Microsoft 365 NIS-2-Compliance: §30 BSIG, audit-fest umgesetzt.

Das NIS2UmsuCG ist seit Dezember 2025 in Kraft. Geschäftsführer haften persönlich. Wir setzen die zehn Risikomanagement-Maßnahmen aus §30 BSIG in Microsoft 365 audit-fest um – dokumentiert und im Audit belastbar.

Erstgespräch vereinbaren §30-Maßnahmen ansehen

Anwendungsbereich

Wer ist von NIS-2 betroffen – und ab wann?

Vom NIS2UmsuCG sind in Deutschland rund 29.500 Unternehmen in 18 Sektoren betroffen (Quelle: BSI). Maßgeblich sind Unternehmensgröße und Sektor.

Die Schwellen aus §28 BSIG verlangen Größe <em>und</em> Finanzkennzahlen: „Wichtige Einrichtungen“ ab 50 Mitarbeitenden bei mehr als 10 Mio. € Jahresumsatz und Bilanzsumme, „Besonders wichtige Einrichtungen“ ab 250 Mitarbeitenden bei über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme – jeweils nur in den Sektoren der Anlagen 1 und 2.

Die vier zentralen Paragrafen des BSIG:

  • §28 BSIG – Anwendungsbereich

    Definiert, wer als „wichtige“ bzw. „besonders wichtige“ Einrichtung gilt.

  • §30 BSIG – Maßnahmen

    Die zehn Felder von Risikomanagement-Maßnahmen, die umzusetzen sind.

  • §32 BSIG – Meldepflichten

    Sicherheitsvorfälle innerhalb gesetzlicher Fristen an das BSI melden.

  • §38 BSIG – Haftung

    Die Geschäftsleitung haftet persönlich für die Umsetzung.

NIS-2 ist keine reine IT-Aufgabe mehr – sie ist Chefsache mit persönlicher Haftung.

Philipp Köstner, Gründer von innogrators

Kernaussage

Neun von zehn §30-BSIG-Maßnahmen lassen sich technisch in Microsoft 365 implementieren – wenn der Tenant richtig konfiguriert ist.
Philipp Köstner Gründer von innogrators

§30 BSIG ↔ Microsoft 365

Die zehn §30-Maßnahmen, in Microsoft 365 übersetzt

Jede der zehn Risikomanagement-Maßnahmen aus §30 BSIG und der Microsoft-365-Baustein, mit dem wir sie audit-fest umsetzen.

Felder gemäß §30 Abs. 2 BSIG. Die Microsoft-365-Zuordnung ist die innogrators-Umsetzungssicht.
§30-BSIG-Maßnahme Umsetzung in Microsoft 365
Risikoanalyse & Sicherheitspolitik Purview Compliance Manager, Microsoft Secure Score, dokumentierte Richtlinien.
Bewältigung von Sicherheitsvorfällen Microsoft Defender XDR, Sentinel-Anbindung, Incident-Response-Playbooks.
Business Continuity & Krisenmanagement Backup-Konzepte, Exchange-/SharePoint-Wiederherstellung, Notfallpläne.
Lieferkettensicherheit Conditional Access für Gäste, Entra External ID, Lieferanten-Governance.
Sicherheit bei Erwerb, Entwicklung & Wartung Sichere Tenant-Baselines, Update- & Geräte-Management via Intune.
Bewertung der Wirksamkeit Microsoft Secure Score, Audit-Reviews, Compliance-Reporting.
Cyberhygiene & Schulungen Attack Simulation Training, Awareness-Programme, Defender-Empfehlungen.
Kryptografie & Verschlüsselung Purview Sensitivity Labels, BitLocker, Verschlüsselung in Transit & at Rest.
Personalsicherheit & Zugriffskontrolle Entra ID, Conditional Access, Least-Privilege, Privileged Identity Management.
Multi-Faktor-Authentifizierung & sichere Kommunikation Erzwungene MFA, Conditional Access, gehärtete Teams-/Exchange-Konfiguration.

Stand der Gesetzgebung

Die wichtigsten Eckdaten – mit Paragrafen-Verweisen

  • In Kraft seit Dezember 2025

    Das NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft. Eine Übergangsfrist gibt es nicht.

  • BSI-Registrierung

    Die Registrierungsfrist für betroffene Unternehmen lief am 6. März 2026 ab.

  • Bußgeldrahmen (§65 BSIG)

    Bis zu 10 Mio. € für besonders wichtige, bis zu 7 Mio. € für wichtige Einrichtungen. Die Prozentregel greift erst ab 500 Mio. € Gesamtumsatz.

  • Geschäftsführerhaftung (§38 BSIG)

    Die Geschäftsleitung haftet persönlich für die Umsetzung der Maßnahmen.

Wer §30 BSIG nicht nachweisbar umsetzt, riskiert Bußgelder und persönliche Haftung – beides lässt sich in Microsoft 365 technisch adressieren.

Quick-Assessment

Das NIS-2 Quick-Assessment

Der konkrete Einstieg: eine kompakte Standortbestimmung Ihrer Microsoft-365-Umgebung gegen §30 BSIG – als 5-Tage-Festpreis-Format.

NIS-2 FAQ

Häufig gestellte Fragen zu NIS-2

Konkrete Frage zu Ihrer Tenant-Situation? Im kostenlosen Erstgespräch klären wir sie.

Erstgespräch vereinbaren
Wer ist von NIS-2 in Deutschland betroffen?

Vom NIS2UmsuCG sind in Deutschland rund 29.500 Unternehmen in 18 Sektoren betroffen. Konkret: Unternehmen mit mindestens 50 Mitarbeitenden oder über 10 Millionen Euro Jahresumsatz in den definierten Sektoren (Energie, Transport, Finanzen, Gesundheit, kritische Infrastruktur, Verarbeitendes Gewerbe und weitere). Größere Unternehmen ab 250 Mitarbeitenden oder 50 Millionen Euro Umsatz in bestimmten Sektoren gelten als „Besonders wichtige Einrichtungen“. (Quelle: BSI)

Seit wann ist das NIS2UmsuCG in Kraft?

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Eine Übergangsfrist gibt es nicht. Die BSI-Registrierungsfrist für betroffene Unternehmen lief am 6. März 2026 ab.

Welche Maßnahmen verlangt §30 BSIG?

§30 BSIG verlangt zehn Felder von Risikomanagement-Maßnahmen:

  • Risikoanalyse und Sicherheitspolitik
  • Bewältigung von Sicherheitsvorfällen
  • Business Continuity und Krisenmanagement
  • Lieferkettensicherheit
  • Sicherheit bei Erwerb, Entwicklung und Wartung
  • Bewertung der Wirksamkeit
  • Cyberhygiene und Schulungen
  • Kryptografie
  • Personalsicherheit und Zugriffskontrolle
  • Multi-Faktor-Authentifizierung und sichere Kommunikation
Wie hoch sind die Bußgelder bei NIS-2-Verstößen?

§65 BSIG sieht Geldbußen bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen vor. Die häufig zitierte Umsatzregel gilt nicht alternativ „je nachdem, was höher ist“: Nach §65 Abs. 6 und 7 tritt sie erst ab einem Gesamtumsatz von mehr als 500 Millionen Euro an die Stelle dieser Beträge – dann bis zu 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes, den §65 Abs. 8 als weltweit erzielten Umsatz definiert. Für den Mittelstand sind damit in aller Regel die Eurobeträge maßgeblich.

Haftet die Geschäftsführung persönlich?

Ja. §38 BSIG begründet die persönliche Haftung der Geschäftsleitung für die Umsetzung der Risikomanagement-Maßnahmen. Geschäftsführerinnen und Geschäftsführer können bei Pflichtverletzungen für entstandene Schäden zur Verantwortung gezogen werden.

Wie verbindet sich NIS-2 mit Microsoft 365?

Microsoft 365 ist im Mittelstand die wichtigste technische Plattform für NIS-2-relevante Datenverarbeitung. Neun der zehn §30-BSIG-Maßnahmen lassen sich technisch innerhalb von Microsoft 365 implementieren – mit Bausteinen wie Entra ID, Defender XDR, Purview, Intune, Conditional Access und Sensitivity Labels. Die meisten Unternehmen besitzen die Lizenzen bereits, nutzen die Bausteine aber nicht NIS-2-konform konfiguriert.

Was ist ein NIS-2 Quick-Assessment?

Ein NIS-2 Quick-Assessment ist eine kompakte Standortbestimmung Ihrer Microsoft-365-Umgebung gegen die NIS-2-Anforderungen aus §30 BSIG. innogrators führt es als 5-Tage-Festpreis-Format durch (Festpreis auf Anfrage je nach Tenant-Größe). Output: auditfähiger Bewertungsbericht, priorisierter Maßnahmenkatalog, technische Roadmap und Geschäftsführungs-Präsentation.

Sind Kommunen von NIS-2 betroffen?

Kommunen wurden im NIS2UmsuCG explizit nicht in den Anwendungsbereich aufgenommen. Bundesbehörden sowie die Landesebene können hingegen direkt betroffen sein. Kommunale Zulieferer bleiben über die Lieferkettensicherheits-Pflichten (§30 Abs. 2 Nr. 4 BSIG) und die eigene Sektor-Einstufung – etwa im Verarbeitenden Gewerbe – NIS-2-pflichtig.

Aus dem Blog

Impulse aus der Praxis

Alle Beiträge ansehen
Berater von innogrators am Fenster mit Smartphone

NIS-2 Quick-Assessment

Wie steht Ihr Tenant zu §30 BSIG?

Im NIS-2 Quick-Assessment prüfen wir Ihre Microsoft-365-Umgebung in fünf Tagen gegen die zehn §30-Maßnahmen – mit auditfähigem Bericht und priorisiertem Maßnahmenkatalog. Slot im kostenlosen Erstgespräch anfragen.

NIS-2 Quick-Assessment anfragen