NIS-2 verlangt mindestens folgende Maßnahmen:

1. Risikoanalyse & Sicherheitskonzepte: Unternehmen müssen systematisch bewerten, welche Risiken für ihre IT‑Systeme und Dienste bestehen, und daraus geeignete Sicherheitskonzepte ableiten. Die Risikoanalyse ist die fachliche Grundlage für alle weiteren Maßnahmen.
2. Incident‑Response‑ und Vorfallmanagement: Es müssen Prozesse existieren, um Sicherheitsvorfälle frühzeitig zu erkennen, strukturiert zu bewältigen und korrekt zu melden. Ziel ist es, Schäden zu begrenzen und gesetzliche Meldefristen einhalten zu können.
3. Business Continuity, Backup & Krisenmanagement: Unternehmen müssen sicherstellen, dass kritische Dienste auch bei IT‑Störungen weiterlaufen oder schnell wiederhergestellt werden können. Dazu gehören Backup‑Strategien, Notfallpläne und klar geregelte Krisenprozesse.
4. Lieferketten‑ und Dienstleister‑Sicherheit: Auch Risiken bei IT‑Dienstleistern und Lieferanten müssen berücksichtigt werden. Unternehmen sind verpflichtet, sicherheitsrelevante Anforderungen an externe Anbieter festzulegen und deren Einhaltung angemessen zu prüfen.
5. Sichere Beschaffung, Entwicklung & Wartung von IT‑Systemen: Sicherheitsanforderungen müssen bereits bei Auswahl, Entwicklung und Wartung von IT‑Systemen berücksichtigt werden. Dazu gehört auch ein strukturiertes Schwachstellen‑ und Patch‑Management über den gesamten Lebenszyklus hinweg.
6. Wirksamkeitskontrolle der Maßnahmen: NIS2 verlangt nicht nur Maßnahmen, sondern auch deren regelmäßige Überprüfung auf Wirksamkeit. Kontrollen, Tests oder Audits sollen sicherstellen, dass Sicherheitsmaßnahmen tatsächlich funktionieren.
7. Schulungen & Awareness: Mitarbeitende müssen regelmäßig zu Informationssicherheit geschult und sensibilisiert werden. Ziel ist es, menschliche Fehler zu reduzieren und Sicherheitsbewusstsein im Arbeitsalltag zu verankern.
8. Kryptografie‑ und Schlüsselmanagement: Der Einsatz angemessener kryptografischer Verfahren ist vorgeschrieben, etwa zur Sicherung von Daten oder Kommunikation. Schlüssel müssen sicher erzeugt, gespeichert, genutzt und regelmäßig erneuert werden.
9. Zugriffs‑ und Berechtigungsmanagement: Zugriffe auf Systeme und Daten dürfen nur nach dem Need‑to‑know‑Prinzip vergeben werden. Berechtigungen müssen klar geregelt, regelmäßig überprüft und bei Rollenwechseln oder Austritt zeitnah entzogen werden.
10. Multi‑Faktor‑Authentifizierung & gesicherte Kommunikation: Für kritische Zugänge ist der Einsatz von Multi‑Faktor‑Authentifizierung Stand der Technik. Zusätzlich fordert NIS2 eine abgesicherte interne und externe Kommunikation, insbesondere für sensible oder krisenrelevante Inhalte.

Die Maßnahmen müssen sich am Stand der Technik sowie an europäischen und internationalen Normen orientieren (z. B. ISO 27001, BSI IT‑Grundschutz). [regelungstext.pdf | PDF]

Erläuterung zum Begriff Stand der Technik: „Stand der Technik“ ist relativ, nicht absolut. Im § 30 BSIG ist ausdrücklich geregelt, dass der Stand der Technik verhältnismäßig anzuwenden ist. Bei der Bewertung müssen berücksichtigt werden:

• Größe der Einrichtung
• Risikoexposition
• Eintrittswahrscheinlichkeit von Sicherheitsvorfällen
• mögliche gesellschaftliche und wirtschaftliche Auswirkungen
• Umsetzungskosten

Branchenspezifische Sicherheitsstandards können genutzt oder vorgeschlagen werden, wenn sie NIS-2‑konform sind.

In bestimmten Fällen kann der Einsatz zertifizierter IT‑Produkte verpflichtend vorgeschrieben werden (§ 30 Abs. 6 BSIG).