Unterrichtungspflichten nach BSIG (§ 35 BSIG)

Kurzdefinition: § 35 BSIG erlaubt dem Bundesamt, eine Einrichtung anzuweisen, ihre Kunden über einen erheblichen Sicherheitsvorfall zu unterrichten, der die Diensterbringung beeinträchtigen könnte. [N-BSIG-35]

Der Normwortlaut

§ 35 Abs. 1 BSIG bestimmt: „Im Fall eines erheblichen Sicherheitsvorfalls kann das Bundesamt besonders wichtigen Einrichtungen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte.“ [N-BSIG-35]

Muss man seine Kunden über einen Sicherheitsvorfall informieren?

Bei Anordnung des Bundesamtes ja; außerdem gibt es für bestimmte Sektoren eine eigene Bedrohungsinformation. § 35 Abs. 1 BSIG gibt dem Bundesamt die Befugnis, bei einem erheblichen Sicherheitsvorfall die Unterrichtung der Diensteempfänger anzuordnen. § 35 Abs. 2 BSIG sieht für bestimmte Sektoren zusätzlich Unterrichtungen über erhebliche Cyberbedrohungen und Abhilfemaßnahmen vor, wenn die Interessen der Empfänger überwiegen. [N-BSIG-35]

Wer ordnet die Unterrichtung an?

Das Bundesamt. Nach § 35 Abs. 1 BSIG entscheidet das Bundesamt über die Anordnung; es setzt zudem die zuständige Aufsichtsbehörde des Bundes über solche Anweisungen in Kenntnis. Die Unterrichtung der Empfänger kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen. So bleibt die Umsetzung praktikabel. [N-BSIG-35]

Wie unterscheidet sich das von der Meldepflicht?

Die Meldepflicht geht an die Behörde, die Unterrichtung an die Kunden. Die gestufte Meldepflicht des § 32 BSIG verpflichtet Einrichtungen, erhebliche Sicherheitsvorfälle an die Meldestelle zu melden. § 35 BSIG betrifft dagegen die Information der Diensteempfänger — also der Kunden oder Nutzer — und setzt eine Anordnung des Bundesamtes voraus. Beide Instrumente ergänzen einander. [N-BSIG-35]

Was sollte ein Unternehmen vorbereiten?

Kommunikationswege für den Ernstfall. Da eine Unterrichtung der Kunden unverzüglich erfolgen muss, sollten Einrichtungen vorab festlegen, wie und über welche Kanäle sie im Vorfall informieren. Vorbereitete Textbausteine, klare Zuständigkeiten und ein Veröffentlichungsweg auf der eigenen Website helfen, eine Anordnung nach § 35 BSIG schnell umzusetzen. [N-BSIG-35]

In welcher Form kann die Unterrichtung erfolgen?

Nicht zwingend individuell. Die Unterrichtung der Empfänger kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen. Eine Einzelbenachrichtigung jedes Kunden ist damit nicht in jedem Fall erforderlich. [N-BSIG-35]

Betrifft § 35 BSIG nur bereits eingetretene Vorfälle?

Nein. In bestimmten Sektoren — etwa Finanzwesen, digitale Infrastruktur und digitale Dienste — sind die Empfänger nach § 35 Abs. 2 BSIG zudem über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen zu unterrichten, wenn in der Abwägung die Interessen der Empfänger überwiegen. [N-BSIG-35]

Häufige Fehlannahmen

• „Kunden müssen bei jedem Vorfall automatisch informiert werden.“ Nein. § 35 BSIG knüpft an eine Anordnung des Bundesamtes oder an die besonderen Bedrohungsinformationspflichten bestimmter Sektoren an. [N-BSIG-35]
• „Die Meldung an die Behörde ersetzt die Kundeninformation.“ Nein. Beides sind unterschiedliche Instrumente. [N-BSIG-35]
• „Die Unterrichtung muss individuell erfolgen.“ Sie kann auch durch Veröffentlichung auf der Internetseite erfolgen. [N-BSIG-35]
• „Es geht nur um bereits eingetretene Vorfälle.“ Nein. In bestimmten Sektoren wie Finanzwesen, digitale Infrastruktur und digitale Dienste sind Empfänger zudem über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen zu unterrichten (§ 35 Abs. 2 BSIG). [N-BSIG-35]
• „Diese sektorale Unterrichtung erfolgt immer.“ Nein. Sie gilt nur, wenn in der Abwägung die Interessen des Empfängers überwiegen. [N-BSIG-35]

Was die Geschäftsleitung tun sollte

1. Kommunikationsplan bereithalten. Kanäle zur Kundeninformation vorab festlegen.
2. Zuständigkeiten klären. Verantwortliche für die Unterrichtung benennen.
3. Vorlagen vorbereiten. Textbausteine für den Vorfall bereithalten.
4. Anordnung umsetzen. Auf eine Anweisung des Bundesamtes schnell reagieren.

Für die Geschäftsleitung

§ 35 BSIG kann Unternehmen zur Unterrichtung verpflichten — bei erheblichem Sicherheitsvorfall auf Anordnung des Bundesamtes und in bestimmten Sektoren auch bei erheblicher Cyberbedrohung nach Absatz 2. Wer Kommunikationswege und Zuständigkeiten vorbereitet, kann diese Pflichten im Ernstfall schnell und geordnet erfüllen.

Quellen

1. [N-BSIG-35] § 35 BSIG (Unterrichtungspflichten), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__35.html