Mein Jura-trainiertes Gehirn hätte jetzt gesagt: erst einen Artikel schreiben, welche Unternehmen genau unter das BSIG (“Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen”) zur Umsetzung der europäischen NIS2-Richtlinie fallen. Dann eine Information zur Registrierung. Reihenfolge einhalten!
Interessanter finde ich aber zurzeit die Inhalte, die betroffene Unternehmen umsetzen müssen. Daher nehme ich hier eine kleine Abkürzung und fange mit der Frage an, welche Verpflichtungen die Umsetzung der NIS2-Richtlinie in deutsches Recht in Bezug auf die Organisation von Cybersicherheit nun bringt.
Mindestanforderungen
Die nachfolgendeZusammenstellung hat sich in letzter Zeit in meiner täglichen Arbeit als Übersicht für diejenigen bewährt, die in das Thema einsteigen müssen. Wer schon mal mit dem ISO27001Standard, dem VdS10000 oder einem vergleichbaren gearbeitet hat, wird hier keine große Überraschung erleben. Das ist insofern eine Erleichterung für die Praxis, als die Umsetzung des BSIG an einem dieser Standards orientiert werden kann.
Erster Überblick über BSIG
Hinweis: Die ist keine Rechtsberatung und keine Garantie auf Vollständigkeit. Es handelt sich nur um einen ersten Überblick. Alle Details müssen vor dem Hintergrund der Situation im jeweiligen Unternehmen geklärt werden.
Also los -
§ 30 Abs. 2 Nr. 1-10 BSIG konkretisiert die Mindestanforderungen an die in § 30 Abs. 1 allgemein bezeichneten Maßnahmen. Mindestanforderungen heißt: mindestens das ist zu tun, mehr kann sein.
Die Mindestanforderungen sehen zunächst die Erstellung von Konzepten für die Sicherstellung von Informationssicherheit und Cybersicherheit vor. In § 38 Abs. 1 BSIG ist festgelegt, dass die Geschäftsleitungen verpflichtet sind, diese Konzepte auch umzusetzen und ihre Umsetzung zu überwachen. § 38 Abs. 2 BSIG legt darüber hinaus fest, dass die Geschäftsleitungen ihrem Unternehmen für „schuldhaft verursachte Schäden“ haften.
Konzepte und Maßnahmen BSIG
1
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
§ 30 Abs. 2 S. 2 Nr. 1
2
Bewältigung von Sicherheitsvorfällen
§ 30 Abs. 2 S. 2 Nr. 2
3
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
§ 30 Abs. 2 S. 2 Nr. 3
4
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
§ 30 Abs. 2 S. 2 Nr. 4
5
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
§ 30 Abs. 2 S. 2 Nr. 5
6
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
§ 30 Abs. 2 S. 2 Nr. 6
7
Konzepte und Verfahren für den Einsatz von Kryptografischen Verfahren
§ 30 Abs. 2 S. 2 Nr. 8
8
Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und-Prozessen
§ 30 Abs. 2 S. 2 Nr. 9
9
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
§ 30 Abs. 2 S. 2 Nr. 10
Schulungen
1
Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
§ 30 Abs. 2 S. 2 Nr. 7
2
Verpflichtung der Geschäftsleitung zur regelmäßigen Teilnahme an Schulungen.
Ziel:
Erlangung ausreichender Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiko und Risikomanagementpraktiken im Bereich der Sicherheit der Informationstechnik,
Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die vom Unternehmen erbrachten Dienste beurteilen zu können.
§ 38 Abs. 3
Haftung der Geschäftsführung
1
Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und die Umsetzung überwachen. („Governance“.)
§ 38 Abs. 1
2
Geschäftsführung haftet bei Verstoß gegen diese Verpflichtung gegenüber ihrem Unternehmen für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Bestehen diese nicht, Haftung nach dem Gesetz.
§ 38 Abs. 2
Weitere Anforderungen
1
Meldepflichten an die gemeinsame Meldestelle im Fall von erheblichen Sicherheitsvorfällen.
Erste Meldung innerhalb von 24 Stunden nach Kenntniserlangung,
„Update“ innerhalb von 72 Stunden“,
Abschlussmeldung spätestens einen Monat nach der „Update Meldung“.
Falls der Vorfall nach einem Monat noch andauert, muss eine „Fortschrittsmeldung“ erfolgen.
§ 32 Abs. 1 und Abs. 2 BSIG
2
Registrierungspflicht. Frist: drei Monate - also bis zum 06. März 2026
§ 33 BSIG
Das BSI (Opens in a new window) hat für die Registrierung ein Portal eingerichtet. (Opens in a new window)
3
Unterrichtungspflichten (Informationspflichten).
Auf Anordnung des BSI, im Fall eines erheblichen Sicherheitsvorfalls, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte. Informiert werden müssen:
„die Empfänger der Dienste des Unternehmens“.
Form:
„kann auch durch eine Veröffentlichung auf der Internetseite des Unternehmens erfolgen“.
§ 35 BSIG
Soweit der Überblick. Auf den ersten Blick wirkt das alles sehr komplex und schwierig. Die Umsetzung lässt sich aber in kleine Einheiten zerlegen und vielfach kann auch auf schon bestehende Vorarbeiten zurück gegriffen werden.
Für Fragen und Unterstützung stehe ich sehr gerne zur Verfügung!
Date
February 13, 2026
Topic
Informationssicherheit