Nachweispflicht (§ 39 BSIG)

Kurzdefinition: Die Nachweispflicht nach § 39 BSIG verpflichtet Betreiber kritischer Anlagen, die Umsetzung ihrer Sicherheitsmaßnahmen alle drei Jahre gegenüber dem Bundesamt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Sie ist eine besondere, proaktive Nachweispflicht speziell für Betreiber kritischer Anlagen, soweit § 39 Abs. 4 BSIG nicht eingreift. [N-BSIG-39]

Der Normwortlaut

§ 39 Abs. 1 Satz 1 BSIG verpflichtet „Betreiber kritischer Anlagen“, die Umsetzung der Maßnahmen „zu einem vom Bundesamt … festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre dem Bundesamt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen.“ [N-BSIG-39]

Wer trägt die Nachweispflicht?

Nur Betreiber kritischer Anlagen — nicht jede besonders wichtige oder wichtige Einrichtung. Das ist der entscheidende Zuschnitt: § 39 BSIG ist eine Sonderpflicht für den KRITIS-Bereich. Andere Einrichtungen müssen Nachweise nicht proaktiv im Drei-Jahres-Rhythmus erbringen; bei ihnen kann das Bundesamt Nachweise über die Aufsichtsnormen §§ 61, 62 BSIG anfordern. [N-BSIG-39]

In welchem Rhythmus ist der Nachweis zu erbringen?

Alle drei Jahre. Der konkrete Zeitpunkt wird vom Bundesamt festgelegt: bei erstmaliger Betreiberstellung frühestens drei Jahre danach, bei erneuter Betreiberstellung spätestens drei Jahre danach; anschließend wiederholt sich der Zyklus alle drei Jahre. Für Betreiber, die schon nach dem alten BSI-Gesetz Betreiber Kritischer Infrastrukturen waren, enthält § 39 Abs. 3 BSIG eine Übergangsregelung, die an den letzten Nachweis nach altem Recht anknüpft. [N-BSIG-39]

In welcher Form ist nachzuweisen?

Durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse einschließlich der aufgedeckten Sicherheitsmängel. Das Bundesamt kann die zugrunde liegende Dokumentation, bei Mängeln einen Mängelbeseitigungsplan und einen Nachweis der erfolgten Beseitigung verlangen. Die Anforderungen an das Verfahren und an die prüfenden Stellen kann das Bundesamt nach § 39 Abs. 2 BSIG festlegen. [N-BSIG-39]

Was kann das Bundesamt bei festgestellten Mängeln verlangen?

Belege und Behebung. Das Bundesamt kann die den Nachweisen zugrunde liegende Dokumentation verlangen, bei aufgedeckten Mängeln einen Mängelbeseitigungsplan und anschließend einen Nachweis über die erfolgte Beseitigung. Der Nachweis endet also nicht mit der Vorlage des Audits. [N-BSIG-39]

Gibt es eine Übergangsregelung für frühere KRITIS-Betreiber?

Ja. Für Betreiber, die schon nach dem alten BSI-Gesetz Betreiber Kritischer Infrastrukturen waren, knüpft § 39 Abs. 3 BSIG an den letzten Nachweis nach altem Recht an. Der Drei-Jahres-Zyklus beginnt für sie nicht bei null. [N-BSIG-39]

Häufige Fehlannahmen

• „Jede NIS-2-Einrichtung muss alle drei Jahre Nachweise erbringen.“ Nein. Die proaktive Nachweispflicht des § 39 BSIG trifft nur Betreiber kritischer Anlagen und gilt nicht in den ausdrücklich ausgenommenen Fällen des § 39 Abs. 4 BSIG. [N-BSIG-39]
• „Der erste Nachweis ist sofort fällig.“ Nein. Er ist frühestens beziehungsweise spätestens drei Jahre nach der Einstufung fällig. [N-BSIG-39]
• „Ein einmaliger Nachweis genügt.“ Nein. Der Nachweis ist alle drei Jahre zu wiederholen. [N-BSIG-39]
• „Wer keine kritische Anlage betreibt, muss dem BSI nie etwas nachweisen.“ Nicht ganz. Bei anderen besonders wichtigen Einrichtungen kann das Bundesamt Audits, Prüfungen oder die Vorlage von Nachweisen im Einzelfall anordnen. [N-BSIG-39]
• „Eine bloße Selbsterklärung erfüllt die Nachweispflicht.“ Nein. Nachzuweisen ist die Umsetzung durch Sicherheitsaudits, Prüfungen oder Zertifizierungen; das Bundesamt kann die zugrunde liegende Dokumentation verlangen. [N-BSIG-39]
• „Das Bundesamt kann bei Mängeln nichts verlangen.“ Doch. Es kann die Dokumentation, einen Mängelbeseitigungsplan und einen Nachweis der Beseitigung verlangen. [N-BSIG-39]
• „Frühere KRITIS-Betreiber beginnen den Nachweiszyklus bei null.“ Nein. § 39 Abs. 3 BSIG knüpft an den letzten Nachweis nach altem Recht an. [N-BSIG-39]

Was die Geschäftsleitung tun sollte

1. Betreiberrolle klären. Nur Betreiber kritischer Anlagen trifft § 39 BSIG.
2. Zyklus planen. Den Drei-Jahres-Rhythmus in die IT-Governance einbauen.
3. Prüfform wählen. Audit, Prüfung oder Zertifizierung — die Anforderungen des Bundesamtes beachten.
4. Mängel dokumentieren und beheben. Das Bundesamt kann Beseitigungspläne und Nachweise verlangen.

Für die Geschäftsleitung

Die Nachweispflicht ist die proaktive Kontrollschleife des KRITIS-Bereichs: Betreiber kritischer Anlagen müssen grundsätzlich alle drei Jahre belegen, dass ihre Maßnahmen umgesetzt sind — von sich aus, nicht erst auf Anfrage. Das unterscheidet sie von der übrigen NIS-2-Welt, in der die Aufsicht den Nachweis anfordert. Wer den Zyklus früh einplant und die Prüfform sauber wählt, macht aus der Pflicht einen belastbaren Statusbericht.

Quellen

1. [N-BSIG-39] § 39 BSIG (Nachweispflichten für Betreiber kritischer Anlagen), Abs. 1 bis 4. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__39.html