„Wir haben das immer so gemacht" reicht nicht mehr. §30 Abs. 2 Nr. 1 BSIG verlangt von betroffenen Einrichtungen explizit Konzepte in Bezug auf die Sicherheit in der Informationstechnik – also schriftliche, genehmigte und gelebte IT-Sicherheitsrichtlinien.
Welche Richtlinien §30 BSIG erfordert
Das Gesetz schreibt keine abschließende Liste vor, aber ENISA und BSI empfehlen für NIS2-konforme Organisationen mindestens folgende Kernrichtlinien:
- Informationssicherheitsrichtlinie (ISR) – das übergeordnete Rahmenwerk, von der Geschäftsleitung genehmigt
- Acceptable Use Policy (AUP) – Verhaltensregeln für Mitarbeiter bei der IT-Nutzung
- Passwort- und Zugangsverwaltungsrichtlinie – MFA, Passwortkomplexität, privilegierte Zugänge
- Patch- und Schwachstellenmanagement-Richtlinie – Patch-Fristen je Schweregrad (CVSS-Score)
- Mobile Device und Remote-Access-Richtlinie – Homeoffice, BYOD, VPN
- Datensicherungsrichtlinie – Backup-Frequenz, Aufbewahrung, Testpflichten
Laut der BSI IT-Grundschutz-Methodik ist die Informationssicherheitsrichtlinie das Fundament aller weiteren Sicherheitsmaßnahmen – ohne sie hängen alle anderen Maßnahmen in der Luft.
Was eine gültige Richtlinie enthalten muss
Eine NIS2-konforme IT-Sicherheitsrichtlinie muss mindestens diese Bestandteile haben:
- Geltungsbereich: Für welche Systeme, Standorte, Mitarbeiter, Dienstleister gilt die Richtlinie?
- Verantwortlichkeiten: Wer ist für die Einhaltung zuständig? (Rolle, nicht Name)
- Konkrete Verhaltensanforderungen: Keine vagen Formulierungen – was genau ist erlaubt/verboten?
- Konsequenzen bei Verstößen: Disziplinarmaßnahmen, arbeitsrechtliche Folgen
- Genehmigung und Versionskontrolle: Unterschrift der Geschäftsleitung, Versionsnummer, Datum
- Überprüfungsintervall: Mindestens jährliche Revision vorschreiben
Die ENISA Cybersecurity Guide for SMEs betont: Richtlinien, die nicht kommuniziert werden, existieren rechtlich nicht. Nachweisbare Mitarbeiterschulungen und Kenntnisnahmebestätigungen sind essenziell.
Typische Fehler in der Praxis
In BSI-Prüfungen fallen KMU häufig durch drei vermeidbare Fehler auf:
- Veraltete Richtlinien – letzte Revision vor 3+ Jahren, Homeoffice und Cloud nicht erfasst
- Fehlende Genehmigung – nur von der IT erstellt, nie von Geschäftsführung unterzeichnet
- Kein Nachweis der Kommunikation – Richtlinie existiert, aber Mitarbeiter kennen sie nicht
Unser IT-Sicherheitsrichtlinien Kit
Das NIS2Have IT-Sicherheitsrichtlinien Kit enthält alle 6 Kernrichtlinien als fertige Vorlagen:
- Informationssicherheitsrichtlinie (ISR) – Vorlage mit allen Pflichtbestandteilen
- Acceptable Use Policy (AUP) – auf KMU-Praxis zugeschnitten
- Passwort- und MFA-Richtlinie nach BSI-Empfehlung
- Patch-Management-Richtlinie mit CVSS-basierter Priorisierung
- Remote-Access- und Homeoffice-Richtlinie
- Kenntnisnahme-Formular (Mitarbeiter-Unterschriftenliste)
- Checkliste: Richtlinien-Audit-Readiness nach §30 BSIG