Die 10 Pflichtbereiche nach §30 BSIG einfach erklärt

§ 30 Abs. 2 BSIG listet zehn Mindestbereiche, in denen betroffene Unternehmen angemessene Risikomanagementmaßnahmen umsetzen und dokumentieren müssen. Hier ein Überblick in Alltagssprache — ohne Fachjargon vorauszusetzen.

1. Risikoanalyse & Sicherheitskonzepte

Regelmäßig prüfen, wo die größten IT-Risiken liegen, und das schriftlich festhalten.

2. Bewältigung von Sicherheitsvorfällen

Ein klarer Ablauf, wer bei einem Vorfall informiert wird und was zu tun ist.

3. Aufrechterhaltung des Betriebs

Backups und ein Plan, wie der Betrieb nach einem Ausfall oder Datenverlust schnell wiederhergestellt wird.

4. Sicherheit der Lieferkette

Ein Mindestmaß an Sicherheit auch von IT-Dienstleistern und Zulieferern einfordern.

5. Beschaffung, Entwicklung, Wartung

Sicherheit von Anfang an mitdenken — beim Kauf neuer Systeme, bei laufenden Updates und beim sicheren Ausrangieren alter Geräte.

6. Bewertung der Wirksamkeit

Regelmäßig prüfen (lassen), ob die eigenen Maßnahmen tatsächlich funktionieren.

7. Cyberhygiene & Schulungen

Mitarbeitende für Risiken wie Phishing sensibilisieren und regelmäßig schulen.

8. Kryptografie & Verschlüsselung

Sensible Daten verschlüsseln — bei der Übertragung genauso wie bei der Speicherung.

9. Zugriffs- & Zutrittskontrolle

Nur berechtigte Personen erhalten Zugriff, und dieser wird beim Austritt konsequent entzogen.

10. Multi-Faktor-Authentifizierung

Für wichtige Zugänge reicht ein Passwort allein nicht mehr — ein zweiter Faktor schützt zusätzlich.

Wie fange ich an?

Der größte Fehler ist, alle zehn Bereiche gleichzeitig perfektionieren zu wollen. Sinnvoller ist ein strukturierter, dokumentierter Einstieg — Bereich für Bereich, mit ehrlicher Bestandsaufnahme statt Häkchen ohne Substanz. Mit unserem kostenlosen Betroffenheits-Check erfahren Sie zunächst, ob und in welcher Kategorie Ihr Unternehmen betroffen ist.