IT-Sicherheitsgesetz: vom IT-SiG zum BSIG

Kurzdefinition: Das IT-Sicherheitsgesetz (IT-SiG) und sein Nachfolger IT-SiG 2.0 waren keine eigenständigen Dauergesetze, sondern Artikelgesetze, die vor allem das BSIG und weitere Gesetze geändert haben. Die aktuellen Cybersicherheitspflichten stehen heute im BSIG in seiner NIS-2-Umsetzungsfassung. [N-BSIG-1]

Der Normwortlaut

§ 1 BSIG bestimmt: „Das Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) ist eine Bundesoberbehörde … Es ist die zentrale Stelle für Informationssicherheit auf nationaler Ebene.“ Was frühere Fassungen des IT-Sicherheitsgesetzes eingeführt haben, ist heute im geltenden BSIG aufgegangen. [N-BSIG-1]

Was war das IT-Sicherheitsgesetz?

Ein Artikelgesetz. Das IT-SiG (2015) und das IT-SiG 2.0 (2021) haben das BSIG und andere Gesetze geändert und die KRITIS-Regulierung ausgebaut. Sie sind kein eigenes fortbestehendes Regelwerk. [N-BSIG-1]

Gilt das IT-Sicherheitsgesetz noch?

Nicht als eigenständiges Dauerrecht. Seine Inhalte sind in das BSIG eingeflossen; für die Praxis ist das geltende BSIG maßgeblich. [N-BSIG-1]

Wie hängt es mit NIS-2 zusammen?

Es ist der Vorläufer. Die NIS-2-Umsetzung hat das BSIG erneut überarbeitet und den Kreis der Pflichtigen deutlich erweitert. [N-BSIG-1]

Warum wird der Begriff noch genutzt?

Aus Gewohnheit. Viele sprechen weiter vom IT-Sicherheitsgesetz, meinen aber die im BSIG gebündelten Pflichten. [N-BSIG-1]

Wo stehen die aktuellen Pflichten?

Im BSIG. Risikomanagement (§ 30), Meldung (§ 32) und Geschäftsleitungspflichten (§ 38) stehen im geltenden BSIG. [N-BSIG-1]

Häufige Fehlannahmen

„Das IT-Sicherheitsgesetz ist ein eigenes Dauergesetz.“ Nein. Es war ein Artikelgesetz zur Änderung des BSIG. [N-BSIG-1]
„Das IT-SiG gilt neben dem BSIG.“ Nein. Seine Inhalte sind im BSIG aufgegangen. [N-BSIG-1]
„IT-SiG und NIS-2 sind dasselbe.“ Nein. NIS-2 ist die neuere, weitergehende Stufe. [N-BSIG-1]
„Die alten Pflichten gelten unverändert.“ Nein. Die NIS-2-Umsetzung hat sie erweitert. [N-BSIG-1]
„Man muss das IT-SiG separat prüfen.“ Nein. Maßgeblich ist das geltende BSIG. [N-BSIG-1]

Was die Geschäftsleitung tun sollte

Aktuelles Recht prüfen. Auf das geltende BSIG abstellen.
Begriffe klären. IT-SiG als Vorläufer einordnen.
Pflichten aktualisieren. NIS-2-Erweiterungen berücksichtigen.
Nicht doppelt prüfen. Kein separates IT-SiG-Regime annehmen.

Für die Geschäftsleitung

Wer „IT-Sicherheitsgesetz“ hört, sollte ins BSIG schauen: Dort stehen die geltenden Cybersicherheitspflichten in ihrer aktuellen NIS-2-Fassung. Das IT-SiG war der Weg dorthin, nicht das Ziel.