myveeam.cloud Logo
Angebot einholen

Ratgeber

NIS-2 und Datensicherung: Welche Backup-Pflichten jetzt gelten

Seit Dezember 2025 gilt das neue BSI-Gesetz. Was § 30 BSIG zu Backup und Wiederherstellung verlangt, wer betroffen ist und wie Sie die Pflichten nachweisbar umsetzen.

Lennart von myveeam.cloud · Veröffentlicht am 6. Oktober 2026 · 10 Min. Lesezeit

Seit dem 6. Dezember 2025 verpflichtet das neue BSI-Gesetz (BSIG) besonders wichtige und wichtige Einrichtungen zu Risikomanagementmaßnahmen, die ausdrücklich „Backup-Management und Wiederherstellung nach einem Notfall“ umfassen. Wie oft, wohin und mit welchen Tests gesichert wird, legt das Gesetz nicht fest - es verlangt geeignete, verhältnismäßige und wirksame Maßnahmen, die den Stand der Technik einhalten sollen, und deren Einhaltung muss dokumentiert sein. Konkreter wird die EU-Durchführungsverordnung 2024/2690, die für bestimmte digitale Dienste unmittelbar gilt und allen anderen als Orientierung dient.

In diesem Ratgeber erfahren Sie, wo die Umsetzung im Oktober 2026 steht, wer betroffen ist, was die Vorschriften zur Datensicherung wörtlich verlangen und wie Sie daraus ein prüffähiges Backup-Konzept ableiten.

Hinweis: Dieser Artikel bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Ob und wie Ihr Unternehmen betroffen ist, sollten Sie im Einzelfall prüfen lassen.

Wo steht NIS-2 im Oktober 2026?

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat das BSIG neu gefasst; es ist am 6. Dezember 2025 in Kraft getreten. Eine allgemeine Übergangsfrist gibt es nach Auskunft des BSI nicht: Die Pflichten gelten grundsätzlich seit diesem Tag.

  • Registrierung: Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als betroffen gelten, beim BSI registrieren (§ 33 BSIG). Für Unternehmen, die schon bei Inkrafttreten betroffen waren, endete diese Frist am 6. März 2026. Die Registrierung läuft zweistufig: zuerst über „Mein Unternehmenskonto“ (MUK) mit ELSTER-Organisationszertifikat, dann im BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist.
  • Stand der Registrierungen: Das BSI geht von rund 29.500 betroffenen Einrichtungen aus. Bis zum 30. Juni 2026 hatten sich laut BSI rund 17.700 Unternehmen registriert.
  • Wer die Frist verpasst hat, sollte die Registrierung umgehend nachholen. Eine unterlassene oder verspätete Registrierung kann mit einem Bußgeld von bis zu 500.000 Euro geahndet werden (§ 65 Abs. 5 Nr. 5 BSIG).
  • EU-Ebene: Die EU-Kommission hat am 20. Januar 2026 Änderungen an der NIS-2-Richtlinie vorgeschlagen. Bis zu einer Umsetzung in deutsches Recht gilt das BSIG in seiner aktuellen Fassung.

Ist Ihr Unternehmen von NIS-2 betroffen?

Maßgeblich sind Sektor und Größe (§ 28 BSIG). Die Sektoren stehen in den Anlagen 1 und 2 des BSIG, unter anderem Energie, Transport und Verkehr, Gesundheit, Wasser, digitale Infrastruktur (etwa Cloud- und Rechenzentrumsdienste, Managed Service Provider), Abfallwirtschaft, Chemie, Lebensmittel sowie Teile des verarbeitenden Gewerbes wie Maschinenbau, Fahrzeugbau und die Herstellung elektrischer und elektronischer Erzeugnisse.

KategorieGrößenschwelle (Sektoren der Anlagen)
Wichtige Einrichtungmindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro (Anlagen 1 und 2)
Besonders wichtige Einrichtungmindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. Euro und Jahresbilanzsumme über 43 Mio. Euro (Anlage 1)
Unabhängig von der Größeu. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter

Gezählt wird nach der KMU-Empfehlung der EU-Kommission (2003/361/EG); Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen bei Beschaffenheit und Betrieb seiner IT von diesen unabhängig ist (§ 28 Abs. 4). Eine erste Einschätzung liefert die anonyme NIS-2-Betroffenheitsprüfung des BSI; ihr Ergebnis ist ausdrücklich nicht rechtsverbindlich.

Indirekt betroffen sind viele kleinere Unternehmen über die Lieferkette. Das BSI weist darauf hin, dass sich die Regeln des BSIG bei Geschäftsbeziehungen mittelbar auch auf nicht betroffene Unternehmen auswirken können. In der Praxis schicken Kunden Sicherheitsfragebögen oder verlangen Nachweise zu Datensicherung und Notfallvorsorge. Ein dokumentiertes Backup-Konzept ist dann ein Vorteil.

Was verlangt § 30 BSIG zur Datensicherung?

§ 30 Abs. 1 BSIG verpflichtet dazu, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ zu ergreifen. Bei der Verhältnismäßigkeit zählen unter anderem Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Wichtig: Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 Satz 3).

Die Maßnahmen „sollen den Stand der Technik einhalten“ und einschlägige europäische und internationale Normen berücksichtigen (§ 30 Abs. 2). Für die Datensicherung sind vor allem diese Punkte des Mindestkatalogs relevant (wörtlich):

  • Nr. 3: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“
  • Nr. 4: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“
  • Nr. 6: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“
  • Nr. 8: „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“
  • Nr. 9: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“
  • Nr. 10: „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ sowie gesicherte Kommunikation

Was das Gesetz nicht vorschreibt: eine bestimmte Backup-Regel wie 3-2-1, unveränderbare Speicher, feste Testintervalle oder bestimmte Produkte. Diese Punkte ergeben sich erst aus dem Stand der Technik, aus Normen und aus Ihrer eigenen Risikoanalyse.

Was sagt die Durchführungsverordnung (EU) 2024/2690 zu Backups?

Die Durchführungsverordnung (EU) 2024/2690 gilt unmittelbar nur für DNS-Diensteanbieter, TLD-Registries, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Betreiber von Content-Delivery-Netzen, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Für diese hat sie nach § 30 Abs. 3 BSIG Vorrang. Beachten Sie: Ist Ihr IT-Dienstleister selbst ein betroffener Managed Service Provider, gelten diese Vorgaben für ihn direkt.

Für alle anderen Unternehmen ist die Verordnung nicht verbindlich, aber eine gute Orientierung, weil sie beschreibt, wie „Backup-Management“ konkret aussehen kann. Nummer 4.2 des Anhangs („Backup-Sicherungs- und Redundanzmanagement“) verlangt Sicherungspläne auf Basis der Risikobewertung, die Folgendes umfassen:

  • Wiederherstellungszeiten
  • vollständige und genaue Sicherungskopien, „einschließlich Konfigurationsdaten und Daten, die in der Umgebung von Cloud-Computing-Diensten gespeichert sind“
  • Speicherung „(online oder offline) an einem oder mehreren sicheren Orten, die sich nicht im selben Netz wie das System sowie in ausreichend großer Entfernung befinden“
  • physische und logische Zugangskontrollen zu den Sicherungskopien
  • die Wiederherstellung von Daten aus Sicherungskopien
  • Aufbewahrungsfristen nach geschäftlichen und regulatorischen Anforderungen

Hinzu kommen regelmäßige Integritätsprüfungen der Sicherungen (Nr. 4.2.3) und regelmäßige Wiederherstellungstests, deren Ergebnisse dokumentiert und bei Bedarf mit Korrekturmaßnahmen versehen werden (Nr. 4.2.6). Nummer 4.1 fordert einen Notfallplan mit Wiederherstellungszielen. Weitere Abschnitte regeln Kryptografie samt Schlüsselmanagement (Nr. 9) sowie Multifaktor-Authentifizierung und Administrationskonten (Nr. 11).

Welche Pflichten hat die Geschäftsleitung?

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln. Zudem muss sie regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken beurteilen zu können. Das BSI stellt dafür Schulungsunterlagen bereit.

Erhebliche Sicherheitsvorfälle sind dem BSI zu melden (§ 32 BSIG): eine frühe Erstmeldung spätestens nach 24 Stunden, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung.

Das BSI kann bei besonders wichtigen Einrichtungen Audits anordnen und die Einhaltung prüfen (§ 61), bei wichtigen Einrichtungen, wenn Tatsachen auf Mängel hindeuten (§ 62). Bußgelder (§ 65 BSIG) drohen auch für fehlende Dokumentation:

VerstoßBesonders wichtige EinrichtungWichtige Einrichtung
Maßnahmen nach § 30 nicht ergriffen, nicht dokumentiert, Meldung versäumtbis 10 Mio. Euro; bei über 500 Mio. Euro Gesamtumsatz bis 2 % des weltweiten Umsatzesbis 7 Mio. Euro; bei über 500 Mio. Euro Gesamtumsatz bis 1,4 % des weltweiten Umsatzes
Registrierung nicht oder nicht rechtzeitigbis 500.000 Eurobis 500.000 Euro

Wie setzen Sie die Backup-Pflichten praktisch um?

Die folgende Übersicht übersetzt die Vorgaben in konkrete Maßnahmen und zeigt, welche Unterlagen Sie bei einer Prüfung oder Kundenanfrage vorlegen können. Sie ist eine Orientierung, kein abschließender Katalog.

AnforderungPraktische UmsetzungNachweis
Backup-Management (§ 30 Abs. 2 Nr. 3)Datensicherungskonzept: Systeme, Sicherungsart, Häufigkeit, Aufbewahrung, Verantwortlichefreigegebenes Konzept mit Versionsstand
WiederherstellungszieleRPO (tolerierbarer Datenverlust) und RTO (tolerierbare Ausfallzeit) je System aus einer Auswirkungsanalyse ableitenSystemliste mit RPO/RTO, Abgleich mit Sicherungsplänen
Getrennte Aufbewahrungmindestens eine Kopie außerhalb des eigenen Netzes und Standorts, z. B. in einem Cloud-RepositoryJob-Protokolle, Standortangaben des Dienstleisters
Schutz vor Manipulationunveränderbare Kopie oder Papierkorb für gelöschte Sicherungen, getrennte Zugangsdatendokumentierte Konfiguration und Aufbewahrungsfristen
Kryptografie (Nr. 8)Verschlüsselung bei Übertragung und Speicherung, geregelte SchlüsselverwahrungKryptokonzept, dokumentierte und geschützte Schlüsselhinterlegung
Zugriffskontrolle und MFA (Nr. 9, 10)eigene Administrationskonten für das Backup, MFA, minimale RechteRechtekonzept, Protokoll der regelmäßigen Rechteprüfung
Wirksamkeit prüfen (Nr. 6)regelmäßige Wiederherstellungstests, automatisiert und manuellTestprotokolle mit Datum, Dauer, Ergebnis, Korrekturen
Lieferkette (Nr. 4)Backup-Dienstleister bewerten: AVV, Zertifizierung des Rechenzentrums, Standort, Meldewege bei VorfällenDienstleisterverzeichnis, Verträge, Zertifikate
KrisenmanagementNotfallplan mit Wiederanlaufreihenfolge, auch offline verfügbarNotfallplan, Übungsprotokolle

Wie Sie Wiederherstellungstests aufbauen und dokumentieren, beschreiben wir im Ratgeber Wiederherstellung testen. Warum eine unveränderbare Kopie gegen Ransomware so wichtig ist, lesen Sie unter Unveränderbare Backups gegen Ransomware.

Wie passen IT-Grundschutz CON.3 und DSGVO Art. 32 dazu?

Der BSI-Baustein CON.3 Datensicherungskonzept (IT-Grundschutz-Kompendium, Edition 2023) ist eine praxisnahe Vorlage für das, was § 30 allgemein fordert: Er verlangt unter anderem, für jedes System den tolerierbaren Datenverlust festzulegen, Sicherungen räumlich getrennt aufzubewahren, sie gegen Überschreiben zu schützen und die Wiederherstellung regelmäßig zu testen.

Die DSGVO stellt parallel eigene Anforderungen, sobald personenbezogene Daten betroffen sind: Art. 32 Abs. 1 verlangt unter anderem die Fähigkeit, Verfügbarkeit und Zugang zu den Daten nach einem Zwischenfall rasch wiederherzustellen (lit. c), und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen (lit. d). Mit einem externen Backup-Dienstleister schließen Sie zudem einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Häufige Fragen

Gilt NIS-2 auch für Unternehmen mit weniger als 50 Beschäftigten?

In der Regel nicht, sofern Jahresumsatz und Jahresbilanzsumme nicht jeweils über 10 Mio. Euro liegen. Ausnahmen gelten unter anderem für Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter und DNS-Diensteanbieter. Mittelbar können kleinere Unternehmen über Anforderungen ihrer Kunden betroffen sein.

Schreibt NIS-2 unveränderbare Backups oder die 3-2-1-Regel vor?

Nicht wörtlich. Das BSIG nennt Backup-Management als Mindestmaßnahme, die dem Stand der Technik entsprechen soll. Die Durchführungsverordnung 2024/2690 fordert für die von ihr erfassten Einrichtungen Sicherungen an sicheren Orten außerhalb des Netzes des Systems sowie Zugangskontrollen. Unveränderbare Offsite-Kopien sind ein verbreiteter Weg, diese Anforderungen gegen Ransomware abzusichern.

Wie oft muss ich die Wiederherstellung testen?

Ein festes Intervall nennt das Gesetz nicht. Die Durchführungsverordnung spricht von regelmäßigen, dokumentierten Tests. Legen Sie das Intervall risikobasiert fest und testen Sie zusätzlich nach größeren Änderungen an Systemen oder Sicherungen.

Macht uns ein externer Backup-Dienstleister NIS-2-konform?

Nein. Die Verantwortung bleibt bei Ihrer Geschäftsleitung. Ein Dienstleister kann Bausteine wie eine verschlüsselte Offsite-Kopie liefern; Konzept, Tests, Dokumentation und die Bewertung des Dienstleisters selbst bleiben Ihre Aufgabe.

Fazit

NIS-2 macht Datensicherung zur Pflicht der Geschäftsleitung, schreibt aber keine bestimmte Technik vor. Entscheidend sind ein risikobasiertes Konzept, eine geschützte Kopie außerhalb des eigenen Netzes, regelmäßige und dokumentierte Wiederherstellungstests sowie ein bewerteter Dienstleister. Wer das nachvollziehbar dokumentiert, ist für BSI-Prüfungen ebenso vorbereitet wie für Nachweisanfragen von Kunden.

Wir liefern dafür einzelne Bausteine: Über Veeam Cloud Connect übertragen Sie Backup-Kopien verschlüsselt in unser Cloud Repository in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum in Deutschland. Zusätzlich können Sie mit eigenem Schlüssel verschlüsseln, Unveränderbarkeit (Immutability) und den Veeam-Papierkorb „Insider Protection“ mit frei wählbarer Aufbewahrungsdauer buchen; einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir. Mit dem Veeam Managed Service überwachen wir Ihre Backup-Server vor Ort; Reaktionszeiten vereinbaren wir individuell im Wartungsvertrag. Fragen beantworten wir unter hello@myveeam.cloud oder +49 8106 928 9493.

Quellen

Weitere Ratgeber