Die Rolle des BSI bei NIS-2
Das BSI ist bei NIS-2 die zentrale Aufsichtsbehörde und Meldestelle. Erfahren Sie, welche Pflichten (Registrierung, Meldung) und Unterstützungsangebote es gibt.
Mit der NIS-2-Richtlinie erweitert sich die Rolle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erheblich. Für viele Unternehmen wird das BSI zur zentralen Aufsichtsbehörde und Anlaufstelle. Die Zusammenarbeit zwischen BSI und NIS-2-betroffenen Unternehmen ist gesetzlich geregelt und bringt neue Pflichten mit sich.
Nutzen: Das BSI agiert nicht nur als Kontrollinstanz, sondern auch als Unterstützer. Es stellt zentrale Informationen, Lageberichte und Werkzeuge bereit, um Unternehmen bei der Verbesserung ihrer Cybersicherheit zu helfen. Über das BSI-Portal erhalten Sie Zugang zu wichtigen Sicherheitswarnungen.
Risiko: Wenn Ihr Unternehmen unter NIS-2 fällt, sind Sie zur Registrierung und zur Meldung von erheblichen Sicherheitsvorfällen verpflichtet. Die Nichteinhaltung dieser Pflichten kann zu aufsichtsrechtlichen Maßnahmen durch das BSI führen.
Nächster Schritt: Prüfen Sie mit dem Online-Werkzeug des BSI, ob Ihr Unternehmen von NIS-2 betroffen ist. Falls ja, bereiten Sie die Registrierung Ihres Unternehmens im BSI-Portal vor und machen Sie sich mit den Meldepflichten vertraut.
Das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, NIS2UmsuCG) und die damit verbundene Novelle des BSI-Gesetzes (BSIG) definieren die Aufgaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) neu und weiten sie erheblich aus. Für rund 30.000 Unternehmen in Deutschland, die als „besonders wichtige“ oder „wichtige“ Einrichtungen eingestuft werden, wird das BSI zur zentralen Instanz für die Cybersicherheit.
Das BSI als Aufsichtsbehörde und nationale Anlaufstelle
Gemäß dem BSI-Gesetz ist das BSI die zentrale Aufsichtsbehörde für die meisten von NIS-2 betroffenen Einrichtungen in Deutschland. In dieser Funktion überwacht es die Einhaltung der gesetzlichen Anforderungen. bsi.bund.de Dazu gehören unter anderem:
- Anforderung von Informationen: Das BSI kann von Unternehmen Nachweise und Dokumentationen zur Umsetzung der Cybersicherheitsmaßnahmen verlangen.
- Durchführung von Prüfungen: Es ist befugt, Sicherheitsaudits und Prüfungen bei den Einrichtungen durchzuführen, um die Wirksamkeit der Maßnahmen zu bewerten.
- Erlass von Anordnungen: Bei festgestellten Mängeln kann das BSI verbindliche Anordnungen zur Behebung der Schwachstellen erteilen.
Zusätzlich fungiert das BSI laut § 40 BSIG (Stand: 07. November 2026) als nationale Verbindungsstelle. Es koordiniert die Zusammenarbeit mit den Aufsichtsbehörden anderer EU-Mitgliedstaaten sowie mit anderen nationalen Behörden wie der Bundesnetzagentur oder den zuständigen Stellen der Bundesländer. gesetze-im-internet.de
Registrierung und Meldepflichten über das BSI-Portal
Eine der wesentlichen neuen Pflichten für betroffene Unternehmen ist die Registrierung beim BSI. Diese erfolgt über das zentrale BSI-Portal. Der Prozess ist zweistufig angelegt:
- Registrierung bei „Mein Unternehmenskonto“ (MUK): Zunächst muss eine Authentifizierung über diesen bundesweiten digitalen Dienst erfolgen.
- Registrierung im BSI-Portal: Im Anschluss erfolgt die eigentliche Registrierung der Einrichtung im Portal des BSI.
Unternehmen müssen sich spätestens drei Monate, nachdem sie unter die NIS-2-Regulierung fallen, registrieren. bsi.bund.de
Das BSI-Portal dient zudem als zentrale Meldestelle für erhebliche Sicherheitsvorfälle. Die Meldefristen sind streng gestaffelt:
- Frühe Erstmeldung: Innerhalb von 24 Stunden nach Kenntniserlangung.
- Detailliertere Meldung: Innerhalb von 72 Stunden, unter anderem mit einer ersten Bewertung des Vorfalls und seiner Auswirkungen.
- Abschlussmeldung: Spätestens einen Monat nach der Erstmeldung.
Ein Sicherheitsvorfall gilt als erheblich, wenn er beispielsweise zu schwerwiegenden Betriebsstörungen führt, erhebliche finanzielle Verluste verursacht oder andere natürliche oder juristische Personen erheblich schädigt.
Unterstützung und Informationsbereitstellung durch das BSI bei NIS-2
Neben seiner Rolle als Aufsichtsbehörde ist das BSI auch eine zentrale Unterstützungs- und Informationsquelle. Es ist gesetzlich beauftragt, die Cybersicherheit in Deutschland zu fördern. bsi.bund.de Das BSI darf jedoch keine Rechtsberatung oder individuelle Einzelfallberatung leisten.
Für Unternehmen stellt das BSI eine Reihe von Hilfsmitteln bereit:
- NIS-2-Webseite: Eine zentrale Anlaufstelle mit allen wichtigen Informationen, Leitfäden und Publikationen.
- NIS-2-Betroffenheitsprüfung: Ein Online-Tool, mit dem Unternehmen eine erste Einschätzung vornehmen können, ob sie unter die Regulierung fallen.
- FAQs und Roadmaps: Antworten auf häufig gestellte Fragen und Handlungsempfehlungen für die ersten Schritte.
- Informationsaustausch: Über das BSI-Portal haben registrierte Nutzer Zugriff auf aktuelle Sicherheitsinformationen, wie die „BSI-IT-Sicherheitsmitteilungen“ (BITS) und Lageberichte zur Cyber-Bedrohungslage. bsi.bund.de
- Allianz für Cyber-Sicherheit (ACS): Unternehmen können sich dieser Initiative anschließen, um vom Wissensaustausch und den Angeboten der Plattform zu profitieren.
Diese Angebote helfen Unternehmen, die Anforderungen des IT-Grundschutzes und anderer Standards zu verstehen und umzusetzen, um die gesetzlichen Vorgaben von NIS-2 zu erfüllen.
Häufige Fragen
Muss sich jedes Unternehmen beim BSI registrieren?
Nein, nur Unternehmen, die nach dem NIS-2-Umsetzungsgesetz als „besonders wichtige Einrichtung“ oder „wichtige Einrichtung“ gelten, unterliegen der Registrierungspflicht beim BSI.
Bietet das BSI eine persönliche Beratung zur NIS-2-Umsetzung an?
Nein, das BSI darf keine Rechtsberatung oder individuelle Beratung für Einzelfälle durchführen. Es stellt jedoch umfangreiche allgemeine Informationen, Leitfäden und Werkzeuge auf seiner Webseite zur Verfügung.
Was ist das BSI-Portal?
Das BSI-Portal ist die zentrale Online-Plattform für von NIS-2 betroffene Einrichtungen. Sie dient der gesetzlich vorgeschriebenen Registrierung, der Meldung von erheblichen Sicherheitsvorfällen und dem Abruf von sicherheitsrelevanten Informationen des BSI.
Welche Fristen gelten für die Meldung eines Sicherheitsvorfalls an das BSI?
Bei einem erheblichen Sicherheitsvorfall muss eine Erstmeldung innerhalb von 24 Stunden erfolgen. Eine detailliertere Folgemeldung ist innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach dem Vorfall einzureichen.