NIS2 Behördenkommunikation: Aufsicht, Nachweise und Austausch mit dem BSI

Gegenüber dem BSI haben besonders wichtige und wichtige Einrichtungen fünf laufende Pflichten: 1) Registrierung binnen drei Monaten nach Eintritt in den Anwendungsbereich und Mitteilung von Änderungen binnen zwei Wochen (§ 33 BSIG), 2) Meldung erheblicher Sicherheitsvorfälle über die gemeinsame Meldestelle (§ 32 BSIG; Fristen und Inhalte auf der Seite zur NIS2-Meldepflicht), 3) Dokumentation der Risikomanagementmaßnahmen (§ 30 Abs. 1 BSIG), 4) Mitwirkung an Prüfungen, Nachweisverlangen und Anordnungen (§§ 61, 62 BSIG, für Betreiber kritischer Anlagen zusätzlich § 39 BSIG), 5) regelmäßige Schulung der Geschäftsleitung (§ 38 Abs. 3 BSIG), die das BSI ebenfalls prüfen kann.

Die Registrierung läuft in zwei Schritten: Zuerst beantragen Sie bei "Mein Unternehmenskonto" (MUK) ein ELSTER-Organisationszertifikat (dafür ist eine deutsche Steuernummer nötig, ein Sitz in Deutschland nicht), dann registrieren Sie die Einrichtung damit im BSI-Portal. Anzugeben sind unter anderem Name und Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor und Branche, die EU-Staaten Ihrer Tätigkeit und die zuständigen Aufsichtsbehörden (§ 33 Abs. 1 BSIG). Die Schritte im Detail beschreibt unsere Anleitung zur NIS2-Registrierung beim BSI.

Zuständige Aufsichtsbehörde ist das BSI (§ 59 BSIG), zugleich zentrale Melde- und Anlaufstelle (§ 40 BSIG). Für DNS- und Cloud-Anbieter, Rechenzentren, Managed Service Provider, Online-Marktplätze und vergleichbare digitale Anbieter ist es nur zuständig, wenn ihre Hauptniederlassung in der EU in Deutschland liegt (§ 60 BSIG). Finanzunternehmen im Anwendungsbereich von DORA sind von den Risikomanagement- und Meldepflichten des BSIG ausgenommen und erfüllen diese nach DORA (§ 28 Abs. 6 BSIG). Für Betreiber von Telekommunikationsnetzen und Energieanlagen gelten weitgehend die fachrechtlichen Sonderregeln (§ 28 Abs. 5 BSIG). Einrichtungen der Landes- und Kommunalverwaltung regelt Landesrecht.

Das hängt von der Kategorie ab. Bei besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen, Nachweise frühestens drei Jahre nach Inkrafttreten des Gesetzes anfordern (bei zugelassenen Krankenhäusern fünf Jahre) und vor Ort prüfen: Dann sind Betriebsräume zugänglich zu machen, Unterlagen vorzulegen und Auskünfte zu erteilen (§ 61 BSIG). Bei wichtigen Einrichtungen prüft das BSI, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht richtig umgesetzt werden (§ 62 BSIG). Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach (§ 39 BSIG). Werden Mängel festgestellt, kann das BSI einen Mängelbeseitigungsplan und den Nachweis der Beseitigung verlangen.

Wer die Registrierung nicht, nicht richtig oder nicht rechtzeitig vornimmt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG); die Geldbuße beträgt bis zu 500.000 Euro (§ 65 Abs. 5 Nr. 5 BSIG). Zudem kann das BSI die Einrichtung selbst registrieren und Unterlagen verlangen (§ 33 Abs. 3 und 4 BSIG). Die höheren Bußgelder von bis zu 10 Millionen Euro (besonders wichtige) bzw. 7 Millionen Euro (wichtige Einrichtungen) betreffen Verstöße gegen Risikomanagement- und Meldepflichten. Die Registrierungsfrist beträgt drei Monate ab dem Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut unter das Gesetz fällt; für Einrichtungen, die bereits bei Inkrafttreten am 6. Dezember 2025 betroffen waren, endete sie am 6. März 2026. Das BSI rät, eine versäumte Registrierung umgehend nachzuholen.

Ein Cyberangriff kann beide Pflichten zugleich auslösen. Die DSGVO verlangt bei einer Verletzung des Schutzes personenbezogener Daten eine Meldung an die Datenschutzaufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO). Das BSIG verlangt bei einem erheblichen Sicherheitsvorfall eine frühe Erstmeldung an das BSI binnen 24 Stunden, auch wenn keine personenbezogenen Daten betroffen sind (§ 32 BSIG). Beide Meldungen gehen an verschiedene Behörden und sind getrennt zu erfüllen. Stellt das BSI bei seiner Aufsicht fest, dass ein Verstoß eine meldepflichtige Datenpanne zur Folge haben kann, unterrichtet es die Datenschutzaufsicht (§ 61 Abs. 11 BSIG).

Das BSI erwartet, dass Einrichtungen seine Warnungen und Informationen entgegennehmen, sichten und bewerten können. Diese werden in der Regel zu Geschäftszeiten versandt, dringende Warnungen in Ausnahmefällen aber auch nachts, am Wochenende oder an Feiertagen. Das BSI empfiehlt deshalb interne Weiterleitungsprozesse, etwa über eine ständig besetzte Stelle wie Pforte oder Bereitschaftsdienst, die geeignete Ansprechpersonen auch außerhalb der Geschäftszeiten alarmieren.

Ja. Ein Dienstleister kann mit eigenen ELSTER-Organisationszertifikaten, die Sie im BSI-Portal berechtigen, für Ihre Einrichtung Meldungen abgeben. Die Verantwortung für den Vorfall und den Inhalt der Meldung bleibt nach Auskunft des BSI aber bei Ihrer Einrichtung. Größere Organisationen können Registrierungen und Zertifikate über eine zentrale Stelle verwalten.

Das BSI bestätigt den Eingang unverzüglich und nach Möglichkeit binnen 24 Stunden und gibt auf Ihr Ersuchen Orientierungshilfen oder operative Beratung zur Abhilfe (§ 36 Abs. 1 BSIG). Es kann anordnen, dass Sie die Empfänger Ihrer Dienste über den Vorfall unterrichten (§ 35 BSIG), und verlangen, dass Sie die Öffentlichkeit informieren, wenn das im öffentlichen Interesse liegt (§ 36 Abs. 2 BSIG). Rückfragen des BSI sollten Sie über feste Ansprechpersonen beantworten.

Das BSI kann gegenüber besonders wichtigen Einrichtungen Maßnahmen zur Verhütung oder Behebung eines Sicherheitsvorfalls oder Mangels anordnen, einen Mängelbeseitigungsplan und Berichte dazu verlangen, die Unterrichtung betroffener Kunden über Cyberbedrohungen anordnen und verlangen, dass Verstöße öffentlich bekannt gemacht werden (§ 61 Abs. 6 bis 8 BSIG). Werden Anordnungen trotz Fristsetzung nicht befolgt, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG). Bei wichtigen Einrichtungen gelten diese Befugnisse, wenn Tatsachen auf Pflichtverstöße hindeuten (§ 62 BSIG).