Nach der Meldung — und unabhängig von ihr: BSI-Rückmeldungen, Unterstützung, Aufsicht und Eskalation

1. Orientierung: zwölf Sachpfade, aber kein Nach-Melde-Automatismus

Die Meldekaskade des § 32 steht in BSI-Meldepflicht (§ 32 BSIG). Das Krisenmanagement der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden. Beide Arbeitsstränge laufen weiter, während sich nach außen mehrere voneinander unabhängige Sach- und Verfahrenspfade öffnen können.

Kernpunkt: Eine Meldung kann Tatsachen liefern. Sie ist weder allgemeine Voraussetzung der Aufsicht noch automatischer Auslöser eines Audits, einer Anordnung oder eines Zwangsmittels.

Vor allen zwölf Sachpfaden steht ein gemeinsames Gate: Rechtsstand, Adressat, betroffene Tätigkeit und Zuständigkeit müssen stimmen. Dieses Gate ist kein dreizehnter Sachpfad, sondern die Eingangskontrolle für jeden einzelnen Weg.

Die Tabelle zeigt Abzweigungen, keine zeitliche Rangfolge. Mehrere Pfade können nebeneinander bestehen. Jeder benötigt eine eigene Rechtsgrundlage, einen passenden Adressaten und seine eigenen Voraussetzungen.

Erwartungs-Box

Dieser Artikel beantwortet, welche Rückmeldungs-, Unterstützungs-, Kommunikations-, Aufsichts-, KRITIS-, Vollstreckungs- und Ahndungswege nach einer Meldung oder unabhängig von ihr eröffnet sein können. Er ersetzt weder die Meldekaskade aus BSI-Meldepflicht (§ 32 BSIG), noch das Krisenmanagement aus Cyber-Vorfall: die ersten 72 Stunden, die DSGVO-Prüfung aus DSGVO-Datenpanne (Art. 33 / 34), die Bußgeldanalyse aus Haftung und Sanktionen — Überblick oder die Einzelfallprüfung eines konkreten Bescheids.

Sofortnavigation für die Geschäftsleitung

1. Ist das Schreiben nur eine Bestätigung, ein Angebot, eine Anhörung oder bereits eine Anordnung?
2. Trifft die Norm gerade diese natürliche oder juristische Person, rechtlich unselbstständige Organisationseinheit, Tätigkeit, Anlage oder Dienstleistung?
3. Ist das Bundesamt zuständig oder greift eine andere Bundes-, Landes-, Fach- oder Sozialaufsicht?
4. Was verlangt der konkrete Verfügungspunkt, bis wann und mit welchem Nachweis?
5. Ist der Akt nur wirksam oder bereits vollziehbar?
6. Welche Kommunikations-, Datenschutz-, KRITIS- oder Fachaufsichtsschiene läuft parallel?

Die DSGVO-Datenpannen-Schiene steht in DSGVO-Datenpanne (Art. 33 / 34). Bußgelder und Sanktionen stehen in Haftung und Sanktionen — Überblick. Die Innenhaftung der Geschäftsleitung steht in Innenhaftung der Geschäftsleitung. Das Pflichtenprogramm steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Anwendungsbereich und Einrichtungsstatus stehen in Schwellenwerte (250 MA / 50 Mio. €). KRITIS-Zusatzpflichten stehen in Sondertatbestände + KRITIS. Die DORA-oder-BSIG-Abgrenzung steht in DORA oder BSIG?. Falls die Vorfallbearbeitung eine Lösegeldfrage umfasst, steht die Lösegeld-Entscheidung in Lösegeld — ja oder nein?.

Negativkette: Fehlt ein besonderer Prüf- oder Anordnungstatbestand, folgt aus der Meldung allein kein Audit. Die materiellen Pflichten, die Vorfallbearbeitung und die Dokumentationsbereitschaft laufen nach ihren eigenen Regeln weiter.

2. Vor jeder Befugnis: Rechtsstands-, Anwendungs- und Zuständigkeits-Gate

Dieser Artikel bildet den amtlich konsolidierten Rechtsstand vom 25. Juni 2026 ab. Das neue BSIG gilt seit dem 6. Dezember 2025; die Konsolidierung berücksichtigt die Änderung vom 11. März 2026. [N-BGBL-301] [N-BGBL-66] Laufende Gesetzgebungsvorhaben sind keine Rechtsgrundlage. [MAT-BT-6585] [MAT-BT-6134] Bei jeder konkreten Anwendung ist der Rechtsstand tagesaktuell zu prüfen. [N-BSIG]

Das siebenstufige Gate

1. Rechtsträger und Status: Welche natürliche oder juristische Person oder rechtlich unselbstständige Organisationseinheit ist Adressatin? Ist sie besonders wichtig, wichtig, Betreiberin einer kritischen Anlage, Bundesverwaltung, Institution der Sozialen Sicherung oder Sonderadressatin?
2. Sachlicher Ausschnitt: Welche Tätigkeit, Dienstleistung, Anlage und welches informationstechnische System sind betroffen?
3. Formaler Ausschluss: Greifen § 28 Absatz 5 bis 8, § 29 oder ein Ausnahmebescheid nach § 37?
4. Verbleibende materielle Pflicht: Besteht die Pflicht noch, deren Einhaltung das Instrument prüfen oder durchsetzen soll?
5. Territoriale Zuständigkeit: Ist das Bundesamt nach § 59 oder § 60 zuständig?
6. Verfahrens- und Fachzuständigkeit: Handelt das Bundesamt, eine Bundes- oder Landesfachaufsicht, eine Sozialaufsicht oder eine andere gesetzlich bestimmte Stelle?
7. Instrument: Sind Tatbestand, Modalverb, Verfahren und Rechtsfolge der konkreten Norm erfüllt?

§ 28 Absatz 5 und 6: zwei verschieden gebaute Ausnahmen

Artikel 4 NIS-2 kann für sektorspezifisches Unionsrecht eine funktionale Abgrenzung verlangen. Für § 28 Absatz 6 Nummer 1 darf diese unionsrechtliche Prüfung aber nicht dazu benutzt werden, den klarer formulierten nationalen Einrichtungswortlaut ohne tragfähige Begründung in eine allgemeine Tätigkeitsausnahme umzuschreiben. [EU-NIS2] [EU-KOM-LL]

Die Ebenen sind getrennt zu dokumentieren: erstens Voraussetzungen und Rechtswirkung des Artikel 4 NIS-2, zweitens der persönliche und sachliche DORA-Anwendungsbereich und drittens die nationale Ausschlussliste des § 28 Absatz 6. Keine Ebene ersetzt die andere; eine Restanknüpfung benötigt eine benannte eigenständige Rechtsgrundlage. [EU-DORA]

Funktionale Folgewirkung bei § 28 Absatz 6: Die formale Nichtnennung der §§ 61 und 62 schafft keine voraussetzungslose Restaufsicht. Im ausgenommenen Umfang fehlen sämtliche in § 62 genannten Eröffnungspflichten: § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3. Damit kann § 62 dort nicht über gerade diese Pflichten eröffnet werden. Ein anderer Rechtsträger oder ein zusätzlicher, eigenständig gesetzlich begründeter Status bleibt gesondert zu prüfen. Ein bloß anderer Tätigkeitsausschnitt desselben Rechtsträgers begründet ohne benannte Anknüpfungsnorm keine Restaufsicht.

Das ist eine funktionale Abhängigkeit, keine pauschale Immunität. Eine weitere BSIG-Anknüpfung besteht aber nur, wenn ein zusätzlicher Status oder eine andere eigenständige Norm sie trägt. Ein bloß abweichender Tätigkeitsausschnitt desselben Rechtsträgers genügt dafür nicht ohne benannte Rechtsgrundlage.

Gegenprobe: Aus einer Bereichsausnahme folgt weder stets der Ausschluss der gesamten Unternehmensgruppe noch stets eine Restaufsicht. Entscheidend sind Rechtsträger, gesetzlicher Wortlaut, konkrete Tätigkeit und das verbleibende materielle Prüfobjekt.

§ 28 Absatz 7 und 8: zwei weitere Ausschlussweichen

§ 28 Absatz 7 nimmt Betreiber kritischer Anlagen nur insoweit von § 32 aus, wie sie eine Anlage für Finanzunternehmen nach § 28 Absatz 6 Nummer 1 betreiben. Das ist eine begrenzte Meldepflichtausnahme. Sie beseitigt weder den Betreiberstatus noch andere Pflichten ohne eigene Rechtsgrundlage.

§ 28 Absatz 8 erfasst zwei alternative Rechtsträgergruppen: rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften oder juristische Personen, an denen ausschließlich Gebietskörperschaften außer dem Bund beteiligt sind. Für beide Gruppen gilt zusätzlich: Sie müssen zu dem Zweck errichtet worden sein, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften unter ausdrücklicher Bezugnahme auf Absatz 8 reguliert werden.

Kausalkette Absatz 8: rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft oder juristische Person, an der ausschließlich Gebietskörperschaften außer dem Bund beteiligt sind → Errichtung für Verwaltungsleistungen im öffentlichen Auftrag → vergleichbare landesrechtliche Regulierung mit ausdrücklichem Absatz-8-Bezug → Nichtanwendung des BSIG. Die Beteiligungsvoraussetzung gehört nur zum zweiten Rechtsträgerzweig.

§ 37: Zugangsvoraussetzungen vor Folgewirkungen

§ 37 eröffnet zwei verschieden weit reichende Bescheidwege. Sie dürfen nicht zu einer seriellen Gesamtkette verschmolzen werden. Die Bezeichnungen „einfacher Ausnahmebescheid“ und „erweiterter Ausnahmebescheid“ dienen hier nur der Strukturierung; das Gesetz verwendet sie nicht als Legalbegriffe.

Gemeinsame Eingangsvoraussetzungen: Die Einrichtung hält Vorgaben ein, die den gesetzlichen Verpflichtungen gleichwertig sind. Außerdem muss ihre Informationssicherheit im betroffenen Umfang anderweitig gewährleistet und beaufsichtigt sein. Vertrauensdiensteanbieter sind von beiden Wegen ausgeschlossen.

Einfacher Ausnahmebescheid: Die Einrichtung ist in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig oder erbringt dort Dienste. Alternativ ist sie ausschließlich für Behörden mit solchen Aufgaben tätig oder erbringt ausschließlich für diese Dienste. Der Bescheid kann nur die betreffenden Tätigkeiten oder Dienste und nur § 30 sowie § 32 erfassen.

Erweiterter Ausnahmebescheid: Die Einrichtung ist insgesamt ausschließlich in den relevanten Bereichen tätig oder erbringt insgesamt ausschließlich dort Dienste. Der Bescheid kann sie insgesamt von § 30 und § 32 sowie zusätzlich von §§ 33 und 34 befreien.

Vorschlagsberechtigt sind das Bundeskanzleramt, das Bundesministerium der Justiz und für Verbraucherschutz, das Bundesministerium der Verteidigung, das Bundesministerium der Finanzen sowie die Innen- oder Justizministerien der Länder. Das Bundesministerium des Innern kann außerdem von sich aus tätig werden. Die Entscheidung erfolgt mit dem zuständigen Bundesressort im Einvernehmen; bei Vorschlägen der genannten Landesministerien erfolgt sie im Benehmen.

Kausalkette einfacher Bescheid: Tätigkeit oder Dienst in einem relevanten Sicherheitsbereich oder ausschließliche Tätigkeit beziehungsweise Dienstleistung für dort zuständige Behörden → gleichwertige Vorgaben → Informationssicherheit im betroffenen Umfang anderweitig gewährleistet und beaufsichtigt → gesetzliches Vorschlags- und Beteiligungsverfahren. Danach: Ermessen: auf die betreffenden Tätigkeiten oder Dienste begrenzte Befreiung von § 30 und § 32 → fortlaufende Prüfung von Tenor, sachlichem und zeitlichem Umfang, Nebenbestimmungen, aktueller Wirksamkeit und § 37 Absatz 5.

Kausalkette erweiterter Bescheid: Einrichtung insgesamt ausschließlich in relevanten Bereichen tätig oder dort Dienste erbringend → gleichwertige Vorgaben → Informationssicherheit insgesamt anderweitig gewährleistet und beaufsichtigt → gesetzliches Vorschlags- und Beteiligungsverfahren. Danach: Ermessen: Gesamtbefreiung von § 30, § 32, § 33 und § 34 → fortlaufende Prüfung von Tenor, Umfang, Nebenbestimmungen, aktueller Wirksamkeit und § 37 Absatz 5.

§ 37 Absatz 5 ordnet den Widerruf an, wenn nachträglich Tatsachen eintreten, die zur Ablehnung des Ausnahmebescheids hätten führen müssen. Nur beim vorübergehenden Wegfall einer Voraussetzung des § 37 Absatz 2 Satz 1 Nummer 1 oder 2 kann von einem Widerruf abgesehen werden. Diese Ausnahme darf nicht auf Gleichwertigkeit, anderweitige Gewährleistung oder andere Bescheidvoraussetzungen übertragen werden.

Der spezielle Widerruf nach § 37 Absatz 5 bildet den Bescheidlebenszyklus nicht abschließend ab. Zusätzlich sind nach dem jeweils anwendbaren allgemeinen Verfahrensrecht insbesondere Bekanntgabe, Beginn und Fortbestand der Wirksamkeit, Bedingungen oder Befristungen, Rücknahme, sonstiger Widerruf, Nichtigkeit und Erledigung zu prüfen. Bestandskraft allein beantwortet weder den aktuellen Umfang noch den Fortbestand der Befreiung.

Gegenprobe: Weder die Tätigkeit in einem Sicherheitsbereich noch ein gleichwertiges internes Regelwerk ersetzt den Bescheid. Umgekehrt reicht ein einfacher Bescheid nicht über die bezeichneten Tätigkeiten oder Dienste hinaus. Auch ein bestandskräftiger Bescheid schützt nicht vor dem gesetzlich angeordneten Widerruf, wenn nachträglich Tatsachen eintreten, die zur Ablehnung hätten führen müssen.

§§ 59 und 60: Erst Zuständigkeit, dann Aufsicht

Für § 60 Absatz 2 gilt eine gesetzliche Rangfolge: Zuerst ist maßgeblich, wo die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Ist das nicht bestimmbar oder liegen diese Entscheidungen außerhalb der Union, folgt der Ort der Durchführung der Cybersicherheitsmaßnahmen. Erst danach zählt die Niederlassung mit der höchsten Beschäftigtenzahl in der Union. Die Benennung eines Vertreters nach Absatz 3 lässt nach Absatz 4 rechtliche Schritte gegen die Einrichtung selbst unberührt.

Bei den in § 60 erfassten Einrichtungsarten darf eine deutsche Niederlassung nicht vorweg als Zuständigkeitsbegründung nach § 59 behandelt werden. Zuerst ist die Sonderroute nach § 60 zu prüfen. Hauptniederlassungszuständigkeit bedeutet dabei nicht, dass mitgliedstaatliche Kooperations- oder Amtshilfewege entfallen.

Zuständigkeits-Prüfreihenfolge: Einrichtungsart → Niederlassung oder Anlagenort → bei §-60-Diensten Hauptniederlassung oder Vertreter → räumlicher Umfang und Kooperationswege → erst danach die konkrete Aufsichtsbefugnis.

Weitere Sonderadressaten

Betreiber kritischer Anlagen sind nach § 28 Absatz 1 grundsätzlich besonders wichtige Einrichtungen. Vorbehaltlich § 28 Absatz 5 bis 8, § 29, § 37 und anderer Ausschlüsse fallen sie grundsätzlich in den Adressatenkreis des § 61; die eigenständigen KRITIS-Pfade der §§ 39 und 40 können zusätzlich greifen.

Für Einrichtungen der Bundesverwaltung gelten nach § 29 Absatz 2 grundsätzlich die Regeln für besonders wichtige Einrichtungen, jedoch nicht §§ 38, 40 Absatz 3, 61 und 65. § 10 eröffnet einen eigenen Anordnungsweg.

Für die Geschäftsbereiche des Auswärtigen Amts und des Bundesministeriums der Verteidigung sowie für Bundesnachrichtendienst und Bundesamt für Verfassungsschutz erweitert § 29 Absatz 3 die Ausnahmen. Zusätzlich nicht anwendbar sind § 7 Absatz 5 Satz 4, § 10, § 13 Absatz 1 Satz 1 Nummer 1 Buchstabe e sowie §§ 30, 33 und 35. Deshalb darf insbesondere eine §-35-Kommunikationspflicht für diese Stellen nicht aus dem allgemeinen Bundesverwaltungsregime abgeleitet werden. Die weiteren internen Regelungsaufträge des Absatzes 3 bleiben gesondert zu beachten.

§ 64 greift bei bestimmten Zuwiderhandlungen von Institutionen der Sozialen Sicherung. Er schafft ein besonderes Abstimmungs- und Durchsetzungsrouting, nicht automatisch einen vollständigen Ersatz aller anderen Normen.

Negativkette: Ist eine Pflicht im konkreten Umfang wirksam ausgenommen, fehlt insoweit das Prüf- oder Anordnungsobjekt. Andere Pflichten, Tätigkeiten, Zuständigkeiten und selbständige Rechts- und Verfahrenspfade bleiben nach ihren eigenen Voraussetzungen zu prüfen.

3. Vier Unterstützungswege: Auslöser, Modalverb und Kosten getrennt halten

„Unterstützung durch das Bundesamt“ ist kein einheitliches Produkt. Die folgenden Wege unterscheiden sich bei Adressat, Modalverb, Kosten, Daten und Meldungsbezug.

§ 36 Absatz 1: Bestätigung, Beratung und technische Hilfe

§ 36 Absatz 1 BSIG: „Im Fall einer Meldung einer Einrichtung gemäß § 32 übermittelt das Bundesamt dieser unverzüglich und nach Möglichkeit innerhalb von 24 Stunden eine Bestätigung über den Eingang der Meldung und, auf Ersuchen der Einrichtung, Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen. Das Bundesamt kann auf Ersuchen der betreffenden Einrichtung zusätzliche technische Unterstützung leisten.“

Die Zeitformel „unverzüglich und nach Möglichkeit innerhalb von 24 Stunden“ steht im Satz am gemeinsamen Prädikat „übermittelt“. Sicher erfasst ist die Eingangsbestätigung. Bei einem mit der Meldung verbundenen Ersuchen ist gesondert zu prüfen, ob die Zeitformel auch die Orientierungshilfe oder operative Beratung erfasst; bei einem erst später gestellten Ersuchen bleibt insbesondere der Bezugszeitpunkt offen. Die Formel ist keine starre Ausschlussfrist. Die Bestätigung besagt auch nicht, dass die Meldung richtig, vollständig oder abschließend ist.

Auf Ersuchen übermittelt das Bundesamt Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen. Die Begriffe werden im Gesetz nicht definiert. Im Folgenden dienen sie nur als Arbeitsbegriffe: Eine Orientierungshilfe ordnet Handlungsoptionen ein; operative Beratung bezieht sich konkreter auf Abhilfemaßnahmen. Beides ist kein Testat. Dieser Pflichtzweig darf ohne tragfähige Auslegung weder als sicher fristlos noch als stets binnen 24 Stunden fällig behandelt werden.

Zusätzliche technische Unterstützung kann das Bundesamt auf Ersuchen leisten. Dieser Zweig steht in seinem Ermessen.

Kausalkette:

• Meldung nach § 32 → gesetzliche Pflicht des Bundesamts: Eingangsbestätigung; die gesetzliche Zeitformel ist sicher mitzulesen.
• Ersuchen → gesetzliche Pflicht des Bundesamts: Orientierungshilfe oder operative Beratung; Reichweite und Bezugszeit der gemeinsamen Zeitformel gesondert bestimmen.
• Ersuchen → Ermessen des Bundesamts: zusätzliche technische Unterstützung.
• jeder Zweig → Praxis: Eingang, Zeitpunkt des Ersuchens, Inhalt, Ansprechpartner, Daten und Folgeschritte dokumentieren.

Negativkette: Ohne Ersuchen entstehen die beiden Ersuchenszweige des § 36 Absatz 1 nicht. Die Eingangsbestätigung bleibt davon unberührt. Ein BSI-initiiertes Angebot nach § 32 Absatz 6 oder ein gesondertes Ersuchen nach § 3 Absatz 3 beziehungsweise § 11 folgt seinem jeweils eigenen Tatbestand.

§ 32 Absatz 6: Angebot aus Initiative des Bundesamts

Das Bundesamt kann meldenden Einrichtungen nach Maßgabe des § 36 Absatz 1 Angebote zu deren Unterstützung bei der Behebung des Sicherheitsvorfalls machen. Das Angebot ist noch keine feststehende Leistung und keine Annahmepflicht.

Praxis: Vor Annahme werden Umfang, Ziel, Datenkategorien, Vertraulichkeit, Drittzugriff, Kosten, Verantwortlichkeiten und Beendigungsbedingungen geklärt.

§ 3 Absatz 3: allgemeines Ersuchen besonders wichtiger Einrichtungen

§ 3 Absatz 3 BSIG: „Das Bundesamt kann besonders wichtige Einrichtungen auf deren Ersuchen bei der Sicherung ihrer Informationstechnik beraten und unterstützen oder auf qualifizierte Sicherheitsdienstleister verweisen.“

Das Bundesamt kann besonders wichtige Einrichtungen auf deren Ersuchen bei der Sicherung ihrer Informationstechnik beraten und unterstützen oder auf qualifizierte Sicherheitsdienstleister verweisen. Der Weg ist meldungsunabhängig und darf nicht auf wichtige Einrichtungen erweitert werden.

Ein Verweis ist keine Beauftragung, Kostenübernahme oder Gewährleistung des Bundesamts. Vertrag, Weisungsrechte, Vertraulichkeit und Kosten sind gesondert zu regeln.

Behördenrouting ist keine zweite Unternehmensmeldung

§ 32 Absatz 5 und § 40 Absatz 3 und 4 bilden ein mehrstufiges Behördenrouting. Es ist von den Primärpflichten der Einrichtung zu trennen.

Dieses Routing kann den Kreis der informierten Stellen vergrößern. Es erzeugt allein weder eine zusätzliche Primärmeldung der Einrichtung noch einen Neustart ihrer Meldefristen.

Unterstützungs-Triage: Unterstützungspfad, Anlass, Antragsteller, gewünschtes Ergebnis, Systemgrenze, Datenkategorien, Vertraulichkeit, Einwilligungen, mögliche Dritte, Kosten und Ende der Zusammenarbeit in einem Vorgang dokumentieren.

4. Wiederherstellung im herausgehobenen Fall: § 11 vollständig

§ 11 ist ein eigener Wiederherstellungsweg. Weder eine Meldung noch allein die Qualifikation als erheblicher Sicherheitsvorfall eröffnet ihn. Er verlangt eine Beeinträchtigung der Sicherheit oder Funktionsfähigkeit eines erfassten informationstechnischen Systems in einem herausgehobenen Fall. Das Gesetz nennt insbesondere einen Angriff von besonderer technischer Qualität oder ein besonderes öffentliches Interesse an schneller Wiederherstellung.

§ 11 Absatz 1 BSIG: „Handelt es sich bei einer Beeinträchtigung der Sicherheit oder Funktionsfähigkeit eines informationstechnischen Systems einer Einrichtung der Bundesverwaltung oder einer besonders wichtigen Einrichtung oder einer wichtigen Einrichtung um einen herausgehobenen Fall, so kann das Bundesamt auf Ersuchen der betroffenen Einrichtung oder des betroffenen Betreibers oder einer anderen für die Einrichtung oder den Betreiber zuständigen Behörde die Maßnahmen treffen, die zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich sind. Soweit das Bundesamt erste Maßnahmen zur Schadensbegrenzung und Sicherstellung des Notbetriebes vor Ort ergreift, werden hierfür keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes erhoben. Hiervon unberührt bleiben etwaige Kosten für die Hinzuziehung qualifizierter Dritter.“

Acht Absätze, acht Funktionen

Akteure und Datenrollen sauber trennen

§ 11 Absatz 3 BSIG: „Das Bundesamt darf bei Maßnahmen nach Absatz 1 personenbezogene oder dem Fernmeldegeheimnis unterliegende Daten verarbeiten, soweit dies zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich und angemessen ist. Die Daten sind unverzüglich zu löschen, sobald sie für die Wiederherstellung der Sicherheit oder Funktionsfähigkeit des informationstechnischen Systems nicht mehr benötigt werden. Wenn die Daten in Fällen des Absatzes 4 an eine andere Behörde zur Erfüllung von deren gesetzlichen Aufgaben weitergegeben worden sind, darf das Bundesamt die Daten abweichend von Satz 2 bis zur Beendigung der Unterstützung dieser Behörden weiterverarbeiten. Eine Nutzung zu anderen Zwecken ist unzulässig. § 8 Absatz 8 ist entsprechend anzuwenden.“

§ 11 Absatz 5 BSIG: „Das Bundesamt kann sich bei Maßnahmen nach Absatz 1 mit der Einwilligung des Ersuchenden der Hilfe qualifizierter Dritter bedienen, wenn dies zur rechtzeitigen oder vollständigen Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich ist. Die hierdurch entstehenden Kosten hat der Ersuchende zu tragen. Das Bundesamt kann den Ersuchenden auch auf qualifizierte Dritte verweisen. Das Bundesamt und vom Ersuchenden oder vom Bundesamt nach Satz 1 beauftragte Dritte können einander bei Maßnahmen nach Absatz 1 mit der Einwilligung des Ersuchenden Daten übermitteln. Hierfür gilt Absatz 3 entsprechend.“

§ 11 Absatz 6 BSIG: „Soweit es zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des informationstechnischen Systems erforderlich ist, kann das Bundesamt vom Hersteller des informationstechnischen Systems verlangen, an der Wiederherstellung der Sicherheit oder Funktionsfähigkeit mitzuwirken.“

Bei Absatz 4 ist das Bundesamt Normadressat der Weitergabebeschränkung. Der Ersuchende erteilt gegebenenfalls die Einwilligung. Ohne sie ist eine Weitergabe nur zulässig, wenn die Information keinen Rückschluss auf seine Identität zulässt oder entsprechend § 8 Absatz 6 und 7 übermittelt werden darf. Dritte erhalten keinen Zugang zu den nach Absatz 1 geführten Akten. Davon ausgenommen ist der erforderliche Informationsaustausch zwischen Bundesamt und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach § 3 Absatz 7 KRITIS-Dachgesetz. Andere Behörden oder Dritte sind mögliche Empfänger, nicht gemeinsam handelnde Normadressaten.

Die verlängerte Weiterverarbeitung nach Absatz 3 setzt voraus, dass Daten in einem Absatz-4-Fall an eine andere Behörde zur Erfüllung deren gesetzlicher Aufgaben weitergegeben wurden. Sie endet mit der Unterstützung dieser Behörde. Eine Nutzung zu anderen Zwecken bleibt unzulässig.

§ 11 Absatz 3 ordnet die entsprechende Anwendung des gesamten § 8 Absatz 8 an. Zu den dortigen Schutzregeln gehört die Formel: „Soweit möglich, ist technisch sicherzustellen“, dass Daten aus dem Kernbereich privater Lebensgestaltung nicht erhoben werden. Gelangen Kernbereichserkenntnisse oder Daten nach Artikel 9 Absatz 1 DSGVO dennoch in den Vorgang, gelten die dort geregelten Nutzungs-, Löschungs- und Dokumentationsgrenzen. Die speziellen Weitergabe- und Drittwege des § 11 Absatz 4 und 5 bleiben die maßgeblichen Erlaubnistatbestände. Satz 9 des § 8 Absatz 8 enthält interne Verweise auf Absätze 5 oder 6. Wie diese Verweise bei entsprechender Anwendung in § 11 abzubilden sind, ist nicht selbsterklärend und muss vor einer Aussage zur Berufsgeheimniskommunikation gesondert ausgelegt werden.

Bei Absatz 5 trägt der Ersuchende die Kosten der konkret nach Satz 1 eingesetzten Hilfe. Der bloße Verweis auf einen qualifizierten Dritten enthält keine umfassende gesetzliche Kostenregel für jede spätere Drittleistung; deren Kosten folgen insbesondere dem jeweiligen Vertrag.

Kostenbox: Gebührenfreiheit erster BSI-Maßnahmen vor Ort ≠ Kostenfreiheit des gesamten Wiederherstellungsfalls ≠ Kostenübernahme für qualifizierte Dritte.

Gemeinsamer Stamm: Beeinträchtigung der Sicherheit oder Funktionsfähigkeit eines erfassten informationstechnischen Systems + herausgehobener Fall + zulässiges Ersuchen → Ermessen des Bundesamts: erforderliche Wiederherstellungsmaßnahme.

Parallele oder optionale Nebenäste:

• erste BSI-Maßnahmen vor Ort zur Schadensbegrenzung und Sicherstellung des Notbetriebs → besondere Gebühren- und Auslagenregel des Absatzes 1;
• Verarbeitung personenbezogener oder fernmeldegeheimnisgeschützter Daten → Erforderlichkeit, Angemessenheit, Zweckbindung, Löschung und entsprechende Anwendung des § 8 Absatz 8;
• Weitergabe von Verfahrensinformationen → Absatz-4-Schranken;
• erforderliche Hilfe qualifizierter Dritter → Einwilligung, Kostenfolge und Datenaustausch nach Absatz 5;
• erforderliche Hersteller-Mitwirkung → mögliches Verlangen nach Absatz 6;
• Abschluss des jeweiligen Maßnahmenastes → gesetzliche Löschungs- und Zweckbindungsfolgen; Praxis: Abschluss und Datenbereinigung intern dokumentieren.

Keiner dieser Nebenäste muss allein deshalb eintreten, weil der gemeinsame Stamm eröffnet ist.

Gegenprobe: Ein erheblicher Sicherheitsvorfall ist nicht automatisch ein herausgehobener Fall. Daten dürfen nicht vorsorglich ohne Zweck-, Erforderlichkeits- und Löschungsgrenze geöffnet werden.

Negativkette: Fehlt der herausgehobene Fall oder das zulässige Ersuchen, eröffnet § 11 diesen Weg nicht. Andere Unterstützungs-, Melde-, Gefahrenabwehr- und Vertragswege bleiben gesondert möglich.

5. Empfänger-, Öffentlichkeits- und Warnkommunikation

Nach einem Vorfall oder bei einer Bedrohung können mehrere Kommunikationswege nebeneinander bestehen. Sie unterscheiden sich nach Auslöser, Akteur, Empfänger, Inhalt und Verfahren.

Kommunikationsmatrix

§ 35 Absatz 1: Empfängerinformation nach Anordnung

§ 35 Absatz 1 BSIG: „Im Fall eines erheblichen Sicherheitsvorfalls kann das Bundesamt besonders wichtigen Einrichtungen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte. Das Bundesamt setzt die für die Einrichtung zuständige Aufsichtsbehörde des Bundes über Anweisungen nach Satz 1 in Kenntnis. Die Unterrichtung nach Satz 1 kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen.“

Der Auslöser ist ein eingetretener erheblicher Sicherheitsvorfall. Er muss die Erbringung des jeweiligen Dienstes beeinträchtigen können. Eine bloße Bedrohungslage genügt für diesen Absatz nicht.

Kausalkette: erheblicher Sicherheitsvorfall + mögliche Beeinträchtigung des konkreten Dienstes → Ermessen des Bundesamts: Unterrichtungsanordnung → Bekanntgabe und Wirksamkeit → Rechtsschutzstatus und Befolgungswirkung bestimmen → soweit zu befolgen: unverzügliche Empfängerinformation → Vollziehbarkeit für Verwaltungszwang und § 65 gesondert prüfen → Inhalt, Kanal, Zeitpunkt und Empfängerkreis dokumentieren.

Die Unterrichtung kann auf der Internetseite der Einrichtung erfolgen. Das bedeutet weder, dass die Website stets genügt, noch dass individuelle Mitteilungen ausgeschlossen sind. Maßgeblich sind Anordnung, Erreichbarkeit und Kommunikationszweck.

Gegenprobe: Die Meldung nach § 32 löst § 35 Absatz 1 nicht automatisch aus. Das Bundesamt, nicht die Einrichtung, setzt die zuständige Aufsichtsbehörde des Bundes über die Anweisung in Kenntnis.

§ 35 Absatz 2: selbst auslösende Bedrohungsinformation

§ 35 Absatz 2 BSIG: „Einrichtungen nach Absatz 1 Satz 1 aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste teilen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mit, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. Die Einrichtungen informieren zugleich diese Empfänger auch über die erhebliche Cyberbedrohung selbst. Die Pflichten nach Satz 1 oder 2 gelten nur dann, wenn in Abwägung der Interessen der Einrichtung und des Empfängers die Interessen des Empfängers überwiegen.“

Der Absatz gilt nur für Einrichtungen nach Absatz 1 Satz 1 aus den Sektoren:

• Finanzwesen,
• Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende,
• digitale Infrastruktur,
• Verwaltung von IKT-Diensten,
• Digitale Dienste.

Diese Einrichtungen benötigen keine BSI-Anordnung. Der Auslöser ist eine erhebliche Cyberbedrohung, nicht notwendig ein bereits eingetretener Vorfall.

Die Interessenabwägung ist für die jeweilige Pflicht, den jeweiligen Informationsinhalt und den betroffenen Empfängerkreis gesondert zu dokumentieren. Die Ergebnisse können zusammenfallen, müssen es aber nicht.

Kausalkette Satz 1: Einrichtung aus der Sektorliste + erhebliche Cyberbedrohung + potenziell betroffene Dienstempfänger + deren Interessen überwiegen für die Maßnahmeninformation → unmittelbare Pflicht: Maßnahmen oder Abhilfemaßnahmen an diese Empfänger und an das Bundesamt → Abwägung und Versendung dokumentieren.

Kausalkette Satz 2: dieselbe Ausgangslage + Empfängerinteressen überwiegen für die Information über die Bedrohung selbst → unmittelbare Pflicht: Bedrohungsinformation an die betroffenen Empfänger → gesonderte Abwägung und Versendung dokumentieren.

Selbstauslöser-Box: Die Pflichten entstehen kraft Gesetzes. Satz 1 und Satz 2 sind jedoch jeweils anhand ihres Inhalts und Empfängerkreises unter der Abwägungsklausel zu prüfen; die Klausel ist kein einheitlicher Alles-oder-nichts-Schalter.

Negativkette: Trägt die Abwägung eine der beiden Pflichten nicht, entfällt nicht automatisch auch die andere. Lagebild, beide Abwägungsentscheidungen und die Prüfung anderer Warn-, Melde- oder Vertragspflichten bleiben bestehen.

§ 36 Absatz 2: Öffentlichkeit nach Anhörung oder durch das Bundesamt

§ 36 Absatz 2 BSIG: „Ist eine Sensibilisierung der Öffentlichkeit erforderlich, um einen erheblichen Sicherheitsvorfall zu verhindern oder zu bewältigen, oder liegt die Offenlegung des erheblichen Sicherheitsvorfalls anderweitig im öffentlichen Interesse, so kann das Bundesamt nach Anhörung der betreffenden Einrichtung diese dazu verpflichten, die Öffentlichkeit über den erheblichen Sicherheitsvorfall zu informieren. Das Bundesamt kann entsprechend der Voraussetzungen nach Satz 1 die Öffentlichkeit auch selbst informieren. Handelt es sich bei der betreffenden Einrichtung um eine Einrichtung der Bundesverwaltung, gilt für die Information der Öffentlichkeit § 4 Absatz 3 entsprechend.“

Satz 1 erlaubt dem Bundesamt, die Einrichtung nach Anhörung zur Information der Öffentlichkeit zu verpflichten. Materieller Auslöser ist entweder die erforderliche Sensibilisierung zur Verhütung oder Bewältigung eines erheblichen Sicherheitsvorfalls oder ein anderweitiges öffentliches Interesse an der Offenlegung.

Satz 2 erlaubt dem Bundesamt, „entsprechend der Voraussetzungen nach Satz 1“ selbst zu informieren. Er ist kein zweiter Verwaltungsakt gegenüber der Einrichtung. Die materiellen Auslöser des Satzes 1 sind sicher mitzulesen. Ob und in welcher Form die Verweisung auch den vorherigen Anhörungsschritt erfasst, darf ohne tragfähige Auslegung nicht pauschal bejaht oder verneint werden.

Kausalkette Satz 1: materieller Auslöser → gesetzlicher Verfahrensschritt: Anhörung → BSI-Ermessen: Verpflichtungsanordnung → Kommunikationsumsetzung → Praxis: Befolgung intern dokumentieren.

Getrennter Satz-2-Weg: Voraussetzungen des Satzes 1 → Reichweite der Verweisung einschließlich der Anhörungsfrage bestimmen → BSI-Ermessen: eigene Öffentlichkeitsinformation → Schutzinteressen und Krisenkommunikation parallel bearbeiten.

Bei einer Einrichtung der Bundesverwaltung ordnet Satz 3 die entsprechende Anwendung des § 4 Absatz 3 an. Dadurch sind Informationen von der Öffentlichkeitsinformation ausgenommen, soweit Geheimschutzregeln oder Vereinbarungen mit Dritten ihre Weitergabe verbieten. Dasselbe gilt, wenn die Weitergabe der verfassungsrechtlichen Stellung eines Bundestagsabgeordneten oder Verfassungsorgans oder der gesetzlich geregelten Unabhängigkeit einzelner Stellen widerspräche. Eine Ressortinformation steht in § 4 Absatz 3 nicht.

Bundesverwaltungs-Kette: §-36-Absatz-2-Lage bei einer Einrichtung der Bundesverwaltung → § 4 Absatz 3 entsprechend → Geheimschutz- und Drittvereinbarungsgrenzen prüfen → verfassungsrechtliche Stellung und gesetzliche Unabhängigkeit prüfen → nur den danach zulässigen Informationsumfang bestimmen.

Das Krisenmanagement und die abgestimmte Kommunikation stehen in Cyber-Vorfall: die ersten 72 Stunden.

§ 61 Absatz 8: zwei nummerierte Kommunikationsfolgen

§ 61 Absatz 8 BSIG: „Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen anordnen,

1. die natürlichen oder juristischen Personen, für die sie Dienste erbringen oder Tätigkeiten ausüben und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten, die diese Personen als Reaktion auf die Bedrohung ergreifen können, und
2. Informationen zu Verstößen gegen die in Absatz 1 genannten Verpflichtungen nach durch das Bundesamt bestimmten Vorgaben öffentlich bekannt zu machen.“

Nummer 1 betrifft Bedrohungsinformation an potenziell Betroffene. Nummer 2 betrifft die öffentliche Bekanntmachung von Verstößen gegen die in Absatz 1 genannten Pflichten. Der Gesetzeswortlaut verbindet beide Nummern mit „und“, während ihre Gegenstände und Voraussetzungen verschieden sind. Der Artikel behauptet deshalb weder ein in jedem Fall zwingendes Gesamtpaket noch eine freie Alternativität. Zuerst ist die gesetzliche Reichweite des Nummernverhältnisses zu bestimmen. Der konkrete Bescheid darf sie innerhalb der Ermächtigung ausgestalten, kann eine fehlende gesetzliche Reichweite aber weder erzeugen noch heilen.

Beide Nummern sind keine festen Vorstufen des Absatzes 9. Gesetzliche Tatbestände, allgemeine Bestimmtheits- und Verhältnismäßigkeitsanforderungen sowie interne Nachweisführung bleiben drei getrennte Ebenen.

Benachbarte Spezialbefugnisse nach §§ 12 bis 18

Diese nicht abschließende Randmatrix ist keine Fortsetzung der §-35-/§-36-Kette und ersetzt keine Vollprüfung der jeweiligen Norm. Die Wege können unabhängig von einer Meldung oder parallel zu anderen Befugnissen Bedeutung gewinnen.

Praxisfolge: Jedes BSI-Schreiben wird zuerst einer Rechtsgrundlage zugeordnet. Erst danach werden Adressat, Tatbestand, Frist, Beteiligung, Mitwirkung, Publizität, Vollziehbarkeit und Sanktionsroute geprüft.

6. § 61 im Überblick: zwölf Absätze, zwölf Funktionen

§ 61 gilt unmittelbar für besonders wichtige Einrichtungen. Er enthält parallele Prüf-, Nachweis-, Anordnungs-, Informations- und Koordinationsinstrumente. Viele Instrumente verlangen weder eine vorherige Meldung noch ein vorheriges Audit.

Eine allgemeine gesetzliche Stufenfolge besteht nicht. Ausnahme: Absatz 9 bezeichnet seine fachaufsichtlichen Maßnahmen ausdrücklich als letztes Mittel. Die Gesetzesbegründung versteht dies grundsätzlich als vorherige erfolglose Ausschöpfung gleich wirksamer milderer Mittel, insbesondere des Verwaltungsvollstreckungsrechts. Das ist eine Auslegungshilfe, kein zusätzlicher Wortlaut.

Die Zwölf-Absätze-Landkarte

Arbeitsbegriffe, keine Legaldefinitionen

Vereinfacht und nur als Arbeitsbeschreibung bezeichnet Audit hier eine strukturierte Konformitätsuntersuchung, Prüfung eine fachliche Kontrolle und Zertifizierung eine formalisierte Konformitätsbestätigung. Das Gesetz ordnet diese Begriffe nicht in eine allgemeine Rangfolge, sondern nennt sie als alternative Prüfwege.

Behördenrollen

• Das Bundesamt prüft, ordnet an, unterstützt oder informiert nach der jeweiligen BSIG-Norm.
• Die zuständige Aufsichtsbehörde des Bundes ist insbesondere Informations- oder Koordinationsadressatin nach § 35 Absatz 1 und § 61 Absatz 10.
• Die sonst zuständige Aufsichtsbehörde kann etwa beim Plan nach § 61 Absatz 3 beteiligt sein.
• Die jeweils zuständige Aufsichtsbehörde nach Absatz 9 ist die Fachaufsicht, die eine Genehmigung aussetzen oder einer unzuverlässigen Geschäftsleitung vorübergehend die Tätigkeitsausübung untersagen kann.
• Die Datenschutzaufsichtsbehörden erhalten die Information nach Absatz 11.
• Sozialaufsichten und Aufsichten anderer Mitgliedstaaten folgen eigenen Normen.

Benehmen verlangt Beteiligung und ernsthafte Befassung, ist aber nicht mit Zustimmung oder Einvernehmen gleichzusetzen. Einvernehmen setzt die gesetzlich verlangte Übereinstimmung der beteiligten Stellen voraus.

Keine serielle Standardkette

Falsch wäre:

Meldung → Audit → Nachweis → Vor-Ort-Prüfung → Mängelplan → Bekanntmachung → Genehmigungsaussetzung.

Richtig ist ein Netz selbständiger Instrumente. Absatz 1, Absatz 3 und Absatz 5 sind verschiedene Prüfwege. Absatz 6 und Absatz 7 haben verschiedene Anordnungsgegenstände. Absatz 8 enthält zwei nummerierte Kommunikationsinhalte, deren Verhältnis der konkrete Bescheid bestimmen muss. Absatz 9 kann an eine nicht befolgte BSI-Anordnung nach dem Gesetz anknüpfen, verlangt aber seine besonderen Letztmittelvoraussetzungen.

7. Audits, Nachweise und Vor-Ort-Prüfung: § 61 Absatz 1 bis 5

Absatz 1: Audit, Prüfung oder Zertifizierung

§ 61 Absatz 1 BSIG: „Das Bundesamt kann gegenüber einzelnen besonders wichtigen Einrichtungen anordnen, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen zur Prüfung der Erfüllung der Verpflichtungen nach § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und 2 Satz 1 und § 32 Absatz 1 bis 3 sowie § 38 Absatz 3 durchführen zu lassen.“

Das Bundesamt kann gegenüber einzelnen besonders wichtigen Einrichtungen ein Audit, eine Prüfung oder Zertifizierung durch eine unabhängige Stelle anordnen. Prüfgegenstand sind ausschließlich:

• § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und Absatz 2 Satz 1,
• § 32 Absatz 1 bis 3,
• § 38 Absatz 3.

§ 31 steht damit in der Absatz-1-Verweisliste. Das unterscheidet sie von § 62. Die Schulungspflicht der Geschäftsleitung steht in Schulungspflicht der Geschäftsleitung.

Die Drei- und Fünfjahresgrenzen des Absatzes 3 begrenzen Absatz 1 nicht. Die Wartefrist allein ist daher kein Einwand gegen eine Absatz-1-Anordnung. Zuständigkeit, Anwendungsbereich, Bestimmtheit, Ermessen und Verhältnismäßigkeit bleiben gleichwohl gesondert prüfbar.

Kausalkette: besonders wichtige Einrichtung + anwendbarer Prüfgegenstand aus der Absatz-1-Liste → BSI-Ermessen: Anordnung → konkrete Anordnung bestimmt Umfang und Anforderungen → Durchführung durch unabhängige Stelle → Ergebnis- und Mängelbearbeitung nach dem einschlägigen Instrumentenpfad.

Die Einrichtung hat nicht kraft Gesetzes in jedem Fall ein freies Prüferwahlrecht. Maßgeblich sind die konkrete Anordnung und die nach Absatz 2 öffentlich mitgeteilten Prüferanforderungen.

Absatz 2: Anforderungen an prüfende Stellen

Nach Anhörung betroffener Einrichtungen und Wirtschaftsverbände kann das Bundesamt fachliche und organisatorische Anforderungen an prüfende Stellen festlegen. Diese Festlegung wird öffentlich auf der BSI-Website mitgeteilt.

Absatz 2 ist keine Einzelanordnung gegen die geprüfte Einrichtung. Beschaffung und Beauftragung müssen dennoch prüfen, welche Anforderungen zum maßgeblichen Zeitpunkt gelten.

Absatz 3: vier verschiedene Befugnisse

§ 61 Absatz 3 BSIG: „Das Bundesamt kann auch gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen. Soweit das Bundesamt von seinem Recht nach Absatz 1 Gebrauch gemacht hat, kann es hierbei auch die Übermittlung der Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel sowie die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln die Vorlage eines geeigneten Mängelbeseitigungsplans im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder der sonst zuständigen Aufsichtsbehörde verlangen. Das Bundesamt kann die Vorlage eines geeigneten Nachweises über die erfolgte Mängelbeseitigung verlangen. Abweichend von Satz 1 kann das Bundesamt gegenüber zugelassenen Krankenhäusern nach § 108 des Fünften Buches Sozialgesetzbuch frühestens fünf Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen, soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 ein früherer Zeitpunkt bestimmt wird.“

1. Gegenüber „anderen“ besonders wichtigen Einrichtungen kann das Bundesamt frühestens drei Jahre nach Inkrafttreten Nachweise über einzelne oder alle Absatz-1-Pflichten verlangen.
2. Hat das Bundesamt Absatz 1 eingesetzt, kann es Ergebnisse, die dabei aufgedeckten Sicherheitsmängel und die zugrunde liegende Dokumentation verlangen.
3. Bei Sicherheitsmängeln kann es im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder der sonst zuständigen Aufsichtsbehörde einen geeigneten Mängelbeseitigungsplan verlangen.
4. Es kann einen geeigneten Nachweis über die erfolgte Mängelbeseitigung verlangen.

Das Wort „andere“ im ersten Satz bleibt Teil des geltenden Wortlauts. Seine Funktion für den Adressatenkreis, sein Verhältnis zu anderen besonders wichtigen Einrichtungen und eine mögliche Anpassung im §-62-Verfahren sind offen. Eine konkrete Anordnung darf deshalb nicht allein anhand des Drei- oder Fünfjahresdatums akzeptiert oder verworfen werden; zuerst ist diese Adressatenfrage auszulegen.

Zeitgrenzen und Verweisungsbruch

Bei unverändertem Recht liegt der früheste abstrakte Zeitpunkt für Satz 1 am 6. Dezember 2028. Für zugelassene Krankenhäuser nach § 108 SGB V gilt grundsätzlich die Fünfjahresgrenze; der nominale Rechenanker liegt am 6. Dezember 2030. [N-SGB5]

Die Drei-Jahres-Grenze gehört zur allgemeinen Nachweisanordnung des Absatzes 3 Satz 1. Die Fünf-Jahres-Grenze gehört zum abweichenden Krankenhausweg des Satzes 5. Beide verschieben nur die jeweils dort geregelte besondere Nachweisanordnung; materielle Pflichten, Absatz 1, Absatz 5 und § 39 bleiben davon unberührt.

§ 61 Absatz 3 Satz 5 verweist für eine vorziehende Rechtsverordnung auf § 56 Absatz 6. Die Krankenhaus-Ermächtigung steht nach dem geltenden Wortlaut in § 56 Absatz 5; Absatz 6 betrifft kritische Komponenten. Der Artikel glättet diesen Bruch nicht.

Vor einer Krankenhausentscheidung sind geltender Wortlaut, Änderungshistorie, Verordnungsstand, konkrete Behördenbegründung und gegebenenfalls Gesetzesmaterialien zu prüfen.

Absatz 4: Wortlaut und Materialien auseinanderhalten

Der Normtext nennt für die Auswahl nach Absatz 3:

• Ausmaß der Risikoexposition,
• Größe der Einrichtung,
• Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle,
• mögliche gesellschaftliche und wirtschaftliche Auswirkungen.

Die Gesetzesbegründung beschreibt diese Kriterien darüber hinaus als Priorisierungshilfe für Aufsichtsmaßnahmen. Das ist eine Auslegungshilfe, nicht derselbe Rang wie der Wortlaut. Absatz 4 darf deshalb nicht ungekennzeichnet als unmittelbarer gesetzlicher Auswahlmaßstab jedes Absatz-1-Audits ausgegeben werden.

Absatz 5: behördliche Überprüfung und Mitwirkung

§ 61 Absatz 5 BSIG: „Das Bundesamt kann bei besonders wichtigen Einrichtungen die Einhaltung der Anforderungen nach diesem Gesetz überprüfen. Es kann sich bei der Durchführung der Überprüfung eines qualifizierten unabhängigen Dritten bedienen. Die besonders wichtige Einrichtung hat dem Bundesamt und den in dessen Auftrag handelnden Personen zum Zweck der Überprüfung das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren. Für die Überprüfung erhebt das Bundesamt Gebühren und Auslagen bei der jeweiligen besonders wichtigen Einrichtung nur, sofern das Bundesamt aufgrund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach § 30 Absatz 1 begründeten.“

Das Bundesamt kann bei besonders wichtigen Einrichtungen die Einhaltung der Anforderungen dieses Gesetzes überprüfen. Es kann einen qualifizierten unabhängigen Dritten einsetzen.

Die Einrichtung muss während der üblichen Betriebszeiten das Betreten der Geschäfts- und Betriebsräume gestatten. Sie muss verlangte Aufzeichnungen, Schriftstücke und sonstige Unterlagen vorlegen, Auskunft erteilen und erforderliche Unterstützung gewähren.

§ 65 Absatz 2 Nummer 17 erfasst nach seinem Wortlaut Verstöße gegen Betreten, Vorlage und Auskunft. Die ebenfalls genannte erforderliche Unterstützung wird dort nicht ausdrücklich aufgeführt. Eine belastende Erweiterung durch Analogie darf nicht behauptet werden.

Kostenbox: Das Bundesamt erhebt für die Überprüfung Gebühren und Auslagen nur, wenn es aufgrund von Anhaltspunkten tätig wurde, die berechtigte Zweifel an der Einhaltung von § 30 Absatz 1 begründeten. Eigene Personal-, Beratungs-, Umsetzungs- oder sonstige Drittaufwendungen der Einrichtung werden durch diese Kostenregel nicht geregelt.

Kausalkette Absatz 5: anwendbare gesetzliche Anforderungen → BSI-Ermessen: Überprüfung → gegebenenfalls qualifizierter unabhängiger Dritter → gesetzliche Mitwirkung während üblicher Betriebszeiten → Feststellungen → gesonderte Prüfung weiterer Maßnahmen → BSI-Gebühren und -Auslagen nur bei der qualifizierten Ausgangslage.

Negativkette: Fehlt die qualifizierte Zweifelkonstellation, entfällt der besondere BSI-Kostenansatz nach Absatz 5. Überprüfungsbefugnis und Mitwirkungspflichten entfallen dadurch nicht automatisch.

Parallelität statt Kettenfehler

8. Anordnungen, Eskalation und Behördenbrücken: § 61 Absatz 6 bis 12

Absatz 6: Sicherheitsvorfall oder Mangel

Absatz 6 dient der Verhütung oder Behebung eines Sicherheitsvorfalls oder Mangels. Das Bundesamt kann erforderliche Maßnahmen nach § 30 Absatz 1 Satz 1, einen geeigneten Mängelbeseitigungsplan und einen geeigneten Nachweis über die erfolgte Mängelbeseitigung anordnen.

Grundsätzlich ist das Benehmen mit der zuständigen Aufsichtsbehörde herzustellen. Das Bundesamt kann davon absehen, wenn Gefahr im Verzug besteht. Das Entfallen erfolgt nicht automatisch.

Der Bericht ist ein gesonderter Satz-3-Zweig: Das Bundesamt kann zur Berichterstattung über die nach Satz 1 angeordneten Maßnahmen innerhalb einer angemessenen Frist verpflichten. Die gesetzliche Formel „innerhalb einer angemessenen Frist“ steht ausdrücklich beim Bericht. Fristen für andere Verfügungspunkte können sich aus dem konkreten Verwaltungsakt und dem allgemeinen Recht ergeben, sind aber nicht als einheitliche Wortlautfolge des gesamten Absatzes 6 darzustellen.

Kausalkette Satz 1: Sicherheitsvorfall oder Mangel + Verhütungs- oder Behebungszweck → grundsätzlich Benehmen oder begründetes Absehen bei Gefahr im Verzug → BSI-Ermessen: Anordnung der in Satz 1 genannten Instrumente. Der konkrete Verfügungspunkt bestimmt, welche Maßnahme, welcher Plan und welcher Beseitigungsnachweis verlangt werden.

Getrennter Satz-3-Zweig: Satz-1-Maßnahme → BSI-Ermessen: Bericht innerhalb angemessener Frist.

Eine Dokumentation der Gefahr-im-Verzug-Bewertung ist aus Gründen der Aktenklarheit und Begründung praktisch wichtig. Sie ist nicht als zusätzliche ausdrückliche Tatbestandsformel des § 61 Absatz 6 auszugeben.

Absatz 7: Umsetzungspflichten und konkrete Prüfempfehlungen

Satz 1 erlaubt Anordnungen zur Umsetzung der in Absatz 1 genannten Verpflichtungen. Ein ausdrücklich festzustellendes „Umsetzungsdefizit“ steht nicht als eigenes Tatbestandswort im Gesetz. Daraus folgt jedoch keine anlasslose Anordnungsbefugnis: Die Behörde benötigt eine konkrete Tatsachenbasis und muss Erforderlichkeit, Geeignetheit und Verhältnismäßigkeit der gewählten Umsetzungsanordnung begründen. Die Umsetzung der Absatz-1-Pflichten ist der Anordnungsgegenstand.

Satz 1 verlangt grundsätzlich Benehmen. Dieses kann bei Gefahr im Verzug entfallen.

Satz 3 ist gesondert zu lesen: Das Bundesamt kann im Einzelfall die Umsetzung einer im Rahmen einer Sicherheitsprüfung formulierten konkreten Empfehlung innerhalb angemessener Frist anordnen. Die konkrete Empfehlung und der Einzelfall bilden den sachlichen Ausgangspunkt. Der Satz wiederholt die Benehmensformel nicht ausdrücklich.

Kausalkette Satz 1: besonders wichtige Einrichtung + konkrete aufsichtsrechtliche Tatsachenbasis + Umsetzung einer Absatz-1-Pflicht als Anordnungsgegenstand + Erforderlichkeits- und Verhältnismäßigkeitsprüfung → grundsätzlich Benehmen oder Gefahr-im-Verzug-Ausnahme → BSI-Ermessen: Umsetzungsanordnung.

Kausalkette Satz 3: konkrete Empfehlung aus einer Sicherheitsprüfung + Einzelfall → BSI-Ermessen: Umsetzung innerhalb angemessener Frist.

Interne Befolgungsnachweise sind ein sinnvoller Praxisstandard. Ein eigener, automatisch aus Absatz 7 folgender Nachweistatbestand darf daraus nicht gemacht werden.

Absatz 8: Betroffeneninformation und öffentliche Bekanntmachung

Nummer 1 betrifft die Unterrichtung potenziell von einer erheblichen Cyberbedrohung betroffener Personen über Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen.

Nummer 2 betrifft die öffentliche Bekanntmachung von Informationen zu Verstößen gegen die Absatz-1-Pflichten nach Vorgaben des Bundesamts.

Der Wortlaut verbindet beide Nummern mit „und“. Wegen ihrer unterschiedlichen Tatbestände ist weder ein stets zwingendes Doppelpaket noch eine freie Wahl zwischen beiden Nummern als gesichert auszugeben.

Normebene: einschlägige Nummerntatbestände → BSI-Ermessen → konkret bestimmter Umfang der Kommunikationsanordnung.

Allgemeines Verwaltungsrecht: Der Verwaltungsakt muss unter anderem zuständig, hinreichend bestimmt und verhältnismäßig sein.

Praxis: Inhalt, Adressatenkreis, Kanal, Zeitpunkt und tatsächliche Umsetzung beweisbar dokumentieren.

Diese Ebenen dürfen nicht vermischt werden. Absatz 8 selbst enthält keine allgemeine ausdrückliche Frist- oder Nachweisformel.

Absatz 9: fachaufsichtliche Letztmaßnahmen

§ 61 Absatz 9 BSIG: „Sofern besonders wichtige Einrichtungen den Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommen, kann das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann, wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht, als letztes Mittel

1. die dieser Einrichtung erteilte Genehmigung nach dem jeweiligen Fachrecht vorübergehend ganz oder teilweise aussetzen und
2. unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagen. Die Aussetzung nach Satz 2 Nummer 1 und die Untersagung nach Satz 2 Nummer 2 sind nur solange zulässig, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden.“

Absatz 9 setzt voraus:

1. eine Anordnung des Bundesamts nach dem Gesetz,
2. eine Fristsetzung,
3. Nichtbefolgung trotz dieser Frist,
4. eine mögliche Mitteilung des Bundesamts an die jeweils zuständige Aufsichtsbehörde,
5. einen Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung,
6. den Charakter als letztes Mittel.

Danach kann die Fachaufsicht:

• eine bestehende fachrechtliche Genehmigung vorübergehend ganz oder teilweise aussetzen;
• einer unzuverlässigen Geschäftsleitung – Geschäftsleitung im Sinne des § 2 Nummer 13 – die Ausübung der Tätigkeit, zu der sie berufen ist, vorübergehend untersagen.

Das Bundesamt trifft diese beiden Letztmaßnahmen nicht selbst. Die Genehmigungsaussetzung setzt eine bestehende Genehmigung voraus. Die Tätigkeitsuntersagung setzt die eigenständige Unzuverlässigkeitsfeststellung voraus. Die beiden Instrumente sind weder stets alternativ noch stets kumulativ.

Materiell dürfen beide Maßnahmen nicht länger zulässig sein, als die maßgebliche Nichtbefolgung fortbesteht. Ob der konkrete Verwaltungsakt mit der Befolgung automatisch endet oder sich erledigt, ob eine auflösende Bedingung greift oder ob eine formale Feststellung oder Aufhebung erforderlich ist, hängt von Tenor, Nebenbestimmungen und anwendbarem Verfahrensrecht ab.

Die Gesetzesbegründung versteht „als letztes Mittel“ grundsätzlich so, dass gleich wirksame mildere Mittel, insbesondere des Verwaltungsvollstreckungsrechts, zuvor erfolglos ausgeschöpft werden sollen. Sie erörtert eine mögliche Ausnahme bei bereits aus früheren Verfahren bekannter Unzuverlässigkeit. Diese Aussage ist Material, kein zusätzlicher Gesetzeswortlaut.

Kausalkette: BSI-Anordnung + Fristsetzung → Nichtbefolgung → BSI-Ermessen: Mitteilung → Fachaufsicht prüft Zuständigkeit, Zusammenhang, Fachrecht, Verhältnismäßigkeit und Letztmittel → Fachaufsichtsermessen: tatbestandsabhängige vorübergehende Maßnahme → bei Befolgung materielle Zulässigkeitsgrenze und formalen Status des konkreten Verwaltungsakts getrennt prüfen.

Geschäftsleitungs-Box: Nichtbefolgung macht eine Geschäftsleitung nicht automatisch unzuverlässig. Eine konkrete Absatz-9-Lage gehört dennoch sofort in den Vorstandskanal und in die Haftungsprüfung nach Innenhaftung der Geschäftsleitung.

Negativketten:

• Fristgerechte Befolgung verhindert die Nichtbefolgungsstufe. Bei späterer Befolgung ist die Maßnahme materiell nicht über die gesetzliche Höchstdauer hinaus aufrechtzuerhalten; der formale Status des konkreten Verwaltungsakts muss dennoch anhand von Tenor und Verfahrensrecht geklärt werden.
• Ohne einschlägige Genehmigung ist Nummer 1 nicht eröffnet.
• Ohne Unzuverlässigkeit trägt Nummer 2 keine Tätigkeitsuntersagung.
• Spätere Befolgung beseitigt nicht ohne eigene Rechtsgrundlage bereits abgeschlossene andere Verfahren oder eine bereits verwirklichte Ordnungswidrigkeit.

Absatz 10: Information der Bundesaufsicht

Soweit das Bundesamt Maßnahmen gegen besonders wichtige Einrichtungen durchführt, informiert es die zuständige Aufsichtsbehörde des Bundes. Bei Maßnahmen nach Absatz 6 oder 7, die wegen Gefahr im Verzug ohne Benehmen ergangen sind, muss diese Information unverzüglich erfolgen.

Das ist eine Behördenbrücke. Sie begründet keine allgemeine zweite Mitteilungspflicht der Einrichtung.

Absatz 11: Datenschutzaufsicht

§ 61 Absatz 11 BSIG: „Stellt das Bundesamt im Zuge der Beaufsichtigung einer Einrichtung oder Durchsetzung einer Maßnahme fest, dass ein Verstoß gegen die Verpflichtungen dieses Gesetzes eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 zur Folge haben kann, die gemäß Artikel 33 dieser Verordnung zu melden ist, unterrichtet es unverzüglich die zuständigen Aufsichtsbehörden.“

Die gesetzliche Kette ist präzise:

Beaufsichtigung oder Durchsetzung → Bundesamt stellt einen BSIG-Verstoß fest → dieser Verstoß kann eine Datenschutzverletzung im Sinne von Artikel 4 Nummer 12 DSGVO verursachen → diese Verletzung ist nach Artikel 33 DSGVO meldepflichtig → Bundesamt unterrichtet die zuständigen Datenschutzaufsichtsbehörden unverzüglich.

Nur das mögliche Entstehen der Datenschutzverletzung steht unter „kann“. Der BSIG-Verstoß wird festgestellt; die Meldepflicht der beschriebenen Verletzung ist Tatbestandsbestandteil. [EU-DSGVO]

Die Behördeninformation ersetzt weder die eigene Artikel-33-Prüfung noch eine gegebenenfalls eigene Meldung der Einrichtung. Die Datenschutzschiene steht in DSGVO-Datenpanne (Art. 33 / 34).

Negativkette: Aus einer fehlenden oder noch nicht erfolgten BSI-Unterrichtung folgt keine datenschutzrechtliche Entwarnung.

Absatz 12 und § 60 Absatz 5: zwei verschiedene EU-Amtshilfewege

§ 61 Absatz 12 betrifft Einrichtungen, die in anderen Mitgliedstaaten Dienste erbringen. Auf Ersuchen der dort jeweils zuständigen Aufsichtsbehörden kann das Bundesamt Maßnahmen nach Absatz 1 bis 11 ergreifen.

§ 60 Absatz 5 betrifft dagegen Amtshilfeersuchen zu den dort aufgezählten digitalen Einrichtungsarten und einen inländischen Dienst-, System-, Komponenten- oder Prozessbezug. Beide Wege sind getrennt zu klassifizieren.

Kausalkette § 61 Absatz 12: Dienste in anderem Mitgliedstaat + Ersuchen der dort zuständigen Aufsicht → Zuständigkeits- und Instrumentenprüfung → gegebenenfalls Maßnahme nach Absatz 1 bis 11 → anwendbares deutsches Verfahrensrecht.

Die Verweisung hebt die Eigenvoraussetzungen des gewählten Instruments nicht auf.

9. Wichtige Einrichtungen: § 62, Tatsachenschwelle und Reichweite des Verweises

Für wichtige Einrichtungen eröffnet § 62 die Aufsicht erst, wenn Tatsachen die Annahme rechtfertigen, dass eine der dort genannten Pflichten nicht oder nicht richtig umgesetzt wird.

§ 62 BSIG: „Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.“

Die Verweisliste umfasst:

• § 30 Absatz 1 Satz 1,
• § 32 Absatz 1 bis 3,
• § 38 Absatz 3.

§ 31 ist kein eigener Eröffnungstatbestand des § 62. Der Artikel kopiert ihn deshalb nicht als selbständigen Prüfgegenstand aus § 61 Absatz 1 in § 62. Wie untrennbar mit § 30 verbundene §-31-Aspekte bei einem über § 62 eingesetzten Absatz-1-Instrument zu behandeln sind, bleibt eine instrumenten- und einzelfallbezogene Auslegungsfrage.

Kausalkette: wichtige Einrichtung + anwendbare Pflicht aus der §-62-Liste + Tatsachenbasis + daraus gerechtfertigte Annahme einer Nicht- oder Falschumsetzung → BSI-Ermessen: Überprüfung → Auswahl einer Maßnahme nach § 61 → Eigenvoraussetzungen, Adressatenwortlaut und Grenzen des Instruments prüfen.

„Tatsachen“ verlangt eine tatsächliche Grundlage mit Bezug zur konkreten Einrichtung und zu mindestens einer der gelisteten Pflichten. Ein abstraktes Branchenrisiko, der Status als wichtige Einrichtung oder der bloße Eingang einer Meldung trägt für sich allein noch keine solche Annahme. Eine Meldung kann jedoch konkrete tatsächliche Erkenntnisse enthalten, die zur Schwellenprüfung beitragen.

Negativkette: Ist die Tatsachenschwelle nicht erreicht, eröffnet § 62 diesen Aufsichtsweg nicht. Die materiellen Pflichten, andere gesetzliche Befugnisse und freiwillige Unterstützung bleiben davon unberührt.

§ 61 und § 62 im Vergleich

Breiter Verweis, aber nicht ohne Eigenvoraussetzungen

Der Wortlaut „Maßnahmen nach § 61“ ist breit. Die amtliche Gesetzesbegründung spricht davon, dass für wichtige Einrichtungen grundsätzlich dieselben Aufsichtsmaßnahmen zur Verfügung stehen. § 65 Absatz 2 Nummer 1 Buchstabe c nennt mehrere §-61-Anordnungen bußgeldrechtlich ausdrücklich auch in Verbindung mit § 62. Das ist ein gesetzessystematisches Indiz für diese Kombinationen, aber keine materielle Ermächtigungsnorm. Die Befugnis kann nur aus § 62 in Verbindung mit dem jeweils einschlägigen §-61-Instrument folgen.

Dem stehen in einzelnen Absätzen ausdrücklich auf besonders wichtige Einrichtungen zugeschnittene Formulierungen und die gesetzliche Differenzierung der Aufsichtsregime gegenüber. Daraus folgt kein pauschales „alles gilt“. Die Verweisung beantwortet zugleich nicht von selbst, ob und wie absatzbezogene Adressatenmerkmale funktional anzupassen sind. Für jeden Absatz sind deshalb Anwendbarkeit und notwendige Adressatenadaptation gesondert zu begründen; weder unverändertes Festhalten noch stiller Austausch der Adressatenbegriffe ist ein Automatismus.

Schwellen-Box: Der breite Verweis beginnt erst nach erreichter Tatsachenschwelle. Danach wird das konkrete Instrument geprüft. Seine Tatbestands-, Verfahrens- und Zeitmerkmale bleiben eigenständig; ob ein auf besonders wichtige Einrichtungen zugeschnittenes Adressatenmerkmal im §-62-Verfahren funktional anzupassen ist, bleibt absatzbezogen auszulegen und darf nicht still ersetzt werden.

Praktische Tatsachenarbeit

Mögliche Erkenntnisquellen sind etwa Meldungsinhalte, konkrete technische Feststellungen, widersprüchliche Unterlagen, belastbare Behördeninformationen oder wiederholte Nichtreaktion. Diese Beispiele sind weder abschließend noch sagen sie etwas über die Beweiskraft im Einzelfall.

Die Einrichtung trennt:

1. gesicherte Tatsachen,
2. behördliche Schlussfolgerungen,
3. eigene Gegenbelege,
4. offene Rechtsfragen,
5. die konkrete §-61-Maßnahme.

Praxisfolge: Eingang klassifizieren → §-62-Pflicht und Tatsachenschwelle identifizieren → Tatsachenakte bilden → fehlerhafte Annahmen korrigieren → konkretes Instrument und Verfahren prüfen → Frist, Befolgung und Rechtsschutz sichern.

10. Vom Behördenschreiben zum vollziehbaren Verwaltungsakt

Nicht jede Nachricht des Bundesamts ist eine Anordnung. Umgekehrt kann ein Schreiben trotz informeller Überschrift eine verbindliche Regelung enthalten. Inhalt und Rechtswirkung entscheiden.

Zuerst das anwendbare Verfahrensrecht bestimmen

Das Bundes-VwVfG gilt nicht pauschal für jede Landesbehörde. Verfahren nach dem Sozialgesetzbuch sind aus seinem Anwendungsbereich ausgenommen. Deshalb beginnt die Prüfung mit dem handelnden Akteur, nicht mit einer vorgefertigten VwVfG-Schablone. [N-VWVFG] [N-SGB10]

Verwaltungsakt-Gate

Ein Verwaltungsakt ist vereinfacht eine hoheitliche Maßnahme einer Behörde zur Regelung eines Einzelfalls auf dem Gebiet des öffentlichen Rechts mit unmittelbarer Außenwirkung.

Anhörung, Bestimmtheit, Begründung und Bekanntgabe

Eine Anhörung ermöglicht der betroffenen Stelle, entscheidungserhebliche Tatsachen und Interessen vorzubringen. Allgemeines Verfahrensrecht kennt Ausnahmen und Heilungsmöglichkeiten. Spezialnormen wie § 36 Absatz 2 und einzelne §-61-Absätze enthalten zusätzliche Beteiligungsschritte.

Ein Verwaltungsakt muss hinreichend bestimmt sein. Bei technischen Maßnahmen sind insbesondere Systemgrenze, Sollzustand, verlangte Handlung, gegebenenfalls Frist und Nachweisform zu prüfen.

Ein schriftlicher, elektronischer oder schriftlich beziehungsweise elektronisch bestätigter Verwaltungsakt ist nach § 39 VwVfG grundsätzlich zu begründen. Die wesentlichen tatsächlichen und rechtlichen Gründe sind mitzuteilen. Bei einer Ermessensentscheidung soll die Begründung auch die maßgeblichen Ermessenserwägungen erkennen lassen. Ausnahmen des § 39 Absatz 2 sind gesondert zu prüfen.

Eine fehlende oder fehlerhafte Begründung macht einen Verwaltungsakt nicht automatisch nichtig. Sie kann aber für Rechtmäßigkeit, Heilung, Fristenstrategie und Rechtsschutz erheblich sein.

Bekanntgabe und Wirksamkeit sind von der Vollziehbarkeit zu unterscheiden. Portal, Postfach, E-Mail, Posteingang, Bevollmächtigung und interne Weiterleitung gehören in ein gemeinsames Zustell- und Fristenlog.

Wirksamkeit ist nicht Vollziehbarkeit

Ein bekanntgegebener Verwaltungsakt kann wirksam sein, obwohl er angefochten wird oder Fehler aufweist. Regulärer Verwaltungszwang setzt zusätzlich Vollziehbarkeit voraus.

Im Verwaltungsrechtsweg haben Widerspruch und Anfechtungsklage grundsätzlich aufschiebende Wirkung, soweit kein gesetzlicher Ausschluss oder eine behördliche Anordnung sofortiger Vollziehung greift. Für Sozial- oder andere Fachverfahren sind die jeweiligen Rechtswegregeln zu prüfen. [N-VWGO-80]

Bei § 16 Absatz 1 Satz 1 schließt das BSIG die aufschiebende Wirkung ausdrücklich aus. Diese Spezialregel darf nicht auf andere §-16-Maßnahmen oder auf sämtliche BSI-Anordnungen verallgemeinert werden.

Rechtsschutz-Box: Fristen sichern, Befolgungsrisiko und Vollziehbarkeit getrennt bewerten und den konkreten Rechtsweg anwaltlich prüfen. Dieser Artikel ersetzt keine Einzelfallberatung.

Kausalkette: handelnde Behörde → anwendbares Verfahrensrecht → Rechtsgrundlage und Zuständigkeit → Handlungsform → Verfahren, Bestimmtheit, Ermessen und Begründung → Bekanntgabe → Wirksamkeit → gesonderte Vollziehbarkeitsprüfung → Befolgungs- und Rechtsschutzentscheidung.

Negativkette: Enthält ein Schreiben keine verbindliche Einzelfallregelung, trägt es als solches keinen Verwaltungszwang aus einem Grundverwaltungsakt. Gesetzliche Primärpflichten und der enge Sofortvollzug ohne vorausgehenden Verwaltungsakt folgen eigenen Tatbeständen.

11. Gebühren, Verwaltungszwang, Sozialaufsicht und Bußgeld-Routing

Gebühren, Verwaltungszwang und Bußgeld gehören in verschiedene Rechtswelten:

• Gebühren und Auslagen betreffen Verwaltungskosten.
• Verwaltungszwang soll eine noch erfüllbare Pflicht durchsetzen.
• Bußgeld ahndet einen vorwerfbaren Verstoß.

Sie können nebeneinanderstehen, dürfen aber nicht tatbestandlich vermischt werden.

Kostenwege

Welches Vollstreckungsrecht gilt?

Die folgende VwVG-Kette beschreibt den Bundesvollzug, insbesondere den Vollzug durch das Bundesamt. Sie darf nicht ungeprüft auf Landesbehörden, Sozialaufsichten oder Fachaufsichten übertragen werden.

• Bundesamt oder andere Bundesbehörde: grundsätzlich Bundes-VwVG.
• Landesbehörde: einschlägiges Landesvollstreckungsrecht.
• Sozialaufsicht: SGB X, Fachrecht und einschlägiges Vollstreckungsrecht.
• Fachaufsicht nach § 61 Absatz 9: Behördenebene, Fachrecht und Vollstreckungsrecht separat bestimmen.

Nach § 7 VwVG vollzieht grundsätzlich die Behörde den Verwaltungsakt, die ihn erlassen hat; gesetzliche Zuständigkeitszuweisungen und Vollzugshilfe bleiben gesondert zu prüfen.

§ 63 BSIG erhöht nur die Zwangsgeldobergrenze, wenn das Bundesamt Zwangsgeld verhängt. Er bestimmt nicht die Zwangsgeldgrenze jeder Fach- oder Landesaufsicht.

Bundes-VwVG: Vollstreckungskette

§ 6 Absatz 1 VwVG: „Der Verwaltungsakt, der auf die Herausgabe einer Sache oder auf die Vornahme einer Handlung oder auf Duldung oder Unterlassung gerichtet ist, kann mit den Zwangsmitteln nach § 9 durchgesetzt werden, wenn er unanfechtbar ist oder wenn sein sofortiger Vollzug angeordnet oder wenn dem Rechtsmittel keine aufschiebende Wirkung beigelegt ist.“

Der reguläre Verwaltungszwang nach § 6 Absatz 1 VwVG setzt einen auf Herausgabe, Handlung, Duldung oder Unterlassung gerichteten Verwaltungsakt voraus, der unanfechtbar oder sofort vollziehbar ist oder bei dem ein Rechtsbehelf keine aufschiebende Wirkung hat.

Der Sonderweg des § 6 Absatz 2 VwVG ist in diesem Artikel nicht vollständig operationalisiert. Tatbestand, Gefahrenbezug, Zuständigkeit, Verfahrensfolgen und Abgrenzung zur behördlichen Anordnung der sofortigen Vollziehung müssen vor jeder Anwendung gegen den amtlichen Wortlaut geprüft werden. Weder „ohne Verwaltungsakt niemals Zwang“ noch „Notfall erlaubt sofortigen Zwang“ ist aus der bloßen Kurzbezeichnung ableitbar.

Als Zwangsmittel nennt § 9 VwVG Ersatzvornahme, Zwangsgeld und unmittelbaren Zwang. Das Mittel muss in einem angemessenen Verhältnis zu seinem Zweck stehen und ist so zu bestimmen, dass der Pflichtige und die Allgemeinheit am wenigsten beeinträchtigt werden. [N-VWVG]

§ 13 Absatz 1 VwVG: „Die Zwangsmittel müssen, wenn sie nicht sofort angewendet werden können (§ 6 Abs. 2), schriftlich angedroht werden. Hierbei ist für die Erfüllung der Verpflichtung eine Frist zu bestimmen, innerhalb der der Vollzug dem Pflichtigen billigerweise zugemutet werden kann.“

§ 13 Absatz 3, 5 und 7 VwVG: „Die Androhung muß sich auf ein bestimmtes Zwangsmittel beziehen. Unzulässig ist die gleichzeitige Androhung mehrerer Zwangsmittel und die Androhung, mit der sich die Vollzugsbehörde die Wahl zwischen mehreren Zwangsmitteln vorbehält.“ — „Der Betrag des Zwangsgeldes ist in bestimmter Höhe anzudrohen.“ — „Die Androhung ist zuzustellen. Dies gilt auch dann, wenn sie mit dem zugrunde liegenden Verwaltungsakt verbunden ist und für ihn keine Zustellung vorgeschrieben ist.“

§ 14 VwVG: „Wird die Verpflichtung innerhalb der Frist, die in der Androhung bestimmt ist, nicht erfüllt, so setzt die Vollzugsbehörde das Zwangsmittel fest. Bei sofortigem Vollzug (§ 6 Abs. 2) fällt die Festsetzung weg.“

§ 15 Absatz 1 und 3 VwVG: „Das Zwangsmittel wird der Festsetzung gemäß angewendet.“ — „Der Vollzug ist einzustellen, sobald sein Zweck erreicht ist.“

Ersatzvornahme betrifft vertretbare Handlungen. Zwangsgeld erzeugt Beugedruck und kann auch bei Duldung oder Unterlassung eingesetzt werden. Unmittelbarer Zwang ist subsidiär. Ersatzzwangshaft ist ein gerichtlicher Ausnahmeweg und kein routinemäßiges Unternehmensinstrument.

Nach § 13 Absatz 3 VwVG muss die Androhung ein bestimmtes Zwangsmittel bezeichnen; mehrere Zwangsmittel gleichzeitig anzudrohen oder sich die Auswahl vorzubehalten, ist unzulässig. Absatz 4 verlangt bei der Ersatzvornahme einen vorläufigen Kostenansatz; Absatz 5 verlangt beim Zwangsgeld einen bestimmten Betrag. Nach Absatz 6 können Zwangsmittel neben Strafe oder Geldbuße angedroht, bis zur Erfüllung wiederholt und dabei erhöht oder gewechselt werden. Eine neue Androhung ist erst zulässig, wenn das zunächst angedrohte Mittel erfolglos geblieben ist. Absatz 7 verlangt die Zustellung der Androhung. Parallelität hebt die Trennung von Beugung und Ahndung nicht auf. § 18 ordnet für die Androhung grundsätzlich die Rechtsmittel an, die gegen den durchzusetzenden Verwaltungsakt zulässig sind; fehlt ein vorausgehender Verwaltungsakt, gelten die gegen Verwaltungsakte allgemein eröffneten Rechtsmittel.

Für Behörden und juristische Personen des öffentlichen Rechts enthält § 17 VwVG eine weitere Schranke: Zwangsmittel sind gegen sie unzulässig, soweit nichts anderes bestimmt ist. Bei öffentlichen Adressaten ist deshalb vor der allgemeinen Zwangskette stets eine besondere Zulässigkeitsgrundlage zu suchen.

§ 19 VwVG regelt die Kosten der Amtshandlungen nach dem Bundes-VwVG und verweist für einzelne Kostenfolgen auf die Abgabenordnung. Der Kostenakt ist von Auswahl, Festsetzung und Anwendung des Zwangsmittels zu trennen.

§ 63 BSIG: „Sofern das Bundesamt Zwangsgelder verhängt, beträgt deren Höhe abweichend von § 11 Absatz 3 des Verwaltungsvollstreckungsgesetzes bis zu 100 000 Euro.“

Vollstreckungskette: zuständige Behörde + anwendbares Vollstreckungsrecht + vollziehbarer Grundverwaltungsakt oder enger Sonderfall → verhältnismäßiges, möglichst wenig beeinträchtigendes und eindeutig bestimmtes Mittel → grundsätzlich Androhung, Frist, gegebenenfalls Kosten- oder Betragsangabe und Zustellung → Nichterfüllung → Festsetzung → Anwendung → Einstellung bei Zweckerreichung.

Gegenprobe: § 63 erlaubt kein Zwangsgeld unmittelbar nach jeder BSI-Mail. Verwaltungsakt, Vollziehbarkeit, Zuständigkeit und Vollstreckungsverfahren bleiben erforderlich.

§ 64: Institutionen der Sozialen Sicherung

§ 64 setzt eine Zuwiderhandlung gegen eine in § 65 Absatz 1 bis 4 genannte Vorschrift durch eine Institution der Sozialen Sicherung voraus.

• Bei Trägerschaft des Bundes stellt das Bundesamt mit der zuständigen Sozialaufsicht Einvernehmen über die Maßnahmen her.
• Bei Trägerschaft der Länder informiert das Bundesamt die zuständige Aufsicht und schlägt geeignete Maßnahmen vor.
• Die zuständige Aufsicht informiert das Bundesamt über Einleitung und Umsetzung und sorgt für die Durchsetzung.

Das anwendbare Sozialverwaltungs-, Aufsichts-, Vollstreckungs- und Prozessrecht ist in diesem Weg eigenständig zu bestimmen.

§ 65: nur punktgenaue Anknüpfungen

Der Artikel zeigt nur die gesetzlichen Anknüpfungen. § 65 ist eine Ahndungsnorm und verleiht keine materielle Aufsichts- oder Anordnungsbefugnis. Verschulden, Verantwortlichkeit, Beträge und Verfahren stehen in Haftung und Sanktionen — Überblick.

Nicht jede §-61-Anordnung ist bußgeldbewehrt. § 61 Absatz 1 erscheint beispielsweise nicht in Buchstabe c. Die Sperre des § 65 Absatz 11 verhindert außerdem eine zweite BSIG-Geldbuße für dasselbe Verhalten, wenn bereits die bezeichnete Datenschutzgeldbuße verhängt wurde; andere Rechtsfolgen werden dadurch nicht pauschal ausgeschlossen. [N-OWIG]

Ahndungskette: exakter §-65-Tatbestand + erfasste Pflicht oder vollziehbare Anordnung + objektiver Verstoß + persönliche und subjektive Zurechnung → mögliches Bußgeldverfahren.

Zwangsgeld ≠ Bußgeld: Das Zwangsgeld zielt auf noch mögliche Erfüllung. Das Bußgeld ahndet. Spätere Befolgung beendet den Vollstreckungszweck, beseitigt aber nicht automatisch einen bereits verwirklichten Bußgeldtatbestand.

Negativkette: Fehlt ein exakt passender §-65-Tatbestand, darf die Ahndung nicht durch Ähnlichkeit oder belastende Analogie begründet werden.

§ 66: Übergang vor Status-, Registrierungs- und Bußgeldprüfung

§ 66 verschiebt die Anwendung der aktuellen Begriffe „kritische Anlage“ und „kritische Dienstleistung“ in § 2 Nummer 22 und 24 sowie des § 33 Absatz 2. Sie gelten erst, wenn eine Rechtsverordnung auf Grundlage von § 4 Absatz 3 und § 5 Absatz 1 KRITIS-Dachgesetz gilt. [N-KRITIS-DACHG]

Bis dahin bleiben nur die Begriffe in § 2 Nummer 22 und 24 in ihrer bis einschließlich 16. März 2026 geltenden Fassung anwendbar. § 66 ordnet keine Fortgeltung einer früheren Fassung des § 33 Absatz 2 an. Diese asymmetrische Übergangsregel darf weder ergänzt noch geglättet werden.

Die amtlich konsolidierte BSI-Kritisverordnung enthält weiterhin die Anlagenkategorien und Schwellenwerte des Übergangsregimes. Nach ihrem § 12 tritt sie mit Inkrafttreten der neuen KRITIS-Dach-Verordnung außer Kraft; das Bundesministerium des Innern gibt dieses Inkrafttreten im Bundesgesetzblatt bekannt. Deshalb ist der Verordnungs- und Bekanntmachungsstand bei jeder Statusentscheidung neu einzufrieren. [N-BSI-KRITISV]

Übergangskette: neue KRITIS-Dach-Verordnung und amtliche Inkrafttretensbekanntmachung prüfen → bei Geltung aktuelle §-2-Begriffe und § 33 Absatz 2 anwenden → andernfalls alte §-2-Begriffe und fortgeltende BSI-Kritisverordnung heranziehen; § 33 Absatz 2 nicht fingieren → danach Status, §-39-/§-40-Pfad und §-65-Routing bestimmen.

Gegenprobe: Eine aktuelle konsolidierte Normnummer beantwortet die Übergangsfrage nicht allein. § 66, alte Begriffsfassung, BSI-Kritisverordnung und Bundesgesetzblatt müssen gemeinsam geprüft werden.

12. KRITIS-Sonderpfade: § 39 und § 40 Absatz 5 und 6

Betreiber kritischer Anlagen sind grundsätzlich besonders wichtige Einrichtungen. Ob § 61 im konkreten Ausschnitt greift, bleibt von § 28 Absatz 5 bis 8, § 29, § 37 und anderen Ausschlüssen abhängig. Daneben bestehen eigenständige KRITIS-Nachweis- und Vorfallpfade.

§ 39: eigener Nachweiszyklus

Die Anhörung in Absatz 2 gehört nur zu Nummer 3. Sie darf nicht als Voraussetzung aller drei Nummern dargestellt werden. Sämtliche Festlegungen nach Absatz 2 Satz 1 werden nach Satz 2 durch öffentliche Mitteilung auf der Internetseite des Bundesamts veröffentlicht.

Kausalkette § 39: Betreiber kritischer Anlage + anwendbare Satz-1-Pflicht + gesetzlich frühestes und spätestes Zeitfenster bestimmen + innerhalb dieses Fensters vom Bundesamt im Benehmen mit dem BBK festgelegter Zeitpunkt → turnusbezogener Nachweis → Übermittlung von Ergebnis und Mängeln → gegebenenfalls Dokumentation, Plan, Beseitigungsverlangen und Beseitigungsnachweis nach den jeweiligen Sätzen.

Negativkette Absatz 4: Die Ausnahme nimmt nur Absatz 1 Satz 1 aus. Sie ist kein pauschaler Ausschluss des gesamten § 39 oder anderer BSIG-Pflichten. Folgesätze dürfen aber nicht ohne eigenen sachlichen Anknüpfungspunkt zur Wiederherstellung der ausgenommenen Satz-1-Pflicht belastend fortgeschrieben werden.

Absatz 4 nimmt seinem Wortlaut nach ausschließlich Absatz 1 Satz 1 aus. Die Folgesätze bleiben im Gesetz stehen, sind aber jeweils an ihre eigenen textlichen Anknüpfungen gebunden. Der Artikel behauptet weder einen pauschalen Wegfall noch eine belastende Rekonstruktion der ausgeschlossenen Satz-1-Pflicht.

KRITIS-Nachweisbox: § 61 Absatz 3, § 61 Absatz 5 und § 39 haben unterschiedliche Tatbestände und Zeitregeln. Ein Krankenhaus oder anderer KRITIS-Betreiber braucht eine mehrspurige Nachweismatrix.

§ 40 Absatz 5: Herausgabeverlangen und Übermittlungsbefugnis trennen

§ 40 Absatz 5 BSIG: „Während eines erheblichen Sicherheitsvorfalls gemäß § 32 Absatz 1 kann das Bundesamt im Einvernehmen mit der jeweils zuständigen Aufsichtsbehörde des Bundes von den betroffenen Betreibern kritischer Anlagen die Herausgabe der zur Bewältigung der Störung notwendigen Informationen einschließlich personenbezogener Daten verlangen. Betreiber kritischer Anlagen sind befugt, dem Bundesamt auf Verlangen die zur Bewältigung der Störung notwendigen Informationen einschließlich personenbezogener Daten zu übermitteln, soweit dies zur Bewältigung eines erheblichen Sicherheitsvorfalls erforderlich ist.“

Satz 1 und Satz 2 haben verschiedene Funktionen.

Satz 1: Während eines erheblichen Sicherheitsvorfalls nach § 32 Absatz 1 kann das Bundesamt im Einvernehmen mit der jeweils zuständigen Aufsichtsbehörde des Bundes von betroffenen Betreibern kritischer Anlagen die zur Bewältigung der Störung notwendigen Informationen verlangen. Das kann personenbezogene Daten einschließen. Ist das Verlangen als Verwaltungsakt wirksam bekanntgegeben, entfaltet es seine Regelungswirkung. Rechtsschutzstatus und Befolgungswirkung sind gesondert zu bestimmen; Vollziehbarkeit ist zusätzlich für Verwaltungszwang und die §-65-Route zu prüfen.

Satz 2: Der Betreiber ist befugt, die verlangten notwendigen Informationen einschließlich personenbezogener Daten zu übermitteln, soweit dies zur Bewältigung des erheblichen Sicherheitsvorfalls erforderlich ist. Diese Befugnis ist keine zweite unabhängig entstehende Pflicht.

Kausalkette Satz 1: erheblicher Sicherheitsvorfall nach § 32 Absatz 1 + betroffener Betreiber kritischer Anlage + notwendige Information + Einvernehmen mit zuständiger Bundesaufsicht → BSI-Ermessen: Herausgabeverlangen → Bekanntgabe und Wirksamkeit → Rechtsschutzstatus und Befolgungswirkung bestimmen → Vollziehbarkeit für Verwaltungszwang und § 65 gesondert.

Kausalkette Satz 2: wirksames Verlangen + Erforderlichkeit zur Bewältigung → gesetzliche Übermittlungsbefugnis einschließlich personenbezogener Daten.

§ 40 Absatz 6: Zweckbindung

§ 40 Absatz 6 BSIG: „Soweit im Rahmen dieser Vorschrift personenbezogene Daten verarbeitet werden, ist eine über die vorstehenden Absätze hinausgehende Verarbeitung zu anderen Zwecken unzulässig. § 8 Absatz 8 Satz 3 bis 9 ist entsprechend anzuwenden.“

Personenbezogene Daten, die im Rahmen des § 40 verarbeitet werden, dürfen nicht über die Zwecke der vorstehenden Absätze hinaus für andere Zwecke verarbeitet werden. § 8 Absatz 8 Satz 3 bis 9 gilt entsprechend. Direkt erkennbar sind insbesondere Nutzungs-, Löschungs- und Dokumentationsgrenzen für Kernbereichserkenntnisse und Daten nach Artikel 9 Absatz 1 DSGVO. Satz 9 enthält zusätzlich eine strafprozessuale Grenze für geschützte Kommunikation, verweist intern jedoch auf Übermittlungen nach § 8 Absatz 5 oder 6. Wie diese internen Verweise bei entsprechender Anwendung in einem §-40-Fall abzubilden sind, ist nicht selbsterklärend. Eine pauschale Aussage, die dortige Fünfjahresschwelle greife in jedem §-40-Fall unmittelbar, unterbleibt deshalb.

Datenbox: Herausgabepflicht ≠ freie Datenöffnung. Datenquelle, Erforderlichkeit, Umfang, sichere Übertragung, Empfängerkreis, Zugriff, Protokollierung, Löschung, besondere Datenkategorien, Kernbereichsschutz und Zweckwechselverbot werden vor der Übermittlung festgelegt.

Vor jeder Herausgabe ist die Information nach Typ und Schutzregime zu klassifizieren. Gesondert zu prüfen sind insbesondere personenbezogene Daten, Telekommunikationsinhalte, Berufs- und Mandatsgeheimnisse, Verschlusssachen oder sektorale Geheimhaltung, Geschäftsgeheimnisse, Rechte Dritter sowie nicht personenbezogene, aber sicherheitssensible Informationen. Das Verlangen nach § 40 ersetzt keine dafür erforderliche Kollisions-, Minimierungs- und Schutzmaßnahmenprüfung und ist kein Freibrief zur ungefilterten Offenlegung.

Kausalkette Zweckbindung: personenbezogene Verarbeitung im Rahmen des § 40 → Bindung an den gesetzlichen Zweckrahmen → informationstypbezogene Geheimnis-, Privilegien-, Dritt- und Schutzprüfung → entsprechende Anwendung von § 8 Absatz 8 Satz 3 bis 9 → die dortigen Nutzungs-, Löschungs- und Dokumentationsgrenzen für Kernbereichserkenntnisse und besondere Datenkategorien bestimmen und umsetzen. Bei geschützter Kommunikation folgt zusätzlich eine gesonderte Auslegung der internen Satz-9-Verweise; erst danach lässt sich die strafprozessuale Grenze auf den konkreten §-40-Datenweg beziehen.

Negativkette: Fehlt die Erforderlichkeit zur Bewältigung, trägt § 40 Absatz 5 die konkrete Information nicht. Andere Melde- oder Datenwege bleiben nur nach eigenem Tatbestand möglich.

13. Das operative Playbook für Geschäftsleitung und Aufsichtsschnittstelle

Ein belastbarer Prozess beginnt mit Klassifikation, Zuständigkeit und Fristen. Erst danach folgen Inhalt, Technik und Rechtsschutz.

Rollen

Der Single Point of Contact benötigt eine benannte Vertretung, Zugriff auf alle Behördenkanäle und ein Eskalationsrecht. Bei persönlichen Maßnahmen gegen Organmitglieder sind Einrichtung und betroffene Person als getrennte Beteiligte zu behandeln; gemeinsame Vertretung setzt eine dokumentierte Konfliktprüfung voraus.

Siebzehn Arbeitsschritte

Anordnungseingang

1. Original und Anlagen unverändert sichern.
2. Bekanntgabe-, Stellungnahme- und Rechtsbehelfsfristen unabhängig von internen Umläufen erfassen.
3. Jeden Verfügungspunkt einer Rechtsgrundlage und einem Verantwortlichen zuordnen.
4. Tatsachen, Rechtsfragen und technische Machbarkeit getrennt bewerten.
5. Sichere Sofortmaßnahmen fortführen, ohne ungeprüfte rechtliche Anerkenntnisse abzugeben.
6. Unbestimmte Punkte rechtzeitig klären lassen. Fristen werden bis zu belastbarer Klärung nicht ignoriert; ob sie rechtlich bindend oder vollziehbar sind, bestimmt Legal gesondert.
7. Stellungnahme, Befolgung und möglichen Rechtsschutz gemeinsam terminieren.
8. Jede Datenübermittlung mit Zweck, Rechtsgrundlage, Inhalt, Empfänger und Löschkonzept protokollieren.

Evidenzindex

Mindestens enthalten sein sollten:

• Geschäftsleitungsbeschlüsse, Rollen und Schulungsnachweise;
• Risikobewertung, Maßnahmenplan und Wirksamkeitskontrolle;
• Vorfallchronologie, Meldungen und technische Belege;
• Dienst-, Anlagen- und Systemabgrenzung;
• Verträge und Nachweise zu Dritten;
• Kommunikationsentscheidungen und Interessenabwägungen;
• Datenschutzprüfung und Löschungsnachweise;
• vollständige Behördenakte mit Versand- und Empfangsbelegen.

Vor-Ort-Prüfung

Für § 61 Absatz 5 braucht die Einrichtung einen kontrollierten Zutritts- und Herausgabeprozess. Er darf die gesetzliche Mitwirkung nicht vereiteln, soll aber Prüfungsumfang, Betriebsstabilität, Geheimnisse und personenbezogene Daten schützen.

Dokumentiert werden Identität und Auftrag der Prüfer, Beginn und Ende, Räume, Systeme, Unterlagen, Fragen, Antworten und Kopien.

Vorstandsfazit in vier Fragen

1. Sachpfad: Welcher unabhängige Pfad ist eröffnet, und welche Voraussetzungen sind tatsächlich belegt?
2. Akteur und Modalverb: Wer darf oder muss gegenüber wem handeln?
3. Verbindlichkeit: Was ist zu dokumentieren, befristet, wirksam und gegebenenfalls vollziehbar?
4. Folgen: Welche Kosten-, Daten-, Kommunikations-, Vollstreckungs- oder persönliche Konsequenz kann dieser konkrete Pfad auslösen?

Prüfreihenfolge: Fristen sichern → Rechtsträger und Zuständigkeit bestimmen → Sachpfad klassifizieren → Tatsachen klären → sichere Maßnahmen fortsetzen → belastende Folgen punktgenau prüfen → Geschäftsleitung informieren → Befolgung beweisbar abschließen.

Das Playbook ist ein Navigations- und Dokumentationsrahmen. Es ist weder Testat noch Zusage der Rechtmäßigkeit eines Bescheids und ersetzt keine Vertretung im Einzelfall.

14. Kurzantworten auf die 24 Lese-Fragen

1. Löst eine Meldung nach § 32 automatisch Aufsicht, Audit oder Zwang aus? Nein. Eine Meldung kann Tatsachen liefern, ist aber weder allgemeine Voraussetzung der Aufsicht noch automatischer Auslöser eines Audits, einer Anordnung oder eines Zwangsmittels. Vor jedem der zwölf Sachpfade steht ein gemeinsames Gate aus Rechtsstand, Adressat, betroffener Tätigkeit und Zuständigkeit.
2. Was ist vor jeder Befugnis zu prüfen? Das siebenstufige Gate: Rechtsträger und Status; sachlicher Ausschnitt; formaler Ausschluss nach § 28 Absatz 5 bis 8, § 29 oder § 37; verbleibende materielle Pflicht; territoriale Zuständigkeit nach §§ 59 und 60; Verfahrens- und Fachzuständigkeit; schließlich Tatbestand, Modalverb, Verfahren und Rechtsfolge des konkreten Instruments.
3. Wie unterscheiden sich die Ausnahmen des § 28 Absatz 5 und Absatz 6? § 28 Absatz 5 nimmt Telekommunikation und bestimmte Energieaktivitäten bezogen auf die benannten Netze, Dienste und Tätigkeiten aus und schließt §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 ausdrücklich aus. § 28 Absatz 6 nimmt DORA-Finanzunternehmen (Nummer 1) und Telematikakteure (Nummer 2) als Einrichtungen aus, mit der Ausschlussliste §§ 30, 31, 32, 35, 36, 38 und 39. Die Reichweiten sind verschieden gebaut und tatbestandlich getrennt zu lesen.
4. Folgt aus der Nichtnennung der §§ 61 und 62 in § 28 Absatz 6 eine voraussetzungslose Restaufsicht? Nein. Im ausgenommenen Umfang fehlen sämtliche in § 62 genannten Eröffnungspflichten (§ 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3, § 38 Absatz 3); § 62 kann dort nicht über gerade diese Pflichten eröffnet werden. Eine weitere BSIG-Anknüpfung trägt nur ein zusätzlicher Status oder eine andere eigenständige Norm; ein bloß abweichender Tätigkeitsausschnitt desselben Rechtsträgers genügt ohne benannte Rechtsgrundlage nicht.
5. Was unterscheidet die beiden § 37-Ausnahmebescheide? Der einfache Bescheid erfasst nur die betreffenden Sicherheits-Tätigkeiten oder -Dienste und nur §§ 30 und 32; der erweiterte Bescheid befreit die insgesamt ausschließlich in den relevanten Bereichen tätige Einrichtung von §§ 30, 32, 33 und 34. Gemeinsame Eingangsvoraussetzungen sind gleichwertige Vorgaben sowie eine anderweitig gewährleistete und beaufsichtigte Informationssicherheit; Vertrauensdiensteanbieter sind ausgeschlossen. § 37 Absatz 5 ordnet den Widerruf an, wenn nachträglich Ablehnungstatsachen eintreten.
6. Erst Zuständigkeit oder erst Aufsicht — wie greifen §§ 59 und 60? Zuerst die Zuständigkeit: § 59 weist dem Bundesamt die Aufsicht für Teil 3 zu (Einrichtung mit Niederlassung, kritische Anlage am Belegenheitsort, Bundesverwaltung mit Sonderregime des § 29). Für die in § 60 genannten digitalen Einrichtungsarten gilt vorrangig das Hauptniederlassungsprinzip (Absatz 2 stufenweise) oder der Vertreterweg (Absatz 3). Eine deutsche Niederlassung darf bei § 60-Arten nicht vorweg als § 59-Zuständigkeit behandelt werden; Hauptniederlassungszuständigkeit verdrängt mitgliedstaatliche Kooperations- und Amtshilfewege nicht.
7. Ist „Unterstützung durch das Bundesamt“ ein einheitliches Produkt? Nein. Vier Wege mit unterschiedlichem Auslöser, Modalverb, Kosten- und Datenregime: § 36 Absatz 1 (meldungsbezogene Eingangsbestätigung, auf Ersuchen Orientierungshilfe oder operative Beratung, im Ermessen zusätzliche technische Unterstützung), § 32 Absatz 6 (Angebot aus Initiative des Bundesamts), § 3 Absatz 3 (allgemeines Ersuchen ausschließlich besonders wichtiger Einrichtungen) und § 11 (Wiederherstellung im herausgehobenen Fall).
8. Was gilt sicher unter der 24-Stunden-Formel des § 36 Absatz 1? Sicher erfasst ist die Eingangsbestätigung („unverzüglich und nach Möglichkeit innerhalb von 24 Stunden“). Ob die Formel auch die auf Ersuchen geschuldete Orientierungshilfe oder operative Beratung erfasst, ist auszulegen; bei einem erst später gestellten Ersuchen bleibt der Bezugszeitpunkt offen. Die Formel ist keine starre Ausschlussfrist, und die Bestätigung besagt nichts über Richtigkeit oder Vollständigkeit der Meldung. Zusätzliche technische Unterstützung steht im Ermessen.
9. Eröffnet jeder erhebliche Sicherheitsvorfall den § 11? Nein. § 11 verlangt eine Beeinträchtigung der Sicherheit oder Funktionsfähigkeit eines erfassten Systems in einem herausgehobenen Fall (Regelbeispiele: besondere technische Qualität oder besonderes öffentliches Interesse) und ein zulässiges Ersuchen. Erste BSI-Maßnahmen vor Ort zur Schadensbegrenzung und Sicherstellung des Notbetriebs sind BSI-gebühren- und -auslagenfrei; Kosten qualifizierter Dritter sowie die Daten-, Einwilligungs- und Herstellerregeln der Absätze 3 bis 6 bleiben gesondert.
10. Welche Kommunikationswege bestehen nach einem Vorfall oder bei einer Bedrohung? § 35 Absatz 1 (Empfängerinformation nach BSI-Anordnung), § 35 Absatz 2 (selbstauslösende Bedrohungsinformation für die benannten Sektoren unter Interessenabwägung), § 36 Absatz 2 (Öffentlichkeitsinformation nach Anhörung oder durch das Bundesamt selbst) und § 61 Absatz 8 Nummer 1 und 2 (Betroffeneninformation und öffentliche Bekanntmachung von Verstößen). Eine Meldung nach § 32 löst § 35 Absatz 1 nicht automatisch aus.
11. Ist die Interessenabwägung des § 35 Absatz 2 ein Alles-oder-nichts-Schalter? Nein. Satz 1 (Maßnahmen oder Abhilfemaßnahmen) und Satz 2 (Information über die Bedrohung selbst) sind jeweils nach Inhalt und Empfängerkreis gesondert abzuwägen. Trägt die Abwägung eine der beiden Pflichten nicht, entfällt die andere nicht automatisch.
12. Hat § 61 eine gesetzliche Stufenfolge? Nein. § 61 ist ein Netz selbständiger Prüf-, Nachweis-, Anordnungs-, Informations- und Koordinationsinstrumente (Absatz 1 bis 12); viele verlangen weder vorherige Meldung noch vorheriges Audit. Ausnahme: Absatz 9 bezeichnet seine fachaufsichtlichen Maßnahmen ausdrücklich als letztes Mittel; die Gesetzesbegründung versteht das als vorherige erfolglose Ausschöpfung milderer Mittel — eine Auslegungshilfe, kein zusätzlicher Wortlaut.
13. Was ist Prüfgegenstand des § 61 Absatz 1, und begrenzen ihn die Fristen? Audit, Prüfung oder Zertifizierung durch eine unabhängige Stelle; Prüfgegenstand sind ausschließlich § 30 Absatz 1 Satz 1 (auch in Verbindung mit § 31 Absatz 1 und Absatz 2 Satz 1), § 32 Absatz 1 bis 3 und § 38 Absatz 3. Die Drei- und Fünfjahresgrenzen des Absatzes 3 begrenzen Absatz 1 nicht. § 31 steht — anders als bei § 62 — in der Absatz-1-Verweisliste.
14. Was bedeutet der Verweisungsbruch bei § 61 Absatz 3? Satz 1 (Drei-Jahres-Grenze, „andere“ besonders wichtige Einrichtungen) und Satz 5 (abweichender Fünf-Jahres-Weg für zugelassene Krankenhäuser nach § 108 SGB V) verschieben nur die jeweils dort geregelte Nachweisanordnung; materielle Pflichten, Absatz 1, Absatz 5 und § 39 bleiben unberührt. Satz 5 verweist auf § 56 Absatz 6, während die Krankenhaus-Ermächtigung nach dem Wortlaut in § 56 Absatz 5 steht — dieser Bruch wird nicht geglättet, und die Funktion des Wortes „andere“ bleibt auszulegen.
15. Wann erhebt das Bundesamt nach § 61 Absatz 5 Gebühren? Nur wenn es aufgrund von Anhaltspunkten tätig wurde, die berechtigte Zweifel an der Einhaltung des § 30 Absatz 1 begründeten. Die gesetzliche Mitwirkung (Betreten während üblicher Betriebszeiten, Vorlage, Auskunft und erforderliche Unterstützung) besteht unabhängig davon. § 65 Absatz 2 Nummer 17 erfasst Betreten, Vorlage und Auskunft, nicht ausdrücklich die erforderliche Unterstützung — eine belastende Analogie ist unzulässig.
16. Was setzt § 61 Absatz 9 voraus, und wer handelt? Voraussetzungen sind eine BSI-Anordnung, eine Fristsetzung, Nichtbefolgung trotz Frist, eine mögliche Mitteilung des Bundesamts an die jeweils zuständige Aufsichtsbehörde, ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung sowie der Charakter als letztes Mittel. Nicht das Bundesamt, sondern die Fachaufsicht kann dann eine fachrechtliche Genehmigung vorübergehend aussetzen oder einer unzuverlässigen Geschäftsleitung (§ 2 Nummer 13) die Tätigkeit vorübergehend untersagen — nur bis zur Befolgung. Nichtbefolgung macht eine Geschäftsleitung nicht automatisch unzuverlässig.
17. Wann unterrichtet das Bundesamt die Datenschutzaufsicht nach § 61 Absatz 11? Wenn es bei der Beaufsichtigung oder Durchsetzung einen BSIG-Verstoß feststellt, der eine nach Artikel 33 DSGVO meldepflichtige Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 DSGVO zur Folge haben kann. Nur das mögliche Entstehen der Datenschutzverletzung steht unter „kann“; der BSIG-Verstoß wird festgestellt. Die Behördeninformation ersetzt weder die eigene Artikel-33-Prüfung noch eine eigene Meldung der Einrichtung.
18. Wie eröffnet § 62 die Aufsicht über wichtige Einrichtungen? Erst wenn Tatsachen die Annahme rechtfertigen, dass eine Pflicht aus der abschließenden Liste (§ 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3, § 38 Absatz 3) nicht oder nicht richtig umgesetzt wird; dann kann das Bundesamt die Einhaltung überprüfen und Maßnahmen nach § 61 treffen. § 31 ist kein eigener Eröffnungstatbestand des § 62. Ein abstraktes Branchenrisiko, der bloße Status als wichtige Einrichtung oder allein der Eingang einer Meldung trägt die Tatsachenschwelle nicht.
19. Gilt bei § 62 „alles aus § 61“? Nein. Der breite Verweis „Maßnahmen nach § 61“ beginnt erst nach erreichter Tatsachenschwelle; jedes Instrument behält Tatbestand, Verfahren und Zeitmerkmale. Ob ein auf besonders wichtige Einrichtungen zugeschnittenes Adressatenmerkmal funktional anzupassen ist, bleibt absatzbezogen auszulegen und darf nicht still ersetzt werden. § 61 Absatz 9 über § 62 ist offene Normlage — weder automatisch anwenden noch sicher ausschließen. Die § 65-Nennungen „auch in Verbindung mit § 62“ sind ein systematisches Indiz, aber keine materielle Ermächtigungsnorm.
20. Ist jede Nachricht des Bundesamts ein vollziehbarer Verwaltungsakt? Nein. Zuerst ist das anwendbare Verfahrensrecht zu bestimmen (Bundes-VwVfG, Landesrecht, SGB X oder Fachrecht), dann das Verwaltungsakt-Gate von Rechtsgrundlage bis Vollziehbarkeit zu durchlaufen. Wirksamkeit ist nicht Vollziehbarkeit: Widerspruch und Anfechtungsklage haben grundsätzlich aufschiebende Wirkung; bei § 16 Absatz 1 Satz 1 schließt das BSIG sie ausdrücklich aus — diese Spezialregel darf nicht verallgemeinert werden.
21. Wie sind Gebühren, Verwaltungszwang und Bußgeld zu trennen? Gebühren und Auslagen betreffen Verwaltungskosten, Verwaltungszwang setzt eine noch erfüllbare Pflicht durch, das Bußgeld ahndet einen vorwerfbaren Verstoß. Die Bundes-VwVG-Kette (vollziehbarer Grundverwaltungsakt, verhältnismäßiges bestimmtes Mittel, Androhung mit genau einem Mittel, Frist und Zustellung, Festsetzung, Anwendung, Einstellung bei Zweckerreichung) gilt nicht ungeprüft für Landes-, Sozial- oder Fachaufsichten. § 63 erhöht nur die Zwangsgeldobergrenze bei Verhängung durch das Bundesamt auf bis zu 100 000 Euro; § 17 VwVG schränkt Zwang gegen öffentliche Adressaten ein.
22. Wie funktioniert das § 65-Bußgeld-Routing? § 65 ist eine Ahndungsnorm ohne eigene Aufsichts- oder Anordnungsbefugnis und knüpft nur punktgenau an, etwa Absatz 2 Nummer 1 Buchstabe c (§ 18, § 40 Absatz 5 Satz 1 und mehrere § 61-Routen ausdrücklich auch in Verbindung mit § 62) oder Nummer 17 (§ 61 Absatz 5 Satz 3, ohne ausdrückliche § 62-Verbindung). Fehlt ein exakt passender Tatbestand, ist keine belastende Analogie zulässig. § 65 Absatz 11 sperrt eine zweite BSIG-Geldbuße, wenn dieselbe Handlung bereits mit einer Datenschutzgeldbuße nach Artikel 58 Absatz 2 Buchstabe i DSGVO belegt wurde.
23. Was ordnet die Übergangsregel des § 66 an? Die aktuellen Begriffe „kritische Anlage“ und „kritische Dienstleistung“ (§ 2 Nummer 22 und 24) sowie § 33 Absatz 2 gelten erst, wenn eine Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 KRITIS-Dachgesetz gilt. Bis dahin bleiben nur die § 2-Begriffe in ihrer bis einschließlich 16. März 2026 geltenden Fassung anwendbar; eine Fortgeltung einer früheren Fassung des § 33 Absatz 2 ordnet § 66 nicht an. Diese asymmetrische Regel wird nicht geglättet. Die BSI-Kritisverordnung gilt fort und tritt nach ihrem § 12 mit Inkrafttreten der neuen KRITIS-Dach-Verordnung außer Kraft, das im Bundesgesetzblatt bekanntgegeben wird.
24. Welche eigenständigen KRITIS-Pfade bestehen nach §§ 39 und 40 Absatz 5 und 6? § 39 ist ein eigener Nachweiszyklus: Satz 1 verlangt den Nachweis der Maßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31; den Zeitpunkt legt das Bundesamt im Benehmen mit dem BBK fest, frühestens und spätestens drei Jahre nach Betreiberstatus, danach alle drei Jahre. Absatz 4 nimmt nur Satz 1 für nach § 5 Absatz 7 KRITIS-Dachgesetz bestimmte Betreiber aus. § 40 Absatz 5 trennt das Herausgabeverlangen (Satz 1, Bundesamt im Einvernehmen mit der zuständigen Bundesaufsicht) von der Übermittlungsbefugnis des Betreibers (Satz 2). Absatz 6 bindet personenbezogene Daten an den gesetzlichen Zweckrahmen (§ 8 Absatz 8 Satz 3 bis 9 entsprechend), wobei die internen Satz-9-Verweise gesondert auszulegen sind.

15. Quellen

Rechts- und Quellenstand: 25. Juni 2026. Die nachfolgend als geltendes Recht bezeichneten Normquellen wurden in ihrer amtlich konsolidierten oder amtlich verkündeten Fassung geprüft. Gesetzesmaterialien, Behördenpraxis und laufende Vorhaben sind davon getrennt und keine selbständige Tatbestandsquelle. Die vorgelagerten Abschnitte zu Zeitstand, Rechtsstandsabgleich, Schnittstellen und offenen Normlagen sind Teil dieses Apparats und werden nicht geglättet.

Zeitlicher Stand

Das BSIG gilt seit dem 6. Dezember 2025. Die amtliche konsolidierte Fassung berücksichtigt die Änderung vom 11. März 2026. Die BSI-Kritisverordnung wurde zuletzt durch das Gesetz vom 15. Mai 2026 geändert. Ihr Übergangs- und Außerkrafttretensmechanismus ist zusammen mit § 66 BSIG gesondert abzugleichen.

Bei unverändertem Recht liegt der früheste abstrakte Zeitpunkt für § 61 Absatz 3 Satz 1 am 6. Dezember 2028. Für zugelassene Krankenhäuser liegt der nominale Fünfjahresanker am 6. Dezember 2030. Der offene Verweisungsbruch und eine mögliche Rechtsverordnung bleiben zusätzlich zu prüfen.

Diese Daten betreffen eine Befugnis zum Nachweisverlangen. Sie sind keine Schonfrist für die materiellen Pflichten und keine Prognose, wann eine konkrete Anordnung ergeht.

Der Regierungsentwurf zur Stärkung der Cybersicherheit, Bundestagsdrucksache 21/6585, wurde am 25. Juni 2026 in erster Lesung beraten und an die Ausschüsse überwiesen. Er ist am Artikelstand kein geltendes Recht.

Der Gesetzentwurf zur Durchführung der Cyberresilienz-Verordnung, Bundestagsdrucksache 21/6134, befindet sich ebenfalls im parlamentarischen Verfahren und ist nicht geltendes Recht. Der Entwurf würde nach seinem gegenwärtigen Aufbau Normen am Ende des BSIG verschieben; insbesondere könnte der heutige § 65 eine andere Nummer erhalten. Zitate und Bußgeldrouting sind deshalb bei jedem abschließenden Rechtsstandsabgleich erneut auf Nummerierungsänderungen zu prüfen.

Reproduzierbarer Rechtsstandsabgleich

Für einen belastbaren Rechtsstandsabgleich werden mindestens dokumentiert:

1. Abrufdatum und Fundstelle der konsolidierten BSIG-Fassung;
2. Bundesgesetzblatt für Ursprungs- und Änderungsgesetze;
3. aktueller Stand der BSI-Kritisverordnung, der Verordnung nach KRITIS-Dachgesetz und der amtlichen Inkrafttretensbekanntmachung;
4. die nach § 66 fortgeltenden alten Begriffsfassungen sowie die Anwendbarkeit des § 33 Absatz 2;
5. Bundestags-DIP beziehungsweise offizielle Beratungsseiten für laufende Vorhaben;
6. konkrete Suchbegriffe und Datenbanken für Rechtsprechung, falls eine Rechtsprechungsaussage in den Text aufgenommen werden soll;
7. Abgleich aller Binnenverweise und Übergangsvorschriften.

Der Artikel trifft keine pauschale Aussage, es gebe keine einschlägige Rechtsprechung. Eine solche Negativfeststellung wäre nur mit einem gesonderten, reproduzierbaren Rechercheprotokoll belastbar.

Schnittstellen

Offene Normlagen

Prüfreihenfolge bei Verweisungsbrüchen: geltender Wortlaut → Änderungshistorie → gegenwärtiges Verweisziel → Übergangsrecht → Verordnungsstand → mögliche belastende Wirkung → offene Einzelfallprüfung statt stiller Glättung.

1. Nationale Normen

• [N-BSIG] BSI-Gesetz, amtlich konsolidierte Gesamtnorm. Gesamtnorm. Direktfundstellen der Einzelnormen: § 2, § 3, § 4, § 8, § 11, § 12, § 13, § 14, § 15, § 16, § 17, § 18, § 28, § 29, § 30, § 31, § 32, § 33, § 34, § 35, § 36, § 37, § 38, § 39, § 40, § 56, § 59, § 60, § 61, § 62, § 63, § 64, § 65 und § 66.
• [N-BGBL-301] Ursprungsfassung des BSIG, BGBl. 2025 I Nummer 301. Direktfundstelle: recht.bund.de
• [N-BGBL-66] Änderungsgesetz vom 11. März 2026, BGBl. 2026 I Nummer 66. Direktfundstelle: recht.bund.de
• [N-BSI-KRITISV] BSI-Kritisverordnung, einschließlich § 12 zum Außerkrafttreten. Direktfundstelle: gesetze-im-internet.de
• [N-KRITIS-DACHG] KRITIS-Dachgesetz, insbesondere §§ 4 und 5 als Übergangsverordnungsgrundlage. Direktfundstelle: gesetze-im-internet.de
• [N-SGB5] Fünftes Buch Sozialgesetzbuch, insbesondere §§ 108, 306, 311, 325 und 327. Direktfundstelle: gesetze-im-internet.de
• [N-GG-10] Grundgesetz Artikel 10. Direktfundstelle: gesetze-im-internet.de
• [N-STPO-53] Strafprozessordnung § 53. Direktfundstelle: gesetze-im-internet.de
• [N-TDDDG] Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Direktfundstelle: gesetze-im-internet.de
• [N-TKG] Telekommunikationsgesetz, insbesondere §§ 169, 172, 174 und 177 für die Telekommunikationsabgrenzung. Direktfundstelle: gesetze-im-internet.de
• [N-ATG] Atomgesetz. Direktfundstelle: gesetze-im-internet.de
• [N-ENWG-KWG-VAG] Energiewirtschaftsgesetz, Kreditwesengesetz § 1a und Versicherungsaufsichtsgesetz § 293 für die jeweiligen Bereichsschnittstellen. Direktfundstellen: EnWG, KWG § 1a und VAG § 293
• [N-OWIG] Ordnungswidrigkeitengesetz. Direktfundstelle: gesetze-im-internet.de
• [N-VWVFG] Verwaltungsverfahrensgesetz, insbesondere §§ 1, 2, 28, 35, 37, 39, 41 und 43. Direktfundstelle: gesetze-im-internet.de
• [N-SGB10] Zehntes Buch Sozialgesetzbuch, insbesondere die einschlägigen Regeln zu Verwaltungsakt, Bestimmtheit, Begründung und Bekanntgabe. Direktfundstelle: gesetze-im-internet.de
• [N-VWGO-80] Verwaltungsgerichtsordnung § 80. Direktfundstelle: gesetze-im-internet.de
• [N-VWVG] Verwaltungs-Vollstreckungsgesetz, insbesondere §§ 6, 7 und 9 bis 19. Direktfundstelle: gesetze-im-internet.de

2. EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2), insbesondere Artikel 32 und 33 zur differenzierten Aufsicht über wesentliche und wichtige Einrichtungen. Direktfundstelle: eur-lex.europa.eu
• [EU-KOM-LL] Leitlinien der Europäischen Kommission 2023/C 328/02 — unverbindliche Kommissionsleitlinien und Soft Law; Auslegungshilfe zu Artikel 4 NIS-2, kein bindender Unionsrechtsakt und keine selbständige Tatbestandsquelle. Direktfundstelle: eur-lex.europa.eu
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Direktfundstelle: eur-lex.europa.eu
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 4 Nummer 12, Artikel 9 Absatz 1 und Artikel 33. Direktfundstelle: eur-lex.europa.eu

3. Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung. Der Artikel trifft keine pauschale Aussage, es gebe keine einschlägige Rechtsprechung; eine solche Negativfeststellung wäre nur mit einem gesonderten, reproduzierbaren Rechercheprotokoll belastbar.

4. Behörden, Gesetzesmaterialien und amtliche Praxis

• [MAT-BT-1501] Bundestagsdrucksache 21/1501 — Regierungsentwurf und Auslegungshilfe; kein geltendes Recht. Direktfundstelle: dserver.bundestag.de
• [MAT-BT-2782] Bundestagsdrucksache 21/2782 — spätere Beschlussempfehlung und Bericht; für die Entstehungsgeschichte nach den parlamentarischen Änderungen mitzulesen; kein geltendes Recht. Direktfundstelle: dserver.bundestag.de
• [MAT-BT-6585] Beratung zur Bundestagsdrucksache 21/6585 vom 25. Juni 2026 — Rechtsstandsmonitor, kein geltendes Recht. Direktfundstelle: bundestag.de
• [MAT-BT-6134] Bundestagsdrucksache 21/6134 und zugehöriger DIP-Vorgang — Rechtsstands- und Umnummerierungsmonitor, kein geltendes Recht. Direktfundstellen: BT-Drs. 21/6134 und DIP-Vorgang
• [BEH-BSI-NIS2] BSI-Informationen für NIS-2-regulierte Unternehmen — Behördenpraxis, keine Tatbestandsquelle. Direktfundstelle: bsi.bund.de

5. Markt, Standards und sonstige Praxis

In dieser Fassung sind keine eigenständigen Markt- oder Standardquellen zitiert; Markt-, Tool- und Einzelfallaussagen sind durchgehend konditional gehalten.

6. Prüfstatus und Schlusssatz

Rechts- und Redaktionsstand: 25. Juni 2026, Version 1.1. Die im Artikel wörtlich übernommenen gesetzlichen Direktzitate (§ 36 Absatz 1; § 3 Absatz 3; § 11 Absatz 1, 3, 5 und 6; § 35 Absatz 1 und 2; § 36 Absatz 2; § 61 Absatz 1, 3, 5, 8, 9 und 11; § 62; § 63; § 40 Absatz 5 und 6 BSIG sowie § 6 Absatz 1, § 13 Absatz 1, 3, 5 und 7, § 14 und § 15 Absatz 1 und 3 VwVG) sind wortlautgetreu gegen die jeweils amtliche Fassung übernommen. Die offenen Verweisungs- und Zeitlagen — insbesondere zu § 2 Nummer 11, § 36 Absatz 1, §§ 59 und 60, § 61 Absatz 3, Absatz 7 Satz 3 und Absatz 9, § 62, § 65 Absatz 2 Nummer 17, § 36 Absatz 2 Satz 2, § 39 Absatz 4 sowie § 40 Absatz 6 — bleiben in den Abschnitten „Offene Normlagen“ und „Zeitlicher Stand“ sichtbar und werden nicht geglättet. Die verfahrensrechtliche Schicht (VwVfG, VwGO und SGB X) ist als Rahmen benannt, ohne ergänzende Auslegung. Tragende Rechtsprechungsquellen liegen nicht vor. Spätere konsolidierte Normstände, der Verordnungs- und Bekanntmachungsstand sowie die Erreichbarkeit der verlinkten amtlichen Fundstellen sind vor einer späteren Nutzung erneut zu prüfen. Rechtlich maßgeblich bleiben der anwendbare Normtext und seine dokumentierte Anwendung im Einzelfall.

16. CyberSchutzEngel-Hinweis

CyberSchutzEngel nutzt diese Landkarte, um Behördenkontakte nach Rechtsgrundlage, Zuständigkeit, Frist, Datenweg und Eskalationsstufe zu ordnen. Maßgeblich bleiben der konkrete Bescheid, der aktuelle Rechtsstand und die rechtliche Prüfung des Einzelfalls.