Was verlangt § 30 BSIG von erfassten Unternehmen?

Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, dokumentiert und mindestens zehn Bereiche abdeckend. Nach § 30 Abs. 1 müssen besonders wichtige und wichtige Einrichtungen Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden, die sie für ihre Dienste nutzen, und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Für die Verhältnismäßigkeit zählen Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen und ihre gesellschaftlichen und wirtschaftlichen Auswirkungen. Die Einhaltung ist zu dokumentieren. Nach § 30 Abs. 2 sollen die Maßnahmen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen; die Vorschrift nennt die Mindestbereiche, entsprechend Artikel 21 Absatz 2 NIS2NIS2: zweite EU-Richtlinie zur Netz- und Informationssicherheit. Das EU-Cybersicherheitsrecht (Richtlinie (EU) 2022/2555) mit Sicherheits- und Meldepflichten für viele Unternehmen., von Risikoanalyse und Vorfallbewältigung bis zur Multi-Faktor-Authentifizierung. Für bestimmte digitale Anbieter hat der EU-Durchführungsrechtsakt Vorrang (§ 30 Abs. 3).

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

← Alle 15 Fragen zu Deutschland: BSIGAlle Themen