NIS2-Anforderungen nach Art. 21: die zehn Maßnahmen
Der Mindestkatalog aus Art. 21 Abs. 2
Die Maßnahmen aus Art. 21 Abs. 2 der NIS2-Richtlinie folgen einem gefahrenübergreifenden (all-hazards) Ansatz und müssen dem Stand der Technik sowie dem individuellen Risiko angemessen sein. Die zehn Bereiche:
a) Risikoanalyse & Informationssicherheit
Konzepte für die Risikoanalyse und für die Sicherheit von Informationssystemen. Auf ihnen baut das gesamte Sicherheitsmanagement auf.
b) Bewältigung von Sicherheitsvorfällen
Prozesse zur Erkennung, Behandlung und Nachbereitung von Vorfällen (Incident Handling) inklusive Meldewege.
c) Aufrechterhaltung des Betriebs
Backup-Management, Disaster Recovery sowie Business Continuity und Krisenmanagement. Damit soll der Betrieb auch im Ernstfall weiterlaufen.
d) Sicherheit der Lieferkette
Sicherheitsaspekte in den Beziehungen zu Lieferanten und Dienstleistern, inklusive deren Sicherheitsniveau.
e) Sicherheit in Beschaffung, Entwicklung & Wartung
Sichere Beschaffung, Entwicklung und Wartung von IT/OT inklusive Schwachstellenmanagement und -offenlegung.
f) Bewertung der Wirksamkeit
Konzepte und Verfahren, um die Wirksamkeit der Risikomanagement-Maßnahmen zu bewerten, zum Beispiel durch Tests und Übungen.
g) Cyberhygiene & Schulungen
Grundlegende Praktiken der Cyberhygiene und regelmäßige Schulungen für Beschäftigte und Leitung.
h) Kryptografie & Verschlüsselung
Konzepte und Verfahren für den Einsatz von Kryptografie und, wo angemessen, Verschlüsselung.
i) Personal, Zugriff & Assets
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen (Asset-Management).
j) MFA & gesicherte Kommunikation
Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie Notfallkommunikation.
Wie ist Art. 21 national umgesetzt?
Die nationalen Umsetzungsgesetze haben den Katalog inhaltsgleich übernommen: Österreich nahezu wortgleich, Deutschland mit leicht angepassten Formulierungen. Maßgeblich ist damit das jeweilige nationale Gesetz:
- Deutschland: § 30 Abs. 2 BSIG (NIS2UmsuCG, in Kraft seit 6.12.2025) enthält die zehn Mindestmaßnahmen. Ihre Einhaltung ist zu dokumentieren (§ 30 Abs. 1 S. 3). Die Schulungs- und Überwachungspflicht der Geschäftsleitung steht in § 38 BSIG.
- Österreich: § 32 Abs. 4 NISG 2026 (seit 1.10.2026). Details im Beitrag NISG 2026.
- Digitale Infrastruktur (Cloud, DNS, MSP/MSSP u. a.): Für diese Einrichtungsarten konkretisiert die Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen EU-weit einheitlich. Soweit sie reicht, hat sie Vorrang (§ 30 Abs. 3 BSIG).
Wo SecDrills konkret unterstützt
Vier der zehn Bereiche lassen sich besonders gut mit Tabletop-Übungen abdecken. Bei b) und c) übt Ihr Team, Vorfälle zu bewältigen und in der Krise zu handeln. Für f) weisen wiederholte, bewertete Übungen die Wirksamkeit nach. Und bei g) werden Beschäftigte und Leitung in der Übung geschult und sensibilisiert. Jede Übung endet mit einem After-Action-Report, der diesen Nachweis dokumentiert.
Den Gesamtzusammenhang zeigt der NIS2-Überblick. Ob die Pflichten für Sie gelten, klärt die Betroffenheitsprüfung.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.