§ 32 NISG 2026: Die Maßnahmen-Checkliste für Unternehmen

Ab 1. Oktober 2026 verlangt § 32 NISG 2026 von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen und zehn Themenfelder abdecken – von Risikoanalyse und Incident Handling bis zu Lieferkette, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Welche Kontrollen angemessen sind, hängt vom konkreten Risiko ab.

Rechtsstand: 27.08.2026. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; vor einer Veröffentlichung ab diesem Tag sind RIS-Fassung und einschlägige Verordnungen erneut zu prüfen.

Was „geeignet und verhältnismäßig“ bedeutet

Das Gesetz verlangt keinen identischen Maßnahmenkatalog für jedes Unternehmen. Das angestrebte Cybersicherheitsniveau muss dem bestehenden Risiko angemessen sein. Zu berücksichtigen sind der Stand der Technik, einschlägige Normen und bewährte Verfahren sowie die Kosten der Umsetzung.

Für die Verhältnismäßigkeit nennt § 32 Abs. 3 insbesondere:

• Ausmaß der Risikoexposition der Einrichtung und ihrer Dienste;
• Größe der Einrichtung;
• Wahrscheinlichkeit eines Cybersicherheitsvorfalls;
• mögliche Schwere einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen.

„Zu teuer“ ist damit keine eigenständige Ausnahme. Umgekehrt verlangt Verhältnismäßigkeit auch nicht, jede verfügbare Kontrolle ungeachtet des Risikos einzuführen. Die Einrichtung braucht eine dokumentierte Verbindung zwischen Risiko, Maßnahme, Wirksamkeit und verbleibendem Restrisiko.

Die §-32-Maßnahmenmatrix

Die folgende Matrix trennt den gesetzlichen Inhalt von möglichen Umsetzungsartefakten. Die Artefakte sind Beispiele, keine abschließende oder für jedes Unternehmen identische Pflichtliste.

Quelle der gesetzlichen Felder: § 32 Abs. 4 lit. a–j NISG 2026.

Vom Maßnahmenkatalog zur belastbaren Umsetzung

Eine lange Liste von Tools beantwortet noch nicht, ob § 32 umgesetzt ist. Ein belastbarer Arbeitsstand verbindet fünf Ebenen:

1. Risiko: Welches Szenario soll beherrscht werden?
2. Maßnahme: Welche technische, operative oder organisatorische Kontrolle wirkt dagegen?
3. Verantwortung: Wer betreibt, überwacht und entscheidet?
4. Wirksamkeit: Wie wird geprüft, ob die Kontrolle tatsächlich funktioniert?
5. Evidenz: Welcher aktuelle Nachweis macht die Umsetzung nachvollziehbar?

Beispiel Backup: Eine Policy allein zeigt nicht, dass Daten wiederhergestellt werden können. Erst ein protokollierter Restore-Test liefert Evidenz zur Wirksamkeit. Umgekehrt ist ein einzelner erfolgreicher Test ohne definierte Wiederherstellungsziele und Verantwortlichkeiten noch kein vollständiges Konzept.

Priorisierung ohne Scheingenauigkeit

Für eine erste Arbeitsreihenfolge eignet sich eine einfache Bewertung:

Die Bewertung sollte nicht in eine mathematisch präzise Ampel gezwungen werden, wenn die Datengrundlage das nicht trägt. Wichtiger ist eine dokumentierte Entscheidung: Was wird bis wann verbessert, wer verantwortet es und welches Restrisiko bleibt?

Nachweise nach § 33 mitdenken

Wesentliche und wichtige Einrichtungen müssen innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen über umgesetzte Maßnahmen, genutzte Netz- und Informationssysteme, Lieferkettensicherheit und Ergebnisse der Risikoanalyse übermitteln.

§ 33 regelt außerdem unabhängige Nachweise nach behördlicher Aufforderung. Der Prüfbericht umfasst die Umsetzung der Maßnahmen, festgestellte Mängel und einen Maßnahmenplan und ist von Leitungsorganen sowie eingesetzten unabhängigen Prüfern zu unterzeichnen.

Deshalb sollte jedes Maßnahmenfeld einen Evidenz-Owner haben. Ein Dokumentenordner kurz vor einer Prüfung ist kein Ersatz für laufende Nachweisführung.

Verhältnis zu Governance, Lieferkette und Incident-Prozess

Die Maßnahmenmatrix ist der zentrale Umsetzungs-Hub. Drei Themen verdienen dennoch eigene Vertiefungen:

• Governance: § 31 verpflichtet Leitungsorgane, die Einhaltung der §-32-Maßnahmen sicherzustellen und zu beaufsichtigen sowie an spezifischen Schulungen teilzunehmen; die Vertiefung erklärt die Verantwortung des Leitungsorgans.
• Lieferkette: § 32 Abs. 4 lit. d verlangt eine risikobezogene Betrachtung unmittelbarer Anbieter und Diensteanbieter; dazu dient die Vertiefung zu Lieferkettensicherheit und unmittelbaren Anbietern.
• Vorfälle: Incident Handling gehört als Maßnahmenfeld zu § 32; erhebliche Vorfälle lösen zusätzlich die Berichtspflichten nach §§ 34 und 35 aus. Dafür ist der Melde- und Incident-Prozess gesondert vorzubereiten.

Diese Seiten dürfen nicht drei verschiedene Gesamtchecklisten führen. Die vorliegende Seite besitzt die vollständige §-32-Matrix; die Vertiefungen erklären Governance, Lieferantensteuerung und Meldeprozess.

Arbeitscheckliste für den ersten Gap-Workshop

Scope und Risiko

• Betroffene Rechtsträger und Dienste sind festgehalten.
• Relevante Netz- und Informationssysteme samt physischen Komponenten sind erfasst.
• Risikoexposition, Vorfallswahrscheinlichkeit und mögliche Auswirkungen sind bewertet.
• Verhältnismäßigkeitskriterien und Annahmen sind dokumentiert.

Maßnahmen

• Alle zehn Felder des § 32 Abs. 4 wurden geprüft.
• Jede Maßnahme ist mit einem Risiko oder einer gesetzlichen Anforderung verbunden.
• Operative Owner und Aufsicht sind benannt.
• Abweichungen haben Termin, Verantwortliche und dokumentiertes Restrisiko.

Wirksamkeit und Evidenz

• Für zentrale Kontrollen gibt es Wirksamkeitstests.
• Nachweise sind aktuell, auffindbar und ihrem Geltungsbereich zugeordnet.
• Lieferkettenbewertungen und Anbieterabhängigkeiten sind nachvollziehbar.
• Leitungsentscheidungen, Schulungen und Wiedervorlagen sind dokumentiert.
• Selbstdeklaration und mögliche unabhängige Prüfung haben einen vorbereiteten Datenprozess.

Ein angekreuztes Feld ist kein Compliance-Nachweis. Die Checkliste zeigt, ob die Arbeitsgrundlage vorhanden ist; sie ersetzt weder Risikoanalyse noch fachliche Prüfung.

Primärquellen je Rechtsclaim