§ 4 Kompensierende Maßnahmen

Wann liegt eine „vorübergehende“ Nichterfüllung einer Anforderung im Kontext der Verpflichtung zum Setzen kompensierender Maßnahme vor?

Hierbei handelt es sich um Situationen, in denen die Umsetzung einer Anforderung zum gegebenen Zeitpunkt noch nicht durchführbar ist. Typische Beispiele wären gesetzlich vorgeschriebene Fristen bei öffentlichen Vergabeverfahren für neue Sicherheitsprodukte oder länger laufende Großprojekte wie der Austausch eines Leitsystems der OT. In solchen Fällen wären Anforderungen vorübergehend und zeitlich begrenzt nicht unmittelbar zu erfüllen, solange die entsprechenden Prozesse, Verfahren oder Projekte noch laufen. Die Dokumentations- und periodischen Reviewpflichten sind in § 4 NISV 2026 abgebildet.

Wann greift die Ausnahme aufgrund der „Größe“ einer Einrichtung im Kontext der Verpflichtung zum Setzen kompensierender Maßnahme?

Der Begriff orientiert sich an den klassischen Unternehmensgrößen (Kleinst-, kleine, mittlere und große Unternehmen gemessen an Mitarbeiterzahl, Umsatz oder Bilanzsumme gemäß § 25 NISG 2026), es kann auch eine erhöhte organisatorische Komplexität wie die Verteilung auf mehrere Standorte miteinbezogen werden. Grundsätzlich soll der Einsatz kompensierender Maßnahmen jedoch nur in Ausnahmefällen zur Anwendung kommen. Beispiel: Bei der Festlegung der Rollen, Verantwortlichkeiten und Weisungsbefugnisse innerhalb der betreffenden Einrichtung könnte es für Kleinstunternehmen schwierig sein, widerstrebende Pflichten und sich widersprechende Verantwortlichkeitsbereiche zu trennen. Solche Einrichtungen sollten kompensierende Maßnahmen wie eine gezielte Beaufsichtigung durch ihr Management oder eine verstärkte Überwachung und Protokollierung in Betracht ziehen können. Die Dokumentations- und periodischen Reviewpflichten sind in § 4 NISV 2026 abgebildet.

Müssen kompensierende Maßnahmen das Risiko im gleichen Ausmaß abdecken wie die ursprüngliche Anforderung?

Kompensierende Maßnahmen müssen den Zweck der ursprünglichen Risikomanagementmaßnahme so gut wie möglich erfüllen und die damit verbundenen Risiken minimieren. Kompensierende Maßnahmen müssen zwar nicht identisch mit den Anforderungen nach § 2 NISV 2026 sein, sie müssen dennoch ein möglichst hohes Schutzniveau gewährleisten. Die Auswahl der kompensierenden Maßnahmen muss auf einer vorherigen Risikobewertung basieren – die Einrichtung muss analysieren, welche Risiken durch die Nichtumsetzung der ursprünglichen Maßnahme entstehen. Sowohl der Prozess der Risikobewertung als auch die daraus resultierenden Ergebnisse müssen nachvollziehbar dokumentiert werden.

Wie muss eine Begründung für kompensierende Maßnahmen aufgebaut sein und welche Mindestinhalte sind erforderlich?

Eine Begründung für den Einsatz kompensierender Maßnahmen muss schriftlich festhalten, warum eine Anforderung nach § 2 NISV 2026 vorübergehend oder aufgrund der Unternehmensgröße nicht direkt umsetzbar ist. Dabei muss dargelegt werden, wie das verbleibende Risiko bewertet wurde und welche alternative Maßnahme zur Erreichung des Schutzzwecks gewählt wird.

Zudem sind bei temporären Abweichungen ein konkreter Zeitplan für die Umsetzung der ursprünglichen Anforderungen sowie die mindestens jährliche Überprüfung der Wirksamkeit der kompensierenden Maßnahmen durchzuführen und zu dokumentieren.

Wo finde ich die Anforderungen, bei denen die Umsetzung kompensierender Maßnahmen nicht verpflichtend ist, wenn diese angemessen, anwendbar oder durchführbar sind?

Eine Tabelle der konkreten Anforderungen, welche nur umzusetzen sind, wenn diese angemessen, anwendbar oder durchführbar sind, finden sie in der folgenden Tabelle:

Kapitel	Spezifische Anforderung
1.1. Konzept für die Sicherheit von Netz- und Informationssystemen	1.1.2
1.2. Rollen, Verantwortlichkeiten und Weisungsbefugnisse	1.2.5, 1.2.6
2.1. Risikomanagementrahmen	2.1.1, 2.1.2, 2.1.4
3.1. Konzept für die Bewältigung von Sicherheitsvorfällen	3.1.3
3.2. Überwachung und Protokollierung	3.2.2, 3.2.3, 3.2.4, 3.2.6, 3.2.7
3.3. Meldung von Ereignissen	3.3.2
3.5. Reaktion auf Sicherheitsvorfälle	3.5.3 lit. a
3.6. Überprüfungen nach Sicherheitsvorfällen	3.6.1
4.1. Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs	4.1.2, 4.1.4
4.2. Backup-Sicherungs- und Redundanzmanagement	4.2.5
4.3. Krisenmanagement	4.3.2 lit. a, 4.3.3, 4.3.4
5.1. Konzept für die Sicherheit der Lieferkette	5.1.2 lit. d, 5.1.3, 5.1.4, 5.1.4 lit. b, 5.1.7, lit. a und d
6.1. Sicherheitsmaßnahmen beim Erwerb von IKT-Diensten oder IKT-Produkten	6.1.3
6.3. Konfigurationsmanagement	6.3.3
6.4. Änderungsmanagement, Reparatur und Wartung	6.4.1, 6.4.4
6.5. Sicherheitsprüfung	6.5.3
6.6. Sicherheitspatch-Management	6.6.2 (im Grunde auch)
6.7. Netzsicherheit	6.7.2 lit. g, 6.7.3
6.8. Netzsegmentierung	6.8.3
6.9. Schutz gegen Schadsoftware und nicht genehmigte Software	6.9.2
6.10. Behandlung und Offenlegung von Schwachstellen	6.10.2 lit. b, 6.10.4
7. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit	7.3
8.1. Sensibilisierungsmaßnahmen und grundlegende Verfahren im Bereich der Cyberhygiene	8.1.2, 8.1.3
9. Kryptografie	9.2 lit. b und c, 9.3
10.1. Sicherheit des Personals	10.1.1 (im Grunde auch)
10.2. Zuverlässigkeitsüberprüfung	10.2.1, 10.2.3
10.4. Disziplinarverfahren	10.4.2
11.1. Konzept für die Zugriffskontrolle	11.1.3
11.6. Authentifizierung	11.6.3
11.7. Multifaktor-Authentifizierung	11.7.1
12.1. Anlagen- und Werteklassifizierung	12.1.3
12.2. Behandlung von Anlagen und Werten	12.2.3
12.3. Konzept für Wechseldatenträger	12.3.3
13.1. Unterstützende Versorgungsleistungen	13.1.2, 13.1.3
13.2. Schutz vor physischen Bedrohungen und Bedrohungen des Umfelds	13.2.2, 13.2.3
13.3. Perimeter und physische Zutrittskontrolle	13.3.3

Was muss bei Anforderungen, bei denen die Umsetzung kompensierender Maßnahmen nicht verpflichtend ist, getan werden?

Die Einrichtung hat in Fällen von Anforderungen an Risikomanagementmaßnahmen, die nur umzusetzen sind, soweit sie angemessen, anwendbar oder durchführbar sind (siehe auch die in der FAQ „Wo finde ich die Anforderungen, bei denen die Umsetzung kompensierender Maßnahmen nur dann verpflichtend ist, wenn diese angemessen, anwendbar oder durchführbar sind?“ angeführte Tabelle) eine Nichtumsetzung begründet und nachvollziehbar zu dokumentieren.

Zur FAQ-Übersicht

Letzte Aktualisierung: 20. Oktober 2026