BSI-Gesetz (BSIG)

Vom BSI-Errichtungsgesetz zum Cybersicherheitsgesetz

Das BSIG regelte ursprünglich vor allem Aufgaben und Befugnisse des BSI. Mit dem IT-Sicherheitsgesetz von 2015 kamen Pflichten für Betreiber kritischer Infrastrukturen hinzu, das IT-Sicherheitsgesetz 2.0 von 2021 erweiterte sie. Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde das BSIG vollständig neu gefasst; die Neufassung gilt seit dem 6. Dezember 2025. Auf gesetze-im-internet.de ist sie unter dem Kürzel «bsig_2025» abrufbar.

Aufbau des neuen BSIG

Dazu kommen Anlage 1 (Sektoren besonders wichtiger und wichtiger Einrichtungen) und Anlage 2 (Sektoren wichtiger Einrichtungen).

Das BSI im BSIG

Aufgaben

§ 3 BSIG beschreibt die Aufgaben des BSI, darunter Abwehr von Gefahren für die Sicherheit der Informationstechnik des Bundes, Sammlung und Auswertung von Informationen über Sicherheitsrisiken, Entwicklung von Sicherheitsstandards, Beratung und Warnung sowie Zertifizierung.

Meldestellen und Warnungen

Das BSI ist zentrale Meldestelle für die IT-Sicherheit des Bundes (§ 4) und allgemeine Meldestelle für Sicherheit in der Informationstechnik (§ 5). Über § 5 Abs. 2 können auch nicht verpflichtete Stellen freiwillig Vorfälle und Bedrohungen melden. Nach § 13 kann das BSI die Öffentlichkeit oder Betroffene vor Sicherheitslücken, Schadprogrammen und Datenabflüssen warnen.

Untersuchungen

§ 14 erlaubt dem BSI, die Sicherheit von IT-Produkten und -Diensten zu untersuchen und Auskünfte zu verlangen. § 15 regelt die Detektion von Angriffsmethoden und Sicherheitsrisiken.

Pflichten für Unternehmen

Anwendungsbereich (§ 28)

Besonders wichtige und wichtige Einrichtungen werden nach Sektor und Größe bestimmt. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sind größenunabhängig besonders wichtig. Für Finanzunternehmen unter DORA und bestimmte Energie- und Telekommunikationsunternehmen gelten Ausnahmen.

Kernpflichten (§§ 30–42)

• § 30 Risikomanagementmaßnahmen: geeignete, verhältnismäßige und wirksame Maßnahmen in mindestens zehn Bereichen, dokumentiert.
• § 31 Besondere Anforderungen an Betreiber kritischer Anlagen: erhöhtes Schutzniveau und Systeme zur Angriffserkennung.
• § 32 Meldepflichten: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat.
• § 33 Registrierungspflicht: spätestens drei Monate nach Eintritt der Betroffenheit; Änderungen binnen zwei Wochen.
• § 34 Besondere Registrierungspflicht: für bestimmte digitale Einrichtungsarten.
• § 35 Unterrichtungspflichten: Das BSI kann anordnen, dass Empfänger der Dienste über erhebliche Vorfälle informiert werden; in einigen Sektoren sind Empfänger über erhebliche Cyberbedrohungen und mögliche Abhilfen zu unterrichten.
• § 38 Geschäftsleitung: Umsetzung und Überwachung, Haftung, Schulungspflicht.
• § 39 Nachweispflichten: für Betreiber kritischer Anlagen alle drei Jahre.
• § 41 Untersagung kritischer Komponenten: Befugnis, den Einsatz bestimmter kritischer Komponenten zu untersagen.

Aufsicht und Bußgelder (§§ 59–65)

Die §§ 61 und 62 regeln Aufsichts- und Durchsetzungsmaßnahmen, getrennt für besonders wichtige und wichtige Einrichtungen. § 65 enthält die Bußgeldtatbestände; die höchsten Bußgelder betragen 10 Mio. Euro für besonders wichtige und 7 Mio. Euro für wichtige Einrichtungen oder bei sehr großen Unternehmen 2 % bzw. 1,4 % des weltweiten Umsatzes.

Was sich gegenüber dem alten BSIG geändert hat

• neue Nummerierung: Der frühere § 8a (Pflichten der KRITIS-Betreiber) findet sich inhaltlich nun vor allem in §§ 30, 31 und 39, die Meldepflicht des früheren § 8b in § 32
• neue Kategorien besonders wichtige und wichtige Einrichtungen statt «Unternehmen im besonderen öffentlichen Interesse»
• ausdrückliche Pflichten der Geschäftsleitung
• gestufte Meldefristen
• Nachweiszyklus für KRITIS-Betreiber drei statt zwei Jahre

In älteren Verträgen, Richtlinien und Prüfberichten stehen häufig noch die alten Paragrafen. Bei der nächsten Überarbeitung sollten Verweise angepasst werden.

Zusammenspiel mit anderen Regelungen

• BSI-Kritisverordnung: bestimmt, welche Anlagen kritisch sind.
• KRITIS-Dachgesetz: regelt den physischen Schutz kritischer Anlagen, zuständig ist vor allem das BBK.
• Durchführungsverordnung (EU) 2024/2690: konkretisiert Anforderungen für bestimmte digitale Einrichtungsarten.
• DORA: geht für Finanzunternehmen vor.
• Fachrecht: etwa Energiewirtschafts- und Telekommunikationsrecht mit eigenen Sicherheitsvorgaben.

Praktischer Umgang

Für Unternehmen genügt es meist, die Paragrafen 28, 30, 32, 33 und 38 genau zu kennen und die BSI-FAQ als Auslegungshilfe zu nutzen. Das BSI bietet keine juristische Einzelfallberatung; in Grenzfällen, etwa bei der Betroffenheit von Konzernen, ist rechtlicher Rat sinnvoll.