Mit dem deutschen NIS2-Umsetzungsgesetz (BSIG) ist ein dokumentiertes Risikomanagementsystem für alle betroffenen Einrichtungen Pflicht – nicht optional, nicht formlos, sondern auditfähig und schriftlich. Für viele KMU ist das Neuland.
Was §30 BSIG konkret verlangt
§30 Abs. 1 BSIG schreibt vor, dass besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen müssen. Dazu gehören ausdrücklich:
- Konzepte zur Risikoanalyse und Informationssicherheit (§30 Abs. 2 Nr. 1 BSIG)
- Bewertung der Risiken für Netz- und Informationssysteme
- Regelmäßige Überprüfung und Dokumentation der umgesetzten Maßnahmen
- Nachweis gegenüber dem BSI auf Anforderung
Die ENISA-Leitlinien zum Risikomanagement sowie die BSI-Grundschutz-Methodik bieten anerkannte Rahmenwerke – für KMU aber oft zu komplex und zeitintensiv.
Typische Lücken in der Praxis
Eine ENISA-Erhebung aus 2025 zeigt: 67 % der betroffenen KMU haben zwar technische Schutzmaßnahmen (Firewall, Virenscanner), aber keine schriftliche Risikobewertung und keine Nachweisdokumentation. Genau hier setzen BSI-Prüfungen an.
Ein Risikomanagement-Dokument nach NIS2 muss mindestens enthalten:
- Schutzbedarfsanalyse für kritische IT-Assets
- Bedrohungsszenarien mit Eintrittswahrscheinlichkeit und Schadenshöhe
- Maßnahmenkatalog mit Verantwortlichen und Umsetzungsstatus
- Restrisikobewertung und Genehmigung durch die Geschäftsleitung
- Revisionshistorie (Datum, Änderungsgrund, Freigabe)
Wie unser Risikomanagement-Kit das löst
Das NIS2Have Risikomanagement-Kit liefert alle oben genannten Dokumente als ausfüllbare Vorlagen – direkt auf §30 BSIG zugeschnitten, ohne IT-Juristenkenntnisse nutzbar:
- Risikobewertungs-Matrix (Excel-kompatibel, vorausgefüllt mit typischen KMU-Bedrohungen)
- Schutzbedarfsfeststellung als Word-Vorlage
- Maßnahmenplan mit Ampelstatus
- Geschäftsleitungs-Freigabe-Dokument für §38 BSIG
- Checkliste: BSI-Audit-Readiness für Risikomanagement
Die Vorlagen sind im ISO 27001-Kontext kompatibel – wer später zertifizieren will, kann diese Dokumente direkt weiterverwenden.