Das BSI-Gesetz (BSIG) erklärt: Aufbau, wichtige Paragraphen, Gesetzestext

Das BSI-Gesetz (BSIG) ist die deutsche Rechtsgrundlage für alles, was unter dem Stichwort NIS-2 diskutiert wird. Die geltende Fassung stammt vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten — ohne allgemeine Übergangsfrist. Sie ersetzt das BSI-Gesetz von 2009 und setzt die NIS-2-Richtlinie in nationales Recht um. Wer wissen will, was sein Unternehmen konkret schuldet, liest nicht die Richtlinie, sondern das BSIG.

Dieser Beitrag ordnet das Gesetz: wie es aufgebaut ist, welche Paragraphen für Unternehmen zählen, und wo der amtliche Text steht.

Richtlinie, Umsetzungsgesetz, BSIG — was ist was?

Drei Begriffe werden häufig durcheinandergeworfen:

NIS-2-Richtlinie — die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022. Richtlinien richten sich an die Mitgliedstaaten, nicht unmittelbar an Unternehmen. Sie musste erst in deutsches Recht überführt werden.
NIS2UmsuCG — das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Es ist das Artikelgesetz, mit dem der Bundestag die Umsetzung beschlossen hat. Sein Artikel 1 ist das neue BSIG; weitere Artikel ändern andere Gesetze. Als eigenständige Vorschrift zitieren Sie es im Alltag nicht.
BSIG — das Gesetz, das seither gilt und das Sie zitieren, wenn Sie Pflichten benennen.

Für die Praxis heißt das: Maßgeblich ist das BSIG. Die Richtlinie bleibt Auslegungsgrundlage — etwa wenn ein Begriff im BSIG unklar ist oder wenn europäische Durchführungsrechtsakte hinzutreten.

Ein Begriff zur Vorsicht: Die Richtlinie kennt wesentliche und wichtige Einrichtungen. Das BSIG nennt die obere Kategorie in § 28 Abs. 1 „besonders wichtige Einrichtungen”. Gemeint ist dasselbe.

Der Aufbau: neun Teile und zwei Anlagen

Teil	Inhalt	Paragraphen
Teil 1	Allgemeine Vorschriften — Bundesamt, Begriffsbestimmungen	§§ 1–2
Teil 2	Das Bundesamt: Aufgaben und Befugnisse (Kapitel 1), Datenverarbeitung (Kapitel 2)	§§ 3–27
Teil 3	Sicherheit in der Informationstechnik von Einrichtungen — Anwendungsbereich (Kapitel 1), Risikomanagement-, Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten (Kapitel 2), Bundesverwaltung (Kapitel 3)	§§ 28–48
Teil 4	Datenbanken der Domain-Name-Registrierungsdaten	§§ 49–51
Teil 5	Zertifizierung, Konformitätserklärung und Kennzeichen	§§ 52–55
Teil 6	Verordnungsermächtigungen, Grundrechtseinschränkungen, Berichtspflichten	§§ 56–58
Teil 7	Aufsicht	§§ 59–64
Teil 8	Bußgeldvorschriften	§ 65
Teil 9	Anwendungsbestimmungen und Übergangsregelungen	§ 66
Anlage 1	Sektoren besonders wichtiger und wichtiger Einrichtungen (Sektoren hoher Kritikalität)	—
Anlage 2	Sektoren wichtiger Einrichtungen (sonstige kritische Sektoren)	—

Für Unternehmen ist praktisch nur Teil 3 relevant, dazu Teil 7 (Aufsicht), Teil 8 (Bußgelder) und die beiden Anlagen. Die Teile 1, 2 und 4 bis 6 regeln überwiegend Aufgaben und Befugnisse des BSI.

Die Paragraphen, die Unternehmen betreffen

Paragraph	Regelt	Worauf es ankommt
§ 2	Begriffsbestimmungen	Definitionen von „erheblicher Sicherheitsvorfall” (Nr. 11) und „Geschäftsleitung” (Nr. 13) — beide entscheiden über konkrete Pflichten
§ 28	Besonders wichtige und wichtige Einrichtungen	Sektor plus Größe entscheiden über die Betroffenheit; Abs. 3 erlaubt, vernachlässigbare Nebentätigkeiten außer Betracht zu lassen; Abs. 4 regelt, wann Konzernverbindungen mitzählen
§ 30	Risikomanagementmaßnahmen	die zehn Mindestmaßnahmen in Abs. 2; Abs. 1 Satz 3 macht die Dokumentation zur eigenständigen Pflicht
§ 31	Besondere Anforderungen für Betreiber kritischer Anlagen	zusätzliche Anforderungen oberhalb von § 30
§ 32	Meldepflichten	24 Stunden, 72 Stunden, ein Monat — an die gemeinsame Meldestelle von BSI und BBK
§ 33	Registrierungspflicht	drei Monate ab Betroffenheit, Änderungen binnen zwei Wochen; das BSI kann bei Untätigkeit selbst eintragen (Abs. 3)
§ 34	Besondere Registrierungspflicht	für Einrichtungsarten mit zentraler EU-Zuständigkeit (§ 60 Abs. 1) — u. a. digitale Dienste und digitale Infrastruktur
§ 35	Unterrichtungspflichten	Information der eigenen Kunden über Vorfälle und erhebliche Cyberbedrohungen
§ 38	Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung	umsetzen und überwachen (Abs. 1), Innenhaftung (Abs. 2), persönliche Schulungspflicht (Abs. 3)
§ 39	Nachweispflichten für Betreiber kritischer Anlagen	Nachweis alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen
§ 41	Untersagung des Einsatzes kritischer Komponenten	relevant vor allem für Betreiber kritischer Anlagen
§§ 61, 62	Aufsichts- und Durchsetzungsmaßnahmen	Anordnungen, Prüfungen, Veröffentlichung von Verstößen; als letztes Mittel Aussetzung von Genehmigungen und Tätigkeitsuntersagung für Geschäftsleitungen (§ 61 Abs. 9)
§ 65	Bußgeldvorschriften	Tatbestände und Rahmen bis 10 Mio. € bzw. 2 % des Gesamtumsatzes
§ 66	Anwendungs- und Übergangsregelung	koppelt Teile des Gesetzes an das Inkrafttreten der Verordnung nach dem KRITIS-Dachgesetz

§ 28 — bin ich überhaupt betroffen?

Die Einordnung folgt zwei Achsen: Einrichtungsart nach Anlage 1 oder 2 und Größe.

Kategorie	Schwelle	Grundlage
Besonders wichtige Einrichtung	ab 250 Mitarbeitenden oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme, bei einer Einrichtungsart nach Anlage 1	§ 28 Abs. 1 Nr. 4
Besonders wichtig unabhängig von der Größe	Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter	§ 28 Abs. 1 Nr. 1 und 2
Wichtige Einrichtung	ab 50 Mitarbeitenden oder jeweils über 10 Mio. € Jahresumsatz und Jahresbilanzsumme	§ 28 Abs. 2
Sonderfall Telekommunikation	eigene, abweichende Schwellen	§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2

Zwei Feinheiten, die in der Praxis entscheiden: Nach § 28 Abs. 3 dürfen Geschäftstätigkeiten unberücksichtigt bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Und § 28 Abs. 4 stellt klar, dass Daten von Partner- oder verbundenen Unternehmen nicht hinzugerechnet werden, wenn die Einrichtung mit Blick auf Beschaffenheit und Betrieb ihrer IT-Systeme tatsächlich unabhängig ist. Ausführlich: NIS-2-Schwellenwerte einfach erklärt.

§ 30 — der Maßnahmenkatalog

§ 30 Abs. 1 verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen”. Die Verhältnismäßigkeit bemisst sich nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen. Abs. 2 konkretisiert zehn Mindestbereiche — von Risikoanalyse über Lieferkettensicherheit bis Multi-Faktor-Authentifizierung.

Der Satz, der in Aufsichtsgesprächen zählt, steht in Abs. 1 Satz 3: Die Einhaltung ist zu dokumentieren. Fehlt die Dokumentation, ist das ein eigener Bußgeldtatbestand (§ 65 Abs. 2 Nr. 3 BSIG) — unabhängig davon, ob die Maßnahmen faktisch gelebt werden. Die zehn Bereiche als Arbeitsprogramm: NIS-2-Anforderungen als Checkliste.

§ 32 und § 33 — melden und registrieren

§ 32 staffelt die Meldung erheblicher Sicherheitsvorfälle: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Zwischenmeldung auf Ersuchen, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Empfänger ist die gemeinsame Meldestelle von BSI und BBK. Details: NIS-2-Meldepflicht.

§ 33 verlangt die eigene Registrierung binnen drei Monaten, nachdem eine Einrichtung erstmals oder erneut als besonders wichtig oder wichtig gilt; Änderungen sind binnen zwei Wochen nachzuziehen. Eine Benachrichtigung durch das BSI gibt es nicht. Erfüllt eine Einrichtung ihre Pflicht nicht, kann das BSI sie von Amts wegen eintragen (§ 33 Abs. 3) — was die Ordnungswidrigkeit nicht heilt. Schritt für Schritt: BSI-Registrierung.

§ 38 — die Geschäftsleitung in der Pflicht

§ 38 adressiert die Leitungsorgane direkt und in drei Absätzen:

Umsetzen und überwachen (Abs. 1). Die Richtlinie spricht in Art. 20 von „billigen” — das BSIG geht weiter. Ein einmaliges Abzeichnen genügt nicht.
Haftung (Abs. 2). Die Geschäftsleitung haftet ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts (etwa § 43 GmbHG, § 93 AktG). Das BSIG greift nur subsidiär. Es geht also um Innenhaftung, nicht um eine Haftung gegenüber Dritten.
Schulung (Abs. 3). Die Geschäftsleitung muss regelmäßig selbst an Schulungen teilnehmen — persönlich, nicht delegierbar. Was das konkret bedeutet: NIS-2-Schulungspflicht.

§ 65 — der Bußgeldrahmen

Fall	Rahmen
Verstöße gegen Risikomanagement-, Dokumentations- und Meldepflichten (§ 65 Abs. 2 Nr. 2–5) bei besonders wichtigen Einrichtungen	bis 10 Mio. €
dieselben Verstöße bei wichtigen Einrichtungen	bis 7 Mio. €
Alternative bei Gesamtumsatz über 500 Mio. €	bis 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes (§ 65 Abs. 6, 7)
Nachweispflicht für Betreiber kritischer Anlagen (§ 39)	bis 1 Mio. €
versäumte oder unrichtige Registrierung (§ 33, § 34)	bis 500.000 €

Eine Entlastungsregel, die man kennen sollte: Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld verhängt, darf für den daraus folgenden BSIG-Verstoß kein weiteres Bußgeld verhängt werden (§ 65 Abs. 11).

Stand des Gesetzes und Änderungen

Das BSIG ist seit dem Inkrafttreten mehrfach geändert worden — unter anderem durch das KRITIS-Dachgesetz vom 11. März 2026, das die Bestimmung und Registrierung kritischer Anlagen aus dem BSIG heraus in ein eigenes Gesetz verlagert. Nach dem amtlichen Vollzitat ist das BSIG zuletzt durch Artikel 8 Absatz 1 des Gesetzes vom 23. Juli 2026 (BGBl. 2026 I Nr. 226) geändert worden.

Praktisch wichtig ist dabei § 66 BSIG: Einige Vorschriften — die Begriffsbestimmungen in § 2 Nr. 22 und 24 sowie § 33 Abs. 2 und 5 — sind erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 des KRITIS-Dachgesetzes in Kraft getreten ist. Bis dahin gelten die bisherigen Fassungen weiter. Für Betreiber kritischer Anlagen heißt das: Die Bestimmung kritischer Anlagen richtet sich weiterhin nach der BSI-Kritisverordnung.

Weil sich das Gesetz laufend ändert, gilt für jede rechtlich heikle Frage: die aktuelle Fassung auf gesetze-im-internet.de prüfen, nicht eine Zusammenfassung.

Wo Sie die Texte finden

Dokument	Fundstelle
BSIG, amtlicher Text (HTML, einzelne Paragraphen)	gesetze-im-internet.de/bsig_2025
BSIG als PDF-Gesamtausgabe	gesetze-im-internet.de/bsig_2025/BSIG.pdf
NIS-2-Richtlinie (EU) 2022/2555, Volltext auf EUR-Lex	eur-lex.europa.eu/eli/dir/2022/2555
BSI-Kritisverordnung	gesetze-im-internet.de/bsi-kritisv
KRITIS-Dachgesetz	gesetze-im-internet.de/kritisdachg
BSI-Informationen für regulierte Unternehmen	bsi.bund.de

Auf EUR-Lex steht die NIS-2-Richtlinie in allen Amtssprachen der EU bereit; über die Sprachauswahl der ELI-Seite erreichen Sie neben der HTML-Ansicht auch die PDF-Fassung des Amtsblatts. Für Zitate in Verträgen oder Nachweisen nutzen Sie die amtliche Fassung, nicht die Wiedergabe auf einer Beratungsseite — auch nicht unsere.

Vom Gesetzestext zur eigenen Einordnung

Der Weg durch das BSIG ist immer derselbe: § 28 (bin ich betroffen?), § 30 (was muss ich tun?), § 32 und § 33 (was muss ich melden und registrieren?), § 38 (was schuldet die Geschäftsleitung persönlich?). Wie diese Kette in der Praxis zusammenläuft, zeigt unser NIS-2-Überblick.

Die erste Frage beantwortet unser kostenloser Betroffenheits-Check in zwei Minuten — Sektor, Mitarbeiterzahl, Umsatz, Art der Tätigkeit, fertig.

Häufige Fragen

Was ist das BSIG und seit wann gilt es in der neuen Fassung? Das BSI-Gesetz ist das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen. Die geltende Fassung stammt vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Sie ersetzt das BSI-Gesetz von 2009 und setzt die NIS-2-Richtlinie in deutsches Recht um.

Was ist der Unterschied zwischen NIS-2-Richtlinie und BSIG? Die NIS-2-Richtlinie (EU) 2022/2555 richtet sich an die Mitgliedstaaten und musste erst in nationales Recht überführt werden. In Deutschland geschah das über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das das BSIG neu gefasst hat. Für Unternehmen in Deutschland ist deshalb das BSIG die maßgebliche Rechtsgrundlage; die Richtlinie dient der Auslegung.

Welche Paragraphen des BSIG betreffen mein Unternehmen? Vor allem Teil 3 Kapitel 1 und 2: § 28 (bin ich betroffen?), § 30 (Risikomanagementmaßnahmen), § 32 (Meldepflichten), § 33 (Registrierung), § 38 (Pflichten der Geschäftsleitung) und, für Betreiber kritischer Anlagen, §§ 31 und 39. Dazu die Aufsicht in den §§ 61 und 62 sowie die Bußgeldvorschrift § 65.

Wo finde ich den offiziellen Gesetzestext des BSIG als PDF? Auf gesetze-im-internet.de, dem gemeinsamen Portal des Bundesministeriums der Justiz und des Bundesamts für Justiz. Dort steht das BSIG als HTML-Fassung und als PDF-Gesamtausgabe bereit. Den Volltext der NIS-2-Richtlinie führt EUR-Lex, ebenfalls in einer PDF-Fassung in allen Amtssprachen.

Heißt die obere Kategorie „wesentliche” oder „besonders wichtige” Einrichtung? Beides meint dasselbe. Die Richtlinie spricht von wesentlichen Einrichtungen, das BSIG nennt sie in § 28 Abs. 1 „besonders wichtige Einrichtungen”. In deutschen Behördenschreiben, Formularen und im BSI-Portal begegnet Ihnen die deutsche Bezeichnung.

Wurde das BSIG seit dem Inkrafttreten geändert? Ja, mehrfach im Jahr 2026 — unter anderem durch das KRITIS-Dachgesetz vom 11. März 2026. Nach dem amtlichen Vollzitat ist das BSIG zuletzt durch Artikel 8 Absatz 1 des Gesetzes vom 23. Juli 2026 (BGBl. 2026 I Nr. 226) geändert worden. Prüfen Sie bei rechtlich heiklen Fragen immer die aktuelle Fassung auf gesetze-im-internet.de.

Quellen

BSI-Gesetz (BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 Abs. 1 G v. 23.07.2026 (BGBl. 2026 I Nr. 226): gesetze-im-internet.de/bsig_2025
Richtlinie (EU) 2022/2555 (NIS-2), Volltext auf EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555
KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66), in Kraft seit 17.03.2026: gesetze-im-internet.de/kritisdachg
BSI, Informationen für NIS-2-regulierte Unternehmen: bsi.bund.de

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung.