Kurzantwort: § 32 NISG 2026 nennt zehn Inhalte, die jede wesentliche und jede wichtige Einrichtung abdecken muss — von der Risikoanalyse über Backup und Lieferkette bis zur Mehr-Faktor-Anmeldung. Sie gelten ab dem 1. Oktober 2026, ohne Übergangsfrist. Wie umfangreich jeder Punkt ausfällt, richtet sich nach Größe und Risiko. Kein Punkt entfällt deshalb ganz.
Die zehn Inhalte, die das Gesetz nennt
§ 32 Abs. 4 verlangt einen gefahrenübergreifenden Ansatz, der die Netz- und Informationssysteme samt ihrer physischen Komponenten schützt, und „zumindest“ die folgenden Inhalte. Das Wort „zumindest“ ist wörtlich zu nehmen — die Liste ist ein Mindestumfang, keine Obergrenze.
| Wortlaut des Gesetzes | Was dahintersteckt | |
|---|---|---|
| a | Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme | Eine schriftliche Methode, wie Risiken erhoben und bewertet werden, und die Sicherheitsleitlinie, die daraus folgt |
| b | Bewältigung von Cybersicherheitsvorfällen | Wer im Ernstfall was tut: Erkennung, interne Meldewege, Eindämmung, Aufarbeitung |
| c | Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement | Datensicherung samt geprüfter Rücksicherung, Notfallpläne, Krisenorganisation |
| d | Sicherheit der Lieferkette | Sicherheitsanforderungen an unmittelbare Anbieter und Dienstleister, deren Schwachstellen und Entwicklungsprozesse eingeschlossen |
| e | Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen | Sicherheit schon beim Einkauf und in der Entwicklung; ein Verfahren für Patches und gemeldete Schwachstellen |
| f | Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen | Nachmessen, ob die Maßnahmen wirken — interne Audits, Kennzahlen, Reviews |
| g | Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit | Das Basishandwerk: Updates, Rechtevergabe, Umgang mit Passwörtern — dazu Schulung der Belegschaft |
| h | Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung | Festgelegt, was wann verschlüsselt wird: Datenträger, Übertragung, Verwaltung der Schlüssel |
| i | Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen | Ein- und Austrittsprozess, Berechtigungskonzept, Inventar der Geräte und Systeme |
| j | Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme | Zweiter Faktor bei der Anmeldung, abgesicherte Kommunikationswege, und für den Ausfall der normalen Wege ein Ersatz |
Zwei Begriffe daraus im Klartext. Multi-Faktor-Authentifizierung heißt, dass eine Anmeldung zwei voneinander unabhängige Nachweise braucht, typischerweise Passwort und einen Code am Telefon. Cyberhygiene ist die Sammelbezeichnung für die Basisdisziplinen, die laufend stattfinden müssen — Updates einspielen, Berechtigungen aufräumen, Konten ausgeschiedener Personen schließen.
Das Wort „gegebenenfalls“ in Buchstabe j bezieht sich auf die gesicherten Notfallkommunikationssysteme am Ende der Aufzählung. Für die Mehr-Faktor-Anmeldung gilt es nicht. Eine Einschränkung „soweit technisch möglich“ steht dort nicht. Wo ein Altsystem den zweiten Faktor nicht unterstützt, folgt daraus kein Freibrief, sondern die Pflicht, das System anders abzusichern und dieses Restrisiko in der Risikoanalyse zu führen.
Was die Verhältnismäßigkeit begrenzt
Das Gesetz kennt zwei Stellschrauben. Nach Abs. 2 müssen die Maßnahmen den Stand der Technik berücksichtigen, dazu einschlägige nationale, europäische und internationale Normen, bewährte Verfahren und die Kosten der Umsetzung. Das Sicherheitsniveau muss dem Risiko angemessen sein. Nach Abs. 3 sind bei der Verhältnismäßigkeit die Risikoexposition, die Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle zu berücksichtigen.
Beide Bestimmungen skalieren den Aufwand. Keine streicht einen Buchstaben — das Wort „zumindest“ in Abs. 4 lässt keinen Punkt entfallen. Krisenmanagement nach Buchstabe c kann in einem kleinen Betrieb eine Seite mit Namen, Telefonnummern und Entscheidungswegen sein. Umfang und Tiefe richten sich nach Abs. 2 und 3, das Vorhandensein nicht. Verantwortlich dafür, dass die Maßnahmen eingehalten werden, sind nach § 31 Abs. 1 die Leitungsorgane. Was das für die Geschäftsführung persönlich bedeutet, ist ein eigenes Thema.
Dazu kommt eine Öffnung nach oben: Nach Abs. 5 kann die Cybersicherheitsbehörde per Verordnung nähere Anforderungen an diese Maßnahmen festlegen und dabei auch Durchführungsrechtsakte der Europäischen Kommission, die für einzelne Sektoren erlassen wurden, auf weitere Sektoren für anwendbar erklären. Der Katalog kann also konkreter werden, ohne dass das Gesetz selbst geändert wird.
Woran sich jeder Punkt messen lässt
Das Gesetz verlangt nicht nur, dass die zehn Punkte umgesetzt sind, sondern dass die Umsetzung übermittelbar ist. § 33 Abs. 1 nennt für die spätere Selbstdeklaration drei Inhalte ausdrücklich: die genutzten Netz- und Informationssysteme, die Sicherheit der Lieferketten und die Ergebnisse der durchgeführten Risikoanalyse. Damit steht eine Frage fest, an der sich jeder Buchstabe messen lässt: Was würde heute übermittelt, wenn die Deklaration morgen fällig wäre?
Für die drei im Gesetz ausdrücklich genannten Inhalte heißt das konkret:
- Buchstabe a, Risikoanalyse. Eine schriftlich festgelegte Methode, nach der Risiken erhoben und bewertet werden, und ein datiertes Ergebnis ihrer Anwendung. Eine Sicherheitsleitlinie ohne zugehörige Analyse erfüllt den Punkt nicht, eine Analyse ohne festgelegte Methode ebenso wenig.
- Buchstabe d, Sicherheit der Lieferkette. Eine Aufstellung der unmittelbaren Anbieter und Dienstleister, die Sicherheitsanforderungen, die ihnen gegenüber gelten, und der Weg, auf dem deren Einhaltung geprüft wird. Der Gesetzestext nennt dabei ausdrücklich auch die Sicherheit der Entwicklungsprozesse dieser Anbieter.
- Die genutzten Systeme. Ein Inventar, das die Systeme benennt, die für den Betrieb und die Erbringung der Dienste verwendet werden. Ohne dieses Inventar hängen mehrere andere Buchstaben in der Luft: Die Zugriffskontrolle nach i, die Verschlüsselung nach h und das Verfahren für Schwachstellen und Patches nach e beziehen sich alle darauf.
Ein Punkt hat eine Sonderstellung. Buchstabe f, die Bewertung der Wirksamkeit, ist der einzige, der sich nicht einmalig abhaken lässt: Er verlangt Konzepte und Verfahren, also einen wiederkehrenden Vorgang. Ohne ihn bleibt offen, ob die übrigen neun Punkte im Betrieb tatsächlich wirken. Genau danach fragt das Gesetz später beim Nachweis.
Eine Maßnahme kann dabei vorhanden und trotzdem nicht belegbar sein: Es gibt jemanden, der weiß, wie es läuft, und keine Stelle, an der es steht. Für den Betrieb reicht das. Für die Übermittlung nach § 33 nicht. Die weiteren Pflichten aus dem NISG 2026 hängen an derselben Dokumentation — von der Meldung erheblicher Vorfälle bis zur Selbstdeklaration.
Welche der zehn Punkte im eigenen Betrieb belegbar sind, klärt eine Gap-Analyse.
Wenn am 1. Oktober noch nichts steht
Die Maßnahmen gelten ab dem Stichtag, ohne Übergangsfrist. Die zwölf Monate bis zur Selbstdeklaration nach § 33 Abs. 1 sind deshalb kein Aufbauzeitraum: Die Deklaration beschreibt einen Zustand, der zu diesem Zeitpunkt bereits bestehen muss.
Die Reihenfolge steht dabei frei. Vier Punkte lassen sich ohne Vorarbeit beantworten, und mehrere der übrigen setzen sie voraus:
- Gibt es Sicherungen, und folgen sie der 3-2-1-Regel aus der Datensicherungspraxis — drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer Haus?
- Ist festgelegt, wohin im Notfall wiederhergestellt wird, und wurde das einmal ausprobiert?
- Ist die Mehr-Faktor-Anmeldung überall aktiv, wo sie technisch geht?
- Ist geregelt, wie mit Passwörtern und Berechtigungen umgegangen wird — nicht nur in der IT, sondern für alle Konten?
Erst danach lohnt der Schritt zur Systematik: Risikoanalyse, Konzepte, Wirksamkeitsprüfung. Beides muss nicht getrennt laufen. Die Basisarbeiten lassen sich im selben Vorhaben erledigen wie der Aufbau des Managementsystems. Es geht um die Reihenfolge, nicht um zwei Projekte.
Häufige Fragen zum NISG 2026
Gilt der Katalog auch für wichtige Einrichtungen, oder nur für wesentliche?
Für beide. § 32 unterscheidet an dieser Stelle nicht. Der Unterschied zwischen wesentlichen und wichtigen Einrichtungen wirkt bei der Aufsicht und beim Strafrahmen, nicht beim Inhalt der Maßnahmen.
Reicht es, die zehn Punkte einmal umzusetzen?
Nein. Buchstabe f verlangt ausdrücklich Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten. Damit ist ein wiederkehrender Vorgang gefordert, kein einmaliges Projekt.
Muss jeder der zehn Punkte schriftlich vorliegen?
Für die Buchstaben a, f, h und i spricht das Gesetz von „Konzepten“ beziehungsweise „Konzepten und Verfahren“, was ohne Schriftform nicht darstellbar ist. Unabhängig davon verlangt der spätere Nachweis gegenüber der Cybersicherheitsbehörde Unterlagen — eine gelebte, aber nirgends festgehaltene Praxis lässt sich nicht übermitteln.
Was gilt, wenn ein System einen Punkt technisch nicht unterstützt?
Dann greift die Verhältnismäßigkeit nach Abs. 2 und 3: Die Maßnahme wird durch andere ersetzt, das verbleibende Risiko wird bewertet und dokumentiert. Was nicht trägt, ist der Verzicht ohne Begründung.
Kann die Behörde noch weitere Anforderungen festlegen?
Ja. Abs. 5 ermächtigt die Cybersicherheitsbehörde, nähere Anforderungen per Verordnung zu bestimmen und Durchführungsrechtsakte der Europäischen Kommission auf weitere Sektoren auszudehnen.
Wo das im Gesetz steht
| Aussage | Fundstelle |
|---|---|
| Pflicht zu geeigneten und verhältnismäßigen Risikomanagementmaßnahmen | § 32 Abs. 1 NISG 2026 |
| Stand der Technik, Normen, Kosten, angemessenes Sicherheitsniveau | § 32 Abs. 2 NISG 2026 |
| Verhältnismäßigkeit nach Risikoexposition, Größe, Wahrscheinlichkeit und Schwere | § 32 Abs. 3 NISG 2026 |
| Gefahrenübergreifender Ansatz und die zehn Mindestinhalte a bis j | § 32 Abs. 4 NISG 2026 |
| Verordnungsermächtigung für nähere Anforderungen | § 32 Abs. 5 NISG 2026 |
| Leitungsorgane müssen die Einhaltung sicherstellen und beaufsichtigen | § 31 Abs. 1 NISG 2026 |
| Selbstdeklaration binnen zwölf Monaten, Inhalte ausdrücklich genannt | § 33 Abs. 1 NISG 2026 |
| Inkrafttreten | 1. Oktober 2026 |
