Für Geschäftsführung

This content is not available in your language yet.

Diese Seite ersetzt keine Rechts- oder Haftungsberatung. Sie ordnet öffentliche Quellen ein (den BSI-Katalog und geltendes Gesetzesrecht) — eine Bewertung des Einzelfalls kann nur eine Rechtsanwältin, ein Rechtsanwalt oder eine Wirtschaftsprüfung vornehmen.

Auf einen Blick

149 von 1000 Anforderungen im gesamten Katalog sind MUSS — uneingeschränkt zu erfüllen, unabhängig vom individuellen Risikoappetit (RFC2119 / DIN 820-2:2022, Anhang H). Das ist die Teilmenge, die aus Governance-Sicht zuerst zählt.

Bin ich überhaupt betroffen?

Das BSI-Gesetz (BSIG, in Kraft seit 6.12.2025) unterscheidet zwei Kategorien nach § 28 BSIG.

Unabhängig von der Größe besonders wichtig sind Betreiber:innen kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter.

Für alle anderen entscheiden Größe und Sektor. Die Operatoren stehen in den Spaltenköpfen: es zählt die Beschäftigtenzahl oder beide Finanzkennzahlen zusammen.

Kategorie	Beschäftigte	oder Jahresumsatz	und Jahresbilanzsumme	Sektor
Besonders wichtige Einrichtung	ab 250	über 50 Mio. €	über 43 Mio. €	Anlage 1 BSIG
Wichtige Einrichtung	ab 50	über 10 Mio. €	über 10 Mio. €	Anlage 1 oder 2 BSIG

Kleinere Einrichtungen außerhalb kritischer Sektoren fallen in der Regel nicht darunter. Diese Kriterien ersetzen keine Schutzbedarfsfeststellung — sie helfen nur bei der ersten Einordnung mit euren eigenen Zahlen.

Zuständigkeit. Das BSI ist zuständig für besonders wichtige und wichtige Einrichtungen, die in Deutschland niedergelassen sind (§ 59 BSIG). Was „niedergelassen“ bedeutet, definiert das Gesetz nicht.

Zählweise im Konzern. Beschäftigte, Umsatz und Bilanzsumme richten sich nach der EU-Empfehlung 2003/361/EG; Daten von Partner- und verbundenen Unternehmen werden hinzugerechnet, nach Auskunft des BSI auch von solchen außerhalb Deutschlands und der EU. Ausgenommen sind Einrichtungen, die bei Betrieb und Beschaffenheit ihrer IT-Systeme, -Komponenten und -Prozesse unabhängig sind (§ 28 Abs. 4 BSIG). Erfüllen Mutter und Tochter mit gemeinsamer IT gemeinsam die Schwellen, gelten nach der BSI-FAQ beide als betroffen, vorbehaltlich dieser Ausnahme.

Ausnahmen. Die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG gelten nicht für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA und bestimmte weitere Einrichtungen (§ 28 Abs. 5–7 BSIG). Prüft das für eure Branche.

Ob ihr betroffen seid, bewertet ihr selbst; das BSI teilt es nicht mit (BSI-FAQ).

Primärquellen: §§ 28, 59 BSIG, BSI NIS-2-FAQ.

Was schreibt das Gesetz meiner Geschäftsleitung vor?

Nach § 38 BSIG muss die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen (§ 30 BSIG) umsetzen und ihre Umsetzung überwachen — und regelmäßig an Schulungen zu IT-Sicherheits-Risikomanagement teilnehmen. Diese Schulungspflicht ist konkret und wenig bekannt.

Primärquelle: § 38 BSIG.

Wie sieht die Haftung konkret aus?

§ 38 Abs. 2 BSIG verweist auf das jeweils geltende Gesellschaftsrecht: Haftung bei Pflichtverletzung ist zunächst Innenhaftung gegenüber der eigenen Einrichtung, nicht automatisch gegenüber Dritten. Für die GmbH gilt § 43 GmbHG (“Sorgfalt eines ordentlichen Geschäftsmannes”, gesamtschuldnerische Haftung, Verjährung 5 Jahre), für die AG § 93 AktG. Dort liegt keine Pflichtverletzung vor, wenn das Vorstandsmitglied “bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln” (Business Judgment Rule, Abs. 1 Satz 2). Bei Streit über die Sorgfalt trifft die Vorstandsmitglieder die Beweislast (Abs. 2 Satz 2), eine nachvollziehbare Dokumentation ist deshalb praktisch wichtig. Ob die Regel auch ein Absehen von einer gesetzlichen Pflicht wie § 38 BSIG deckt, sagt der Gesetzestext nicht; das ist eine Auslegungsfrage für die Rechtsberatung. Ein anerkannter, öffentlich nachvollziehbarer Katalog wie Grundschutz++ kann helfen, die Auswahl und Umsetzung von Maßnahmen zu begründen, ist aber keine Garantie gegen Haftung.

Primärquellen: § 43 GmbHG, § 93 AktG.

Was kostet mich das?

Der Katalog gewichtet Anforderungen nach Aufwand (Skala 0–5), aber nicht dort, wo man es zuerst vermutet: 148 der 149 MUSS-Anforderungen tragen die Stufe 0 — „wird nicht bewertet”. Was ohnehin zwingend ist, wird nicht nach Aufwand gewichtet. Eine Kostenschätzung für den Pflichtteil lässt sich aus dem Katalog also nicht ableiten.

Pflichtgrad	Anforderungen	Aufwand
MUSS	149	148× nicht bewertet, 1× Stufe 3
SOLLTE	627	Stufe 1–5, 135 davon auf 4–5
KANN	224	Stufe 1–5, 213 davon auf 4–5

Budgetspielraum liegt damit unterhalb der Pflicht — und dort steigt der Aufwand mit der Freiwilligkeit: 182 der 224 KANN-Anforderungen liegen auf der höchsten Aufwandsstufe. Das Teure ist überwiegend das Optionale.

Die Stufen sind eine BSI-Einschätzung des Umsetzungs- und Pflegeaufwands, keine Kalkulation. Diese Seite rechnet sie bewusst nicht in Personentage oder Euro um — das hinge an eurer Größe, Ausgangslage und Eigenleistung.

Sinnvolle Kennzahlen

Diese Seite berechnet keinen Umsetzungsstatus für eure Organisation — dafür bräuchte es eine tatsächliche Bestandsaufnahme, keine statische Katalogseite. Als Rahmen für die eigene Berichterstattung eignen sich üblicherweise:

Anteil umgesetzter MUSS-Anforderungen (Zähler/Nenner wie oben, aber mit eurem tatsächlichen Stand)
Anzahl offener SOLLTE-Empfehlungen mit dokumentierter Begründung, falls nicht umgesetzt
Alter der letzten Schutzbedarfsfeststellung bzw. Risikobewertung
Datum der letzten Schulungsteilnahme der Geschäftsleitung (§ 38 Abs. 3 BSIG)

Die MUSS-Anforderungen nach Bereich

GC Governance und Compliance

Anforderung	Stufe
GC.1.1 – Errichtung und Aufrechterhaltung eines ISMS	Standard-Sicherheitsstufe
GC.1.2 – Freigabe des ISMS	Standard-Sicherheitsstufe
GC.2.1 – Festlegung des externen Kontextes der Institution	Standard-Sicherheitsstufe
GC.2.2 – Festlegung des internen Kontextes der Institution	Standard-Sicherheitsstufe
GC.3.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
GC.3.1.1 – Gesetzliche Verpflichtungen	Standard-Sicherheitsstufe
GC.4.1 – Analyse der externen interessierten Parteien	Standard-Sicherheitsstufe
GC.4.2 – Analyse der internen interessierten Parteien	Standard-Sicherheitsstufe
GC.5.1 – Festlegung von Zielen für die Informationssicherheit	Standard-Sicherheitsstufe
GC.5.1.1 – Festlegung einer Sicherheitsstrategie	Standard-Sicherheitsstufe
GC.5.1.2 – Verpflichtung der Institutionsleitung	Standard-Sicherheitsstufe
GC.5.1.3 – Erstellung einer Sicherheitsleitlinie	Standard-Sicherheitsstufe
GC.5.1.4 – Freigabe der Sicherheitsleitlinie	Standard-Sicherheitsstufe
GC.6.1 – Festlegung des Geltungsbereichs	Standard-Sicherheitsstufe
GC.7.1 – Vorgehen bei der Informationssicherheitseinstufung	Standard-Sicherheitsstufe
GC.7.1.1 – Festlegung der Geschäftsprozesse	Standard-Sicherheitsstufe
GC.7.1.2 – Festlegung des Schutzbedarfs	Standard-Sicherheitsstufe
GC.7.2 – Geschäftsprozesse mit hohem Schutzbedarf	Standard-Sicherheitsstufe
GC.8.1 – Verfahren zur Ressourcenplanung	Standard-Sicherheitsstufe
GC.9.1 – Festlegung einer Sicherheitsorganisation	Standard-Sicherheitsstufe
GC.9.1.1 – Festlegung von Rollen und Zuständigkeiten	Standard-Sicherheitsstufe
GC.9.1.1.1 – Informationssicherheitsbeauftragter	Standard-Sicherheitsstufe
GC.9.1.1.1.1 – Ressourcen für den Informationssicherheitsbeauftragten	Standard-Sicherheitsstufe
GC.9.1.1.1.2 – Vorspracherecht	Standard-Sicherheitsstufe
GC.9.1.1.2 – Stellvertreterregelungen	Standard-Sicherheitsstufe
GC.9.1.1.3 – Vermeidung von Interessenkonflikten	Standard-Sicherheitsstufe
GC.9.1.1.4 – Sicherstellung der Qualifikation	Standard-Sicherheitsstufe
GC.10.1 – Festlegung eines Verfahrens zum Kommunikationsmanagement	Standard-Sicherheitsstufe
GC.10.1.2 – Kommunikation im Projektmanagement	Standard-Sicherheitsstufe
GC.11.1 – Dokumentenlenkung	Standard-Sicherheitsstufe
GC.12.1 – Methodik für das Risikomanagement	Standard-Sicherheitsstufe

STM Strukturmodellierung

Anforderung	Stufe
STM.1.1 – Definition und Abgrenzung des Informationsverbunds	Standard-Sicherheitsstufe
STM.1.2 – Dokumentation der externen Schnittstellen	Standard-Sicherheitsstufe
STM.2.1 – Erstellung eines Anforderungspakets	Standard-Sicherheitsstufe
STM.2.1.1 – ISMS-Anforderungen	Standard-Sicherheitsstufe
STM.2.1.2 – Erfassung relevanter Assets	Standard-Sicherheitsstufe
STM.2.1.3 – Mapping der Assets auf Zielobjektkategorien	Standard-Sicherheitsstufe
STM.2.1.4 – Modellierung der Anforderungen mit Zielobjektkategorie	Standard-Sicherheitsstufe
STM.2.1.4.1 – Vererbung von Zielobjektkategorien	Standard-Sicherheitsstufe
STM.2.1.4.2 – Konsolidierung und Redundanzprüfung	Standard-Sicherheitsstufe
STM.2.1.5 – Modellierung der Anforderungen ohne Zielobjektkategorie	Standard-Sicherheitsstufe
STM.2.1.6 – Aufgrund anforderungsloser Assets	Standard-Sicherheitsstufe
STM.2.1.7 – Aufgrund externer Verpflichtungen	Standard-Sicherheitsstufe
STM.4.1 – Durchführung der Risikobetrachtung	Standard-Sicherheitsstufe
STM.5.1 – Setzen von Parametern	Standard-Sicherheitsstufe

UMS Umsetzung

Anforderung	Stufe
UMS.1.1 – Ermittlung des Umsetzungsstatus	Standard-Sicherheitsstufe
UMS.2.1 – Umsetzungsplanung	Standard-Sicherheitsstufe
UMS.2.2 – Priorisierung von Maßnahmen	Standard-Sicherheitsstufe
UMS.3.1 – Benennung von Umsetzungszuständigen	Standard-Sicherheitsstufe
UMS.4.1 – Festlegung von Umsetzungsfristen	Standard-Sicherheitsstufe
UMS.5.1 – Autorisierung von Ausnahmen	Standard-Sicherheitsstufe
UMS.5.2 – Dokumentation von Ausnahmen	Standard-Sicherheitsstufe
UMS.6.1 – Nachverfolgung des Umsetzungsfortschritts	Standard-Sicherheitsstufe
UMS.6.2 – Fortschreibung des Umsetzungsplans	Standard-Sicherheitsstufe
UMS.7.1 – Wahrung von Compliance in der Umsetzung	Standard-Sicherheitsstufe

VRB Verbesserung

Anforderung	Stufe
VRB.1.1 – Verfahren zur kontinuierlichen Verbesserung	Standard-Sicherheitsstufe
VRB.2.1 – Umgang mit Nicht-Konformitäten	Standard-Sicherheitsstufe
VRB.2.2 – Anpassung des ISMS	Standard-Sicherheitsstufe
VRB.3.1 – Identifikation von Verbesserungspotenzialen	Standard-Sicherheitsstufe
VRB.4.1 – Korrekturmaßnahmen	Standard-Sicherheitsstufe
VRB.4.2 – Verbesserungsmaßnahmen	Standard-Sicherheitsstufe
VRB.5.1 – Priorisierung von Maßnahmen	Standard-Sicherheitsstufe
VRB.6.1 – Überprüfung der erreichten Verbesserung	Standard-Sicherheitsstufe

PERF Monitoring-Evaluation

Anforderung	Stufe
PERF.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
PERF.1.2 – Evaluation des Umsetzungsplans	Standard-Sicherheitsstufe
PERF.1.3 – Aktualität der Anforderungen	Standard-Sicherheitsstufe
PERF.3.1 – Aufbau und Pflege eines Auditprogramms	Standard-Sicherheitsstufe
PERF.3.1.2 – Planen von internen Audits	Standard-Sicherheitsstufe
PERF.3.1.3 – Auswahl des Auditteams	Standard-Sicherheitsstufe
PERF.3.1.4 – Umfang von Audits	Standard-Sicherheitsstufe
PERF.3.2 – Dokumentation von Auditergebnissen	Standard-Sicherheitsstufe
PERF.3.2.2 – Kommunikation an Stakeholder	Standard-Sicherheitsstufe
PERF.4.1 – Eignungsprüfung	Standard-Sicherheitsstufe
PERF.4.1.9 – Maßnahmenvorschläge	Standard-Sicherheitsstufe
PERF.4.2 – Bericht an die Institutionsleitung	Standard-Sicherheitsstufe
PERF.5.1 – Methoden und Tools	Standard-Sicherheitsstufe

RISK Risikomanagement

Anforderung	Stufe
RISK.1.1 – Methodik für das Risikomanagement	Standard-Sicherheitsstufe
RISK.1.3 – Risikoeigentümer	Standard-Sicherheitsstufe
RISK.1.5 – Freigabe des Risikomanagements	Standard-Sicherheitsstufe
RISK.1.10 – Freigabe der Umsetzungsplanung	Standard-Sicherheitsstufe

ASST Informationen und Assets

Anforderung	Stufe
ASST.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
ASST.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
ASST.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
ASST.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
ASST.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

PERS Personal

Anforderung	Stufe
PERS.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
PERS.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
PERS.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
PERS.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
PERS.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

BES Beschaffungsmanagement

Anforderung	Stufe
BES.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
BES.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
BES.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
BES.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
BES.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

DLS Dienstleistersteuerung

Anforderung	Stufe
DLS.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
DLS.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
DLS.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
DLS.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
DLS.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

TEST Änderungen und Tests

Anforderung	Stufe
TEST.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
TEST.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
TEST.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
TEST.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
TEST.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

GEB Gebäudemanagement

Anforderung	Stufe
GEB.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
GEB.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
GEB.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
GEB.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
GEB.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

SENS Sensibilisierung

Anforderung	Stufe
SENS.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
SENS.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
SENS.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
SENS.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe

ARCH Architektur

Anforderung	Stufe
ARCH.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
ARCH.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
ARCH.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
ARCH.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
ARCH.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

BER Berechtigung

Anforderung	Stufe
BER.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
BER.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
BER.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
BER.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
BER.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

NOT Notfallplanung

Anforderung	Stufe
NOT.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
NOT.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
NOT.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
NOT.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
NOT.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

DET Detektion

Anforderung	Stufe
DET.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
DET.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
DET.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
DET.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
DET.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

REA Sicherheitsvorfallsbehandlung

Anforderung	Stufe
REA.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
REA.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
REA.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
REA.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
REA.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

KONF Konfiguration

Anforderung	Stufe
KONF.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
KONF.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
KONF.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
KONF.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
KONF.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe

DEV Entwicklung

Anforderung	Stufe
DEV.1.1 – Verfahren und Regelungen	Standard-Sicherheitsstufe
DEV.1.1.1 – Dokumentation	Standard-Sicherheitsstufe
DEV.1.1.2 – Zuweisung der Aufgaben	Standard-Sicherheitsstufe
DEV.1.1.3 – Bekanntgabe	Standard-Sicherheitsstufe
DEV.1.2 – Regelmäßige Überprüfung	Standard-Sicherheitsstufe