BSIG: das BSI-Gesetz — Pflichten und Anwendungsbereich

Kurzdefinition: Das BSIG ist das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik — das zentrale deutsche Cybersicherheitsgesetz. Die aktuelle Fassung setzt die europäische NIS-2-Richtlinie um und regelt Risikomanagement, Meldewesen, Registrierung und Aufsicht für besonders wichtige und wichtige Einrichtungen. [N-BSIG-30]

Der Normwortlaut

§ 1 BSIG bestimmt: „Das Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) ist eine Bundesoberbehörde im Geschäftsbereich des Bundesministeriums des Innern. Es ist die zentrale Stelle für Informationssicherheit auf nationaler Ebene.“ Die zentrale Pflicht des § 30 BSIG verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“. [N-BSIG-30]

Was regelt das BSIG?

Cybersicherheit auf nationaler Ebene. Das BSIG errichtet das BSI als zentrale Stelle und verpflichtet erfasste Einrichtungen zu Risikomanagement, Meldung erheblicher Sicherheitsvorfälle, Registrierung und Nachweisen. Es ist das operative deutsche Regelwerk hinter NIS-2. [N-BSIG-30]

Wen betrifft das BSIG?

Besonders wichtige und wichtige Einrichtungen. Erfasst sind Einrichtungen in den Anlage-1- und Anlage-2-Sektoren ab bestimmten Größen- und Schwellenwerten sowie Betreiber kritischer Anlagen. Die genaue Einordnung entscheidet über den Pflichtenumfang. [N-BSIG-30]

Welche Kernpflichten enthält das BSIG?

Risikomanagement, Meldung, Governance. Insbesondere die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 BSIG und die Geschäftsleitungspflichten nach § 38 BSIG — Umsetzung, Überwachung und Schulung. [N-BSIG-30]

Wie verhält sich das BSIG zur NIS-2-Richtlinie?

Es ist deren Umsetzung. Die NIS-2-Richtlinie gibt den europäischen Rahmen vor; das BSIG setzt ihn in deutsches Recht um. Maßgeblich für Unternehmen in Deutschland ist der Wortlaut des BSIG. [N-BSIG-30]

Häufige Fehlannahmen

„Das BSIG gilt nur für kritische Infrastrukturen.“ Nein. Es erfasst auch besonders wichtige und wichtige Einrichtungen unterhalb der KRITIS-Schwelle. [N-BSIG-30]
„Das BSIG ist unverbindliche Empfehlung.“ Nein. Es begründet durchsetzbare Pflichten mit Bußgeldbewehrung. [N-BSIG-30]
„NIS-2 gilt direkt statt des BSIG.“ In Deutschland gilt das BSIG als Umsetzung. [N-BSIG-30]
„Nur die IT-Abteilung ist betroffen.“ Nein. § 38 BSIG nimmt die Geschäftsleitung in die Pflicht. [N-BSIG-30]
„Ohne Vorfall passiert nichts.“ Nein. Pflichten und Aufsicht bestehen unabhängig von einem Vorfall. [N-BSIG-30]

Was die Geschäftsleitung tun sollte

Einordnen. Betroffenheit und Kategorie bestimmen.
Pflichten umsetzen. Risikomanagement nach § 30 BSIG aufbauen.
Meldewege bauen. Fristen des § 32 BSIG organisieren.
Governance sichern. Umsetzung überwachen und schulen.

Für die Geschäftsleitung

Das BSIG ist das operative deutsche Cybersicherheitsrecht hinter NIS-2. Wer erfasst ist, schuldet Risikomanagement, Meldung und nachweisbare Governance — und die Geschäftsleitung haftet für deren Umsetzung.