Maßnahmen einzurichten
reicht nicht mehr.
§30 BSIG erwartet, dass Sicherheitsmaßnahmen im Betrieb funktionieren — nicht nur auf dem Papier existieren. Und dass das nachweisbar ist.
MFA läuft. Backup läuft. Review und GF-Freigabe noch offen.
Viele Unternehmen haben Maßnahmen eingerichtet. Was oftmals fehlt, ist der Nachweis, dass diese Maßnahmen im Betrieb gelebt werden und funktionieren. Ob das MFA-System wirklich von allen genutzt wird. Ob das Backup im letzten Test erfolgreich wiederhergestellt werden konnte. Ob der IT-Dienstleister die vereinbarten Leistungen — zum Beispiel im Bereich Security — erbringt.
Wo §30 BSIG ansetzt
Die Anforderung aus §30 BSIG lässt sich in drei Stufen beschreiben. Nur Stufe 3 ist ein belastbarer Nachweis:
Wirksamkeit liegt in der engen Beobachtung und Steuerung
§30 BSIG schreibt keinen festen Review-Intervall vor. Was erwartet wird: eine regelmäßige Bewertung der Restrisiken und der Angemessenheit der Maßnahmen — in Anwesenheit aller verantwortlichen Rollen wie ISB, Geschäftsführung, CISO oder IT-Leitung. Das Review-Ergebnis wird als Beschluss festgehalten, auch wenn keine Anpassung nötig ist.
Bewertung geplant
Der Review-Termin steht im Kalender — unabhängig vom Tagesgeschäft. Kritische Maßnahmen werden häufiger bewertet als unkritische.
Alle Beteiligten eingebunden
IT, zuständige Fachbereiche und Geschäftsführung sitzen zusammen. Das ist kein IT-Thema allein — es ist ein Führungsthema. §38 BSIG macht das eindeutig.
Ergebnis dokumentiert entschieden
Funktioniert die Maßnahme? Wenn ja: weiter so, dokumentiert. Wenn nein: was wird angepasst, bis wann, wer verantwortet das. Beides ist ein Beschluss.
Auch wenn ein IT-Dienstleister Maßnahmen umsetzt: Die Bewertung, ob die Leistung das Sicherheitsziel erfüllt, liegt im Unternehmen. Wer das nicht regelmäßig bewertet, hat einen Vertrag — aber keinen Nachweis, dass die ausgelagerte Leistung wirkt.
Wie oft ist ein Review erforderlich?
Es gibt keine gesetzliche Mindestfrequenz. Maßgeblich ist das Risiko der Maßnahme:
MFA / Zugriffsrechte: Bei jedem Personalwechsel, bei neuen Admin-Zugängen, mindestens quartalsweise.
Backup: Wiederherstellungstest nach jeder Systemänderung, mindestens jährlich mit dokumentiertem Ergebnis.
IT-Dienstleister: Beim Vertragsreview, nach Sicherheitsvorfällen, regelmäßig anhand vereinbarter Leistungsberichte.
GF-Einbindung: Jährliche Wiedervorlage, nach wesentlichen Änderungen in der Risikolage oder nach einem erheblichen Vorfall.
Wann eine Schulung wirksam ist — und wann nicht
Ein Nachweis zur GF-Einbindung nach §38 BSIG — mit Schulungsdokumentation und Wiederholungsplanung: GF-Haftungsnachweis ansehen →
Wirksamkeit entsteht nicht durch Beschluss — sondern durch Bewertung.
Diese Verantwortung liegt nicht nur in der IT. Nach §38 BSIG liegt sie bei der Geschäftsführung — dokumentiert, regelmäßig erneuert, nachweisbar.
Maßnahmenstand strukturiert erfassen
Das Maßnahmenpaket hilft, vorhandene Maßnahmen, Review-Termine und Entscheidungen geordnet festzuhalten — als Grundlage für den internen Review und für externe Anfragen.