§ 32 NISG 2026: Maßnahmen-Checkliste für Unternehmen

Rechtsgrundlage: §§ 31–35 NISG 2026.

Ab 1. Oktober 2026 verlangt § 32 NISG 2026 von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen. § 32 Abs. 4 nennt zehn Inhaltsfelder, die sie zumindest umfassen müssen. Für die von der Durchführungsverordnung (EU) 2024/2690 erfassten digitalen Anbieter und Vertrauensdienste gelten zusätzlich deren unmittelbar anwendbare technische und methodische Anforderungen; für andere Einrichtungen sind aktuelle nationale Konkretisierungen nach § 32 Abs. 5 zu prüfen. Welche Kontrollen angemessen sind, hängt vom konkreten Risiko ab.

Rechtsstand: 11. September 2026. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; vor einer Veröffentlichung ab diesem Tag sind RIS-Fassung und einschlägige Verordnungen erneut zu prüfen.

Was „geeignet und verhältnismäßig“ bedeutet

Das Gesetz verlangt keinen identischen Maßnahmenkatalog für jedes Unternehmen. Das angestrebte Cybersicherheitsniveau muss dem bestehenden Risiko angemessen sein. Zu berücksichtigen sind der Stand der Technik, einschlägige Normen und bewährte Verfahren sowie die Kosten der Umsetzung.

Für die Verhältnismäßigkeit nennt § 32 Abs. 3 insbesondere:

Ausmaß der Risikoexposition der Einrichtung und ihrer Dienste;

Größe der Einrichtung;

Wahrscheinlichkeit eines Cybersicherheitsvorfalls;

mögliche Schwere einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen.

„Zu teuer“ ist damit keine eigenständige Ausnahme. Umgekehrt verlangt Verhältnismäßigkeit auch nicht, jede verfügbare Kontrolle ungeachtet des Risikos einzuführen. Als Umsetzungsempfehlung sollte die Einrichtung Risiko, Maßnahme, Wirksamkeitsprüfung und Restrisiko nachvollziehbar miteinander verknüpfen. Der konkrete gesetzliche Maßstab folgt aus § 32 Abs. 1–4 und gegebenenfalls anwendbaren Konkretisierungen.

Die §-32-Maßnahmenmatrix

Die folgende Matrix trennt den gesetzlichen Inhalt von möglichen Umsetzungsartefakten. Die Artefakte sind Beispiele, keine abschließende oder für jedes Unternehmen identische Pflichtliste.

Gesetzliches Feld nach § 32 Abs. 4

Leitfrage

Mögliche Arbeitsnachweise

Typische verantwortliche Rolle

a) Risikoanalyse und Sicherheit für Informationssysteme

Welche Systeme, Dienste, Bedrohungen und Auswirkungen bestimmen unser Risikoprofil?

Asset-/Serviceübersicht, Risikoanalyse, Sicherheitskonzept, Risikoregister

Informationssicherheit, Risikomanagement, Service Owner

b) Bewältigung von Cybersicherheitsvorfällen

Wie erkennen, bewerten, eskalieren und behandeln wir einen Vorfall?

Incident-Plan, Rollenkarte, Meldeentscheid, Übungsprotokoll, Kontaktliste

Incident Lead, IT-Betrieb, Legal/Compliance

c) Aufrechterhaltung des Betriebs, Backup, Wiederherstellung und Krisenmanagement

Welche kritischen Leistungen müssen wie schnell wieder anlaufen?

Business-Impact-Analyse, Backup-Konzept, Restore-Test, Notfall- und Krisenplan

Business Continuity, IT-Betrieb, Krisenstab

d) Sicherheit der Lieferkette

Welche unmittelbaren Anbieter oder Diensteanbieter können unsere Sicherheit oder Leistung wesentlich beeinflussen?

Kritikalitätsmodell, Anbieter-Risikobewertung, Klauseln, Nachweise, Exit-Plan

Einkauf, Vendor Management, Informationssicherheit

e) Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement

Wie werden Sicherheitsanforderungen über Beschaffung, Entwicklung, Änderung und Wartung eingehalten?

Security Requirements, Secure-Development-Regeln, Patch-/Vulnerability-Prozess, Freigaben

Entwicklung, IT, Einkauf, Product Security

f) Bewertung der Wirksamkeit

Woher wissen wir, dass Maßnahmen funktionieren?

KPI/KRI, Kontrolltests, interne Reviews, Penetrationstest, Auditfindings

Informationssicherheit, Internal Audit, Control Owner

g) Cyberhygiene und Schulungen

Welche Grundregeln und Kenntnisse brauchen Leitung und Mitarbeiter für ihre Rollen?

Schulungsplan, Teilnahme, Übungen, Phishing-Auswertung, Awareness-Maßnahmen

HR, Informationssicherheit, Leitungsorgan

h) Kryptografie und gegebenenfalls Verschlüsselung

Welche Daten und Kommunikationswege brauchen welchen kryptografischen Schutz?

Kryptografie-Policy, Schlüsselmanagement, Datenklassifikation, Ausnahmeprozess

Security Architecture, IT-Betrieb, Datenschutz

i) Personalsicherheit, Zugriffskontrolle und Anlagenmanagement

Wer darf worauf zugreifen und wie werden Zugriffe sowie Assets über ihren Lebenszyklus gesteuert?

Joiner-Mover-Leaver-Prozess, Rollen-/Rechtemodell, Rezertifizierung, Inventar

HR, IAM, IT Asset Management, Fachbereich

j) Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gegebenenfalls Notfallkommunikation

Welche Zugriffe und Kommunikationswege benötigen stärkere Authentisierung oder gesicherte Alternativen?

MFA-Abdeckung, Authentifizierungsstandard, Kommunikationskonzept, Notfallkanal-Test

IAM, IT-Betrieb, Krisenmanagement

Quelle der gesetzlichen Felder: § 32 Abs. 4 lit. a–j NISG 2026.

Vom Maßnahmenkatalog zur belastbaren Umsetzung

Eine lange Liste von Tools beantwortet noch nicht, ob § 32 umgesetzt ist. Ein belastbarer Arbeitsstand verbindet fünf Ebenen:

Risiko: Welches Szenario soll beherrscht werden?

Maßnahme: Welche technische, operative oder organisatorische Kontrolle wirkt dagegen?

Verantwortung: Wer betreibt, überwacht und entscheidet?

Wirksamkeit: Wie wird geprüft, ob die Kontrolle tatsächlich funktioniert?

Evidenz: Welcher aktuelle Nachweis macht die Umsetzung nachvollziehbar?

Beispiel Backup: Eine Policy allein zeigt nicht, dass Daten wiederhergestellt werden können. Erst ein protokollierter Restore-Test liefert Evidenz zur Wirksamkeit. Umgekehrt ist ein einzelner erfolgreicher Test ohne definierte Wiederherstellungsziele und Verantwortlichkeiten noch kein vollständiges Konzept.

Priorisierung ohne Scheingenauigkeit

Für eine erste Arbeitsreihenfolge eignet sich eine einfache Bewertung:

Frage

Niedriger Handlungsdruck

Hoher Handlungsdruck

Auswirkung

begrenzte interne Störung

Ausfall eines wesentlichen Dienstes, erheblicher Schaden oder breite Folgewirkung

Wahrscheinlichkeit

seltenes, gut kontrolliertes Szenario

bekannte Exposition, aktive Bedrohung oder wiederkehrendes Problem

Kontrollreife

getestet, überwacht und aktuell belegt

unklar, nur informell oder nachweislich unwirksam

Abhängigkeit

leicht ersetzbare Komponente

kritischer Single Point of Failure oder schwer ersetzbarer Anbieter

Zeitbezug

stabile Umgebung

bevorstehende Migration, Vertragsänderung, Audit oder Ablauf eines Nachweises

Die Bewertung sollte nicht in eine mathematisch präzise Ampel gezwungen werden, wenn die Datengrundlage das nicht trägt. Wichtiger ist eine dokumentierte Entscheidung: Was wird bis wann verbessert, wer verantwortet es und welches Restrisiko bleibt?

Nachweise nach § 33 mitdenken

Wesentliche und wichtige Einrichtungen müssen innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen über umgesetzte Maßnahmen, genutzte Netz- und Informationssysteme, Lieferkettensicherheit und Ergebnisse der Risikoanalyse übermitteln.

Nach § 33 Abs. 2 gelten nach behördlicher Aufforderung differenzierte Nachweisfristen: grundsätzlich zwei Jahre, bei wesentlichen Einrichtungen für die operative und organisatorische Umsetzung zwei Monate. Einschlägige gültige Zertifikate können nur den operativen und organisatorischen Teil abdecken. Der Prüfbericht nach § 33 Abs. 3 ist von den Leitungsorganen und den eingesetzten unabhängigen Prüfern zu unterzeichnen und umfasst auch festgestellte Mängel und einen Maßnahmenplan.

Deshalb sollte jedes Maßnahmenfeld einen Evidenz-Owner haben. Ein Dokumentenordner kurz vor einer Prüfung ist kein Ersatz für laufende Nachweisführung.

Verhältnis zu Governance, Lieferkette und Incident-Prozess

Die Maßnahmenmatrix ist der zentrale Umsetzungs-Hub. Drei Themen verdienen dennoch eigene Vertiefungen:

Governance: § 31 verpflichtet Leitungsorgane, die Einhaltung der §-32-Maßnahmen sicherzustellen und zu beaufsichtigen sowie an spezifischen Schulungen teilzunehmen; die Vertiefung erklärt die Verantwortung des Leitungsorgans.

Lieferkette: § 32 Abs. 4 lit. d verlangt eine risikobezogene Betrachtung unmittelbarer Anbieter und Diensteanbieter; dazu dient die Vertiefung zu Lieferkettensicherheit und unmittelbaren Anbietern.

Vorfälle: Incident Handling gehört als Maßnahmenfeld zu § 32; erhebliche Vorfälle lösen zusätzlich die Berichtspflichten nach §§ 34 und 35 aus. Dafür ist der Melde- und Incident-Prozess gesondert vorzubereiten.

Diese Seiten dürfen nicht drei verschiedene Gesamtchecklisten führen. Die vorliegende Seite besitzt die vollständige §-32-Matrix; die Vertiefungen erklären Governance, Lieferantensteuerung und Meldeprozess.

Arbeitscheckliste für den ersten Gap-Workshop

Scope und Risiko

Betroffene Rechtsträger und Dienste sind festgehalten.

Relevante Netz- und Informationssysteme samt physischen Komponenten sind erfasst.

Risikoexposition, Vorfallswahrscheinlichkeit und mögliche Auswirkungen sind bewertet.

Verhältnismäßigkeitskriterien und Annahmen sind dokumentiert.

Maßnahmen

Alle zehn Felder des § 32 Abs. 4 wurden geprüft.

Jede Maßnahme ist mit einem Risiko oder einer gesetzlichen Anforderung verbunden.

Operative Owner und Aufsicht sind benannt.

Abweichungen haben Termin, Verantwortliche und dokumentiertes Restrisiko.

Wirksamkeit und Evidenz

Für zentrale Kontrollen gibt es Wirksamkeitstests.

Nachweise sind aktuell, auffindbar und ihrem Geltungsbereich zugeordnet.

Lieferkettenbewertungen und Anbieterabhängigkeiten sind nachvollziehbar.

Leitungsentscheidungen, Schulungen und Wiedervorlagen sind dokumentiert.

Selbstdeklaration und mögliche unabhängige Prüfung haben einen vorbereiteten Datenprozess.

Ein angekreuztes Feld ist kein Compliance-Nachweis. Die Checkliste zeigt, ob die Arbeitsgrundlage vorhanden ist; sie ersetzt weder Risikoanalyse noch fachliche Prüfung.

Häufige Fragen

Verlangt NIS 2 genau zehn Maßnahmen?+

§ 32 Abs. 4 nennt zehn Inhaltsfelder von lit. a bis j, die die Risikomanagementmaßnahmen zumindest umfassen müssen. Jedes Feld kann mehrere Kontrollen erfordern. Umfang und Ausgestaltung hängen vom Risiko und von der Verhältnismäßigkeit ab.

Sind technische Maßnahmen wichtiger als Organisation und Prozesse?+

Nein. § 32 Abs. 1 verlangt ausdrücklich technische, operative und organisatorische Maßnahmen. Ein Tool ohne Zuständigkeit, Prozess und Wirksamkeitsprüfung kann die Anforderung daher nicht allein erfüllen.

Muss jedes Unternehmen dieselben Standards oder Zertifikate einsetzen?+

Nein. § 32 verlangt risikoadäquate und verhältnismäßige Maßnahmen. Für Einrichtungen im persönlichen Anwendungsbereich der Durchführungsverordnung (EU) 2024/2690 gelten jedoch deren konkretisierte Anforderungen unmittelbar; außerdem können nationale Verordnungen nach § 32 Abs. 5 weitere Vorgaben festlegen.

Reicht die Checkliste als Nachweis gegenüber der Behörde?+

Nein. § 33 verlangt strukturierte Informationen und regelt unter bestimmten Voraussetzungen unabhängige Nachweise und Prüfberichte. Die Checkliste ist eine interne Arbeitshilfe, kein gesetzlich definierter Nachweis.

Rechtsclaim

Primärquelle

Das NISG 2026 tritt am 1. Oktober 2026 in Kraft.

NISG 2026, § 51 Abs. 1–2 – RIS, konsolidierte Fassung

Wesentliche und wichtige Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen umsetzen.

NISG 2026, § 32 Abs. 1–3 – RIS, konsolidierte Fassung

Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz und umfassen zumindest die zehn Felder a–j.

NISG 2026, § 32 Abs. 4 – RIS

Selbstdeklaration und unabhängige Nachweise sind in § 33 geregelt.

NISG 2026, § 33 – RIS

Leitungsorgane stellen die Einhaltung sicher, beaufsichtigen sie und nehmen an spezifischen Schulungen teil.

NISG 2026, § 31 – RIS

Erhebliche Vorfälle lösen die Berichtspflichten nach §§ 34–35 aus.

NISG 2026, §§ 34–35 – RIS

NIS 2 nennt die Mindestfelder des Cyberrisikomanagements.

Richtlinie (EU) 2022/2555, Art. 21 – EUR-Lex