Gesetze und Standards – verständlich erklärt
Jede Regel in derselben Gliederung: Worum geht es? · Was heißt das konkret? · Beispiel · Nachlesen. Stand: Oktober 2026. Lernmaterial, keine Rechtsberatung – maßgeblich ist immer der Originaltext.
Richtlinie, Verordnung, Gesetz, Standard – was ist was?
| Art | Was sie ist | Für wen gilt sie? | Beispiele |
|---|---|---|---|
| EU-Verordnung | Ein EU-Gesetz, das in allen Mitgliedstaaten gleich und sofort gilt. Kein Land muss etwas umsetzen. | direkt für Unternehmen und Bürger | DSGVO, DORA, Cyber Resilience Act |
| EU-Richtlinie | Ein Auftrag der EU an die Mitgliedstaaten: Das Ziel ist verbindlich, aber jedes Land schreibt bis zu einer Frist ein eigenes Gesetz dazu. | zuerst für die Staaten – für Unternehmen erst über das nationale Gesetz | NIS2, CER-Richtlinie |
| Nationales Gesetz | Das deutsche Gesetz, das eine Richtlinie umsetzt. | direkt für Unternehmen in Deutschland | BSI-Gesetz (BSIG) |
| Standard | Kein Gesetz, sondern eine anerkannte Methode. Er zeigt, wie man eine Pflicht gut erfüllt. | freiwillig – hilft beim Nachweis | BSI-Standard 200-3, ISO/IEC 27001 |
Rechtsgrundlage für Verordnung und Richtlinie ist Art. 288 des Vertrags über die Arbeitsweise der EU (AEUV).
Deshalb steht auf allen Folien „§ … BSIG“: Die Altmühltal Wasser muss sich an das deutsche BSI-Gesetz halten, nicht direkt an die Richtlinie. Die DSGVO dagegen ist eine Verordnung und gilt für sie unmittelbar.
NIS2-Richtlinie (EU) 2022/2555
Worum geht es? Die EU will, dass Unternehmen in wichtigen Branchen überall ähnlich gut gegen Cyberangriffe geschützt sind.
Wie die Artikel im deutschen Gesetz heißen:
| NIS2 | Thema | BSIG |
|---|---|---|
| Art. 2, 3 | Wer ist betroffen? | § 28 |
| Art. 20 | Verantwortung der Leitung | § 38 |
| Art. 21 | Schutzmaßnahmen | § 30 |
| Art. 23 | Meldepflichten | § 32 |
| Art. 34 | Bußgelder | § 65 |
Nachlesen: NIS2-Richtlinie auf EUR-Lex
§ 28 · Wer ist betroffen?
Worum geht es? Der Paragraf legt fest, welche Unternehmen die NIS2-Pflichten erfüllen müssen.
- Die Branche steht in Anlage 1 (besonders kritisch, z. B. Energie, Gesundheit, Trinkwasser) oder Anlage 2 (z. B. Post und Kurier, Lebensmittel, Industrie).
- Das Unternehmen ist mindestens mittelgroß: ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme.
- Groß (ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme) und Anlage 1 = besonders wichtige Einrichtung. Betreiber kritischer Anlagen sind es immer.
- Alle anderen Betroffenen = wichtige Einrichtung.
Nachlesen: § 28 BSIG
§ 30 · Welche Schutzmaßnahmen sind Pflicht?
Worum geht es? Betroffene Unternehmen müssen technische und organisatorische Maßnahmen treffen, die geeignet, verhältnismäßig und wirksam sind – und das dokumentieren.
- Verhältnismäßig heißt: Je größer das Risiko, desto mehr muss das Unternehmen tun. Maßstab sind unter anderem Eintrittswahrscheinlichkeit und Schwere eines Vorfalls.
- Dabei zählen alle Gefahren – auch Stromausfall oder Hochwasser.
- Mindestens diese zehn Bereiche müssen abgedeckt sein:
| Nr. | Bereich | Beispiel Altmühltal Wasser |
|---|---|---|
| 1 | Risiken analysieren, Sicherheitskonzepte | IT und OT trennen |
| 2 | mit Sicherheitsvorfällen umgehen | Notfallplan für Angriffe |
| 3 | Betrieb aufrechterhalten, Backups, Krisenmanagement | Notbetrieb von Hand, Offline-Backup |
| 4 | Lieferkette absichern | Audit beim Fernwartungsdienstleister |
| 5 | sicher einkaufen, entwickeln, warten; Schwachstellen schließen | Updates für die Leitwarte |
| 6 | prüfen, ob die Maßnahmen wirken | jährlicher Penetrationstest |
| 7 | Grundregeln und Schulungen | Phishing-Training |
| 8 | Verschlüsselung | Kundendaten verschlüsseln |
| 9 | Personal, Zugänge, Berechtigungen, Geräteübersicht | eigene statt Sammelkonten |
| 10 | Mehr-Faktor-Anmeldung, sichere Kommunikation | Zwei-Faktor-Anmeldung für die Fernwartung |
Nachlesen: § 30 BSIG
§ 31 · Zusätzliche Pflichten für Betreiber kritischer Anlagen
Worum geht es? Wer eine kritische Anlage betreibt, muss mehr tun als § 30 verlangt.
- Vor allem: Systeme einsetzen, die Angriffe automatisch erkennen.
- Ob eine Anlage „kritisch“ ist, hängt von Schwellenwerten ab, etwa der Zahl der versorgten Menschen.
Nachlesen: § 31 BSIG
§ 32 · Vorfälle melden
Worum geht es? Bei einem erheblichen Sicherheitsvorfall muss das Unternehmen das BSI informieren – in drei Stufen.
- Erheblich ist ein Vorfall, wenn er den Betrieb schwer stört, viel Geld kostet oder anderen erheblich schaden kann.
- Frühwarnung: unverzüglich, spätestens nach 24 Stunden.
- Meldung mit erster Bewertung: spätestens nach 72 Stunden.
- Abschlussmeldung: spätestens einen Monat nach der Meldung.
Nachlesen: § 32 BSIG
§ 33 · Beim BSI anmelden
Worum geht es? Betroffene Unternehmen müssen sich selbst beim BSI registrieren – innerhalb von drei Monaten.
- Niemand schreibt sie an. Jedes Unternehmen muss selbst prüfen, ob § 28 auf es zutrifft.
Nachlesen: § 33 BSIG
§ 38 · Was die Geschäftsleitung tun muss
Worum geht es? Cybersicherheit ist Aufgabe der Geschäftsleitung – nicht nur der IT-Abteilung.
- Sie muss die Schutzmaßnahmen freigeben und ihre Umsetzung kontrollieren.
- Sie muss regelmäßig an Schulungen teilnehmen.
- Versäumt sie das, haftet sie nach den Regeln des Gesellschaftsrechts. Die Arbeit kann sie verteilen, die Verantwortung nicht.
Nachlesen: § 38 BSIG
§ 65 · Bußgelder
Worum geht es? Wer seine Pflichten verletzt, kann ein Bußgeld bekommen. Wie hoch es höchstens sein darf, hängt von der Kategorie ab.
- Besonders wichtige Einrichtung: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
- Wichtige Einrichtung: bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
- Es zählt jeweils der höhere Betrag.
Nachlesen: § 65 BSIG
DSGVO Art. 32 und 33
Worum geht es? Die Datenschutz-Grundverordnung schützt personenbezogene Daten. Als Verordnung gilt sie direkt, ohne deutsches Umsetzungsgesetz.
- Art. 32: angemessene technische und organisatorische Maßnahmen für personenbezogene Daten.
- Art. 33: Datenschutzverletzungen innerhalb von 72 Stunden der Aufsichtsbehörde melden.
Nachlesen: DSGVO auf EUR-Lex
BSI-Standard 200-3 · Risikoanalyse
Worum geht es? Kein Gesetz, sondern eine anerkannte Methode des BSI, um Risiken zu bewerten. NIS2 schreibt keine Methode vor – dieser Standard ist in Deutschland aber verbreitet.
- Ablauf: Gefährdungen zusammenstellen → Risiken einstufen (Häufigkeit × Schadenshöhe) → Risiken behandeln → Ergebnisse ins Sicherheitskonzept übernehmen.
- Häufigkeit: selten, mittel, häufig, sehr häufig. Schadenshöhe: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend.
- Behandlung: Risiko vermeiden, reduzieren, übertragen (z. B. versichern) oder bewusst akzeptieren.
- Gedacht vor allem für Bereiche mit hohem oder sehr hohem Schutzbedarf.
Nachlesen: BSI-Standard 200-3 (PDF, BSI)
NIS2-Risikomanagement – das Wichtigste auf einer Seite
Öffentliches Lernmaterial · Stand: Oktober 2026
Lernziele: Nach der Einheit können Sie prüfen, ob NIS2 für ein Unternehmen gilt (§ 28), Risiken in eine Matrix einordnen, Maßnahmen ableiten und § 30 zuordnen und begründen, ob das Restrisiko vertretbar ist (§ 38).
Der Fall
Die Altmühltal Wasser GmbH ist ein ausgedachtes Unternehmen. Sie versorgt 85.000 Menschen mit Trinkwasser und hat 140 Beschäftigte. Trinkwasser steht in Anlage 1 des BSI-Gesetzes. Das Unternehmen hat mehr als 50, aber weniger als 250 Beschäftigte. Deshalb ist es eine wichtige Einrichtung (§ 28) und muss sich nach § 30 schützen.
Die Risikomatrix
So lesen Sie die Matrix: Je weiter oben, desto häufiger. Je weiter rechts, desto schlimmer. Die Fernwartung (R2) startet ganz oben rechts. Zwei Maßnahmen machen die Folgen kleiner: Büronetz und Steuerungsnetz trennen (§ 30 Nr. 1) und einen Notbetrieb von Hand üben (Nr. 3). Damit sinkt das Risiko auf „mittel“.
Was das Gesetz verlangt
| Norm | Was Sie tun müssen |
|---|---|
| § 28 BSIG | Selbst prüfen, ob NIS2 gilt: Sektor und Größe |
| § 30 BSIG | Sich in allen zehn Bereichen schützen (siehe unten) – passend zum Risiko |
| § 32 BSIG | Vorfälle an das BSI melden: nach 24 Stunden, nach 72 Stunden, nach einem Monat |
| § 33 BSIG | Sich innerhalb von drei Monaten beim BSI anmelden |
| § 38 BSIG | Die Geschäftsleitung gibt frei, kontrolliert, lässt sich schulen – und haftet |
| § 65 BSIG | Bußgelder bis 10 Mio. € oder 2 % (besonders wichtig) bzw. 7 Mio. € oder 1,4 % (wichtig) |
Die zehn Pflichtbereiche (§ 30 Abs. 2) – mit Beispiel
Merksätze
- Alle zehn Bereiche sind Pflicht. Angefangen wird dort, wo das Risiko am höchsten ist – bei der Altmühltal Wasser an der Fernwartung.
- Seltener reicht nicht immer. Ist die Gesundheit von Menschen in Gefahr, muss ein Risiko weniger schlimm werden, nicht nur seltener.
- Ein Rest bleibt immer. Was übrig bleibt, akzeptiert die Geschäftsleitung bewusst und schriftlich (§ 38).
Begriffe kurz erklärt
| NIS2 | EU-Richtlinie für mehr Cybersicherheit; in Deutschland umgesetzt im BSI-Gesetz (BSIG) |
| Restrisiko | das Risiko, das nach allen Maßnahmen übrig bleibt |
| MFA | Zwei-Faktor-Anmeldung: Passwort plus ein zweiter Nachweis, z. B. ein Code |
| IT · OT | Büro-Technik · Technik, die Anlagen steuert, etwa Pumpen |
NIS2 in zehn Kapiteln
Lesen Sie ein Kapitel, üben Sie es im Spiel und prüfen Sie Ihr Wissen im Test. Stand: Oktober 2026, BSIG in der Fassung des NIS2-Umsetzungsgesetzes. Lernmaterial, keine Rechtsberatung.
Wissenstest: zwölf Fragen zu NIS2
Nach jeder Antwort sehen Sie die Erklärung. Sie können den Test beliebig oft wiederholen.
Wählen Sie ein Szenario
Szenario 1 ist der Fall aus der Vorlesung. Die übrigen Szenarien sind zum Üben und als Hausaufgabe gedacht. Jeder richtige Schritt bringt einen Stern.
Risikomatrix
Hausaufgaben
Bearbeiten Sie die Aufgaben schriftlich. Die Lösungen zum Vergleichen sind eingeklappt.
Aufgabe 1 · Szenarien spielen
Spielen Sie die Szenarien 2 bis 5 und notieren Sie zu jedem Szenario: das höchste Risiko, Ihre zwei Maßnahmen, das Restrisiko und den Merksatz. Ziel sind drei Sterne pro Szenario.
Aufgabe 2 · Betroffenheit prüfen
Eine Molkerei hat 180 Beschäftigte, ein Krankenhaus 620 und ein Kurierdienst 310. Welche Kategorie nach § 28 BSIG gilt jeweils, und warum?
Lösung anzeigen
Molkerei: Lebensmittel stehen in Anlage 2, ab 50 Beschäftigten → wichtige Einrichtung. Krankenhaus: Gesundheit steht in Anlage 1, ab 250 Beschäftigten → besonders wichtige Einrichtung. Kurierdienst: Post und Kurier steht in Anlage 2 → auch ab 250 Beschäftigten nur wichtige Einrichtung.
Aufgabe 3 · Maßnahmen zuordnen
Ordnen Sie zu, welchem Bereich des § 30 Abs. 2 BSIG die Maßnahmen angehören: (a) MFA für Fernzugriff, (b) Audit beim IT-Dienstleister, (c) Offline-Backup mit Wiederherstellungstest, (d) jährlicher Penetrationstest, (e) Awareness-Schulung.
Lösung anzeigen
(a) Nr. 10 (auch Nr. 9 Zugriffskontrolle) · (b) Nr. 4 Lieferkette · (c) Nr. 3 Aufrechterhaltung des Betriebs · (d) Nr. 6 Bewertung der Wirksamkeit · (e) Nr. 7 Cyberhygiene und Schulungen.
Aufgabe 4 · Häufigkeit oder Auswirkung?
Entscheiden Sie für jede Maßnahme, ob sie eher die Häufigkeit oder die Auswirkung eines Ransomware-Angriffs senkt: MFA, Awareness-Schulung, Offline-Backup, geübter Notbetrieb, Netzsegmentierung.
Lösung anzeigen
Häufigkeit: MFA, Awareness-Schulung. Auswirkung: Offline-Backup, geübter Notbetrieb. Netzsegmentierung wirkt auf beides: Ein Angriff gelingt seltener, und wenn doch, bleibt er auf ein Segment begrenzt.
Aufgabe 5 · Rechnen mit dem Schadenserwartungswert
Ein Ransomware-Vorfall kostet die Altmühltal Wasser 400.000 € (SLE) und tritt im Schnitt alle vier Jahre auf (ARO = 0,25). Ein Offline-Backup kostet 30.000 € pro Jahr und senkt den Schaden pro Vorfall auf 80.000 €. Berechnen Sie ALE vorher und nachher sowie den ROSI.
Lösung anzeigen
ALE vorher = 400.000 € × 0,25 = 100.000 € · ALE nachher = 80.000 € × 0,25 = 20.000 € · ROSI = (100.000 − 20.000 − 30.000) ÷ 30.000 ≈ 1,67. Die Maßnahme lohnt sich: Jeder investierte Euro spart rund 1,67 € zusätzlich.
Aufgabe 6 · Meldefristen
Die Altmühltal Wasser erkennt den Angriff am Freitag um 16:47 Uhr als erheblichen Sicherheitsvorfall. Bis wann sind welche Meldungen an das BSI fällig?
Lösung anzeigen
Frühwarnung unverzüglich, spätestens Samstag 16:47 Uhr (24 Stunden). Meldung mit erster Bewertung spätestens Montag 16:47 Uhr (72 Stunden). Abschlussmeldung spätestens einen Monat nach der Meldung (§ 32 BSIG). Sind personenbezogene Daten betroffen, zusätzlich Meldung an die Datenschutzaufsicht binnen 72 Stunden (Art. 33 DSGVO).
Aufgabe 7 · Cyberversicherung
Begründen Sie in drei Sätzen, warum eine Cyberversicherung keine Maßnahme nach § 30 BSIG ersetzt.
Lösung anzeigen
Eine Versicherung überträgt nur den finanziellen Schaden, sie senkt weder Häufigkeit noch Auswirkung eines Angriffs. § 30 BSIG verlangt technische und organisatorische Maßnahmen in zehn Bereichen, die Versicherung gehört zu keinem davon. Bei einem Wasserversorger bleibt zudem die Gesundheitsgefahr bestehen – die zahlt keine Versicherung zurück.
Aufgabe 8 · Restrisiko und Geschäftsleitung
Nach Ihren zwei Maßnahmen im Szenario 1 bleiben Risiken übrig. Formulieren Sie eine kurze Risikoakzeptanz für die Geschäftsleitung: Welches Restrisiko, warum vertretbar, bis wann wird es erneut geprüft?
Lösungsidee
Beispiel: „Die Fernwartung verbleibt bei ‚mittel‘ (häufig × begrenzt). Das ist vertretbar, weil Trennung und Notbetrieb die Gesundheitsgefahr begrenzen. MFA und Lieferanten-Audit folgen im nächsten Haushaltsjahr; erneute Bewertung in zwölf Monaten.“ Die Geschäftsleitung billigt das nach § 38 BSIG und dokumentiert es.
Ihre Sterne und Testergebnisse werden nur in diesem Browser gespeichert – kein Konto, kein Passwort.