Kapitel 10 des BSI-Standards 200-2 und auf das Reife- und Umsetzungsgradmodell (RUN), das Maßnahmen in fünf Stufen von „Geplant“ bis „Kontinuierlich verbessert“ einordnet. Eine bestimmte Methode oder einen Prüfturnus schreibt das Gesetz nicht vor; Umfang und Tiefe richten sich nach der Verhältnismäßigkeit gemäß § 30 Abs. 1 Satz 2 BSIG.
§ 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren. Prüfergebnisse sind dafür der direkteste Beleg. Für Anbieter digitaler Dienste gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor. Bei besonders wichtigen Einrichtungen kann das BSI nach § 61 Abs. 1 BSIG Audits durch unabhängige Stellen anordnen und nach § 61 Abs. 3 BSIG frühestens drei Jahre nach Inkrafttreten Nachweise und einen Mängelbeseitigungsplan verlangen; bei wichtigen Einrichtungen prüft es nach § 62 BSIG anlassbezogen.
Nachweise.
Welche Unterlagen das BSI bei einer Prüfung nach §§ 61, 62 BSIG zur Wirksamkeit anfordert, hat es bisher nicht im Einzelnen festgelegt. Die Tabelle ist ein Vorschlag, der sich an den Nachweisbeispielen des BSI und an ISO/IEC 27001 orientiert.
| Nachweis | Form | Verantwortlich | Turnus |
|---|---|---|---|
| Konzept zur Wirksamkeitsbewertung | Freigegebenes Dokument mit Prüfzielen, Methoden und Bewertungskriterien | Informationssicherheitsbeauftragte, Freigabe durch Geschäftsleitung | Jährlich und bei Änderungen |
| Prüfplan | Risikobasierte Planung der Prüfungen je Maßnahme mit Termin und prüfender Stelle | Informationssicherheit, interne Revision | Jährlich, unterjährig fortgeschrieben |
| Kennzahlen mit Grenzwerten | Definierte Kennzahlen, etwa Patch-Quote oder Reaktionszeit auf Vorfälle, mit Messwerten | Fachverantwortliche der Maßnahmen | Monatlich oder quartalsweise |
| Prüfergebnisse und Auditberichte | Berichte interner und externer Prüfungen, technische Testergebnisse, Übungsprotokolle | Prüfende Stelle | Nach jeder Prüfung |
| Register der Abweichungen | Feststellungen mit Priorität, Verantwortlichen, Termin und Erfolgskontrolle | Maßnahmenverantwortliche | Fortlaufend |
| Managementbericht und Bewertung | Bericht mit Ergebnissen, Protokoll der Bewertung und Beschlüsse der Geschäftsleitung | Geschäftsleitung, vorbereitet durch Informationssicherheit | Mindestens jährlich, besser quartalsweise |
Typische Lücken.
Geprüft wird, ob es eine Richtlinie gibt, nicht ob sie wirkt.
Das BSI unterscheidet konzeptionelle Eignung, Umsetzungstreue und Ergebniswirksamkeit. Viele Prüfungen enden bei der ersten Stufe: Das Dokument existiert und ist freigegeben. Ob die Maßnahme im Alltag angewendet wird und das Risiko senkt, zeigen erst Stichproben, technische Tests und Kennzahlen.
Abweichungen werden notiert, aber nicht verfolgt.
Ein Auditbericht mit zwanzig Feststellungen ist ohne Verantwortliche, Termine und Nachprüfung kein Nachweis einer wirksamen Steuerung. § 61 Abs. 3 BSIG sieht ausdrücklich vor, dass das BSI einen Mängelbeseitigungsplan und den Nachweis der Beseitigung verlangen kann.
Die Geschäftsleitung erhält Informationen, bewertet sie aber nicht.
Ein Bericht, der per E-Mail verteilt wird, belegt keine Überwachung nach § 38 Abs. 1 BSIG. Nachvollziehbar wird sie durch ein Protokoll, aus dem hervorgeht, dass die Geschäftsleitung die Ergebnisse bewertet und über Konsequenzen entschieden hat.
Nachweise sind veraltet.
Ein Penetrationstest von vor drei Jahren oder eine Berechtigungsliste aus dem letzten Audit sagt wenig über den heutigen Stand. Legen Sie für jeden Nachweis fest, wie lange er gilt, und erneuern Sie ihn rechtzeitig.
Umsetzung in Schritten.
Prüfziele aus der Risikoanalyse ableiten.
Bestimmen Sie für jede wesentliche Maßnahme, welches Risiko sie senken soll und woran Sie erkennen, dass sie das tut. Maßnahmen für die NIS2-relevanten Dienste und für hohe Risiken prüfen Sie häufiger und tiefer.
Methoden und Kennzahlen festlegen.
Wählen Sie je Maßnahme passende Verfahren: Dokumentenprüfung, Stichprobe, technischer Test, Übung oder Kennzahl. Für Kennzahlen legen Sie Grenzwerte fest, etwa den Anteil der innerhalb einer definierten Frist installierten Sicherheitsupdates.
Prüfplan aufstellen und freigeben.
Verteilen Sie die Prüfungen über das Jahr, benennen Sie die prüfende Stelle und vermeiden Sie, dass Verantwortliche ihre eigenen Maßnahmen prüfen. In Unternehmen mit 50 bis 500 Mitarbeitenden ergänzt oft ein externes Audit im Jahr die internen Prüfungen.
Prüfungen durchführen und Ergebnisse festhalten.
Dokumentieren Sie zu jeder Prüfung Gegenstand, Datum, prüfende Person, Vorgehen, Ergebnis und die verwendeten Nachweise. Bewerten Sie, ob die Maßnahme geeignet, umgesetzt und wirksam ist.
Abweichungen verfolgen.
Jede Feststellung erhält eine Priorität, eine verantwortliche Person und einen Termin. Nach der Behebung prüfen Sie, ob die Korrektur greift, und schließen die Feststellung erst dann.
Der Geschäftsleitung berichten.
Fassen Sie Kennzahlen, Prüfergebnisse und offene Abweichungen in einem Bericht zusammen. Die Geschäftsleitung bewertet die Ergebnisse, genehmigt den Bericht und beschließt Verbesserungen. Das Protokoll dieser Sitzung ist der Nachweis der Überwachung nach § 38 Abs. 1 BSIG.
Ergebnisse in die Risikoanalyse zurückführen.
Unwirksame Maßnahmen verändern die Risikobewertung. Aktualisieren Sie Risikoregister und Behandlungspläne, damit der Kreislauf aus Planung, Umsetzung, Prüfung und Verbesserung geschlossen bleibt.
In Secani.
Der Katalog „NIS2 Deutschland“ in der Framework-Bibliothek bildet § 30 Abs. 2 Nr. 6 BSIG als Anforderung DE-REQ-10 und die Überwachungspflicht nach § 38 Abs. 1 BSIG als DE-REQ-02 ab. Das Control DE-CTL-19 verbindet beide. Prüfungen, die Sie dafür durchführen, können zugleich die Anforderungen aus ISO/IEC 27001 an Überwachung, internes Audit und Managementbewertung belegen.
Wirksamkeitsprüfungen legen Sie je Control an und planen sie über Automatisierungen als wiederkehrende Prüfungen. Ergebnisse und Feststellungen werden mit Verantwortlichen und Terminen erfasst und als Aufgaben verfolgt. Im Nachweis-Register sehen Sie, welche Nachweise veraltet sind; für AWS-Umgebungen erhebt Secani Nachweise täglich automatisch.
Management-Berichte fassen den Stand der Controls, offene Feststellungen und Risiken für die Geschäftsleitung zusammen. Beschlüsse und Freigaben laufen über das Vier-Augen-Prinzip und bleiben im Entscheidungsverlauf mit Datum und Person nachvollziehbar.
Controls im Katalog „NIS2 Deutschland“
- DE-REQ-10Wirksamkeit der Maßnahmen bewerten
- DE-CTL-19Maßnahmen anhand von Nachweisen prüfen
- DE-REQ-02Risikomaßnahmen umsetzen und überwachen
- DE-CTL-03Verantwortung und Berichtswege festlegen
Verwandte Maßnahmen.
- Maßnahme 1: Risikoanalyse
Die Risikoanalyse legt fest, welche Maßnahmen nötig sind und was sie leisten sollen; die Wirksamkeitsbewertung prüft das und fließt in die nächste Analyse zurück.
- Maßnahme 7: Cyberhygiene und Schulung
Ob Schulungen wirken, zeigt sich an Kennzahlen wie Phishing-Simulationen und gemeldeten Verdachtsfällen, die Teil der Wirksamkeitsbewertung sind.
- Maßnahme 4: Lieferkette
Auch Maßnahmen bei Dienstleistern gehören in den Prüfplan, etwa über Fragebögen, Prüfberichte und vertraglich vereinbarte Nachweise.
- Alle zehn Maßnahmen im Überblick
Quellen.
- § 30 BSIG: Risikomanagementmaßnahmen
- § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen
- § 61 BSIG: Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen
- § 62 BSIG: Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Art. 21 und 23
- BSI: #nis2know-Infopaket Bewertung der Wirksamkeit von Maßnahmen
- BSI-Standards 200-1 bis 200-4
Häufige Fragen.
Das BSI empfiehlt, drei Fragen zu prüfen: Ist die Maßnahme geeignet, das Risiko zu senken? Wird sie im Alltag wie geplant angewendet? Erzielt sie messbare Ergebnisse? Dafür eignen sich Kennzahlen mit Grenzwerten, interne und externe Audits, technische Tests und Übungen. Abweichungen werden mit Verantwortlichen behoben, und die Geschäftsleitung bewertet die Ergebnisse regelmäßig.
Das Gesetz nennt keinen Turnus. Das BSI beschreibt die Bewertung als fortlaufenden Prozess. Üblich ist ein jährlicher Prüfplan, in dem Maßnahmen für kritische Dienste und hohe Risiken häufiger geprüft werden, ergänzt um Kennzahlen, die monatlich oder quartalsweise erhoben werden, und um Prüfungen nach Vorfällen oder größeren Änderungen.
Nicht generell. § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit, keine bestimmte Prüfform. Das BSI empfiehlt interne und externe Audits. Bei besonders wichtigen Einrichtungen kann es nach § 61 Abs. 1 BSIG Audits durch unabhängige Stellen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG, wenn Tatsachen auf Mängel hindeuten.
Das BSI nennt als Beispiele die Patch-Quote, Reaktionszeiten auf Sicherheitsvorfälle und Ergebnisse von Phishing-Simulationen. Weitere übliche Kennzahlen sind der Anteil überprüfter Berechtigungen, die Zahl offener Abweichungen nach Alter und die Ergebnisse von Wiederherstellungstests. Wichtig ist, für jede Kennzahl einen Grenzwert festzulegen und Überschreitungen zu verfolgen.
Noch nicht sicher, ob NIS2 für Sie gilt?
Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.
Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.