Der Maßstab: § 32, die NISV 2026 und der EU-Katalog

Im Detail

Der Grundsatz

Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen, um die Risiken für ihre Netz- und Informationssysteme zu reduzieren und die Auswirkungen von Vorfällen auf die Nutzer ihrer Dienste und auf andere Dienste zu verhindern oder gering zu halten § 32 Abs. 1 NISG 2026. Zu berücksichtigen sind der Stand der Technik, einschlägige Normen, bewährte Verfahren und die Kosten der Umsetzung § 32 Abs. 2; für die Verhältnismäßigkeit die Risikoexposition, die Größe und die Wahrscheinlichkeit und Schwere von Vorfällen, auch ihre gesellschaftlichen und wirtschaftlichen Auswirkungen § 32 Abs. 3.

Die zehn Inhalte

Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz, der auch die physischen Komponenten schützt, und umfassen zumindest § 32 Abs. 4 NISG 2026:

Die NISV 2026 und der EU-Katalog

Auf Grundlage von § 32 Abs. 5 hat das Bundesamt die Netz- und Informationssystemsicherheits-Verordnung 2026 erlassen (BGBl. II Nr. 290/2026, kundgemacht am 1. Oktober 2026). Sie erklärt die Anforderungen aus Art. 2 und dem Anhang der Durchführungsverordnung (EU) 2024/2690 auch für alle Arten wesentlicher und wichtiger Einrichtungen der Anlagen 1 und 2 für anwendbar, die die Durchführungsverordnung nicht ohnehin erfasst § 2 NISV 2026. Damit gilt für alle derselbe Katalog in 13 Kapiteln, die die Spalte oben zuordnet. Er ist laut Erläuterungen ein Rahmen, keine fertige Umsetzungsbeschreibung; wie umgesetzt wird, entscheidet die Einrichtung risikobasiert (Erläuterungen zur NISV 2026). Als Leitfäden nennen die Erläuterungen die „Technical Implementation Guidance“ der ENISA mit ihrer Zuordnungstabelle.

Vier Risikokategorien

In der Risikoanalyse sind zumindest technologische Risiken, menschliche Risiken, Risiken in der IKT-Lieferkette und standortbezogene Risiken zu berücksichtigen § 3 NISV 2026.

Was „verhältnismäßig“ für ein mittleres Unternehmen heißt

• Begründen, wo der Katalog es erlaubt: Verlangt der Anhang eine Anforderung nur „soweit angemessen“, „soweit anwendbar“ oder „soweit durchführbar“, und hält die Einrichtung sie für nicht angemessen, dokumentiert sie ihre Begründung verständlich (Durchführungsverordnung, Art. 2 Abs. 2). Eine kompensierende Maßnahme ist dann nicht nötig § 4 Abs. 4 NISV 2026.
• Kompensieren, wo es nicht geht: Kann eine Einrichtung einzelnen Anforderungen vorübergehend oder aufgrund ihrer Größe nicht entsprechen, setzt sie kompensierende Maßnahmen, die dem Zweck der Anforderung dienen, dokumentiert sie nachvollziehbar und begründet und überprüft ihre Wirksamkeit mindestens jährlich § 4 Abs. 1 bis 3 NISV 2026. Ein Beispiel aus den Erwägungsgründen: Wer zu klein ist, um widerstreitende Aufgaben zu trennen, kann stattdessen gezielte Aufsicht durch die Geschäftsleitung oder verstärkte Protokollierung vorsehen.
• Kein Freibrief: Die Größe darf laut Erläuterungen nicht pauschal herangezogen werden, um die Anforderungen zu umgehen (Erläuterungen zu § 4 NISV 2026).

ISO 27001 und Auslagerung

Eine Zertifizierung nach ISO 27001 ist laut Bundesamt eine sehr gute Basis, muss aber mit dem Katalog abgeglichen und gegebenenfalls ergänzt werden; der Geltungsbereich zählt (Bundesamt für Cybersicherheit, FAQ Maßnahmen). Die Maßnahmen gelten für die ganze juristische Person, und ausgelagerte IT bleibt in Ihrer Verantwortung (FAQ).