Cyber-Hygiene für KMU: 10 Maßnahmen, die Versicherer und NIS2 erwarten

Die zehn Maßnahmen, die § 30 Abs. 2 BSIG für NIS2-betroffene Unternehmen als Mindestumfang nennt, sind zugleich eine brauchbare Checkliste für jeden Mittelständler, ob betroffen oder nicht. Welche Anforderungen ein bestimmter Versicherer stellt, steht in dessen Antragsfragen und Bedingungen und lässt sich nicht pauschal sagen. Dieser Artikel ordnet die zehn Bereiche ein, damit Sie Ihre Lage in Ruhe prüfen können.

Wofür die Liste steht

§ 30 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und deren Dokumentation. Ob Sie als Einrichtung gelten, klärt der kostenlose NIS2-Check. Für Unternehmen außerhalb von NIS2 ist die Liste keine Rechtspflicht, aber ein sachlicher Maßstab. Für Geschäftsleiter betroffener Einrichtungen kommt hinzu, dass sie die Umsetzung nach § 38 BSIG überwachen müssen.

Die zehn Bereiche im Überblick

Die Reihenfolge folgt § 30 Abs. 2 BSIG. Die Hinweise in der rechten Spalte sind unsere praktische Lesart, keine Gesetzesaussage.

Nr.	Bereich nach § 30 Abs. 2	Frage an Ihr Unternehmen
1	Risikoanalyse und Sicherheitskonzepte	Gibt es eine schriftliche Einschätzung, welche Systeme und Daten kritisch sind?
2	Bewältigung von Sicherheitsvorfällen	Wer tut was, wenn etwas passiert, und wer ist erreichbar?
3	Betriebsaufrechterhaltung (Backup, Wiederherstellung, Krisenmanagement)	Gibt es Datensicherungen, und wurde die Wiederherstellung je getestet?
4	Sicherheit der Lieferkette	Welche Dienstleister haben Zugriff auf Ihre Systeme oder Daten?
5	Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellenmanagement	Werden Updates zeitnah eingespielt, und wer ist dafür zuständig?
6	Bewertung der Wirksamkeit der Maßnahmen	Prüfen Sie regelmäßig, ob die Maßnahmen wirken?
7	Schulungen und Sensibilisierung	Wissen Mitarbeitende, wie sie verdächtige Mails melden?
8	Kryptographische Verfahren	Sind Daten und Verbindungen verschlüsselt, wo es nötig ist?
9	Personalsicherheit, Zugriffskontrolle, Verwaltung von IKT-Systemen	Haben nur die nötigen Personen Zugriff, und werden Rechte beim Austritt entzogen?
10	Multi-Faktor-Authentifizierung und gesicherte Kommunikation	Sind wichtige Zugänge mit einem zweiten Faktor geschützt?

Wo Sie bei einem kleinen Betrieb anfangen können

Das Gesetz stellt die Maßnahmen unter den Vorbehalt der Verhältnismäßigkeit. Größe, Risikoexposition und Umsetzungskosten spielen eine Rolle. Ein Betrieb mit 40 Beschäftigten braucht keine Sicherheitsabteilung, sollte aber die Grundlagen belegen können. Sinnvoll ist die Reihenfolge nach Wirkung und Aufwand: zuerst Zugänge absichern (Nr. 10 und 9), dann Datensicherung samt Wiederherstellungstest (Nr. 3), dann Updates (Nr. 5), dann Notfallablauf und Meldewege (Nr. 2), danach Schulung (Nr. 7). Dokumentieren Sie jeden Schritt, denn § 30 Abs. 1 BSIG verlangt die Dokumentation der Einhaltung.

Und die Versicherer?

Dass Versicherer bestimmte Maßnahmen verlangen, lässt sich pauschal nicht belegen, denn jeder Anbieter formuliert eigene Fragen und Bedingungen. Praktisch heißt das: Lesen Sie die Antragsfragen genau und beantworten Sie sie wahrheitsgemäß. Ob Ihre Branche und Ihre IT-Lage grundsätzlich versicherbar sind, zeigt der Versicherbarkeits-Radar. Eine bestehende Police bewerten wir in der Cyber-Police-Prüfung: Prüfung in mehreren Kategorien, schriftlicher Bericht, in der Regel 5 Werktage, ab 49 EUR zzgl. USt. Das Alter der Police ordnet die Cyber-Ampel ein. Tarife können Sie im Vergleich ansehen, Begriffe stehen im Glossar. CyberShield ist freier Makler der iSurance Gruppe (§ 34d GewO).

Cyber-Hygiene und NIS2 zusammen denken

Wer die zehn Bereiche angeht, bereitet sich auf mehrere Fragen zugleich vor: auf NIS2, auf Kundenanforderungen und auf den Antrag für eine Cyber-Police. Was bei einem erheblichen Vorfall zu melden ist und wann, beschreibt der Artikel zu den Pflichten und Meldefristen für Geschäftsleiter.

Häufige Fragen

Was kostet es, die Maßnahmen prüfen zu lassen?

Der NIS2-Check ist kostenlos. Die Cyber-Police-Prüfung kostet ab 49 EUR zzgl. USt. Was die Umsetzung der Maßnahmen im Betrieb kostet, hängt von Ihrer Ausgangslage ab und lässt sich hier nicht beziffern.

Wie gehe ich vor, wenn ich bei null anfange?

Prüfen Sie zuerst Zugänge und Datensicherung, danach Updates, Notfallablauf und Schulung. Halten Sie jeden Schritt schriftlich fest.

Wir sind zu klein für NIS2, brauchen wir das trotzdem?

Eine Rechtspflicht nach § 30 BSIG besteht nur für betroffene Einrichtungen. Die zehn Bereiche sind aber ein sachlicher Maßstab auch für andere Unternehmen.

Verlangt jeder Versicherer dieselben Maßnahmen?

Das lässt sich nicht pauschal sagen. Jeder Versicherer stellt eigene Antragsfragen und Bedingungen, deshalb lohnt der Blick in die Unterlagen des jeweiligen Angebots.

Ersetzt eine Cyber-Versicherung diese Maßnahmen?

Nein. Eine Versicherung kann Folgekosten eines Vorfalls abfedern, sie ersetzt aber keine Schutzmaßnahmen und keine NIS2-Pflicht.

Allgemeine Information, keine Rechtsberatung.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.