BSI-Gesetz
Abkürzung: BSIG
Das BSI-Gesetz regelt zweierlei: die Aufgaben und Befugnisse des Bundesamts für Sicherheit in der Informationstechnik, und die Pflichten, die Unternehmen und Behörden zur Sicherheit ihrer Informationstechnik treffen.
Seine heutige Fassung stammt vom 2. Dezember 2025 und ist am 6. Dezember 2025 in Kraft getreten. Sie setzt die europäische NIS2-Richtlinie um und hat das Gesetz dabei nicht ergänzt, sondern neu geschrieben.
Die neue Zählung
Das ist der Punkt, an dem in der Praxis die meiste Zeit verlorengeht. Die bekannten Paragraphen des alten BSIG gibt es nicht mehr, und ältere Dokumente, Verträge und Prüfberichte verweisen weiter auf sie.
| alt | neu | Inhalt |
|---|---|---|
| § 8a Abs. 1 | § 30 | Risikomanagementmaßnahmen |
| § 8a Abs. 1 (KRITIS) | § 31 | besondere Anforderungen für kritische Anlagen |
| § 8a Abs. 3 | § 39 | Nachweispflicht der Betreiber kritischer Anlagen |
| § 8b Abs. 4 | § 32 | Meldepflichten bei Sicherheitsvorfällen |
| § 8b Abs. 3 | § 33, § 34 | Registrierung und Kontaktstelle |
| — | § 38 | Pflichten der Geschäftsleitung (neu) |
Wer eine Anforderung aus einem Altdokument prüft, sollte sie deshalb zuerst übersetzen. Die Zuordnung ist keine reine Umbenennung: § 30 gilt für einen deutlich größeren Kreis als der frühere § 8a, und § 38 hat überhaupt keinen Vorgänger.
Wer betroffen ist
Der Anwendungsbereich steht in § 28. Das Gesetz unterscheidet zwei Stufen, und die Einordnung erfolgt grundsätzlich nach Sektor und Größe, nicht mehr durch Einzelbenennung:
- Besonders wichtige Einrichtungen — Sektoren aus Anlage 1, ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz bei zugleich mehr als 43 Millionen Euro Bilanzsumme.
- Wichtige Einrichtungen — Sektoren aus Anlage 1 und 2 unterhalb dieser Schwellen, ab mittlerer Unternehmensgröße.
Betreiber kritischer Anlagen bilden eine Teilmenge mit zusätzlichen Pflichten. Der Begriff ist in § 2 Nr. 22 nicht selbst definiert, sondern verweist auf das KRITIS-Dachgesetz — die beiden Gesetze teilen sich denselben Anlagenbegriff.
Ein verbreitetes Missverständnis: Die Einstufung erfolgt nicht durch eine Behörde. Einrichtungen müssen selbst prüfen, ob sie erfasst sind, und sich gegebenenfalls nach § 33 registrieren.
Die Pflichten
§ 30 – Risikomanagementmaßnahmen. Der Kern des Gesetzes. Verlangt werden angemessene Maßnahmen nach dem Stand der Technik, darunter Risikoanalyse, Bewältigung von Vorfällen, Business Continuity, Sicherheit der Lieferkette, Kryptografie und Zugriffskontrolle. Die Angemessenheit bemisst sich an Risiko, Größe und möglichem Schadensausmaß.
§ 38 – Geschäftsleitung. Neu und folgenreich: Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Die Verantwortung ist damit nicht mehr an die IT delegierbar.
§ 39 – Nachweise. Betreiber kritischer Anlagen müssen die Erfüllung periodisch nachweisen.
§ 65 – Bußgelder. Verstöße sind bußgeldbewehrt, gestaffelt nach Stufe der Einrichtung.
Die Meldefristen
Gemeldet wird an eine gemeinsame Meldestelle von BSI und BBK. Für erhebliche Sicherheitsvorfälle sieht § 32 eine Kaskade vor:
| Meldung | Frist |
|---|---|
| frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntnis |
| Meldung über den Vorfall | unverzüglich, spätestens 72 Stunden nach Kenntnis |
| Zwischenmeldung | auf Anforderung des BSI |
| Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung |
Dauert der Vorfall nach einem Monat noch an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung.
Die erste Meldung ist bewusst anspruchslos gehalten: Sie verlangt lediglich die Einschätzung, ob eine böswillige Handlung vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind. Wer innerhalb von 24 Stunden auf eine vollständige Analyse wartet, hat die Frist missverstanden.
Abgrenzung
NIS2. Die europäische Richtlinie, die das BSIG umsetzt. Die Richtlinie bindet die Mitgliedstaaten, das BSIG bindet die Einrichtungen — wer Pflichten prüft, prüft das BSIG, nicht die Richtlinie.
KRITIS-Dachgesetz. Regelt die physische Resilienz derselben Anlagen. BSIG und KRITIS-Dachgesetz sind die zwei Hälften eines Ganzen, mit zwei Aufsichtsbehörden und einer gemeinsamen Meldestelle.
IT-Grundschutz. Keine Rechtsnorm, sondern eine Methode des BSI. Sie ist ein möglicher Weg, die Anforderungen des § 30 zu erfüllen, aber nicht der vorgeschriebene.