Die wichtigsten Maßnahmen zur Cybersicherheit sind in § 30 Abs. 2 BSI-Gesetz (BSIG) geregelt. Die Vorschrift enthält einen Maßnahmenkatalog, der sich unmittelbar an den Risikomanagement-Maßnahmen von Art. 21 Abs. 2 NIS 2 orientiert. Auch die bereichsspezifischen Umsetzungsvorschriften aus dem Energiewirtschaftsgesetz (EnWG), dem Sozialgesetzbuch V (SGB V) oder dem Telekommunikationsgesetz (TKG) verweisen entweder auf § 30 Abs. 2 BSIG oder greifen den Wortlaut von Art. 21 Abs. 2 NIS 2 auf.
§ 30 Abs. 2 BSIG
§ 30 Abs. 2 BSIG nimmt sämtliche Gefahren für die Sicherheit von Netz- und Informationssystemen in den Blick. Das bedeutet, dass nicht nur Cyberangriffe wie etwa ein unbefugter Zugang zu Netz- und Informationssystemen im Fokus stehen, sondern auch Ereignisse wie Brände, Überschwemmungen oder Stromausfälle.
Angemessene Maßnahmen
Im Kern verpflichtet § 30 BSIG die betroffenen Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten oder Dienste zu gewährleisten. Die Formulierung erinnert an Art. 32 DSGVO (Datenschutz-Grundverordnung). Auch Verantwortliche, deren Einrichtungen nicht als wichtige oder besonders wichtige nach dem BSIG einzuordnen sind, müssen geeignete technische und organisatorische Maßnahmen treffen. Art. 32 DSGVO nennt exemplarisch eini…
