BSI-Aufsicht (§§ 61, 62 BSIG)

Kurzdefinition: Die BSI-Aufsicht ist die Kontrolle der NIS-2-Pflichten durch das Bundesamt. Sie ist zweigeteilt: Bei besonders wichtigen Einrichtungen kann das Bundesamt nach § 61 BSIG proaktiv prüfen; bei wichtigen Einrichtungen greift § 62 BSIG erst anlassbezogen. [N-BSIG-61] [N-BSIG-62]

Der Normwortlaut

§ 61 Abs. 1 BSIG erlaubt dem Bundesamt, „gegenüber einzelnen besonders wichtigen Einrichtungen“ Audits, Prüfungen oder Zertifizierungen anzuordnen. § 62 BSIG bestimmt für wichtige Einrichtungen: „Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen … nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.“ [N-BSIG-61] [N-BSIG-62]

Wie unterscheidet sich die Aufsicht bei besonders wichtigen und wichtigen Einrichtungen?

Im Auslöser. Bei besonders wichtigen Einrichtungen ist die Aufsicht proaktiv: § 61 BSIG erlaubt Audits und Prüfungen auch ohne konkreten Anlass. Bei wichtigen Einrichtungen ist sie reaktiv: § 62 BSIG greift erst, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden. Die Instrumente sind dieselben — § 62 verweist auf die Maßnahmen des § 61 —, aber der Zeitpunkt des Eingreifens unterscheidet sich. [N-BSIG-61] [N-BSIG-62]

Was darf das Bundesamt anordnen?

Ein breites Instrumentarium. Nach § 61 BSIG kann das Bundesamt Audits und Prüfungen anordnen, Nachweise und Dokumentation verlangen, bei Sicherheitsmängeln einen Mängelbeseitigungsplan und dessen Umsetzung fordern, Geschäftsräume während der Betriebszeiten betreten und Auskünfte verlangen. Es kann zur Verhütung oder Behebung eines Vorfalls erforderliche Maßnahmen und die Umsetzung konkreter Empfehlungen anordnen. Kommt eine besonders wichtige Einrichtung Anordnungen trotz Fristsetzung nicht nach, kann das Bundesamt dies der zuständigen Aufsichtsbehörde mitteilen; diese kann als letztes Mittel unter engen Voraussetzungen Genehmigungen vorübergehend aussetzen oder unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen. [N-BSIG-61]

Kostet eine Überprüfung Gebühren?

Nicht immer. Nach § 61 Abs. 5 BSIG erhebt das Bundesamt für eine Überprüfung Gebühren und Auslagen bei einer besonders wichtigen Einrichtung nur, sofern es aufgrund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen begründeten. Eine anlasslose Prüfung löst also nicht automatisch Gebühren aus. [N-BSIG-61]

Wann greift die Aufsicht bei besonders wichtigen Einrichtungen?

Auch anlasslos. Nach § 61 Abs. 1 BSIG kann das Bundesamt gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen anordnen — es handelt sich um eine proaktive Aufsicht, die keinen konkreten Anlass voraussetzt. [N-BSIG-61]

Wann greift die Aufsicht bei wichtigen Einrichtungen?

Anlassbezogen. Nach § 62 BSIG kann das Bundesamt erst dann tätig werden, wenn Tatsachen die Annahme rechtfertigen, dass eine wichtige Einrichtung ihre Verpflichtungen nicht oder nicht richtig umsetzt. Die Aufsicht ist hier reaktiv. [N-BSIG-62]

Was kann das Bundesamt bei wichtigen Einrichtungen tun?

Prüfen und Maßnahmen treffen. Liegen die Voraussetzungen des § 62 BSIG vor, kann das Bundesamt die Einhaltung überprüfen und Maßnahmen nach § 61 BSIG treffen. Die Instrumente entsprechen dann denen bei besonders wichtigen Einrichtungen. [N-BSIG-62]

Häufige Fehlannahmen

• „Das Bundesamt prüft alle Einrichtungen gleich.“ Nein. Besonders wichtige Einrichtungen unterliegen der proaktiven Aufsicht (§ 61), wichtige Einrichtungen der anlassbezogenen (§ 62). [N-BSIG-61] [N-BSIG-62]
• „Ohne Vorfall kann das Bundesamt nicht prüfen.“ Bei besonders wichtigen Einrichtungen doch — § 61 BSIG erlaubt anlasslose Audits. [N-BSIG-61]
• „Die Aufsicht beschränkt sich auf eine Aktenprüfung.“ Nein. Bei besonders wichtigen Einrichtungen sind auch Vor-Ort-Prüfungen und Auskunftsersuchen möglich. [N-BSIG-61]
• „Für NIS-2 sind viele verschiedene Behörden zuständig.“ Für die Cybersicherheitsaufsicht ist das Bundesamt die zentrale Aufsichtsbehörde. [N-BSIG-61] [N-BSIG-62]
• „Jede Prüfung kostet Gebühren.“ Nein. Nach § 61 Abs. 5 BSIG fallen Gebühren nur bei anlassbezogener Prüfung wegen berechtigter Zweifel an. [N-BSIG-61]

Was die Geschäftsleitung tun sollte

1. Aufsichtsregime kennen. Proaktiv (§ 61) oder anlassbezogen (§ 62) — je nach Kategorie.
2. Prüfbereitschaft herstellen. Dokumentation, Nachweise und Auskunftsfähigkeit vorhalten.
3. Mängel früh beheben. Das Bundesamt kann Beseitigungspläne und deren Nachweis verlangen.
4. Betretungsrecht einplanen. § 61 BSIG erlaubt das Betreten der Geschäftsräume während der Betriebszeiten.

Für die Geschäftsleitung

Die BSI-Aufsicht ist der Punkt, an dem aus Pflichten Kontrolle wird. Der entscheidende Unterschied liegt im Auslöser: Besonders wichtige Einrichtungen müssen mit anlasslosen Prüfungen rechnen, wichtige Einrichtungen erst dann, wenn Anhaltspunkte bestehen. Die Instrumente sind in beiden Fällen dieselben. Wer Dokumentation und Nachweise laufend pflegt, verwandelt die Aufsicht eher in einen Statusnachweis als in eine Improvisation — und ist auf Gebührenfälle vorbereitet, die § 61 Abs. 5 BSIG nur bei begründeten Zweifeln vorsieht.

Quellen

1. [N-BSIG-61] § 61 BSIG (Aufsichts- und Durchsetzungsmaßnahmen gegenüber besonders wichtigen Einrichtungen), Abs. 1 bis 8. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__61.html
2. [N-BSIG-62] § 62 BSIG (Aufsichts- und Durchsetzungsmaßnahmen gegenüber wichtigen Einrichtungen). Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__62.html