§ 30 BSIG: de tien cybersecuritymaatregelen
Kort antwoord: § 30 van de Duitse BSIG is de nationale omzetting van artikel 21 NIS2. Essentiële en belangrijke entiteiten moeten tien risicobeheermaatregelen treffen, van risicoanalyse over toeleveringsketenbeveiliging tot multifactorauthenticatie. De uitvoering moet evenredig zijn aan omvang, risicoblootstelling en stand van de techniek.
Wat § 30 BSIG vereist
§ 30 BSIG staat centraal in de Duitse uitvoering van NIS2. De bepaling verplicht essentiële en belangrijke entiteiten om passende, evenredige en doeltreffende technische en organisatorische maatregelen te treffen om risico's voor de beveiliging van hun informatiesystemen, componenten en processen te beheersen.
De bepaling zet artikel 21, lid 2, van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) om in Duits recht. De inhoud is op EU-niveau vastgelegd en in elke lidstaat identiek. De formulering is aangepast aan de Duitse wetssystematiek, maar de tien maatregelen in § 30, lid 2, nrs. 1 tot en met 10 BSIG komen één op één overeen met artikel 21, lid 2, onder a) tot en met j) NIS2.
De verplichtingen gelden vanaf de datum waarop het NIS2UmsuCG in werking is getreden. De wet voorziet niet in een overgangsperiode. Wie binnen het toepassingsgebied valt, is de maatregelen verschuldigd vanaf de dag dat hij eronder valt.
Nr. 1: beleid voor risicoanalyse en beveiliging van informatiesystemen
Beleid voor risicoanalyse en beveiliging van informatiesystemen. Komt overeen met artikel 21, lid 2, onder a) NIS2. Geconcretiseerd door CIR (EU) 2024/2690, afdeling 2, voor de digitale sectoren in de bijlage.
Nr. 2: behandeling van incidenten
Detectie, respons, indamming, herstel en evaluatie na een incident. Komt overeen met artikel 21, lid 2, onder b) NIS2. Grijpt in elkaar met de meldplicht onder § 32 BSIG.
Nr. 3: bedrijfscontinuïteit
Back-upbeheer, herstel na een noodsituatie en crisisbeheer. Komt overeen met artikel 21, lid 2, onder c) NIS2. Ook een clouduitval bij uw aanbieder valt hieronder.
Nr. 4: beveiliging van de toeleveringsketen
Beveiliging van de toeleveringsketen, inclusief beveiligingsgerelateerde aspecten van de relaties met directe leveranciers en dienstverleners. Komt overeen met artikel 21, lid 2, onder d) NIS2. Deze verplichting werkt contractueel door naar elke directe leverancier.
Nr. 5: beveiliging bij verwerving, ontwikkeling en onderhoud
Beveiligingsmaatregelen bij de verwerving, ontwikkeling en het onderhoud van informatiesystemen, componenten en processen, inclusief het omgaan met en het bekendmaken van kwetsbaarheden. Komt overeen met artikel 21, lid 2, onder e) NIS2. Overlapt met de verplichtingen uit de Cyber Resilience Act voor producten met digitale elementen.
Nr. 6: beoordeling van de doeltreffendheid
Beleid en procedures om de doeltreffendheid van de risicobeheermaatregelen te beoordelen. Komt overeen met artikel 21, lid 2, onder f) NIS2. Dit is de terugkoppeling: niet alleen maatregelen invoeren, maar ook controleren of ze werken.
Nr. 7: cyberhygiëne en training
Basismaatregelen op het gebied van cyberhygiëne en training op het gebied van cybersecurity. Komt overeen met artikel 21, lid 2, onder g) NIS2. Geldt voor alle medewerkers, met rolspecifieke training voor IT-functies. De training van het leidinggevend orgaan is apart geregeld onder § 38, lid 3 BSIG.
Nr. 8: cryptografie en versleuteling
Beleid en procedures voor het gebruik van cryptografie en, waar passend, versleuteling. Komt overeen met artikel 21, lid 2, onder h) NIS2. 'Waar passend' staat een risicogebaseerde differentiatie toe, maar sluit een algehele vrijstelling uit.
Nr. 9: personeelsbeveiliging, toegangsbeheer, assetbeheer
Personeelsbeveiliging, beleid voor toegangsbeheer en assetbeheer. Komt overeen met artikel 21, lid 2, onder i) NIS2. Dekt onboarding en offboarding, toegangsverlening volgens het need-to-know-beginsel en een assetinventaris.
Nr. 10: multifactorauthenticatie en beveiligde communicatie
Oplossingen voor multifactorauthenticatie of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en, waar passend, beveiligde noodcommunicatiesystemen binnen de entiteit. Komt overeen met artikel 21, lid 2, onder j) NIS2.
§ 30, lid 1, tweede volzin BSIG vereist dat de maatregelen worden gekozen rekening houdend met de stand van de techniek, relevante Europese en internationale normen en de kosten van de uitvoering. Omvang, risicoblootstelling en de waarschijnlijkheid van incidenten worden meegewogen.
Evenredigheid is geen vrijbrief om een maatregel weg te laten. Het BSI heeft in zijn handreiking bij § 38, lid 3 BSIG duidelijk gemaakt dat een algehele overdracht van risico's naar een cyberverzekering of dienstverleners uitgesloten is. Evenredig betekent: niet elke maatregel tot maximale diepte, maar aangepast aan de concrete situatie en schriftelijk onderbouwd.
Artikel 21, lid 2 NIS2 is de basis op EU-niveau. De tien letters a) tot en met j) zijn bindend. De formulering is bewust open gehouden, zodat de lidstaten konden aansluiten bij nationale toezichtstructuren. § 30 BSIG neemt de tien maatregelen over als nrs. 1 tot en met 10, zonder inhoudelijke afwijking.
Voor DNS-aanbieders, TLD-registries, cloudaanbieders, datacenters, content delivery networks, managed service providers, managed security service providers, onlinemarktplaatsen, onlinezoekmachines, platforms voor sociale netwerken en verleners van vertrouwensdiensten concretiseert Uitvoeringsverordening (EU) 2024/2690 van de Commissie de tien maatregelen in haar bijlage. De verordening is rechtstreeks van toepassing, dus zonder nationale omzetting. Voor deze sectoren staan zowel § 30 BSIG als de CIR op de plank.
§ 30 BSIG geldt voor essentiële entiteiten onder § 28, lid 6 BSIG en belangrijke entiteiten onder § 28, lid 7 BSIG. De sectoren staan vermeld in bijlage 1 en bijlage 2 van de NIS2-richtlijn. De omvangsdrempel ligt bij ten minste 50 werknemers of 10 miljoen euro jaaromzet, met bijzondere regels voor KRITIS en voor sectoren die ongeacht de omvang van toepassing zijn.
Bij twijfel begint u met de toepasselijkheidstoets onder artikel 2 NIS2. Ook leveranciers van gereguleerde entiteiten komen via nr. 4 (toeleveringsketen) in aanraking met § 30: de verplichtingen werken contractueel door naar directe leveranciers.
Overtredingen van de maatregelenplicht onder § 30 BSIG worden onder § 65 BSIG bestraft met administratieve boetes. Voor essentiële entiteiten ligt het maximum bij 10 miljoen euro of 2 procent van de wereldwijde omzet van het voorgaande jaar, naargelang welk bedrag hoger is. Voor belangrijke entiteiten ligt het maximum bij 7 miljoen euro of 1,4 procent.
§ 38 BSIG voegt een persoonlijke aansprakelijkheid van het leidinggevend orgaan toe voor het verzaken van de plicht om de maatregelen onder § 30 goed te keuren en op de uitvoering ervan toe te zien. De aansprakelijkheid hangt niet af van het feit of er daadwerkelijk schade is ontstaan.
Veelgestelde vragen over § 30 BSIG
Is § 30 BSIG hetzelfde als artikel 21 NIS2?
Inhoudelijk wel. § 30 BSIG is de Duitse omzetting van artikel 21 NIS2. De tien maatregelen in § 30, lid 2, nrs. 1 tot en met 10 BSIG komen één op één overeen met artikel 21, lid 2, onder a) tot en met j) NIS2. Wie EU-breed werkt, citeert artikel 21 NIS2 als primaire bron en noemt § 30 BSIG als de Duitse omzetting.
Moet ik alle tien de maatregelen uitvoeren?
Ja. De tien maatregelen zijn niet optioneel. De keuze ontstaat binnen elke maatregel via evenredigheid. Een hele maatregel weglaten is niet toegestaan. De diepte van de uitvoering mag worden aangepast aan omvang, risicoblootstelling en stand van de techniek, maar een heel nummer laten vervallen niet.
Wat betekent evenredigheid in de praktijk?
Evenredigheid onder § 30, lid 1, tweede volzin BSIG betekent: maatregelen worden afgestemd op omvang, risicoblootstelling, de waarschijnlijkheid en ernst van incidenten en de kosten van de uitvoering. De beslissing moet schriftelijk worden onderbouwd. Een algehele overdracht van het risico naar een cyberverzekering of een dienstverlener erkent het BSI niet als evenredige uitvoering.
Hoe toon ik de uitvoering aan het BSI aan?
Met documentatie. Voor elk van de tien maatregelen legt u de gekozen uitvoering, de onderbouwing van de diepte en de beoordeling van de doeltreffendheid schriftelijk vast. Een audit door het BSI onder § 61 of § 62 BSIG onderzoekt deze stukken, niet de mondelinge toelichting. Een gestructureerde zelfevaluatie over alle tien de maatregelen is het snelste startpunt.
Wat is het verschil tussen § 30 BSIG en IT-Grundschutz?
§ 30 BSIG is de verplichting. IT-Grundschutz is één concrete methodiek waarmee aan de verplichting wordt voldaan. § 44, lid 2 BSIG noemt IT-Grundschutz als toereikende uitvoering. Andere normen zoals ISO 27001 zijn evengoed mogelijk, maar het bewijs blijft gebonden aan de tien maatregelen onder § 30 BSIG, niet aan de structuur van de gekozen norm.