Kurzdefinition: § 60 BSIG regelt die Zuständigkeit für bestimmte digitale Diensteanbieter nach dem Herkunftslandprinzip. Das Bundesamt ist für sie nur zuständig, wenn ihre Hauptniederlassung in der EU in Deutschland liegt — dann aber EU-weit zentral. [N-BSIG-60]
Der Normwortlaut
§ 60 Abs. 1 BSIG bestimmt, dass das Bundesamt für die genannten Diensteanbieter (u. a. DNS-Dienste, Cloud-Computing-Dienste, Rechenzentren, Managed Service Provider, Online-Marktplätze und -Suchmaschinen) „nur dann zuständig“ ist, wenn diese ihre Hauptniederlassung in der EU in Deutschland haben; ist dies der Fall, „so ist das Bundesamt für die Einrichtung in der gesamten Europäischen Union zentral zuständig“. [N-BSIG-60]
Wann ist das Bundesamt zuständig?
Nach dem Ort der Hauptniederlassung. Für die in § 60 BSIG genannten digitalen Diensteanbieter gilt nicht der Ort der Leistungserbringung, sondern die Hauptniederlassung. Liegt diese in Deutschland, ist das Bundesamt zuständig — und zwar zentral für die gesamte EU. Liegt sie in einem anderen Mitgliedstaat, ist dessen Behörde zuständig. [N-BSIG-60]
Was gilt als Hauptniederlassung?
Der Ort der maßgeblichen Entscheidungen. Nach § 60 Abs. 2 BSIG ist die Hauptniederlassung der Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheitsmaßnahmen vorwiegend getroffen werden. Hilfsweise gelten der Ort der Durchführung der Maßnahmen oder der Ort der größten Beschäftigtenzahl in der EU. [N-BSIG-60]
Was gilt für Anbieter ohne EU-Niederlassung?
Sie müssen einen Vertreter benennen. Nach § 60 Abs. 3 BSIG muss ein Anbieter ohne Niederlassung in der EU, der aber Dienste in der EU anbietet, einen Vertreter in einem Mitgliedstaat benennen. Ist dieser in Deutschland niedergelassen, ist das Bundesamt zuständig. Fehlt ein Vertreter, kann sich das Bundesamt für zuständig erklären. [N-BSIG-60]
Welche Dienste erfasst § 60 BSIG?
Bestimmte digitale Diensteanbieter. § 60 BSIG nennt unter anderem DNS-Dienste, Cloud-Computing-Dienste, Rechenzentren, Managed Service Provider sowie Online-Marktplätze und Online-Suchmaschinen. Nur für diese Anbieter gilt die besondere Zuständigkeitsregel nach dem Herkunftslandprinzip. [N-BSIG-60]
Was bedeutet die zentrale Zuständigkeit?
Bündelung der Aufsicht an einem Ort. Liegt die Hauptniederlassung eines erfassten Anbieters in Deutschland, ist das Bundesamt nicht nur national, sondern für die gesamte Europäische Union zentral zuständig. Umgekehrt ist bei einer Hauptniederlassung in einem anderen Mitgliedstaat dessen Behörde zuständig. [N-BSIG-60]
Häufige Fehlannahmen
- „Das BSI ist für jeden digitalen Dienst in Deutschland zuständig.“ Nein. Es kommt auf die Hauptniederlassung in der EU an. [N-BSIG-60]
- „Maßgeblich ist der Ort der Leistungserbringung.“ Nein. Entscheidend ist der Ort der maßgeblichen Cybersicherheitsentscheidungen. [N-BSIG-60]
- „Anbieter ohne EU-Sitz sind nicht erfasst.“ Doch. Sie müssen einen Vertreter benennen. [N-BSIG-60]
- „Die höchste Beschäftigtenzahl entscheidet über die Hauptniederlassung.“ Nicht vorrangig. § 60 Abs. 2 BSIG stellt primär auf den Ort der Cybersicherheits-Entscheidungen ab; die höchste Beschäftigtenzahl greift nur nachrangig. [N-BSIG-60]
- „Ohne benannten Vertreter bleibt der Anbieter unbehelligt.“ Nein. Benennt eine Einrichtung keinen Vertreter in der EU, kann sich das Bundesamt für zuständig erklären (§ 60 Abs. 3 BSIG). [N-BSIG-60]
- „Jeder Mitgliedstaat, in dem der Dienst angeboten wird, ist zuständig.“ Nein. Zuständig ist grundsätzlich der Staat der Hauptniederlassung — dann aber EU-weit zentral. [N-BSIG-60]
- „Die Diensteart spielt keine Rolle.“ Doch. § 60 BSIG erfasst nur die dort genannten digitalen Diensteanbieter. [N-BSIG-60]
Was die Geschäftsleitung tun sollte
- Zuständigkeit klären. Die Hauptniederlassung und die zuständige Behörde bestimmen.
- Diensteart prüfen. Feststellen, ob ein von § 60 BSIG erfasster Dienst vorliegt.
- Vertreter benennen. Ohne EU-Niederlassung einen Vertreter in der EU bestellen.
- Zentrale Aufsicht bedenken. Bei deutscher Hauptniederlassung die EU-weite Zuständigkeit einplanen.
Für die Geschäftsleitung
§ 60 BSIG bündelt die Aufsicht über grenzüberschreitende digitale Dienste beim Staat der Hauptniederlassung: Liegt sie in Deutschland, ist das Bundesamt EU-weit zentral zuständig. Für Anbieter von Cloud-, Rechenzentrums- oder Plattformdiensten ist die Bestimmung der Hauptniederlassung damit die Schlüsselfrage der Zuständigkeit.
Quellen
- [N-BSIG-60] § 60 BSIG (Zentrale Zuständigkeit für bestimmte digitale Diensteanbieter), Abs. 1 bis 4. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__60.html
