Kurzdefinition: § 35 BSIG regelt die Information der Diensteempfänger über Sicherheitsvorfälle. Das Bundesamt kann Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall zu unterrichten. [N-BSIG-35]
Der Normwortlaut
§ 35 Abs. 1 BSIG bestimmt: Im Fall eines erheblichen Sicherheitsvorfalls kann das Bundesamt Einrichtungen anordnen, „die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte“. Die Unterrichtung kann auch über die Internetseite der Einrichtung erfolgen. [N-BSIG-35]
Wann müssen die Empfänger informiert werden?
Auf Anordnung des Bundesamtes bei erheblichem Vorfall. Die Unterrichtungspflicht entsteht, wenn das Bundesamt sie im Fall eines erheblichen Sicherheitsvorfalls anordnet, der die Diensterbringung beeinträchtigen könnte. Sie richtet sich an die Empfänger der betroffenen Dienste — also typischerweise die Kunden. [N-BSIG-35]
Wie ist zu unterrichten?
Unverzüglich und verständlich. Die Unterrichtung hat unverzüglich zu erfolgen; sie kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung geschehen. Für bestimmte Sektoren bestehen nach § 35 Abs. 2 BSIG zusätzliche Informationspflichten bei erheblichen Cyberbedrohungen, soweit die Interessen der Empfänger überwiegen. [N-BSIG-35]
Wie verhält sich das zu anderen Meldepflichten?
Es steht neben ihnen. Die Unterrichtung der Empfänger nach § 35 BSIG ergänzt die Meldung des erheblichen Sicherheitsvorfalls an das Bundesamt nach § 32 BSIG und die datenschutzrechtliche Benachrichtigung nach Art. 34 DSGVO. Derselbe Vorfall kann mehrere Informationswege auslösen. [N-BSIG-35] [N-BSIG-32] [N-DSGVO-34]
Wer ordnet die Unterrichtung an?
Das Bundesamt. Nach § 35 Abs. 1 BSIG kann das Bundesamt im Fall eines erheblichen Sicherheitsvorfalls anordnen, dass die Einrichtung die Empfänger ihrer Dienste unterrichtet. Die Unterrichtung erfolgt also nicht in jedem Fall automatisch, sondern auf Anordnung. [N-BSIG-35]
In welcher Form kann unterrichtet werden?
Auch öffentlich. Die Unterrichtung der Empfänger kann auch über die Internetseite der Einrichtung erfolgen. Eine individuelle Benachrichtigung jedes Empfängers ist damit nicht zwingend erforderlich. [N-BSIG-35]
Worüber ist zu unterrichten?
Über den beeinträchtigenden Vorfall. Zu unterrichten ist über den erheblichen Sicherheitsvorfall, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte. Die Empfänger sollen die möglichen Folgen für den Dienst einschätzen können. [N-BSIG-35]
Häufige Fehlannahmen
- „Kunden müssen über jeden Vorfall informiert werden.“ Nein. Es kommt auf einen erheblichen Vorfall und die Anordnung des Bundesamtes an. [N-BSIG-35]
- „Die Unterrichtung ersetzt die Meldung an das Bundesamt.“ Nein. Beide Pflichten bestehen nebeneinander. [N-BSIG-35]
- „Eine Veröffentlichung auf der Website ist unzulässig.“ Nein. § 35 BSIG lässt sie ausdrücklich zu. [N-BSIG-35]
- „Nur der erste Sicherheitsvorfall muss den Empfängern gemeldet werden.“ Nein. In bestimmten Sektoren wie Finanzwesen, digitale Infrastruktur und digitale Dienste sind die Empfänger zudem über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen zu unterrichten (§ 35 Abs. 2 BSIG). [N-BSIG-35]
- „Die sektorale Unterrichtung erfolgt in jedem Fall.“ Nein. Die Pflicht nach § 35 Abs. 2 BSIG gilt nur, wenn in der Abwägung die Interessen des Empfängers überwiegen. [N-BSIG-35]
Was die Geschäftsleitung tun sollte
- Kommunikationswege vorbereiten. Kanäle zur schnellen Information der Kunden bereithalten.
- Erheblichkeit bewerten. Sicherheitsvorfälle auf Empfängerbeeinträchtigung prüfen.
- Meldewege koppeln. BSIG-Meldung, Empfänger-Unterrichtung und DSGVO-Benachrichtigung getrennt prüfen und koordinieren.
- Anordnungen umsetzen. Weisungen des Bundesamtes unverzüglich befolgen.
Für die Geschäftsleitung
§ 35 BSIG kann verlangen, dass ein Unternehmen im Ernstfall auch seine Kunden informiert — schnell und verständlich. Für die Geschäftsleitung ist vorbereitete Krisenkommunikation deshalb ein Teil der NIS-2-Organisation; sie ist von der Meldung an das Bundesamt und von der datenschutzrechtlichen Benachrichtigung getrennt zu prüfen.
Quellen
- [N-BSIG-35] § 35 BSIG (Unterrichtung der Empfänger von Diensten), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__35.html
- [N-BSIG-32] § 32 BSIG (Meldepflichten bei erheblichen Sicherheitsvorfällen). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__32.html
- [N-DSGVO-34] Art. 34 DSGVO (Benachrichtigung der betroffenen Person). Konsolidierte Fassung. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
