Dr. Marlen Hofmann
Menü
Interaktives Handbuch

NIS-2-Navigator

v1.0Entwurf — nicht freigegeben
Hilfe & Doku ▾
UserhandbuchWas ist neu
Dieses Werkzeug ist für die Nutzung am Desktop gebaut — auf kleinen Bildschirmen ist die Darstellung eingeschränkt.
Artikel 2 · NIS-2-Richtlinie (EU) 2022/2555

Anwendungsbereich

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Diese Richtlinie gilt für öffentliche oder private Einrichtungen der in den Anhang I oder II genannten Art, die nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen nach Absatz 1 jenes Artikels überschreiten und ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben.
Artikel 3 Absatz 4 des Anhangs dieser Empfehlung gilt nicht für die Zwecke dieser Richtlinie.
(2)
Unabhängig von der Größe der Einrichtungen gilt diese Richtlinie auch für Einrichtungen der in den Anhang I oder II genannten Art, wenn
a)
die Dienste erbracht werden von: i) Anbietern von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten; ii) Vertrauensdiensteanbietern; iii) Namenregistern der Domäne oberster Stufe und Domänennamensystem-Diensteanbietern;
b)
es sich bei der Einrichtung in einem Mitgliedstaat um den einzigen Anbieter eines Dienstes handelt, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist;
c)
sich eine Störung des von der Einrichtung erbrachten Dienstes wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte;
d)
eine Störung des von der Einrichtung erbrachten Dienstes zu einem wesentlichen Systemrisiko führen könnte, insbesondere in Sektoren, in denen eine solche Störung grenzübergreifende Auswirkungen haben könnte;
e)
die Einrichtung aufgrund der besonderen Bedeutung, die sie auf nationaler oder regionaler Ebene für den betreffenden Sektor oder die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren in dem Mitgliedstaat hat, kritisch ist;
f)
die Einrichtung eine Einrichtung der öffentlichen Verwaltung: i) von einem Mitgliedstaat gemäß nationalem Recht definierte Einrichtung der öffentlichen Verwaltung der Zentralregierung ist oder ii) von einem Mitgliedstaat gemäß nationalem Recht definierte Einrichtung der öffentlichen Verwaltung auf regionaler Ebene ist, die nach einer risikobasierten Bewertung Dienste erbringt, deren Störung erhebliche Auswirkungen auf kritische gesellschaftliche oder wirtschaftliche Tätigkeiten haben könnte.
(3)
Unabhängig von der Größe der Einrichtungen gilt diese Richtlinie auch für Einrichtungen, die nach Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden.
(4)
Unabhängig von der Größe der Einrichtungen gilt diese Richtlinie auch für Einrichtungen, die Domänennamenregistrierungsdienste erbringen.
(5)
Die Mitgliedstaaten können vorsehen, dass diese Richtlinie Anwendung findet auf:
a)
Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene;
b)
Bildungseinrichtungen, insbesondere wenn sie kritische Forschungstätigkeiten durchführen.
(6)
Diese Richtlinie lässt die Zuständigkeit der Mitgliedstaaten in Bezug auf die Aufrechterhaltung der nationalen Sicherheit und ihre Befugnis, andere wesentliche staatliche Funktionen zu schützen, einschließlich der Wahrung der territorialen Unversehrtheit des Staates und der Aufrechterhaltung der öffentlichen Ordnung, unberührt.
(7)
Diese Richtlinie gilt nicht für Einrichtungen der öffentlichen Verwaltung, die ihre Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung ausüben, einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten.
(8)
Zu diesem Zweck können die Mitgliedstaaten bestimmte Einrichtungen, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind, einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten, oder die Dienste ausschließlich für die in Absatz 7 dieses Artikels genannten Einrichtungen der öffentlichen Verwaltung erbringen, von den in Artikel 21 oder 23 festgelegten Verpflichtungen in Bezug auf diese Tätigkeiten oder Dienste ausnehmen. In solchen Fällen gelten die in Kapitel VII genannten Aufsichts- und Durchsetzungsmaßnahmen nicht für diese spezifischen Tätigkeiten oder Dienste. Wenn die Einrichtungen ausschließlich Tätigkeiten der in diesem Absatz genannten Art ausüben oder entsprechende Dienste erbringen, können die Mitgliedstaaten auch beschließen, diese Einrichtungen von den in den Artikeln 3 und 27 festgelegten Verpflichtungen auszunehmen.
(9)
Die Absätze 7 und 8 finden keine Anwendung, wenn eine Einrichtung als Vertrauensdiensteanbieter auftritt.
(10)
Diese Richtlinie gilt nicht für Einrichtungen, die die Mitgliedstaaten gemäß Artikel 2 Absatz 4 der Verordnung (EU) 2022/2554 vom Anwendungsbereich der genannten Verordnung ausgenommen haben.
(11)
Die in dieser Richtlinie festgelegten Verpflichtungen umfassen nicht die Bereitstellung von Informationen, deren Offenlegung wesentlichen Interessen der Mitgliedstaaten im Bereich der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung zuwiderlaufen würde.
(12)
Diese Richtlinie gilt unbeschadet der Verordnung (EU) 2016/679, der Richtlinie 2002/58/EG, der Richtlinien 2011/93/EU (27) und 2013/40/EU (28) des Europäischen Parlaments und des Rates sowie der Richtlinie (EU) 2022/2557.
(13)
Unbeschadet des Artikels 346 AEUV werden Informationen, die gemäß den Vorschriften der Union oder der Mitgliedstaaten, wie z. B. Vorschriften über das Geschäftsgeheimnis, vertraulich sind, mit der Kommission und anderen zuständigen Behörden im Einklang mit dieser Richtlinie nur ausgetauscht, wenn dieser Austausch für die Anwendung dieser Richtlinie erforderlich ist. Die auszutauschenden Informationen werden auf den zum Zweck dieses Informationsaustauschs relevanten und angemessenen Umfang beschränkt. Beim Informationsaustausch werden die Vertraulichkeit der Informationen gewahrt sowie die Sicherheit und die geschäftlichen Interessen der betreffenden kritischen Einrichtungen geschützt.
(14)
Einrichtungen, die zuständige Behörden, die zentrale Anlaufstellen und die CSIRTs verarbeiten personenbezogene Daten, soweit dies für die Zwecke dieser Richtlinie erforderlich ist und im Einklang mit der Verordnung (EU) 2016/679, insbesondere auf der Grundlage von Artikel 6 der genannten Verordnung.
Die Verarbeitung personenbezogener Daten gemäß dieser Richtlinie durch Anbieter öffentlicher elektronischer Kommunikationsnetze oder Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste erfolgt im Einklang mit dem Datenschutzrecht der Union und dem Unionsrecht zum Schutz der Privatsphäre, insbesondere der Richtlinie 2002/58/EG.
Im deutschen Recht umgesetzt durch: § 28, § 29, § 37 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 3 · NIS-2-Richtlinie (EU) 2022/2555

Wesentliche und wichtige Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Für die Zwecke dieser Richtlinie gelten als wesentliche Einrichtungen:
a)
Einrichtungen der in Anhang I aufgeführten Art, die die in Artikel 2 Absatz 1 des Anhangs der Empfehlung 2003/361/EG genannten Schwellenwerte für mittlere Unternehmen überschreiten;
b)
qualifizierte Vertrauensdiensteanbieter und Domänennamenregister der Domäne oberster Stufe sowie DNS-Diensteanbieter, unabhängig von ihrer Größe;
c)
Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, die nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG genannten als mittlere Unternehmen gelten;
d)
Einrichtungen der öffentlichen Verwaltung nach Artikel 2 Absatz 2 Buchstabe f Ziffer i;
e)
sonstige Einrichtungen der in Anhang I oder II aufgeführten Art, die von einem Mitgliedstaat gemäß Artikel 2 Absatz 2 Buchstaben b bis e als wesentliche Einrichtungen eingestuft werden;
f)
Einrichtungen, die gemäß der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden und die in Artikel 2 Absatz 3 der vorliegenden Richtlinie genannt werden;
g)
sofern der Mitgliedstaat dies vorsieht, Einrichtungen, die von den Mitgliedstaaten vor dem 16. Januar 2023 gemäß der Richtlinie (EU) 2016/1148 oder nach nationalem Recht als Betreiber wesentlicher Dienste eingestuft wurden.
(2)
Für die Zwecke dieser Richtlinie gelten Einrichtungen der in Anhang I oder II aufgeführten Art, die nicht als wesentliche Einrichtungen im Sinne von Absatz 1 des vorliegenden Artikels gelten, als wichtige Einrichtungen. Dies schließt Einrichtungen ein, die von den Mitgliedstaaten gemäß Artikel 2 Absatz 2 Buchstaben b bis e als wichtige Einrichtungen eingestuft wurden.
(3)
Bis zum 17. April 2025 erstellen die Mitgliedstaaten eine Liste von wesentlichen und wichtigen Einrichtungen und von Einrichtungen, die Domänennamen-Registrierungsdienste erbringen. Die Mitgliedstaaten überprüfen diese Liste danach regelmäßig, mindestens jedoch alle zwei Jahre, und aktualisieren sie gegebenenfalls.
(4)
Für die Zwecke der Erstellung der in Absatz 3 genannten Liste schreiben die Mitgliedstaaten vor, dass die jenem Absatz genannten Einrichtungen den zuständigen Behörden mindestens die folgenden Informationen übermitteln:
a)
den Namen der Einrichtung,
b)
die Anschrift und aktuellen Kontaktdaten, einschließlich der E-Mail-Adressen, IP-Adressbereiche und Telefonnummern,
c)
gegebenenfalls den relevanten Sektor und Teilsektor gemäß Anhang I oder II sowie
d)
gegebenenfalls eine Liste der Mitgliedstaaten, in denen sie Dienste erbringen, die in den Anwendungsbereich dieser Richtlinie fallen.
Die in Absatz 3 genannten Einrichtungen teilen alle Änderungen der gemäß Unterabsatz 1 des vorliegenden Absatzes übermittelten Angaben unverzüglich mit, in jedem Fall jedoch innerhalb von zwei Wochen ab dem Zeitpunkt der Änderung.
Die Kommission stellt mit Unterstützung der Agentur der Europäischen Union für Cybersicherheit (ENISA) unverzüglich Leitlinien und Vorlagen für die in diesem Absatz festgelegten Verpflichtungen bereit.
Die Mitgliedstaaten können nationale Mechanismen für die Registrierung von Einrichtungen einrichten.
(5)
Bis zum 17. April 2025 und danach alle zwei Jahre teilen die zuständigen Behörden Folgendes mit:
a)
der Kommission und der Kooperationsgruppe für jeden Sektor und Teilsektor gemäß Anhang I oder II die Anzahl der wesentlichen und wichtigen Einrichtungen, die gemäß Absatz 3 auf die Liste aufgenommen wurden, und
b)
der Kommission sachdienliche Informationen über die Zahl der wesentlichen und wichtigen Einrichtungen, die gemäß Artikel 2 Absatz 2 Buchstaben b bis e ermittelt wurden, über den Sektor und den Teilsektor gemäß Anhang I oder II, zu dem sie gehören, über die Art der von ihnen erbrachten Dienste und über die Bestimmung unter denen in Artikel 2 Absatz 2 Buchstaben b bis e festgelegten Bestimmungen, auf deren Grundlage sie ermittelt wurden.
(6)
Bis zum 17. April 2025 können die Mitgliedstaaten der Kommission auf Ersuchen der Kommission die Namen der wesentlichen und wichtigen Einrichtungen gemäß Absatz 5 Buchstabe b mitteilen.
Im deutschen Recht umgesetzt durch: § 28, § 33, § 58 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 6 · NIS-2-Richtlinie (EU) 2022/2555

Begriffsbestimmungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
Für die Zwecke dieser Richtlinie bezeichnet der Ausdruck
1.
„Netz- und Informationssystem“ a) ein elektronisches Kommunikationsnetz im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2018/1972, b) ein Gerät oder eine Gruppe miteinander verbundener oder zusammenhängender Geräte, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung digitaler Daten durchführen, oder c) digitale Daten, die von den — in den Buchstaben a und b genannten — Elementen zum Zwecke ihres Betriebs, ihrer Nutzung, ihres Schutzes und ihrer Pflege gespeichert, verarbeitet, abgerufen oder übertragen werden;
2.
„Sicherheit von Netz- und Informationssystemen“ die Fähigkeit von Netz- und Informationssystemen, auf einem bestimmten Vertrauensniveau alle Ereignisse abzuwehren, die die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter oder übermittelter oder verarbeiteter Daten oder der Dienste, die über diese Netz- und Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigen können;
3.
„Cybersicherheit“ die Cybersicherheit im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) 2019/881;
4.
„nationale Cybersicherheitsstrategie“ einen kohärenten Rahmen eines Mitgliedstaats mit strategischen Zielen und Prioritäten im Bereich der Cybersicherheit und der zu ihrer Verwirklichung erforderlichen Governance in diesem Mitgliedstaat;
5.
„Beinahe-Vorfall“ ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über Netz- und Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigt haben könnte, dessen Eintritt jedoch erfolgreich verhindert wurde bzw. das nicht eingetreten ist;
6.
„Sicherheitsvorfall“ ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über Netz- und Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigt;
7.
„Cybersicherheitsvorfall großen Ausmaßes“ einen Sicherheitsvorfall, der eine Störung verursacht, deren Ausmaß die Reaktionsfähigkeit eines Mitgliedstaats übersteigt, oder der beträchtliche Auswirkungen auf mindestens zwei Mitgliedstaaten hat;
8.
„Bewältigung von Sicherheitsvorfällen“ alle Maßnahmen und Verfahren zur Verhütung, Erkennung, Analyse und Eindämmung von Sicherheitsvorfällen oder die Reaktion darauf und die Erholung davon;
9.
„Risiko“ das Potenzial für Verluste oder Störungen, die durch einen Sicherheitsvorfall verursacht werden, das als eine Kombination des Ausmaßes eines solchen Verlusts oder einer solchen Störung und der Wahrscheinlichkeit des Eintretens des Sicherheitsvorfalls zum Ausdruck gebracht wird;
10.
„Cyberbedrohung“ eine Cyberbedrohung im Sinne des Artikel 2 Nummer 8 der Verordnung (EU) 2019/881;
11.
„erhebliche Cyberbedrohung“ eine Cyberbedrohung, die das Potenzial besitzt, die Netz- und Informationssysteme einer Einrichtung oder der Nutzer solcher Systeme aufgrund ihrer technischen Merkmale erheblich zu beeinträchtigen, indem sie erheblichen materiellen oder immateriellen Schaden verursacht;
12.
„IKT-Produkt“ ein IKT-Produkt im Sinne des Artikels 2 Nummer 12 der Verordnung (EU) 2019/881;
13.
„IKT-Dienst“ bezeichnet einen IKT-Dienst im Sinne des Artikels 2 Nummer 13 der Verordnung (EU) 2019/881;
14.
„IKT-Prozess“ einen IKT-Prozess im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/881;
15.
„Schwachstelle“ eine Schwäche, Anfälligkeit oder Fehlfunktion von IKT-Produkten oder IKT-Diensten, die bei einer Cyberbedrohung ausgenutzt werden kann;
16.
„Norm“ eine Norm im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates (29);
17.
„technische Spezifikation“ eine technische Spezifikation im Sinne des Artikels 2 Nummer 4 der Verordnung (EU) Nr. 1025/2012;
18.
„Internet-Knoten“ eine Netzeinrichtung, die die Zusammenschaltung von mehr als zwei unabhängigen Netzen (autonomen Systemen) ermöglicht, in erster Linie zur Erleichterung des Austauschs von Internet-Datenverkehr, der nur der Zusammenschaltung autonomer Systeme dient und weder voraussetzt, dass der Internet-Datenverkehr zwischen zwei beliebigen teilnehmenden autonomen Systemen über ein drittes autonomes System läuft; noch den betreffenden Datenverkehr verändert oder anderweitig beeinträchtigt;
19.
„Domänennamensystem“ oder „DNS“ ein verteiltes hierarchisches Verzeichnissystem, das die Identifizierung von Diensten und Ressourcen im Internet ermöglicht und es Endnutzergeräten erlaubt, Internet-Routing- und Konnektivitätsdienste zu nutzen, um diese Dienste und Ressourcen zu erreichen;
20.
„DNS-Diensteanbieter“ eine Einrichtung, die a) für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domänennamen anbietet oder b) autoritative Dienste zur Auflösung von Domänennamen zur Nutzung durch Dritte, mit Ausnahme von Root-Namenservern, anbietet;
21.
„Namenregister der Domäne oberster Stufe“ oder „TLD-Namenregister“ eine Einrichtung, der eine bestimmte Domäne oberster Stufe (Top Level Domain — TLD) übertragen wurde und die für die Verwaltung der TLD, einschließlich der Registrierung von Domänennamen unterhalb der TLD, sowie für den technischen Betrieb der TLD, einschließlich des Betriebs ihrer Namenserver, der Pflege ihrer Datenbanken und der Verteilung von TLD-Zonendateien über die Namenserver, zuständig ist, unabhängig davon, ob der Betrieb durch die Einrichtung selbst erfolgt oder ausgelagert wird, jedoch mit Ausnahme von Situationen, in denen TLD-Namen von einem Register nur für seine eigenen Zwecke verwendet werden;
22.
„Einrichtung, die Domänennamen-Registrierungsdienste erbringt“ ein Registrar oder eine Stelle, die im Namen von Registraren tätig ist, wie etwa ein Anbieter oder Wiederverkäufer von Datenschutz- oder Proxy-Registrierungsdiensten;
23.
„digitaler Dienst“ einen Dienst im Sinne des Artikels 1 Absatz 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates (30);
24.
„Vertrauensdienst“ einen Vertrauensdienst im Sinne des Artikels 3 Nummer 16 der Verordnung (EU) Nr. 910/2014;
25.
„Vertrauensdiensteanbieter“ einen Vertrauensdiensteanbieter im Sinne des Artikels 3 Nummer 19 der Verordnung (EU) Nr. 910/2014;
26.
„qualifizierter Vertrauensdienst“ einen qualifizierten Vertrauensdienst im Sinne des Artikels 3 Nummer 17 der Verordnung (EU) Nr. 910/2014;
27.
„qualifizierter Vertrauensdiensteanbieter“ einen qualifizierten Vertrauensdiensteanbieter im Sinne des Artikels 3 Nummer 20 der Verordnung (EU) Nr. 910/2014;
28.
„Online-Marktplatz“ einen digitalen Dienst im Sinne des Artikels 2 Buchstabe n der Richtlinie 2005/29/EG des Europäischen Parlaments und des Rates (31);
29.
„Online-Suchmaschine“ eine Online-Suchmaschine im Sinne des Artikels 2 Nummer 5 der Verordnung (EU) 2019/1150 des Europäischen Parlaments und des Rates (32);
30.
„Cloud-Computing-Dienst“ einen digitalen Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind;
31.
„Rechenzentrumsdienst“ einen Dienst, mit dem spezielle Strukturen oder Gruppen von Strukturen für die zentrale Unterbringung, die Verbindung und den Betrieb von IT- und Netzausrüstungen zur Erbringung von Datenspeicher-, Datenverarbeitungs- und Datentransportdiensten sowie alle Anlagen und Infrastrukturen für die Leistungsverteilung und die Umgebungskontrolle bereitgestellt werden;
32.
„Inhaltszustellnetz“ bezeichnet ein Netz dezentraler Server zur Gewährleistung einer hohen Verfügbarkeit, Zugänglichkeit oder schnellen Zustellung digitaler Inhalte und Dienste für Internetnutzer im Auftrag von Inhalte- und Diensteanbietern;
33.
„Plattform für Dienste sozialer Netzwerke“ eine Plattform, auf der Endnutzer mit unterschiedlichen Geräten insbesondere durch Chats, Posts, Videos und Empfehlungen miteinander in Kontakt treten und kommunizieren sowie Inhalte teilen und entdecken können;
34.
„Vertreter“ eine in der Union niedergelassene natürliche oder juristische Person, die ausdrücklich benannt wurde, um im Auftrag eines DNS-Diensteanbieters, einer Einrichtung, die Domänennamen-Registrierungsdienste erbringt, eines TLD-Namenregisters, eines Anbieters von Cloud-Computing-Diensten, eines Anbieters von Rechenzentrumsdiensten, eines Betreibers von Inhaltszustellnetzen, eines Anbieters verwalteter Dienste, eines Anbieters verwalteter Sicherheitsdienste oder eines Anbieters von einem Online-Marktplatz, von einer Online-Suchmaschine oder von einer Plattform für Dienste sozialer Netzwerke, der bzw. die nicht in der Union niedergelassen ist, zu handeln, und an die sich eine nationale zuständige Behörde oder ein CSIRT — statt an die Einrichtung — hinsichtlich der Pflichten dieser Einrichtung gemäß dieser Richtlinie wenden kann;
35.
„Einrichtung der öffentlichen Verwaltung“ eine als solche in einem Mitgliedstaat nach nationalem Recht anerkannte Einrichtung, ausgenommen Justiz, Parlamente und Zentralbanken, die die folgenden Kriterien erfüllt: a) sie wurde zu dem Zweck gegründet, im allgemeinen Interesse liegende Aufgaben zu erfüllen, und hat keinen gewerblichen oder kommerziellen Charakter, b) sie besitzt Rechtspersönlichkeit oder ist gesetzlich dazu befugt, im Namen einer anderen Einrichtung mit eigener Rechtspersönlichkeit zu handeln, c) sie wird überwiegend vom Staat, Gebietskörperschaften oder von anderen Körperschaften des öffentlichen Rechts finanziert, untersteht hinsichtlich ihrer Leitung der Aufsicht dieser Körperschaften oder verfügt über ein Verwaltungs-, Leitungs- bzw. Aufsichtsorgan, das mehrheitlich aus Mitgliedern besteht, die vom Staat, von Gebietskörperschaften oder von anderen Körperschaften des öffentlichen Rechts eingesetzt worden sind, d) sie ist befugt, an natürliche oder juristische Personen Verwaltungs- oder Regulierungsentscheidungen zu richten, die deren Rechte im grenzüberschreitenden Personen-, Waren-, Dienstleistungs- oder Kapitalverkehr berühren;
36.
„öffentliches elektronisches Kommunikationsnetz“ ein öffentliches elektronisches Kommunikationsnetz im Sinne von Artikel 2 Nummer 8 der Richtlinie (EU) 2018/1972;
37.
„elektronischer Kommunikationsdienst“ einen elektronischen Kommunikationsdienst im Sinne des Artikels 2 Nummer 4 der Richtlinie (EU) 2018/1972;
38.
„Einrichtung“ eine natürliche Person oder nach dem an ihrem Sitz geltenden nationalen Recht geschaffene und anerkannte juristische Person, die in eigenem Namen Rechte ausüben und Pflichten unterliegen kann;
39.
„Anbieter verwalteter Dienste“ eine Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung erbringt, die entweder in den Räumlichkeiten der Kunden oder aus der Ferne erbringt;
40.
„Anbieter verwalteter Sicherheitsdienste“ einen Anbieter verwalteter Dienste, der Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich der Cybersicherheit durchführt oder erbringt;
41.
„Forschungseinrichtung“ eine Einrichtung, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen, die jedoch Bildungseinrichtungen nicht einschließt.
Im deutschen Recht umgesetzt durch: § 2 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 8 · NIS-2-Richtlinie (EU) 2022/2555

Zuständige Behörden und zentrale Anlaufstellen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Jeder Mitgliedstaat benennt eine oder mehrere für die Cybersicherheit und die in Kapitel VII genannten Aufsichtsaufgaben zuständige Behörden (zuständige Behörden) oder richtet sie ein.
(2)
Die zuständigen Behörden gemäß Absatz 1 überwachen die Anwendung dieser Richtlinie auf nationaler Ebene.
(3)
Jeder Mitgliedstaat benennt eine zentrale Anlaufstelle oder richtet sie ein. Benennt ein Mitgliedstaat nur eine zuständige Behörde nach Absatz 1 oder richtet er nur eine solche zuständige Behörde ein, so ist diese zuständige Behörde auch die zentrale Anlaufstelle dieses Mitgliedstaats.
(4)
Jede zentrale Anlaufstelle fungiert als Verbindungsstelle, um die grenzüberschreitende Zusammenarbeit der Behörden des Mitgliedstaats mit den entsprechenden Behörden anderer Mitgliedstaaten und gegebenenfalls mit der Kommission und der ENISA sowie die sektorübergreifende Zusammenarbeit mit anderen zuständigen Behörden innerhalb ihres Mitgliedstaats zu gewährleisten.
(5)
Die Mitgliedstaaten gewährleisten, dass ihre zuständigen Behörden und zentralen Anlaufstellen mit angemessenen Ressourcen ausgestattet sind, damit sie die ihnen übertragenen Aufgaben wirksam und effizient wahrnehmen können und die Ziele dieser Richtlinie somit erreicht werden.
(6)
Die Mitgliedstaaten notifizieren der Kommission unverzüglich die Identität der zuständigen Behörde gemäß Absatz 1 und der zentralen Anlaufstelle gemäß Absatz 3, die Aufgaben dieser Behörden sowie etwaige spätere Änderungen dieser Angaben. Jeder Mitgliedstaat veröffentlicht die Identität seiner zuständigen Behörde. Die Kommission erstellt eine öffentlich verfügbare Liste der zentralen Anlaufstellen.
Im deutschen Recht umgesetzt durch: § 40, § 59 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 10 · NIS-2-Richtlinie (EU) 2022/2555

Computer-Notfallteams (CSIRTs)

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Jeder Mitgliedstaat benennt ein oder mehrere CSIRTs oder richtet sie ein. Die CSIRTs können innerhalb einer zuständigen Behörde benannt oder eingerichtet werden. Die CSIRTs erfüllen die in Artikel 11 Absatz 1 festgelegten Anforderungen, decken mindestens die in den Anhängen I und II genannten Sektoren, Teilsektoren und Arten von Einrichtungen ab und sind für die Bewältigung von Sicherheitsvorfällen nach einem genau festgelegten Ablauf zuständig.
(2)
Die Mitgliedstaaten gewährleisten, dass jedes CSIRT mit angemessenen Ressourcen ausgestattet ist, damit es seine in Artikel 11 Absatz 3 aufgeführten Aufgaben wirksam erfüllen kann.
(3)
Die Mitgliedstaaten stellen sicher, dass jedes CSIRT über eine geeignete, sichere und belastbare Kommunikations- und Informationsinfrastruktur verfügt, über die es Informationen mit wesentlichen und wichtigen Einrichtungen und anderen einschlägigen Interessenträgern austauscht. Zu diesem Zweck stellen die Mitgliedstaaten sicher, dass jedes CSIRT zur Einführung sicherer Instrumente für den Informationsaustausch beiträgt.
(4)
Die CSIRTs arbeiten mit sektorspezifischen oder sektorübergreifenden Gruppierungen wesentlicher und wichtiger Einrichtungen zusammen und tauschen mit diesen gemäß Artikel 29 gegebenenfalls einschlägige Informationen aus.
(5)
Die CSIRTs nehmen an gemäß Artikel 19 organisierten Peer Reviews teil.
(6)
Die Mitgliedstaaten stellen sicher, dass ihre CSIRTs in dem CSIRTs-Netzwerk wirksam, effizient und sicher zusammenarbeiten.
(7)
Die CSIRTs können Kooperationsbeziehungen mit nationalen Computer-Notfallteams von Drittländern aufnehmen. Als Teil solcher Kooperationsbeziehungen erleichtern die Mitgliedstaaten den wirksamen, effizienten und sicheren Informationsaustausch mit diesen nationalen Computer-Notfallteams von Drittländern, wobei sie einschlägige Protokolle für den Informationsaustausch, einschließlich des Traffic Light Protocol, verwendet. Die CSIRTs können mit nationalen Computer-Notfallteams von Drittländern einschlägige Informationen, einschließlich personenbezogener Daten im Einklang mit dem Datenschutzrecht der Union, austauschen.
(8)
Die CSIRTS können mit nationalen Computer-Notfallteams von Drittländern oder gleichwertigen Stellen von Drittländern kooperieren, insbesondere um Unterstützung im Bereich der Cybersicherheit zu leisten.
(9)
Jeder Mitgliedstaat notifiziert der Kommission unverzüglich die Identität des CSIRT gemäß Absatz 1 und des als Koordinator gemäß Absatz 12 Absatz 1 benannten CSIRT, ihre jeweiligen Aufgaben in Bezug auf wesentliche und wichtige Einrichtungen sowie etwaige spätere Änderungen dieser Angaben.
(10)
Die Mitgliedstaaten können die ENISA um Unterstützung bei der Einsetzung ihrer CSIRTs ersuchen.
Im deutschen Recht umgesetzt durch: § 3 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 12 · NIS-2-Richtlinie (EU) 2022/2555

Koordinierte Offenlegung von Schwachstellen und eine europäische Schwachstellendatenbank

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Jeder Mitgliedstaat benennt eines seiner CSIRTs als Koordinator für die Zwecke einer koordinierten Offenlegung von Schwachstellen. Das als Koordinator benannte CSIRT fungiert als vertrauenswürdiger Vermittler und erleichtert erforderlichenfalls die Interaktion zwischen der eine Schwachstelle meldenden natürlichen oder juristischen Person und dem Hersteller oder Anbieter der potenziell gefährdeten IKT-Produkte oder IKT-Dienste auf Ersuchen einer der beiden Seiten. Zu den Aufgaben des als Koordinator benannten CSIRT gehört insbesondere
a)
betreffende Einrichtungen zu ermitteln und zu kontaktieren,
b)
die natürlichen oder juristischen Personen, die eine Schwachstelle melden, zu unterstützen, und
c)
Zeitpläne für die Offenlegung auszuhandeln und das Vorgehen bei Schwachstellen zu koordinieren, die mehrere Einrichtungen betreffen.
Die Mitgliedstaaten stellen sicher, dass natürliche oder juristische Personen dem als Koordinator benannten CSIRT eine Schwachstelle, auf Wunsch anonym, melden können. Das als Koordinator benannte CSIRT stellt sicher, dass in Bezug auf die gemeldete Schwachstelle sorgfältige Folgemaßnahmen durchgeführt werden, und sorgen für die Anonymität der die Schwachstelle meldenden natürlichen oder juristischen Person. Wenn die gemeldete Schwachstelle erhebliche Auswirkungen auf Einrichtungen in mehreren Mitgliedstaaten haben könnte, arbeitet das als Koordinator benannte CSIRT jedes betreffenden Mitgliedstaats gegebenenfalls mit den anderen als Koordinatoren benannten CSIRTs innerhalb des CSIRTs-Netzwerks zusammen.
(2)
Die ENISA entwickelt und pflegt nach Absprache mit der Kooperationsgruppe eine europäische Schwachstellendatenbank. Zu diesem Zweck führt die ENISA geeignete Informationssysteme, Konzepte und Verfahren ein, pflegt diese und trifft die erforderlichen technischen und organisatorischen Maßnahmen, um die Sicherheit und Integrität der europäischen Schwachstellendatenbank zu gewährleisten, damit insbesondere Einrichtungen, unabhängig davon, ob sie in den Anwendungsbereich dieser Richtlinie fallen, und deren Anbieter von Netz- und Informationssystemen auf freiwilliger Basis öffentlich bekannte Schwachstellen in IKT-Produkten oder -Diensten offenlegen und registrieren können. Allen Interessenträgern wird Zugang zu den Informationen über die Schwachstellen gewährt, die in der europäischen Schwachstellendatenbank enthalten sind. Diese Datenbank umfasst Folgendes:
a)
Informationen zur Beschreibung der Schwachstelle,
b)
die betroffenen IKT-Produkte oder IKT-Dienste und das Ausmaß der Schwachstelle im Hinblick auf die Umstände, unter denen sie ausgenutzt werden kann,
c)
die Verfügbarkeit entsprechender Patches und bei Nichtverfügbarkeit von Patches von den zuständigen Behörden oder den CSIRTs bereitgestellte Orientierungshilfen für die Nutzer gefährdeter IKT-Produkte und IKT-Dienste, wie die von offengelegten Schwachstellen ausgehenden Risiken gemindert werden können.
Im deutschen Recht umgesetzt durch: § 5 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 14 · NIS-2-Richtlinie (EU) 2022/2555

Kooperationsgruppe

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Zur Unterstützung und Erleichterung der strategischen Zusammenarbeit und des Informationsaustauschs zwischen den Mitgliedstaaten und zur Stärkung des Vertrauens wird eine Kooperationsgruppe eingesetzt.
(2)
Die Kooperationsgruppe nimmt ihre Aufgaben auf der Grundlage von zweijährlichen Arbeitsprogrammen gemäß Absatz 7 wahr.
(3)
Die Kooperationsgruppe setzt sich aus Vertretern der Mitgliedstaaten, der Kommission und der ENISA zusammen. Der Europäische Auswärtige Dienst nimmt an den Tätigkeiten der Kooperationsgruppe als Beobachter teil. Die Europäischen Aufsichtsbehörden (ESAs) und die nach der Verordnung (EU) 2022/2554 zuständigen Behörden können sich gemäß Artikel 47 Absatz 1 jener Verordnung an den Tätigkeiten der Kooperationsgruppe beteiligen.
Gegebenenfalls kann die Kooperationsgruppe das Europäische Parlament und Vertreter der maßgeblichen Interessenträger einladen, an ihren Arbeiten teilzunehmen.
Die Sekretariatsgeschäfte werden von der Kommission geführt.
(4)
Die Kooperationsgruppe hat folgende Aufgaben:
a)
Bereitstellung von Orientierungshilfen für die zuständigen Behörden in Bezug auf die Umsetzung und Durchführung dieser Richtlinie;
b)
Bereitstellung von Orientierungshilfen für die zuständigen Behörden in Bezug auf die Ausarbeitung und Durchführung von Maßnahmen zur koordinierten Offenlegung von Schwachstellen gemäß Artikel 7 Absatz 2 Buchstabe c;
c)
Austausch bewährter Verfahren und Informationsaustausch im Zusammenhang mit der Durchführung dieser Richtlinie, auch in Bezug auf Cyberbedrohungen, Sicherheitsvorfälle, Schwachstellen, Beinahe-Vorfälle, Sensibilisierungsinitiativen, Schulungen, Übungen und Kompetenzen, Kapazitätsaufbau, Normen und technische Spezifikationen sowie Bestimmung wesentlicher und wichtiger Einrichtungen gemäß Artikel 2 Absatz 2 Buchstaben b bis e;
d)
beratender Austausch und Zusammenarbeit mit der Kommission in Bezug auf neue politische Initiativen im Bereich der Cybersicherheit und die allgemeine Kohärenz der sektorspezifischen Anforderungen an die Cybersicherheit;
e)
beratender Austausch und Zusammenarbeit mit der Kommission bei Entwürfen von delegierten Rechtsakten oder Durchführungsrechtsakten, die gemäß dieser Richtlinie erlassen werden;
f)
Austausch bewährter Verfahren und Informationsaustausch mit den einschlägigen Organen, Einrichtungen und sonstigen Stellen der Union;
g)
Meinungsaustausch über die Durchführung sektorspezifischer Rechtsakte der Union, die Vorschriften über Cybersicherheit enthalten;
h)
gegebenenfalls Erörterung von Berichten über die in Artikel 19 Absatz 9 genannten Peer-Reviews und Ausarbeitung von Schlussfolgerungen und Empfehlungen;
i)
Durchführung koordinierter Risikobewertungen kritischer Lieferketten gemäß Artikel 22 Absatz 1;
j)
Erörterung von Fällen von Amtshilfe, einschließlich Erfahrungen und Ergebnisse gemeinsamer Aufsichtstätigkeiten in grenzübergreifenden Fällen gemäß Artikel 37;
k)
auf Ersuchen eines oder mehrerer betreffender Mitgliedstaaten Erörterung spezifischer Amtshilfeersuchen gemäß Artikel 37;
l)
Bereitstellung strategischer Orientierungshilfen für das CSIRTs-Netzwerk und das EU-CyCLONe zu spezifischen neu auftretenden Fragen;
m)
Meinungsaustausch über das Konzept von Folgemaßnahmen im Anschluss an Cybersicherheitsvorfälle großen Ausmaßes und Krisen auf der Grundlage von im CSIRTs-Netzwerk und im EU-CyCLONe gewonnenen Erkenntnissen;
n)
Beitrag zu den Cybersicherheitsfähigkeiten in der gesamten Union durch Erleichterung des Austauschs nationaler Bediensteter im Rahmen eines Programms zum Kapazitätsaufbau, an dem sich Mitarbeiter der zuständigen Behörden oder der CSIRTs beteiligen;
o)
Organisation regelmäßiger gemeinsamer Sitzungen mit einschlägigen privaten Interessenträgern aus der gesamten Union, um die Tätigkeiten der Kooperationsgruppe zu erörtern und Beiträge zu neuen politischen Herausforderungen einzuholen;
p)
Erörterung der Arbeiten im Zusammenhang mit Cybersicherheitsübungen, einschließlich der Arbeit der ENISA;
q)
Festlegung der Methode und der organisatorischen Aspekte der Peer Reviews gemäß Artikel 19 Absatz 1 sowie Festlegung der Selbstbewertungsmethode für die Mitgliedstaaten gemäß Artikel 19 Absatz 5 mit der Unterstützung der Kommission und der ENISA und Entwicklung von Verhaltenskodizes zur Untermauerung der Arbeitsmethoden benannter Sachverständiger für Cybersicherheit gemäß Artikel 19 Absatz 6 in Zusammenarbeit mit der Kommission und der ENISA;
r)
Ausarbeitung von Berichten über die auf strategischer Ebene und in den Peer Reviews gewonnenen Erfahrungen zum Zwecke der Überprüfung gemäß Artikel 40;
s)
Erörterung und regelmäßige Bewertung des aktuellen Stands in Bezug auf Cyberbedrohungen oder Sicherheitsvorfälle wie Ransomware.
Die Kooperationsgruppe unterbreitet die in Unterabsatz 1 Buchstabe r genannten Berichte der Kommission, dem Europäischen Parlament und dem Rat.
(5)
Die Mitgliedstaaten stellen eine wirksame, effiziente und sichere Zusammenarbeit ihrer Vertreter in der Kooperationsgruppe sicher.
(6)
Die Kooperationsgruppe kann das CSIRTs-Netzwerk um einen technischen Bericht zu ausgewählten Themen ersuchen.
(7)
Bis spätestens 1. Februar 2024 und danach alle zwei Jahre erstellt die Kooperationsgruppe ein Arbeitsprogramm bezüglich der Maßnahmen, die zur Umsetzung ihrer Ziele und Aufgaben zu ergreifen sind.
(8)
Die Kommission kann Durchführungsrechtsakte zur Festlegung der Verfahrensmodalitäten erlassen, die für das Funktionieren der Kooperationsgruppe erforderlich sind.
Diese Durchführungsrechtsakte werden gemäß dem in Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Die Kommission tauscht sich mit der Kooperationsgruppe gemäß Absatz 4 Buchstabe e über die in den Unterabsatz 1 dieses Absatzes genannten Entwürfe von Durchführungsrechtsakten aus und arbeitet mit ihr zusammen.
(9)
Die Kooperationsgruppe tagt regelmäßig und in jedem Fall mindestens einmal jährlich gemeinsam mit der mit der Richtlinie (EU) 2022/2557 eingerichteten Gruppe für die Resilienz kritischer Einrichtungen, um die strategische Zusammenarbeit und den Informationsaustausch zu fördern und zu erleichtern.
Im deutschen Recht umgesetzt durch: § 3 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 19 · NIS-2-Richtlinie (EU) 2022/2555

Peer Reviews

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Kooperationsgruppe wird bis zum 17. Januar 2025 mit Unterstützung der Kommission und der ENISA und gegebenenfalls des CSIRTs-Netzwerks die Methode und die organisatorischen Aspekte der Peer Reviews festlegen, um aus gemeinsamen Erfahrungen zu lernen, das gegenseitige Vertrauen zu stärken, ein hohes gemeinsames Cybersicherheitsniveau zu erreichen und die für die Umsetzung dieser Richtlinie erforderlichen Cybersicherheitsfähigkeiten und -konzepte der Mitgliedstaaten zu verbessern. Die Teilnahme an Peer Reviews ist freiwillig. Die Peer Reviews werden von Sachverständigen für Cybersicherheit durchgeführt. Die Sachverständigen für Cybersicherheit werden von mindestens zwei Mitgliedstaaten benannt, die sich von dem überprüften Mitgliedstaat unterscheiden.
Die Peer Reviews erstrecken sich mindestens auf einen der folgenden Punkte:
a)
den Stand der Umsetzung der Maßnahmen bezüglich Cybersicherheitsrisikomanagement und der Berichtspflichten gemäß den Artikeln 21 und 23;
b)
das Niveau der Kapazitäten, einschließlich der verfügbaren finanziellen, technischen und personellen Ressourcen, und die Wirksamkeit bei der Durchführung der Aufgaben der zuständigen Behörden;
c)
die operativen Kapazitäten der CSIRTs;
d)
den Stand der Umsetzung der Amtshilfe gemäß Artikel 37;
e)
den Stand der Umsetzung der Vereinbarungen über den Austausch von Informationen im Bereich der Cybersicherheit gemäß Artikel 29;
f)
spezifische Fragen mit grenz- oder sektorenübergreifendem Charakter.
(2)
Die Methode muss gemäß Absatz 1 objektive, nichtdiskriminierende, faire und transparente Kriterien umfassen, anhand deren die Mitgliedstaaten Sachverständige für Cybersicherheit benennen, die für die Durchführung der Peer Reviews infrage kommen. Die ENISA und die Kommission nehmen als Beobachter an den Peer Reviews teil.
(3)
Die Mitgliedstaaten können spezifische, in Absatz 1 Buchstabe f genannte Probleme für eine Peer Review ermitteln.
(4)
Vor Beginn der Peer Review nach Absatz 1 teilen Mitgliedstaaten den teilnehmenden Mitgliedstaaten ihren Umfang, einschließlich der gemäß Absatz 3 ermittelten Probleme, mit.
(5)
Vor Beginn der Peer Review können die Mitgliedstaaten eine Selbstbewertung der überprüften Aspekte vornehmen und diese Selbstbewertung den benannten Sachverständigen für Cybersicherheit vorlegen. Die Kooperationsgruppe legt mit Unterstützung der Kommission und der ENISA die Methode für die Selbstbewertung der Mitgliedstaaten fest.
(6)
Die Peer Reviews umfassen physische oder virtuelle Besuche am Standort sowie abseits des Standorts den Austausch von Informationen. Im Einklang mit dem Grundsatz der guten Zusammenarbeit stellt der Mitgliedstaat, der Gegenstand der Peer Review ist, den benannten Sachverständigen für Cybersicherheit die für die Bewertung erforderlichen Informationen zur Verfügung, vorbehaltlich der Rechtsvorschriften der Union oder der Mitgliedstaaten über den Schutz vertraulicher oder als Verschlusssache eingestufter Informationen und der Wahrung grundlegender Funktionen des Staates wie der nationalen Sicherheit. Die Kooperationsgruppe entwickelt in Zusammenarbeit mit der Kommission und der ENISA geeignete Verhaltenskodizes zur Untermauerung der Arbeitsmethoden der benannten Sachverständigen für Cybersicherheit. Sämtliche durch die Peer Review erlangten Informationen dürfen nur zu diesem Zweck verwendet werden. Die an der Peer Review beteiligten Sachverständigen für Cybersicherheit geben keine sensiblen oder vertraulichen Informationen, die im Laufe der Peer Review erlangt wurden, an Dritte weiter.
(7)
Nachdem sie einer Peer Review unterzogen wurden, dürfen innerhalb von zwei Jahren nach Abschluss der Peer Review in diesem Mitgliedstaat keine weiteren Peer Reviews zu denselben Aspekten, die in einem Mitgliedstaat überprüft wurden, durchgeführt werden, es sei denn, der Mitgliedstaat beantragt etwas anderes oder es wird auf Vorschlag der Kooperationsgruppe etwas anderes vereinbart.
(8)
Die Mitgliedstaaten stellen sicher, dass jegliches Risiko eines Interessenkonflikts im Zusammenhang mit den benannten Sachverständigen für Cybersicherheit den anderen Mitgliedstaaten, der Kooperationsgruppe, der Kommission und der ENISA vor Beginn der Peer Review offengelegt wird. Der Mitgliedstaat, der Gegenstand der Peer Review ist, kann Einwände gegen die Benennung bestimmter Sachverständiger für Cybersicherheit erheben, wenn er dem benennenden Mitgliedstaat stichhaltige Gründe mitteilt.
(9)
Die an Peer Reviews beteiligten Sachverständigen für Cybersicherheit erstellen Berichte über die Ergebnisse und Schlussfolgerungen der Peer Reviews. Die einer Peer Review unterliegenden Mitgliedstaaten können zu den sie betreffenden Berichtsentwürfen Stellung nehmen; diese Stellungnahmen werden den Berichten beigefügt. Die Berichte enthalten Empfehlungen zur Verbesserung der im Rahmen der Peer Review behandelten Aspekte. Die Berichte werden gegebenenfalls der Kooperationsgruppe und dem CSIRTs-Netzwerk vorgelegt. Ein einer Peer Review unterliegender Mitgliedstaat kann beschließen, seinen Bericht oder eine redigierte Fassung davon öffentlich zugänglich zu machen.
Im deutschen Recht umgesetzt durch: § 3 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 20 · NIS-2-Richtlinie (EU) 2022/2555

Governance

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen verantwortlich gemacht werden können.
Die Anwendung dieses Absatzes lässt die nationalen Rechtsvorschriften in Bezug auf die für die öffentlichen Einrichtungen geltenden Haftungsregelungen sowie die Haftung von öffentlichen Bediensteten und gewählten oder ernannten Amtsträgern unberührt.
(2)
Die Mitgliedstaaten stellen sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen an Schulungen teilnehmen müssen, und fordern wesentliche und wichtige Einrichtungen auf, allen Mitarbeitern regelmäßig entsprechende Schulungen anzubieten, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben.
Im deutschen Recht umgesetzt durch: § 2, § 38, § 43, § 61 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 21 · NIS-2-Richtlinie (EU) 2022/2555

Risikomanagementmaßnahmen im Bereich der Cybersicherheit

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.
Die in Unterabsatz 1 genannten Maßnahmen müssen unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung ein Sicherheitsniveau der Netz- und Informationssysteme gewährleisten, das dem bestehenden Risiko angemessen ist. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind das Ausmaß der Risikoexposition der Einrichtung, die Größe der Einrichtung und die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen, gebührend zu berücksichtigen.
(2)
Die in Absatz 1 genannten Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen, und zumindest Folgendes umfassen:
a)
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
b)
Bewältigung von Sicherheitsvorfällen;
c)
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement;
d)
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern;
e)
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen;
f)
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
g)
grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
h)
Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
i)
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;
j)
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
(3)
Die Mitgliedstaaten stellen sicher, dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach Absatz 2 Buchstabe d des vorliegenden Artikels die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, berücksichtigen. Die Mitgliedstaaten stellen ferner sicher, dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach jenem Buchstaben die Ergebnisse der gemäß Artikel 22 Absatz 1 durchgeführten koordinierten Risikobewertungen in Bezug auf die Sicherheit kritischer Lieferketten berücksichtigen müssen.
(4)
Die Mitgliedstaaten stellen sicher, dass eine Einrichtung, die feststellt, dass sie den in Absatz 2 genannten Maßnahmen nicht nachkommt, unverzüglich alle erforderlichen, angemessenen und verhältnismäßigen Korrekturmaßnahmen ergreift.
(5)
Bis zum 17. Oktober 2024 erlässt die Kommission Durchführungsrechtsakte zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 2 genannten Maßnahmen in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter.
Die Kommission kann Durchführungsrechtsakte erlassen, in denen die technischen und methodischen Anforderungen sowie erforderlichenfalls die sektoralen Anforderungen der in Absatz 2 genannten Maßnahmen in Bezug auf andere als die in Unterabsatz 1 des vorliegenden Absatzes genannten wesentlichen und wichtigen Einrichtungen festgelegt werden.
Bei der Ausarbeitung der in den Unterabsätzen 1 und 2 des vorliegenden Absatzes genannten Durchführungsrechtsakte orientiert sich die Kommission so weit wie möglich an europäischen und internationalen Normen sowie einschlägigen technischen Spezifikationen. Die Kommission tauscht sich mit der Kooperationsgruppe und der ENISA über die Entwürfe von Durchführungsrechtsakten gemäß Artikel 14 Absatz 4 Buchstabe e aus und arbeitet mit ihnen zusammen.
Diese Durchführungsrechtsakte werden gemäß dem in Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Im deutschen Recht umgesetzt durch: § 30 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 23 · NIS-2-Richtlinie (EU) 2022/2555

Berichtspflichten

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Jeder Mitgliedstaat stellt sicher, dass wesentliche und wichtige Einrichtungen ihrem CSIRT oder gegebenenfalls ihrer zuständigen Behörde gemäß Absatz 4 unverzüglich über jeden Sicherheitsvorfall unterrichten, der erhebliche Auswirkungen auf die Erbringung ihrer Dienste gemäß Absatz 3 (erheblicher Sicherheitsvorfall) hat. Gegebenenfalls unterrichten die betreffenden Einrichtungen die Empfänger ihrer Dienste unverzüglich über diese erheblichen Sicherheitsvorfälle, die die Erbringung des jeweiligen Dienstes beeinträchtigen könnten. Jeder Mitgliedstaat stellt sicher, dass diese Einrichtungen unter anderem alle Informationen übermitteln, die es dem CSIRT oder gegebenenfalls der zuständigen Behörde ermöglichen zu ermitteln, ob der Sicherheitsvorfall grenzübergreifende Auswirkungen hat. Mit der bloßen Meldung wird keine höhere Haftung der meldenden Einrichtung begründet.
Melden die betreffenden Einrichtungen der zuständigen Behörde einen erheblichen Sicherheitsvorfall gemäß Unterabsatz 1, so stellt der Mitgliedstaat sicher, dass diese zuständige Behörde die Meldung nach Eingang an das CSIRT weiterleitet.
Im Falle eines grenz- oder sektorenübergreifenden erheblichen Sicherheitsvorfalls stellen die Mitgliedstaaten sicher, dass ihre zentralen Anlaufstellen rechtzeitig einschlägige Informationen erhalten, die gemäß Absatz 4 gemeldet wurden.
(2)
Gegebenenfalls stellen die Mitgliedstaaten sicher, dass wesentliche und wichtige Einrichtungen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mitteilen, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. Die Einrichtungen informieren diese Empfänger gegebenenfalls auch über die erhebliche Cyberbedrohung selbst.
(3)
Ein Sicherheitsvorfall gilt als erheblich, wenn
a)
er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann;
b)
er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
(4)
Die Mitgliedstaaten stellen sicher, dass die betreffenden Einrichtungen dem CSIRT oder gegebenenfalls der zuständigen Behörde für die Zwecke der Meldung nach Absatz 1 Folgendes übermitteln:
a)
unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Frühwarnung, in der gegebenenfalls angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;
b)
unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Meldung über den Sicherheitsvorfall, in der gegebenenfalls die unter Buchstabe a genannten Informationen aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;
c)
auf Ersuchen eines CSIRT oder gegebenenfalls der zuständigen Behörde einen Zwischenbericht über relevante Statusaktualisierungen;
d)
spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht, der Folgendes enthält: i) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen; ii) Angaben zur Art der Bedrohung bzw. zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat; iii) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen; iv) gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls;
e)
im Falle eines andauernden Sicherheitsvorfalls zum Zeitpunkt der Vorlage des Abschlussberichts gemäß Buchstabe d stellen die Mitgliedstaaten sicher, dass die betreffenden Einrichtungen zu diesem Zeitpunkt einen Fortschrittsbericht und einen Abschlussbericht innerhalb eines Monats nach Behandlung des Sicherheitsvorfalls vorlegen.
Abweichend von Unterabsatz 1 Buchstabe b unterrichtet ein Vertrauensdiensteanbieter das CSIRT oder gegebenenfalls die zuständige Behörde in Bezug auf erhebliche Sicherheitsvorfälle, die sich auf die Erbringung seiner Vertrauensdienste auswirken, unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls.
(5)
Das CSIRT oder die zuständige Behörde übermitteln der meldenden Einrichtung unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach Eingang der Frühwarnung gemäß Absatz 4 Buchstabe a eine Antwort, einschließlich einer ersten Rückmeldung zu dem erheblichen Sicherheitsvorfall und, auf Ersuchen der Einrichtung, Orientierungshilfen oder operativer Beratung für die Durchführung möglicher Abhilfemaßnahmen. Ist das CSIRT nicht der ursprüngliche Empfänger der in Absatz 1 genannten Meldung, werden die Orientierungshilfen von der zuständigen Behörde in Zusammenarbeit mit dem CSIRT bereitgestellt. Das CSIRT leistet auf Ersuchen der betreffenden Einrichtung zusätzliche technische Unterstützung. Wird bei dem erheblichen Sicherheitsvorfall ein krimineller Hintergrund vermutet, gibt das CSIRT oder die zuständige Behörde ferner Orientierungshilfen für die Meldung des Sicherheitsvorfalls an die Strafverfolgungsbehörden.
(6)
Gegebenenfalls und insbesondere, wenn der erhebliche Sicherheitsvorfall zwei oder mehr Mitgliedstaaten betrifft, unterrichtet das CSIRT, die zuständige Behörde oder die zentrale Anlaufstelle unverzüglich die anderen betroffenen Mitgliedstaaten und die ENISA über den erheblichen Sicherheitsvorfall. Diese Informationen umfassen die Art der gemäß Absatz 4 erhaltenen Informationen. Dabei wahren das CSIRT, die zuständige Behörde oder die zentrale Anlaufstelle im Einklang mit dem Unionsrecht oder dem einzelstaatlichen Recht die Sicherheit und das wirtschaftliche Interesse der Einrichtung sowie die Vertraulichkeit der bereitgestellten Informationen.
(7)
Ist eine Sensibilisierung der Öffentlichkeit erforderlich, um einen erheblichen Sicherheitsvorfall zu verhindern oder einen laufenden erheblichen Sicherheitsvorfall zu bewältigen oder liegt die Offenlegung des erheblichen Sicherheitsvorfalls anderweitig im öffentlichen Interesse, so kann das CSIRT eines Mitgliedstaats oder gegebenenfalls seine zuständige Behörde sowie gegebenenfalls die CSIRTs oder die zuständigen Behörden anderer betreffender Mitgliedstaaten nach Konsultation der betreffenden Einrichtung die Öffentlichkeit über den erheblichen Sicherheitsvorfall informieren oder die Einrichtung auffordern, dies zu tun.
(8)
Auf Ersuchen des CSIRT oder der zuständigen Behörde leitet die zentrale Anlaufstelle die nach Absatz 1 eingegangenen Meldungen an die zentralen Anlaufstellen der anderen betroffenen Mitgliedstaaten weiter.
(9)
Die zentrale Anlaufstelle legt der ENISA alle drei Monate einen zusammenfassenden Bericht vor, der anonymisierte und aggregierte Daten zu erheblichen Sicherheitsvorfällen, erheblichen Cyberbedrohungen und Beinahe-Vorfällen enthält, die gemäß Absatz 1 des vorliegenden Artikels und Artikel 30 gemeldet wurden. Um zur Bereitstellung vergleichbarer Informationen beizutragen, kann die ENISA technische Leitlinien zu den Parametern der in den zusammenfassenden Bericht aufzunehmenden Angaben verabschieden. Die ENISA unterrichtet die Kooperationsgruppe und das CSIRTs-Netzwerk alle sechs Monate über ihre Erkenntnisse zu den eingegangenen Meldungen.
(10)
Die CSIRTs oder gegebenenfalls die zuständigen Behörden stellen den gemäß der Richtlinie (EU) 2022/2557 zuständigen Behörden Informationen über erhebliche Sicherheitsvorfälle, erhebliche Cyberbedrohungen und Beinahe-Vorfälle zur Verfügung, die nach Absatz 1 des vorliegenden Artikels und Artikel 30 von Einrichtungen, die im Sinne der Richtlinie (EU) 2022/2557 als kritische Einrichtungen gelten, gemeldet wurden.
(11)
Die Kommission kann Durchführungsrechtsakte erlassen, in denen die Art der Angaben, das Format und das Verfahren für Meldungen gemäß Absatz 1 dieses Artikels und Artikel 30 sowie einer gemäß Absatz 2 dieses Artikels übermittelten Mitteilung näher bestimmt werden.
Bis zum 17. Oktober 2024 erlässt die Kommission in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke Durchführungsrechtsakte, in denen näher bestimmt wird, in welchen Fällen ein Sicherheitsvorfall als erheblich im Sinne von Absatz 3 anzusehen ist. Die Kommission kann solche Durchführungsrechtsakte in Bezug auf andere wesentliche und wichtige Einrichtungen erlassen.
Die Kommission tauscht sich mit der Kooperationsgruppe gemäß Artikel 14 Absatz 4 Buchstabe e über die in den Unterabsätzen 1 und 2 dieses Absatzes genannten Entwürfe von Durchführungsrechtsakten aus und arbeitet mit ihr zusammen.
Diese Durchführungsrechtsakte werden gemäß dem in Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Im deutschen Recht umgesetzt durch: § 2, § 32, § 35, § 36, § 40, § 56, § 58, § 65 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 24 · NIS-2-Richtlinie (EU) 2022/2555

Nutzung der europäischen Schemata für die Cybersicherheitszertifizierung

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten können wesentliche und wichtige Einrichtungen dazu verpflichten, spezielle IKT-Produkte, -Dienste und -Prozesse zu verwenden, die von der wesentlichen oder wichtigen Einrichtung entwickelt oder von Dritten beschafft werden und die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung, die gemäß Artikel 49 der Verordnung (EU) 2019/881 angenommen wurden, zertifiziert sind, um die Erfüllung bestimmter in Artikel 21 genannter Anforderungen nachzuweisen. Darüber hinaus fördern die Mitgliedstaaten, dass wesentliche und wichtige Einrichtungen qualifizierte Vertrauensdienste nutzen.
(2)
Die Kommission ist befugt, gemäß Artikel 38 delegierte Rechtsakte zu erlassen, um diese Richtlinie dadurch zu ergänzen, dass ausgeführt wird, welche Kategorien wesentlicher und wichtiger Einrichtungen verpflichtet sind, bestimmte zertifizierte IKT-Produkte, -Dienste und -Prozesse zu nutzen oder ein Zertifikat im Rahmen eines gemäß Artikel 49 der Verordnung (EU) 2019/881 erlassenen europäischen Schemas für die Cybersicherheitszertifizierung zu erlangen. Diese delegierten Rechtsakte werden erlassen, wenn ein unzureichendes Niveau der Cybersicherheit festgestellt wurde, und umfassen eine Umsetzungsfrist.
Vor dem Erlass solcher delegierten Rechtsakte nimmt die Kommission eine Folgenabschätzung vor und führt Konsultationen gemäß Artikel 56 der Verordnung (EU) 2019/881 durch.
(3)
Steht kein geeignetes europäisches Schema für die Cybersicherheitszertifizierung für die Zwecke des Absatzes 2 dieses Artikels zur Verfügung, kann die Kommission nach Anhörung der Kooperationsgruppe und der Europäischen Gruppe für die Cybersicherheitszertifizierung die ENISA auffordern, ein mögliches Schema gemäß Artikel 48 Absatz 2 der Verordnung (EU) 2019/881 auszuarbeiten.
Im deutschen Recht umgesetzt durch: § 30, § 56 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 26 · NIS-2-Richtlinie (EU) 2022/2555

Zuständigkeit und Territorialität

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Einrichtungen, die in den Anwendungsbereich dieser Richtlinie fallen, gelten als der Zuständigkeit des Mitgliedstaats unterliegend, in dem sie niedergelassen sind, außer in folgenden Fällen:
a)
Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste, die als der Zuständigkeit des Mitgliedstaats unterliegend betrachtet werden, in dem sie ihre Dienste erbringen;
b)
DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke, die als der Zuständigkeit des Mitgliedstaats unterliegend betrachtet werden, in dem sie gemäß Absatz 2 ihre Hauptniederlassung in der Union haben;
c)
Einrichtungen der öffentlichen Verwaltung, die als der Zuständigkeit des Mitgliedstaats unterliegend betrachtet werden, der sie gegründet hat.
(2)
Für die Zwecke dieser Richtlinie wird davon ausgegangen, dass als Hauptniederlassung in der Union einer in Absatz 1 Buchstabe b genannten Einrichtung jeweils die Niederlassung in demjenigen Mitgliedstaat betrachtet wird, in dem die Entscheidungen im Zusammenhang mit den Maßnahmen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Kann ein solcher Mitgliedstaat nicht bestimmt werden oder werden solche Entscheidungen nicht in der Union getroffen, so gilt als Hauptniederlassung der Mitgliedstaat, in dem die Cybersicherheitsmaßnahmen durchgeführt werden. Kann ein solcher Mitgliedstaat nicht bestimmt werden, so gilt als Hauptniederlassung der Mitgliedstaat, in dem die betreffende Einrichtung die Niederlassung mit der höchsten Beschäftigtenzahl in der Union hat.
(3)
Hat eine in Absatz 1 Buchstabe b genannte Einrichtung keine Niederlassung in der Union, bietet aber Dienste innerhalb der Union an, muss sie einen Vertreter in der Union benennen. Der Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die Dienste angeboten werden. Es wird davon ausgegangen, dass eine solche Einrichtung der Zuständigkeit des Mitgliedstaats unterliegt, in dem der Vertreter niedergelassen ist. Wurde in der Union kein Vertreter im Sinne dieses Absatzes benannt, kann jeder Mitgliedstaat, in dem die Einrichtung Dienste erbringt, gegen die Einrichtung rechtliche Schritte wegen des Verstoßes gegen diese Richtlinie einleiten.
(4)
Die Benennung eines Vertreters durch eine in Absatz 1 Buchstabe b genannte Einrichtung lässt rechtliche Schritte, die gegen die Einrichtung selbst eingeleitet werden könnten, unberührt.
(5)
Mitgliedstaaten, die ein Rechtshilfeersuchen zu einer in Absatz 1 Buchstabe b genannten Einrichtung erhalten haben, können innerhalb der Grenzen dieses Ersuchens geeignete Aufsichts- und Durchsetzungsmaßnahmen in Bezug auf die betreffende Einrichtung ergreifen, die in ihrem Hoheitsgebiet Dienste anbietet oder ein Netz- und Informationssystem betreibt.
Im deutschen Recht umgesetzt durch: § 59, § 60 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 27 · NIS-2-Richtlinie (EU) 2022/2555

Register der Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die ENISA erstellt und pflegt ein Register der DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke auf der Grundlage der Informationen, die sie von den zentralen Anlaufstellen im Einklang mit Artikel 4 erhalten hat. Auf Ersuchen ermöglicht die ENISA den zuständigen Behörden den Zugang zu diesem Register, wobei sie gegebenenfalls für den Schutz der Vertraulichkeit der Informationen sorgt.
(2)
Die Mitgliedstaaten verlangen von den in Absatz 1 genannten Einrichtungen, dass sie bis zum 17. Januar 2025 den zuständigen Behörden folgende Angaben übermitteln:
a)
Name der Einrichtung,
b)
gegebenenfalls, einschlägiger Sektor, Teilsektor und Art der Einrichtung gemäß Anhang I oder II,
c)
Anschrift der Hauptniederlassung der Einrichtung und ihrer sonstigen Niederlassungen in der Union oder, falls sie nicht in der Union niedergelassen ist, Anschrift ihres nach Artikel 26 Absatz 3 benannten Vertreters,
d)
aktuelle Kontaktdaten, einschließlich E-Mail-Adressen und Telefonnummern der Einrichtung und gegebenenfalls ihres gemäß Artikel 26 Absatz 3 benannten Vertreters,
e)
die Mitgliedstaaten, in denen die Einrichtung Dienste erbringt, und
f)
die IP-Adressbereiche der Einrichtung.
(3)
Die Mitgliedstaaten stellen sicher, dass im Falle einer Änderung der gemäß Absatz 2 übermittelten Angaben die in Absatz 1 genannten Einrichtungen die zuständige Behörde unverzüglich über diese Änderung, in jedem Fall aber innerhalb von drei Monaten ab dem Tag der Änderung, unterrichten.
(4)
Nach Erhalt der in Absatz 2 und 3 genannten Angaben, mit Ausnahme der in Absatz 2 Buchstabe f genannten Angaben, leitet die zentrale Anlaufstelle des betreffenden Mitgliedstaats diese unverzüglich an die ENISA weiter.
(5)
Gegebenenfalls werden die in den Absätzen 2 und 3 des vorliegenden Artikels genannten Angaben über den in Artikel 3 Absatz 4 Unterabsatz 4 genannten nationalen Mechanismus übermittelt.
Im deutschen Recht umgesetzt durch: § 34 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 28 · NIS-2-Richtlinie (EU) 2022/2555

Datenbank der Domänennamen-Registrierungsdaten

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Um einen Beitrag zur Sicherheit, Stabilität und Resilienz des Domänennamensystems zu leisten, verpflichten die Mitgliedstaaten, dass die TLD-Namenregister und die Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, genaue und vollständige Domänennamen-Registrierungsdaten in einer eigenen Datenbank im Einklang mit dem Datenschutzrecht der Union in Bezug auf personenbezogene Daten mit der gebotenen Sorgfalt sammeln und pflegen.
(2)
Für die Zwecke des Absatzes 1 schreiben die Mitgliedstaaten vor, dass die Datenbank der Domänennamen-Registrierungsdaten die erforderlichen Angaben enthält, anhand derer die Inhaber der Domänennamen und die Kontaktstellen, die die Domänennamen im Rahmen der TLD verwalten, identifiziert und kontaktiert werden können. Diese Informationen müssen Folgendes umfassen:
a)
den Domänennamen;
b)
das Datum der Registrierung;
c)
den Namen des Domäneninhabers, seine E-Mail-Adresse und Telefonnummer;
d)
die Kontakt-E-Mail-Adresse und die Telefonnummer der Anlaufstelle, die den Domänennamen verwaltet, falls diese sich von denen des Domäneninhabers unterscheiden.
(3)
Die Mitgliedstaaten schreiben vor, dass die TLD-Namenregister und die Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, über Vorgaben und Verfahren, einschließlich Überprüfungsverfahren, verfügen, mit denen sichergestellt wird, dass die in Absatz 1 genannten Datenbanken genaue und vollständige Angaben enthalten. Die Mitgliedstaaten schreiben vor, dass diese Vorgaben und Verfahren öffentlich zugänglich gemacht werden.
(4)
Die Mitgliedstaaten schreiben vor, dass die TLD-Namenregister und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, unverzüglich nach der Registrierung eines Domänennamens die nicht personenbezogenen Domänennamen-Registrierungsdaten öffentlich zugänglich machen.
(5)
Die Mitgliedstaaten schreiben vor, dass die TLD-Namenregister und die Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, auf rechtmäßige und hinreichend begründete Anträge berechtigten Zugangsnachfragern im Einklang mit dem Datenschutzrecht der Union Zugang zu bestimmten Domänennamen-Registrierungsdaten gewähren. Die Mitgliedstaaten schreiben vor, dass die TLD-Namenregister und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, alle Anträge auf Zugang unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Eingang eines Antrags auf Zugang beantworten. Die Mitgliedstaaten schreiben vor, dass diese Vorgaben und Verfahren im Hinblick auf die Offenlegung solcher Daten öffentlich zugänglich gemacht werden.
(6)
Die Einhaltung der in den Absätzen 1 bis 5 festgelegten Verpflichtungen darf nicht zu einer doppelten Erhebung von Domänennamen-Registrierungsdaten führen. Zu diesem Zweck schreiben die Mitgliedstaaten vor, dass die TLD-Namenregister und die Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, miteinander zusammenarbeiten.
Im deutschen Recht umgesetzt durch: § 2, § 49, § 50, § 51 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 29 · NIS-2-Richtlinie (EU) 2022/2555

Vereinbarungen über den Austausch von Informationen zur Cybersicherheit

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass in den Anwendungsbereich dieser Richtlinie fallende Einrichtungen und gegebenenfalls andere Einrichtungen, die nicht in den Anwendungsbereich dieser Richtlinie fallen, auf freiwilliger Basis relevante Cybersicherheitsinformationen untereinander austauschen können, einschließlich Informationen über Cyberbedrohungen, Beinahe-Vorfälle, Schwachstellen, Techniken und Verfahren, Kompromittierungsindikatoren, gegnerische Taktiken, bedrohungsspezifische Informationen, Cybersicherheitswarnungen und Empfehlungen für die Konfiguration von Cybersicherheitsinstrumenten zur Aufdeckung von Cyberangriffen, sofern
a)
dieser Informationsaustausch darauf abzielt, Sicherheitsvorfälle zu verhindern, aufzudecken, darauf zu reagieren oder sich von ihnen zu erholen oder ihre Folgen einzudämmen;
b)
durch diesen Informationsaustausch das Cybersicherheitsniveau erhöht wird, insbesondere indem Aufklärungsarbeit über Cyberbedrohungen geleistet wird, die Fähigkeit solcher Bedrohungen, sich zu verbreiten eingedämmt bzw. verhindert wird und eine Reihe von Abwehrkapazitäten, die Beseitigung und Offenlegung von Schwachstellen, Techniken zur Erkennung, Eindämmung und Verhütung von Bedrohungen, Eindämmungsstrategien, Reaktions- und Wiederherstellungsphasen unterstützt werden oder indem die gemeinsame Forschung im Bereich Cyberbedrohung zwischen öffentlichen und privaten Einrichtungen gefördert wird.
(2)
Die Mitgliedstaaten stellen sicher, dass der Informationsaustausch innerhalb Gemeinschaften wesentlicher und wichtiger Einrichtungen und gegebenenfalls ihrer Lieferanten oder Dienstleister stattfindet. Dieser Austausch muss im Wege von Vereinbarungen über den Informationsaustausch im Bereich der Cybersicherheit unter Beachtung des potenziell sensiblen Charakters der ausgetauschten Informationen erfolgen.
(3)
Die Mitgliedstaaten erleichtern die Festlegung von Vereinbarungen über den Austausch von Informationen im Bereich der Cybersicherheit gemäß Absatz 2 dieses Artikels. In solchen Vereinbarungen können operative Elemente, einschließlich der Nutzung spezieller IKT-Plattformen und Automatisierungsinstrumente, der Inhalt und die Bedingungen der Vereinbarungen über den Informationsaustausch bestimmt werden. Bei der Festlegung der Einzelheiten der Beteiligung von Behörden an solchen Vereinbarungen können die Mitgliedstaaten Bedingungen für die von den zuständigen Behörden oder CSIRTs bereitgestellten Informationen festlegen. Die Mitgliedstaaten bieten Unterstützung bei der Anwendung solcher Vereinbarungen im Einklang mit ihren in Artikel 7 Absatz 2 Buchstabe h genannten Konzepten.
(4)
Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen die zuständigen Behörden beim Abschluss von in Absatz 2 genannten Vereinbarungen über den Informationsaustausch im Bereich der Cybersicherheit oder gegebenenfalls über ihren Rücktritt von solchen Vereinbarungen unterrichten, sobald dieser wirksam wird.
(5)
Die ENISA unterstützt den Abschluss von Vereinbarungen über den Austausch von Informationen im Bereich der Cybersicherheit gemäß Absatz 2, indem sie bewährte Verfahren austauscht und Orientierungshilfen zur Verfügung stellt.
Im deutschen Recht umgesetzt durch: § 6 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 30 · NIS-2-Richtlinie (EU) 2022/2555

Freiwillige Meldung relevanter Informationen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass zusätzlich zu der Berichtspflicht nach Artikel 23 Meldungen den CSIRTs oder gegebenenfalls den zuständigen Behörden auf freiwilliger Basis übermittelt werden können, und zwar durch:
a)
wesentliche und wichtige Einrichtungen in Bezug auf Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle;
b)
andere als die in Buchstabe a genannten Einrichtungen, unabhängig davon, ob sie in den Anwendungsbereich dieser Richtlinie fallen, in Bezug auf erhebliche Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle.
(2)
Die Mitgliedstaaten bearbeiten die in Absatz 1 des vorliegenden Artikels genannten Meldungen nach dem in Artikel 23 vorgesehenen Verfahren. Die Mitgliedstaaten können Pflichtmeldungen vorrangig vor freiwilligen Meldungen bearbeiten.
Erforderlichenfalls übermitteln die CSIRTs und gegebenenfalls die zuständigen Behörden den zentralen Anlaufstellen die Informationen über die gemäß diesem Artikel eingegangenen Meldungen, wobei sie die Vertraulichkeit und den angemessenen Schutz der von der meldenden Einrichtung übermittelten Informationen sicherstellen. Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten dürfen die freiwilligen Meldungen nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die nicht für sie gegolten hätten, wenn sie die Meldung nicht übermittelt hätte.
Im deutschen Recht umgesetzt durch: § 5, § 30 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 31 · NIS-2-Richtlinie (EU) 2022/2555

Allgemeine Aspekte der Aufsicht und Durchsetzung

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden die Einhaltung der Verpflichtungen aus dieser Richtlinie wirksam beaufsichtigen und die erforderlichen Maßnahmen treffen.
(2)
Die Mitgliedstaaten können ihren zuständigen Behörden gestatten, Aufsichtsaufgaben zu priorisieren. Diese Priorisierung beruht auf einem risikobasierten Ansatz. Zu diesem Zweck können die zuständigen Behörden bei der Wahrnehmung ihrer in den Artikeln 32 und 33 aufgeführten Aufsichtsaufgaben Aufsichtsmethoden festlegen, die eine Priorisierung dieser Aufgaben auf der Grundlage eines risikobasierten Ansatzes ermöglichen.
(3)
Unbeschadet der Zuständigkeiten und Aufgaben der Aufsichtsbehörden gemäß der Verordnung (EU) 2016/679 arbeiten die zuständigen Behörden bei der Bearbeitung von Sicherheitsvorfällen, die zur Verletzung des Schutzes personenbezogener Daten führen, eng mit den Aufsichtsbehörden gemäß jener Verordnung zusammen.
(4)
Unbeschadet der nationalen rechtlichen und institutionellen Rahmenbedingungen stellen die Mitgliedstaaten sicher, dass die zuständigen Behörden bei der Überwachung der Einhaltung dieser Richtlinie durch Einrichtungen der öffentlichen Verwaltung und bei der Verhängung von Durchsetzungsmaßnahmenbei Verstößen gegen diese Richtlinie über die geeigneten Befugnisse verfügen, um diese Aufgaben in operativer Unabhängigkeit von den beaufsichtigten Einrichtungen der öffentlichen Verwaltung wahrzunehmen. Die Mitgliedstaaten können entscheiden, ob diesen Einrichtungen im Einklang mit den nationalen rechtlichen und institutionellen Rahmenbedingungen geeignete, verhältnismäßige und wirksame Aufsichts- und Durchsetzungsmaßnahmen auferlegt werden.
Im deutschen Recht umgesetzt durch: § 46, § 61 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 32 · NIS-2-Richtlinie (EU) 2022/2555

Aufsichts- und Durchsetzungsmaßnahmen in Bezug auf wesentliche Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass die Aufsichts- bzw. Durchsetzungsmaßnahmen, die wesentlichen Einrichtungen in Bezug auf die in dieser Richtlinie festgelegten Verpflichtungen auferlegt werden, unter Berücksichtigung der Umstände des Einzelfalls wirksam, verhältnismäßig und abschreckend sind.
(2)
Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden bei der Wahrnehmung ihrer Aufsichtsaufgaben in Bezug auf wesentliche Einrichtungen befugt sind, in Bezug auf diese Einrichtungen mindestens folgende Maßnahmen vorzunehmen:
a)
Vor-Ort-Kontrollen und externe Aufsichtsmaßnahmen, einschließlich von geschulten Fachleuten durchgeführten Stichprobenkontrollen;
b)
regelmäßige und gezielte Sicherheitsprüfungen, die von einer unabhängigen Stelle oder einer zuständigen Behörde durchgeführt werden;
c)
Ad-hoc-Prüfungen, einschließlich solcher, die aufgrund eines erheblichen Sicherheitsvorfalls oder Verstoßes gegen diese Richtlinie der wesentlichen Einrichtung gerechtfertigt sind;
d)
Sicherheitsscans auf der Grundlage objektiver, nichtdiskriminierender, fairer und transparenter Risikobewertungskriterien, erforderlichenfalls in Zusammenarbeit mit der betreffenden Einrichtung;
e)
Anforderung von Informationen, die für die Bewertung der von der betreffenden Einrichtung ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit erforderlich sind, einschließlich dokumentierter Cybersicherheitskonzepte, sowie der Einhaltung der Verpflichtungen zur Übermittlung von Informationen an die zuständigen Behörden nach Artikel 27;
f)
Anforderung des Zugangs zu Daten, Dokumenten und sonstigen Informationen, die zur Erfüllung der Aufsichtsaufgaben erforderlich sind;
g)
Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, z. B. der Ergebnisse von Sicherheitsprüfungen, die von einem qualifizierten Prüfer durchgeführt wurden, und der entsprechenden zugrunde liegenden Nachweise.
Die in Unterabsatz 1 Buchstabe b genannten gezielten Sicherheitsprüfungen stützen sich auf Risikobewertungen, die von der zuständigen Behörde oder der geprüften Einrichtung durchgeführt werden, oder auf sonstige verfügbare risikobezogene Informationen.
Die Ergebnisse einer gezielten Sicherheitsprüfung sind der zuständigen Behörde zur Verfügung zu stellen. Die Kosten einer solchen gezielten Sicherheitsprüfung, die von einer unabhängigen Stelle durchgeführt wird, sind von der geprüften Einrichtung zu tragen, es sei denn, die zuständige Behörde trifft in hinreichend begründeten Fällen eine anderslautende Entscheidung.
(3)
Bei der Ausübung ihrer Befugnisse nach Absatz 2 Buchstaben e, f oder g geben die zuständigen Behörden den Zweck der Anfrage und die erbetenen Informationen an.
(4)
Die Mitgliedstaaten stellen sicher, dass ihre zuständigen Behörden bei der Wahrnehmung ihrer Durchsetzungsbefugnisse in Bezug auf wesentliche Einrichtungen mindestens befugt sind,
a)
Warnungen über Verstöße gegen diese Richtlinie durch die betreffenden Einrichtungen herauszugeben;
b)
verbindliche Anweisungen zu erlassen, auch in Bezug auf Maßnahmen, die zur Verhütung oder Behebung eines Sicherheitsvorfalls erforderlich sind, sowie Fristen für die Durchführung dieser Maßnahmen und für die Berichterstattung über ihre Durchführung zu setzen, oder Anordnungen zu erlassen, um diese Einrichtungen aufzufordern, die festgestellten Mängel oder die Verstöße gegen diese Richtlinie zu beheben;
c)
die betreffenden Einrichtungen anzuweisen, das gegen diese Richtlinie verstoßende Verhalten einzustellen und von Wiederholungen abzusehen;
d)
die betreffenden Einrichtungen anzuweisen, entsprechend bestimmten Vorgaben und innerhalb einer bestimmten Frist sicherzustellen, dass ihre Risikomanagementmaßnahmen im Bereich der Cybersicherheit mit Artikel 21 im Einklang stehen, bzw. die in Artikel 23 festgelegten Berichtspflichten zu erfüllen;
e)
die betreffenden Einrichtungen anzuweisen, die natürlichen oder juristischen Personen, für die sie Dienste erbringen oder Tätigkeiten ausüben und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten, die von diesen natürlichen oder juristischen Personen als Reaktion auf diese Bedrohung ergriffen werden können;
f)
die betreffenden Einrichtungen anzuweisen, die im Rahmen einer Sicherheitsprüfung formulierten Empfehlungen innerhalb einer angemessenen Frist umzusetzen;
g)
für einen bestimmten Zeitraum einen mit genau festgelegten Aufgaben betrauten Überwachungsbeauftragten zu benennen, der die Einhaltung der Artikel 21 und 23 durch die betreffenden Einrichtungen überwacht;
h)
die betreffenden Einrichtungen anzuweisen, Aspekte der Verstöße gegen diese Richtlinie entsprechend bestimmten Vorgaben öffentlich bekannt zu machen;
i)
gemäß einzelstaatlichem Recht zusätzlich zu jeglichen der unter den Buchstaben a bis h dieses Absatzes genannten Maßnahmen eine Geldbuße gemäß Artikel 34 zu verhängen oder die zuständigen Stellen oder Gerichte um die Verhängung einer solchen Geldbuße zu ersuchen.
(5)
Erweisen sich die gemäß Absatz 4 Buchstaben a bis d und f ergriffenen Durchsetzungsmaßnahmen als unwirksam, so stellen die Mitgliedstaaten sicher, dass ihre zuständigen Behörden befugt sind, eine Frist festzusetzen, innerhalb derer die wesentliche Einrichtung die erforderlichen Maßnahmen ergreifen muss, um die Mängel zu beheben oder die Anforderungen dieser Behörden zu erfüllen. Für den Fall, dass die geforderten Maßnahmen nicht innerhalb der gesetzten Frist ergriffen werden, stellen die Mitgliedstaaten sicher, dass ihre zuständigen Behörden befugt sind,
a)
die Zertifizierung oder Genehmigung für einen Teil oder alle von der wesentlichen Einrichtung erbrachten einschlägigen Dienste oder Tätigkeiten vorübergehend auszusetzen oder eine Zertifizierungs- oder Genehmigungsstelle oder ein Gericht im Einklang mit dem nationalen Recht aufzufordern, die Zertifizierung oder Genehmigung vorübergehend auszusetzen;
b)
zu verlangen, dass die zuständigen Stellen oder Gerichte im Einklang mit dem nationalen Recht natürlichen Personen, die auf Geschäftsführungs- bzw. Vorstandsebene oder Ebene des rechtlichen Vertreters für Leitungsaufgaben in dieser wesentlichen Einrichtung zuständig sind, vorübergehend untersagen, Leitungsaufgaben in dieser Einrichtung wahrzunehmen.
Die gemäß diesem Absatz verhängten vorübergehenden Aussetzungen oder Verbote werden nur so lange angewandt, bis die betreffende Einrichtung die erforderlichen Maßnahmen ergreift, um die Mängel zu beheben oder die Anforderungen der zuständigen Behörde, wegen deren Nichterfüllung die Durchsetzungsmaßnahmenverhängt wurden, zu erfüllen. Für die Verhängung solcher vorübergehenden Aussetzungen oder Verbote muss es angemessene Verfahrensgarantien geben, die den allgemeinen Grundsätzen des Unionsrechts und der Charta, einschließlich des Rechts auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht, der Unschuldsvermutung und der Verteidigungsrechte, entsprechen.
Die in diesem Absatz vorgesehenen Durchsetzungsmaßnahmen finden keine Anwendung auf Einrichtungen der öffentlichen Verwaltung, die dieser Richtlinie unterliegen.
(6)
Die Mitgliedstaaten stellen sicher, dass jede natürliche Person, die für eine wesentliche Einrichtung verantwortlich ist oder auf der Grundlage ihrer Vertretungsbefugnis, der Befugnis, im Namen der Einrichtung Entscheidungen zu treffen, oder ihrer Kontrollbefugnis über die Einrichtung als Vertreterin der wesentlichen Einrichtung handelt, befugt ist zu gewährleisten, dass die Einrichtung diese Richtlinie erfüllt. Die Mitgliedstaaten stellen sicher, dass diese natürlichen Personen für Verstöße gegen ihre Pflichten zur Gewährleistung der Einhaltung dieser Richtlinie haftbar gemacht werden können.
Für Einrichtungen der öffentlichen Verwaltung gilt dieser Absatz unbeschadet der nationalen Rechtsvorschriften über die Haftung von öffentlichen Bediensteten und von gewählten oder ernannten Amtsträgern.
(7)
Bei der Ergreifung von Durchsetzungsmaßnahmen gemäß Absatz 4 oder 5 müssen die zuständigen Behörden die Verteidigungsrechte einhalten und den Umständen des Einzelfalls Rechnung tragen und dabei zumindest Folgendes gebührend berücksichtigen:
a)
die Schwere des Verstoßes und die Wichtigkeit der Bestimmungen, gegen die verstoßen wurde, wobei u. a. Folgendes immer als schwerer Verstoß anzusehen ist: i) wiederholte Verstöße, ii) eine unterlassene Meldung oder Behebung von erheblichen Sicherheitsvorfällen, iii) eine Nichtbehebung von Mängeln nach verbindlicher Anweisung der zuständigen Behörden, iv) die Behinderung von Prüfungen oder Überwachungstätigkeiten, die nach der Feststellung eines Verstoßes von der zuständigen Behörde angeordnet wurden, sowie v) Übermittlung falscher oder grob verfälschender Informationen in Bezug auf Risikomanagementmaßnahmen im Bereich der Cybersicherheit oder Berichtspflichten gemäß den Artikeln 21 und 23.
b)
die Dauer des Verstoßes;
c)
einschlägige frühere Verstöße der betreffenden Einrichtung;
d)
der verursachte materielle oder immaterielle Schaden, darunter finanzieller oder wirtschaftlicher Verlust, Auswirkungen auf andere Dienste und die Zahl der betroffenen Nutzer;
e)
etwaiger Vorsatz oder etwaige Fahrlässigkeit des Urhebers des Verstoßes;
f)
von der Einrichtung ergriffene Maßnahmen zur Verhinderung oder Minderung des materiellen oder immateriellen Schadens;
g)
Einhaltung genehmigter Verhaltensregeln oder genehmigter Zertifizierungsverfahren;
h)
Umfang der Zusammenarbeit der verantwortlichen natürlichen oder juristischen Personen mit den zuständigen Behörden.
(8)
Die zuständigen Behörden müssen ihre Durchsetzungsmaßnahmen ausführlich begründen. Bevor sie solche Maßnahmen ergreifen, teilen die zuständigen Behörden den betreffenden Einrichtungen ihre vorläufigen Erkenntnisse mit. Sie räumen diesen Einrichtungen ferner eine angemessene Frist zur Stellungnahme ein, außer in hinreichend begründeten Fällen, in denen sofortige Maßnahmen zur Verhütung von Sicherheitsvorfällen oder zur Reaktion auf Sicherheitsvorfälle andernfalls beeinträchtigt würden.
(9)
Die Mitgliedstaaten stellen sicher, dass ihre gemäß der vorliegenden Richtlinie zuständigen Behörden bei der Ausübung ihrer Aufsichts- und Durchsetzungsbefugnisse — mit denen sichergestellt werden soll, dass Einrichtungen, die gemäß der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden, diese Richtlinie erfüllen — die gemäß der Richtlinie (EU) 2022/2557 zuständigen Behörden innerhalb desselben Mitgliedstaats unterrichten. Gegebenenfalls können die gemäß der Richtlinie (EU) 2022/2557 zuständigen Behörden die gemäß der vorliegenden Richtlinie zuständigen Behörden ersuchen, ihre Aufsichts- und Durchsetzungsbefugnisse in Bezug auf eine Einrichtung, die gemäß der Richtlinie (EU) 2022/2557 als kritische Einrichtung eingestuft wird, auszuüben.
(10)
Die Mitgliedstaaten stellen sicher, dass ihre gemäß der vorliegenden Richtlinie zuständigen Behörden mit den gemäß der Verordnung (EU) 2022/2554 jeweils zuständigen Behörden des betreffenden Mitgliedstaats zusammenarbeiten. Insbesondere stellen die Mitgliedstaaten sicher, dass ihre gemäß dieser Richtlinie zuständigen Behörden bei der Ausübung ihrer Aufsichts- und Durchsetzungsbefugnisse — mit denen sichergestellt werden soll, dass wesentliche Einrichtungen, die als IKT-Drittanbieter gemäß Artikel 31 der Verordnung (EU) 2022/2554 benannt wurden, diese Richtlinie erfüllen — das gemäß Artikel 32 Absatz 1 der Verordnung (EU) 2022/2554 eingerichtete Überwachungsforum unterrichten.
Im deutschen Recht umgesetzt durch: § 7, § 10, § 13, § 61, § 65 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 33 · NIS-2-Richtlinie (EU) 2022/2555

Aufsichts- und Durchsetzungsmaßnahmen in Bezug auf wichtige Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Werden Nachweise, Hinweise oder Informationen vorgelegt, wonach eine wichtige Einrichtung mutmaßlich dieser Richtlinie, insbesondere deren Artikeln 21 und 23, nicht nachkommt, so stellen die Mitgliedstaaten sicher, dass die zuständigen Behörden erforderlichenfalls im Wege von nachträglichen Aufsichtsmaßnahmen tätig werden. Die Mitgliedstaaten stellen sicher, dass diese Maßnahmen wirksam, verhältnismäßig und abschreckend sind, wobei die Umstände des Einzelfalls jeweils zu berücksichtigen sind.
(2)
Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden bei der Wahrnehmung ihrer Aufsichtsaufgaben in Bezug auf wichtige Einrichtungen befugt sind, in Bezug auf diese Einrichtungen mindestens folgende Maßnahmen vorzunehmen:
a)
Vor-Ort-Kontrollen und externe nachträgliche Aufsichtsmaßnahmen, die von geschulten Fachkräften durchgeführt werden;
b)
gezielte Sicherheitsprüfungen, die von einer unabhängigen Stelle oder einer zuständigen Behörde durchgeführt werden;
c)
Sicherheitsscans auf der Grundlage objektiver, nichtdiskriminierender, fairer und transparenter Risikobewertungskriterien, erforderlichenfalls auch in Zusammenarbeit mit der betreffenden Einrichtung;
d)
Anforderung von Informationen, die für die nachträgliche Bewertung der von der betreffenden Einrichtung ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit erforderlich sind, einschließlich dokumentierter Cybersicherheitskonzepte, sowie der Einhaltung der Verpflichtungen zur Übermittlung von Informationen an die zuständigen Behörden nach Artikel 27;
e)
Anforderung des Zugangs zu Daten, Dokumenten und sonstigen Informationen, die zur Erfüllung ihrer Aufsichtsaufgaben erforderlich sind;
f)
Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, z. B. der Ergebnisse von von einem qualifizierten Prüfer durchgeführten Sicherheitsprüfungen und der entsprechenden zugrunde liegenden Nachweise.
Die in Unterabsatz 1 Buchstabe b genannten gezielten Sicherheitsprüfungen stützen sich auf Risikobewertungen, die von der zuständigen Behörde oder der geprüften Einrichtung durchgeführt werden, oder auf sonstige verfügbare risikobezogene Informationen.
Die Ergebnisse gezielter Sicherheitsprüfungen sind der zuständigen Behörde zur Verfügung zu stellen. Die Kosten einer solchen gezielten Sicherheitsprüfung, die von einer unabhängigen Stelle durchgeführt wird, sind von der geprüften Einrichtung zu tragen, es sei denn, die zuständige Behörde trifft in hinreichend begründeten Fällen eine anderslautende Entscheidung.
(3)
Bei der Ausübung ihrer Befugnisse nach Absatz 2 Buchstabe d, e oder f geben die zuständigen Behörden den Zweck der Anfrage und die erbetenen Informationen an.
(4)
Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden bei der Wahrnehmung ihrer Durchsetzungsbefugnisse in Bezug auf wichtige Einrichtungen mindestens dazu befugt sind,
a)
Warnungen über Verstöße gegen diese Richtlinie durch die betreffenden Einrichtungen herauszugeben;
b)
verbindliche Anweisungen oder Anordnungen zu erlassen, um die betreffenden Einrichtungen aufzufordern, die festgestellten Mängel oder den Verstoß gegen diese Richtlinie zu beheben;
c)
die betreffenden Einrichtungen anzuweisen, das gegen diese Richtlinie verstoßende Verhalten einzustellen und von Wiederholungen abzusehen;
d)
die betreffenden Einrichtungen anzuweisen, entsprechend bestimmten Vorgaben und innerhalb einer bestimmten Frist sicherzustellen, dass ihre Risikomanagementmaßnahmen im Bereich der Cybersicherheit mit Artikel 21 im Einklang stehen, bzw. die in Artikel 23 festgelegten Berichtspflichten zu erfüllen;
e)
die betreffenden Einrichtungen anzuweisen, die natürlichen oder juristischen Personen, für die sie Dienste erbringen oder Tätigkeiten ausüben und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten, die von diesen natürlichen oder juristischen Personen als Reaktion auf diese Bedrohung ergriffen werden können;
f)
die betreffenden Einrichtungen anzuweisen, die im Rahmen einer Sicherheitsprüfung formulierten Empfehlungen innerhalb einer angemessenen Frist umzusetzen;
g)
die betreffenden Einrichtungen anzuweisen, Aspekte der Verstöße gegen diese Richtlinie entsprechend bestimmten Vorgaben öffentlich bekannt zu machen;
h)
gemäß einzelstaatlichem Recht zusätzlich zu jeglichen der unter den Buchstaben a bis g dieses Absatzes genannten Maßnahmen eine Geldbuße gemäß Artikel 34 zu verhängen oder die zuständigen Stellen oder Gerichte um die Verhängung einer solchen Geldbuße zu ersuchen.
(5)
Artikel 32 Absätze 6, 7 und 8 gelten entsprechend für die Aufsichts- und Durchsetzungsmaßnahmen, die in diesem Artikel für wichtige Einrichtungen vorgesehen sind.
(6)
Die Mitgliedstaaten stellen sicher, dass ihre gemäß der vorliegenden Richtlinie zuständigen Behörden mit den gemäß der Verordnung (EU) 2022/2554 jeweils zuständigen Behörden des betreffenden Mitgliedstaats zusammenarbeiten. Insbesondere stellen die Mitgliedstaaten sicher, dass ihre gemäß dieser Richtlinie zuständigen Behörden bei der Ausübung ihrer Aufsichts- und Durchsetzungsbefugnisse — mit denen sichergestellt werden soll, dass wichtige Einrichtungen, die als IKT-Drittanbieter gemäß Artikel 31 der Verordnung (EU) 2022/2554 benannt wurden, diese Richtlinie erfüllen — das gemäß Artikel 32 Absatz 1 der Verordnung (EU) 2022/2554 eingerichtete Überwachungsforum unterrichten.
Im deutschen Recht umgesetzt durch: § 13, § 62, § 65 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 34 · NIS-2-Richtlinie (EU) 2022/2555

Allgemeine Bedingungen für die Verhängung von Geldbußen gegen wesentliche und wichtige Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Die Mitgliedstaaten stellen sicher, dass die Geldbußen, die gemäß dem vorliegenden Artikel gegen wesentliche und wichtige Einrichtungen in Bezug auf Verstöße gegen diese Richtlinie verhängt werden, unter Berücksichtigung der Umstände des Einzelfalls wirksam, verhältnismäßig und abschreckend sind.
(2)
Geldbußen werden zusätzlich zu jeglichen der Maßnahmen nach Artikel 32 Absatz 4 Buchstaben a bis h, Artikel 32 Absatz 5 und Artikel 33 Absatz 4 Buchstaben a bis g verhängt.
(3)
Bei der Entscheidung über die Verhängung einer Geldbuße und deren Höhe sind in jedem Einzelfall zumindest die in Artikel 32 Absatz 7 genannten Elemente gebührend zu berücksichtigen.
(4)
Die Mitgliedstaaten stellen sicher, dass gegen wesentliche Einrichtungen, die gegen Artikel 21 oder 23 verstoßen, im Einklang mit den Absätzen 2 und 3 des vorliegenden Artikels Geldbußen mit einem Höchstbetrag von mindestens 10 000 000 EUR oder mit einem Höchstbetrag von mindestens 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, verhängt werden, je nachdem, welcher Betrag höher ist.
(5)
Die Mitgliedstaaten stellen sicher, dass gegen wichtige Einrichtungen, die gegen Artikel 21 oder 23 verstoßen, im Einklang mit den Absätzen 2 und 3 des vorliegenden Artikels Geldbußen mit einem Höchstbetrag von mindestens 7 000 000 EUR oder mit einem Höchstbetrag von mindestens 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wichtige Einrichtung angehört, verhängt werden, je nachdem, welcher Betrag höher ist.
(6)
Die Mitgliedstaaten können die Befugnis vorsehen, Zwangsgelder zu verhängen, um eine wesentliche oder wichtige Einrichtung zu zwingen, einen Verstoß gegen diese Richtlinie gemäß einer vorherigen Entscheidung der zuständigen Behörde einzustellen.
(7)
Unbeschadet der Befugnisse der zuständigen Behörden gemäß den Artikeln 32 und 33 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Einrichtungen der öffentlichen Verwaltung Geldbußen verhängt werden können.
(8)
Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, so stellt dieser Mitgliedstaat sicher, dass dieser Artikel so angewandt wird, dass die Geldbuße von der zuständigen Behörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von den zuständigen Behörden verhängten Geldbußen haben. In jedem Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Der betreffende Mitgliedstaat teilt der Kommission bis zum 17. Oktober 2024 die Rechtsvorschriften, die er aufgrund dieses Absatzes erlässt, sowie unverzüglich alle nachfolgenden Änderungsgesetze oder Änderungen dieser Vorschriften mit.
Im deutschen Recht umgesetzt durch: § 63, § 65 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 35 · NIS-2-Richtlinie (EU) 2022/2555

Verstöße mit Verletzungen des Schutzes personenbezogener Daten

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Stellen die zuständigen Behörden im Zuge der Beaufsichtigung oder Durchsetzung fest, dass der Verstoß einer wesentlichen oder wichtigen Einrichtung gegen die in den Artikeln 21 und 23 der vorliegenden Richtlinie festgelegten Verpflichtungen eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 zur Folge haben kann, die gemäß Artikel 33 der genannten Verordnung zu melden ist, unterrichten sie unverzüglich die in Artikel 55 oder 56 jener Verordnung genannten Aufsichtsbehörden.
(2)
Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der genannten Verordnung eine Geldbuße, so dürfen die zuständigen Behörden für einen Verstoß im Sinne von Absatz 1 des vorliegenden Artikels, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, keine Geldbuße nach Artikel 34 der vorliegenden Richtlinie verhängen. Die zuständigen Behörden können jedoch die Durchsetzungsmaßnahmen gemäß Artikel 32 Absatz 4 Buchstaben a bis h, Artikel 32 Absatz 5 und Artikel 33 Absatz 4 Buchstaben a bis g dieser Richtlinie anwenden bzw. verhängen.
(3)
Ist die gemäß der Verordnung (EU) 2016/679 zuständige Aufsichtsbehörde in einem anderen Mitgliedstaat angesiedelt als die zuständige Behörde, so setzt die zuständige Behörde die in ihrem eigenen Mitgliedstaat angesiedelte Aufsichtsbehörde über die mögliche Verletzung des Schutzes personenbezogener Daten nach Absatz 1 in Kenntnis.
Im deutschen Recht umgesetzt durch: § 7, § 61, § 65 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 36 · NIS-2-Richtlinie (EU) 2022/2555

Sanktionen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen die gemäß dieser Richtlinie erlassenen nationalen Maßnahmen zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Die Mitgliedstaaten teilen der Kommission diese Vorschriften und Maßnahmen bis zum 17. Januar 2025 mit und melden ihr unverzüglich alle diesbezüglichen Änderungen.
Im deutschen Recht umgesetzt durch: § 65 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 37 · NIS-2-Richtlinie (EU) 2022/2555

Amtshilfe

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Unternehmen in Deutschland gilt die Umsetzung im BSIG 2025.
(1)
Wenn eine Einrichtung ihre Dienste in mehr als einem Mitgliedstaat erbringt oder wenn sie ihre Dienste in einem oder mehreren Mitgliedstaaten erbringt und sich ihre Netz- und Informationssysteme in einem oder mehreren anderen Mitgliedstaaten befinden, so arbeiten die zuständigen Behörden der betreffenden Mitgliedstaaten zusammen und unterstützen einander. Diese Zusammenarbeit umfasst mindestens Folgendes:
a)
über die zentralen Anlaufstellen unterrichten die zuständigen Behörden, die in einem Mitgliedstaat Aufsichts- oder Durchsetzungsmaßnahmen ergreifen, die zuständigen Behörden in den anderen betreffenden Mitgliedstaaten über die Aufsichts- und Durchsetzungsmaßnahmen und konsultieren sie zu diesen;
b)
eine zuständige Behörde kann eine andere zuständige Behörde ersuchen, Aufsichts- oder Durchsetzungsmaßnahmen zu ergreifen;
c)
auf begründetes Ersuchen einer anderen zuständigen Behörde leistet eine zuständige Behörde der ersuchenden Behörde in einem ihren zur Verfügung stehenden Ressourcen angemessenen Umfang Amtshilfe, damit die Aufsichts- oder Durchsetzungsmaßnahmen wirksam, effizient und kohärent durchgeführt werden können.
Die in Unterabsatz 1 Buchstabe c genannte Amtshilfe kann Auskunftsersuchen und Aufsichtsmaßnahmen umfassen, einschließlich Ersuchen um Durchführung von Vor-Ort-Kontrollen und externen Aufsichtsmaßnahmen oder gezielten Sicherheitsprüfungen. Die ersuchte zuständige Behörde darf das Amtshilfeersuchen nur ablehnen, wenn festgestellt wird, dass sie für die erbetene Amtshilfe nicht zuständig ist, dass die ersuchte Amtshilfe in keinem angemessenen Verhältnis zu den Aufsichtsaufgaben der zuständigen Behörde steht oder dass das Ersuchen Informationen betrifft oder Tätigkeiten umfasst, deren Offenlegung bzw. Ausführung den wesentlichen Interessen der Mitgliedstaaten im Bereich der nationalen Sicherheit, der öffentlichen Sicherheit oder der Landesverteidigung des betreffenden Mitgliedstaats zuwiderlaufen würde. Bevor die zuständige Behörde einen solchen Antrag ablehnt, konsultiert sie die anderen betreffenden zuständigen Behörden sowie — auf Ersuchen eines der betreffenden Mitgliedstaaten — die Kommission und die ENISA.
(2)
Die zuständigen Behörden verschiedener Mitgliedstaaten können, wenn angezeigt und im gegenseitigen Einvernehmen, gemeinsame Aufsichtsmaßnahmen durchführen.
Im deutschen Recht umgesetzt durch: § 61 BSIG (Zuordnung abgeglichen mit der amtlichen Gesetzesbegründung, BT-Drs. 21/1501, im Korpus; einzelne Zuordnungen per Normvergleich ergänzt — Entwurf).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2555 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.

NIS-2-Cockpit

Normenkette BSIG 2025 → BSI-KritisV → NIS-2-RL → DVO 2024/2690
574 Sollmaßnahmen · Katalog V0.5· Entwurf

Die abgebildeten Rechtstexte

RechtstextAmtliche QuelleBerichtigung
BSIG 2025 (NIS2UmsuCG)das Treibendegesetze-im-internet.de · BGBl. 2025 I Nr. 301—
BSI-Kritisverordnungkritische Anlagen und Schwellenwerte (gilt fort)gesetze-im-internet.de—
NIS-2-Richtlinie (EU) 2022/2555EU-Rahmen (Referenz, kein eigener Navigationsbereich)EUR-Lex · CELEX 32022L2555R(04) eingearbeitet
DVO (EU) 2024/2690Erheblichkeitskriterien + Anhang (13 Nummern, 49 Punkte)EUR-Lex · CELEX 32024R2690—
Die Erwägungsgründe der EU-Rechtsakte sind im Navigator nicht abgebildet — der amtliche Volltext samt Erwägungsgründen ist bei EUR-Lex abrufbar (Links in der Tabelle).
© Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Eingebettete deutsche Gesetzestexte sind amtliche Werke (§ 5 UrhG) und gemeinfrei; unverändert wiedergegeben. Quelle: gesetze-im-internet.de (BMJ / juris GmbH) bzw. Bundesgesetzblatt. Verbindlich ist die im BGBl. verkündete Fassung.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.

Compliance-Hinweise

Nutzungsrechte, Autorenschaft, rechtliche Einordnung und Aktualisierungsstand dieses Werks — bitte vor der Nutzung zur Kenntnis nehmen.
Urheberrechtshinweis

Alle Inhalte des NIS2-Navigators (nachfolgend: „das Werk“), insbesondere Texte, Tabellen und Grafiken, sind zu Gunsten von Frau Dr. Marlen Hofmann urheberrechtlich geschützt, sie ist alleinige Urheberin.

Die Nutzungsrechte an diesem Werk werden wie nachfolgend dargestellt dem jeweiligen Nutzer eingeräumt, dies gegen Zahlung des vereinbarten Lizenzentgeltes.

Es wird ein einfaches, zeitlich unbegrenztes Nutzungsrecht eingeräumt. Die Nutzung des Werks ist ausschließlich für eigene interne Zwecke des erwerbenden Unternehmens gestattet. Eine Vervielfältigung ist in diesem internen Rahmen gestattet, etwa zur Verteilung an interne Fachabteilungen. Die Einbindung in interne IT-Systeme (etwa ISMS-Tools, GRC-Tools oder vergleichbare interne Anwendungen) des erwerbenden Unternehmens ist ebenfalls gestattet. Sollte diesbezüglich auf Grund technischer Gegebenheiten eine Bearbeitung des Werkes erforderlich sein (etwa im Sinne des Komprimierens oder einer Formatänderung) ist ein Bearbeitungsrecht genehmigt, was über diese technischen Erfordernisse jedoch nicht hinausgeht. Insbesondere darf eine inhaltliche Bearbeitung des Werkes nicht vorgenommen werden, wozu auch Übersetzungen gehören.

Die Übertragung der eingeräumten Nutzungsrechte an Dritte ist nicht gestattet. Davon erfasst sind ebenfalls in Verbindung mit dem erwerbenden Unternehmen stehende Gesellschaften (wie Tochter- oder Mutterunternehmen oder Beteiligungsgesellschaften). Solche Drittunternehmen haben eine eigenständige Lizenz zu erwerben, wobei eine umfangreiche Konzernlizenz bei Frau Dr. Marlen Hofmann angefragt werden kann.

Nicht gestattet ist im Rahmen dieser Lizenz zudem die Verwendung des Werks im Rahmen des Trainings eines KI-Modells (sei es ein externes oder internes). Zulässig ist jedoch die Einbindung des Werkes in eigene, unternehmensinterne KI-Systeme, welche als Wissensbasis dienen. Eine Einbindung des Werkes in Produkte, Dienstleistungen oder andere Tätigkeiten, die das erwerbende Unternehmen Dritten zur Verfügung stellt, ist nicht gestattet. Hierfür sind durch diese Dritte eigenständige Lizenzen zu erwerben.

Ein Verbreitungs-, Ausstellungs-, Vortrags-, Aufführungsrecht wird ebenso wenig eingeräumt wie das Recht der öffentlichen Zugänglichmachung. Es wird bestätigt, dass Frau Dr. Marlen Hofmann ausschließliche Urheberin des Werkes ist und ihr keine Rechte Dritter an dem Werk bekannt sind. Eine Gewährleistung für das Nichtbestehen solcher Rechte ist jedoch ausdrücklich ausgeschlossen. Gleichzeitig übernimmt Frau Dr. Marlen Hofmann keine Haftung für Ansprüche Dritter, welche sich aus einer unsachgemäßen und insbesondere nicht von der Rechteeinräumung umfassten Nutzung des Werkes ergeben.

Ebenso wird darauf hingewiesen, dass lediglich ein Nutzungsrecht an der hier angebotenen Version des Werkes eingeräumt wird. Ein Anspruch auf Vollständigkeit oder Richtigkeit des Inhalts besteht nicht. Ebenso entsteht kein Anspruch auf Weiterentwicklung, Ergänzung oder Aktualisierung des Werkes seitens Frau Dr. Marlen Hofmann.

Für die Einräumung etwaiger weitergehender Nutzungsrechte möge bitte eine Anfrage an Dr. Marlen Hofmann direkt gestellt werden.

Hinweis zur Autorenschaft und Nebentätigkeit

Das Werk wurde im Rahmen einer privaten Nebentätigkeit erstellt. Sämtliche Analysen, Interpretationen und Einschätzungen in diesem Werk spiegeln ausschließlich die persönliche fachliche Sichtweise der Autorin wider. Sie stehen in keinem Zusammenhang mit den Ansichten, Richtlinien oder Vorgaben ihres Arbeitgebers und stellen keine offizielle Stellungnahme ihres Arbeitgebers dar. Das Werk ist mit KI-Unterstützung entstanden: Softwarecode und Darstellung wurden überwiegend maschinell erzeugt, unter fachlicher Anleitung und Prüfung der Autorin; die Kopfmotive stammen aus einem KI-Bildgenerator. Die fachlichen Inhalte — Sollmaßnahmen, Einordnungen und Auslegungen — stammen von der Autorin und wurden einzeln geprüft und freigegeben.

Hinweis zur Verwendung und rechtlichen Einordnung

Die dargestellten Sollmaßnahmen basieren auf einer intensiven fachlichen Auseinandersetzung der Autorin mit den zugrunde liegenden Rechtsakten und den dazugehörigen Regulierungsstandards. Das Werk dient ausschließlich als fachliche Orientierungshilfe für die praktische Umsetzung der regulatorischen Anforderungen und erhebt keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.

Die Inhalte dieses Werks stellen keine Rechtsberatung dar und können eine solche nicht ersetzen. Für die konkrete Umsetzung regulatorischer Anforderungen im jeweiligen Einzelfall sollten bei Bedarf qualifizierte rechtliche oder fachliche Beratungen eingeholt werden. Die Herausgeberin übernimmt keine Haftung für Entscheidungen, Maßnahmen, Schäden oder Verluste, die unmittelbar oder mittelbar aus der Nutzung oder Interpretation dieses Werks entstehen.

Rechtsgrundlage der Quellennutzung

Dieses Werk bettet fremde, öffentlich zugängliche Rechts- und Aufsichtstexte ein und verwertet sie im Rahmen der jeweils geltenden Nutzungsbedingungen. Grundlage und Bedingungen je Quelle:

EU-Rechtsakte (EUR-Lex): Die eingebetteten EU-Rechtsakte werden gemäß dem Beschluss 2011/833/EU über die Weiterverwendung von Kommissionsdokumenten wiedergegeben; die kommerzielle Nutzung ist danach zulässig. Quelle: © Europäische Union, eur-lex.europa.eu. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Fassungen.

Deutsche Gesetze: Die eingebetteten deutschen Gesetzestexte sind amtliche Werke und nach § 5 UrhG gemeinfrei; sie werden unverändert wiedergegeben. Quelle: gesetze-im-internet.de (Bundesministerium der Justiz / juris GmbH) bzw. Bundesgesetzblatt. Verbindlich ist die im Bundesgesetzblatt verkündete Fassung.

Gesetzesbegründungen (Bundestagsdrucksachen): Die zitierten Auszüge aus den Begründungen deutscher Gesetzentwürfe sind amtliche Werke und nach § 5 Abs. 2 UrhG gemeinfrei; sie werden wörtlich und unter Angabe der jeweiligen Drucksache an der Fundstelle wiedergegeben (Quellenangabe entsprechend § 63 UrhG). Quelle: Deutscher Bundestag, Drucksachen (dserver.bundestag.de). Verbindlich ist allein der verkündete Gesetzestext; die Begründung gibt die Auffassung der Entwurfsverfasser wieder.

ENISA-Umsetzungshinweise: Die eingebundenen Zuordnungs- und Umsetzungshinweise basieren auf „ENISA Technical Implementation Guidance on cybersecurity risk management measures“ (Mapping table v1.2, August 2025), © European Union Agency for Cybersecurity (ENISA), www.enisa.europa.eu, lizenziert unter Creative Commons Attribution 4.0 International (CC BY 4.0, creativecommons.org/licenses/by/4.0/). Die Inhalte wurden ins Deutsche übersetzt und redaktionell bearbeitet. ENISA befürwortet dieses Werk nicht.

Schriften: Das Werk bettet die Schriftarten Kanit (Copyright 2020 The Kanit Project Authors) und Open Sans (Copyright 2020 The Open Sans Project Authors) als Schriftdatei ein. Beide stehen unter der SIL Open Font License 1.1 (openfontlicense.org); sie werden unverändert weitergegeben. Der Lizenztext ist im folgenden Abschnitt im Wortlaut wiedergegeben. Die Lizenz erfasst allein die Schriftdateien, nicht das Werk im Übrigen.

Lizenztext der eingebetteten Schriften (SIL Open Font License 1.1)

Die beiden im Werk eingebetteten Schriften stehen unter der nachfolgend im Wortlaut wiedergegebenen SIL Open Font License, Version 1.1. Der Lizenztext ist die englische Originalfassung und wird unverändert wiedergegeben; er gilt allein für die Schriftdateien, nicht für das Werk im Übrigen.

Copyright 2020 The Kanit Project Authors (https://github.com/cadsondemak/kanit)

Copyright 2020 The Open Sans Project Authors (https://github.com/googlefonts/opensans)

This Font Software is licensed under the SIL Open Font License, Version 1.1. This license is copied below, and is also available with a FAQ at: https://openfontlicense.org

SIL OPEN FONT LICENSE Version 1.1 - 26 February 2007

PREAMBLE

The goals of the Open Font License (OFL) are to stimulate worldwide development of collaborative font projects, to support the font creation efforts of academic and linguistic communities, and to provide a free and open framework in which fonts may be shared and improved in partnership with others.

The OFL allows the licensed fonts to be used, studied, modified and redistributed freely as long as they are not sold by themselves. The fonts, including any derivative works, can be bundled, embedded, redistributed and/or sold with any software provided that any reserved names are not used by derivative works. The fonts and derivatives, however, cannot be released under any other type of license. The requirement for fonts to remain under this license does not apply to any document created using the fonts or their derivatives.

DEFINITIONS

"Font Software" refers to the set of files released by the Copyright Holder(s) under this license and clearly marked as such. This may include source files, build scripts and documentation.

"Reserved Font Name" refers to any names specified as such after the copyright statement(s).

"Original Version" refers to the collection of Font Software components as distributed by the Copyright Holder(s).

"Modified Version" refers to any derivative made by adding to, deleting, or substituting -- in part or in whole -- any of the components of the Original Version, by changing formats or by porting the Font Software to a new environment.

"Author" refers to any designer, engineer, programmer, technical writer or other person who contributed to the Font Software.

PERMISSION & CONDITIONS

Permission is hereby granted, free of charge, to any person obtaining a copy of the Font Software, to use, study, copy, merge, embed, modify, redistribute, and sell modified and unmodified copies of the Font Software, subject to the following conditions:

1) Neither the Font Software nor any of its individual components, in Original or Modified Versions, may be sold by itself.

2) Original or Modified Versions of the Font Software may be bundled, redistributed and/or sold with any software, provided that each copy contains the above copyright notice and this license. These can be included either as stand-alone text files, human-readable headers or in the appropriate machine-readable metadata fields within text or binary files as long as those fields can be easily viewed by the user.

3) No Modified Version of the Font Software may use the Reserved Font Name(s) unless explicit written permission is granted by the corresponding Copyright Holder. This restriction only applies to the primary font name as presented to the users.

4) The name(s) of the Copyright Holder(s) or the Author(s) of the Font Software shall not be used to promote, endorse or advertise any Modified Version, except to acknowledge the contribution(s) of the Copyright Holder(s) and the Author(s) or with their explicit written permission.

5) The Font Software, modified or unmodified, in part or in whole, must be distributed entirely under this license, and must not be distributed under any other license. The requirement for fonts to remain under this license does not apply to any document created using the Font Software.

TERMINATION

This license becomes null and void if any of the above conditions are not met.

DISCLAIMER

THE FONT SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OF COPYRIGHT, PATENT, TRADEMARK, OR OTHER RIGHT. IN NO EVENT SHALL THE COPYRIGHT HOLDER BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, INCLUDING ANY GENERAL, SPECIAL, INDIRECT, INCIDENTAL, OR CONSEQUENTIAL DAMAGES, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF THE USE OR INABILITY TO USE THE FONT SOFTWARE OR FROM OTHER DEALINGS IN THE FONT SOFTWARE.

Hinweis zur Aktualisierung

Für die Erstellung der Anforderungen in diesem Werk wurden die im Überblick aufgeführten Rechtsquellen herangezogen. Der zugrunde liegende Sollmaßnahmen-Katalog ist ein fachlicher Entwurf (V0.5) und noch nicht abschließend geprüft.

Da sich regulatorische Anforderungen sowie technische und aufsichtsrechtliche Standards kontinuierlich weiterentwickeln, kann eine regelmäßige Aktualisierung erforderlich sein. Das Werk erhebt daher keinen Anspruch auf dauerhafte Vollständigkeit oder Aktualität.

Es liegt in der Verantwortung der Nutzerinnen und Nutzer, sich eigenständig über Änderungen relevanter Rechtsvorschriften, regulatorischer Vorgaben und technischer Standards zu informieren und diese bei der Umsetzung entsprechend zu berücksichtigen.

Merkliste

NIS-2-Navigator — mit ★ markierte Sollmaßnahmen

Die Merkliste braucht JavaScript: Karten mit dem ★-Knopf markieren, hier erscheinen sie gesammelt (gespeichert lokal in diesem Browser).

Sollmaßnahmen-Überblick

Normenkette BSIG 2025 → BSI-KritisV → NIS-2-RL → DVO 2024/2690

Alle 574 Sollmaßnahmen (N-Atome) als Lese-Tabelle. Klick auf eine ID springt zur Karte im Rechtstext.

In der Testversion nicht enthalten. Die Arbeitstabelle aller Sollmaßnahmen — markieren & kopieren nach Excel, mit direkt bearbeitbaren Umsetzungs-Doku-Spalten — ist Teil der Vollversion.
BSIG 2025ݤ 1
§ 1

Bundesamt für Sicherheit in der Informationstechnik

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Das Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) ist eine Bundesoberbehörde im Geschäftsbereich des Bundesministeriums des Innern. Es ist die zentrale Stelle für Informationssicherheit auf nationaler Ebene. Seine Aufgaben führt das Bundesamt auf Grundlage wissenschaftlich-technischer Erkenntnisse durch.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 2
§ 2

Begriffsbestimmungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Im Sinne dieses Gesetzes ist oder sind
1.
„Beinahevorfall“ ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt haben könnte, dessen Eintritt jedoch erfolgreich verhindert worden ist oder aus anderen Gründen nicht erfolgt ist;
2.
„berechtigte Zugangsnachfrager“
a)
das Bundesamt,
b)
die Landesbehörden, die die Länder als zuständige Behörden für die Aufsicht von Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene nach Artikel 2 Absatz 2 Buchstabe f Ziffer ii der NIS-2-Richtlinie bestimmt haben,
c)
Strafverfolgungsbehörden,
d)
die Polizeien des Bundes und der Länder und
e)
die Verfassungsschutzbehörden des Bundes und der Länder;
3.
„Bodeninfrastruktur“ den Sektor Weltraum betreffende Einrichtungen, die der Kontrolle des Startes, Fluges oder der eventuellen Landung von Weltraumgegenständen dienen;
4.
„Cloud-Computing-Dienst“ ein digitaler Dienst, der auf Abruf die Verwaltung eines skalierbaren und elastischen Pools gemeinsam nutzbarer Rechenressourcen sowie den umfassenden Fernzugang zu diesem Pool ermöglicht, auch wenn die Rechenressourcen auf mehrere Standorte verteilt sind;
5.
„Content Delivery Network“ oder „CDN“ eine Gruppe geographisch verteilter, zusammengeschalteter Server, mitsamt der hierfür erforderlichen Infrastruktur, die mit dem Internet verbunden sind, und der Bereitstellung digitaler Inhalte und Dienste für Internetnutzer im Auftrag von Inhalte- und Diensteanbietern dienen, mit dem Ziel der Gewährleistung einer hohen Verfügbarkeit, Zugänglichkeit oder Zustellung mit möglichst niedriger Latenz;
6.
„Cyberbedrohung“ eine Cyberbedrohung nach Artikel 2 Nummer 8 der Verordnung (EU) 2019/881;
7.
„Datenverkehr“ die mittels technischer Protokolle übertragenen Daten; es können Telekommunikationsinhalte nach § 3 Absatz 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes und Nutzungsdaten nach § 2 Absatz 2 Nummer 3 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes enthalten sein;
8.
„DNS-Diensteanbieter“ eine natürliche oder juristische Person, die
a)
für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domain-Namen anbietet oder
b)
autoritative Dienste zur Auflösung von Domain-Namen zur Nutzung durch Dritte, mit Ausnahme von Root-Namenservern, anbietet;
9.
„Domain-Name-Registry-Dienstleister“ ein Registrar oder eine Stelle, die im Namen von Registraren tätig ist, insbesondere Anbieter oder Wiederverkäufer von Datenschutz- oder Proxy-Registrierungsdiensten;
10.
„erhebliche Cyberbedrohung“ eine Cyberbedrohung, die das Potenzial besitzt, die informationstechnischen Systeme, Komponenten und Prozesse aufgrund der besonderen technischen Merkmale der Cyberbedrohung erheblich zu beeinträchtigen; eine Beeinträchtigung ist erheblich, wenn sie erheblichen materiellen oder immateriellen Schaden verursachen kann;
11.
„erheblicher Sicherheitsvorfall“ ein Sicherheitsvorfall, der
a)
schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder
b)
andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann,
sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt;
12.
„Forschungseinrichtung“ eine Einrichtung, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen; Bildungseinrichtungen gelten nicht als Forschungseinrichtungen;
13.
„Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung;
14.
„IKT-Dienst“ ein IKT-Dienst nach Artikel 2 Nummer 13 der Verordnung (EU) 2019/881;
15.
„IKT-Produkt“ ein IKT-Produkt nach Artikel 2 Nummer 12 der Verordnung (EU) 2019/881;
16.
„IKT-Prozess“ ein IKT-Prozess nach Artikel 2 Nummer 14 der Verordnung (EU) 2019/881;
17.
„Informationssicherheit“ der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen;
18.
„Informationstechnik“ ein technisches Mittel zur Verarbeitung von Informationen;
19.
„Institutionen der Sozialen Sicherung“ Körperschaften gemäß § 29 des Vierten Buches Sozialgesetzbuch, Arbeitsgemeinschaften gemäß § 94 des Zehnten Buches Sozialgesetzbuch, die Deutsche Gesetzliche Unfallversicherung e. V. sowie die Deutsche Post AG, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist;
20.
„Internet Exchange Point“ oder „IXP“ eine Infrastruktur, die
a)
die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen ermöglicht, die in erster Linie zum Austausch von Internet-Datenverkehr genutzt wird,
b)
nur der Zusammenschaltung autonomer Systeme dient und
c)
nicht voraussetzt, dass
aa)
der Internet-Datenverkehr zwischen zwei beliebigen teilnehmenden autonomen Systemen über ein drittes autonomes System läuft oder
bb)
den betreffenden Datenverkehr verändert oder diesen anderweitig beeinträchtigt;
21.
„Kommunikationstechnik des Bundes“ Informationstechnik, die von einer oder mehreren Einrichtungen der Bundesverwaltung oder im Auftrag einer oder mehrerer Einrichtungen der Bundesverwaltung betrieben wird und der Kommunikation oder dem Datenaustausch innerhalb einer Einrichtung der Bundesverwaltung, der Einrichtungen der Bundesverwaltung untereinander oder der Einrichtungen der Bundesverwaltung mit Dritten dient; nicht als „Kommunikationstechnik des Bundes“ gelten die Kommunikationstechnik des Bundesverfassungsgerichts, der Bundesgerichte, soweit sie nicht öffentlich-rechtliche Verwaltungsaufgaben wahrnehmen, des Bundestages, des Bundesrates, des Bundespräsidenten und des Bundesrechnungshofes, soweit sie ausschließlich in deren eigener Zuständigkeit betrieben wird;
22.
„kritische Anlage“ eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes;
23.
„kritische Komponenten“ IKT-Produkte, die in einer Rechtsverordnung aufgrund von § 56 Absatz 7 und 8 als kritische Komponenten bestimmt werden.
24.
„kritische Dienstleistung“ eine Dienstleistung im Sinne des § 2 Nummer 4 des KRITIS-Dachgesetzes;
25.
„Managed Security Service Provider“ oder „MSSP“ ein Managed Service Provider, der Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich der Cybersicherheit durchführt oder erbringt;
26.
„Managed Service Provider“ oder „MSP“ ein Anbieter von Diensten im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, -Netzen, -Infrastruktur, -Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung in den Räumlichkeiten der Kunden oder aus der Ferne;
27.
„NIS-2-Richtlinie“ die Richtlinie (EU) 2022/2555 in der jeweils geltenden Fassung;
28.
„Online-Marktplatz“ ein Dienst nach § 312l Absatz 3 des Bürgerlichen Gesetzbuchs;
29.
„Online-Suchmaschine“ ein digitaler Dienst nach Artikel 2 Nummer 5 der Verordnung (EU) 2019/1150;
30.
„Plattform für Dienste sozialer Netzwerke“ eine Plattform, auf der Endnutzer mit unterschiedlichen Geräten insbesondere durch Chats, Posts, Videos und Empfehlungen miteinander in Kontakt treten und kommunizieren sowie Inhalte teilen und entdecken können;
31.
„Protokolldaten“ Steuerdaten eines informationstechnischen Protokolls zur Datenübertragung, die
a)
zur Gewährleistung der Kommunikation zwischen Empfänger und Sender notwendig sind und
b)
unabhängig vom Inhalt des Kommunikationsvorgangs übertragen oder auf den am Kommunikationsvorgang beteiligten Servern gespeichert werden;
Protokolldaten können Verkehrsdaten nach § 3 Nummer 70 des Telekommunikationsgesetzes und Nutzungsdaten nach § 2 Absatz 2 Nummer 3 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes enthalten;
32.
„Protokollierungsdaten“ Aufzeichnungen über technische Ereignisse oder Zustände innerhalb informationstechnischer Systeme;
33.
„qualifizierter Vertrauensdienst“ ein qualifizierter Vertrauensdienst nach Artikel 3 Nummer 17 der Verordnung (EU) Nr. 910/2014
34.
„qualifizierter Vertrauensdiensteanbieter“ ein qualifizierter Vertrauensdiensteanbieter nach Artikel 3 Nummer 20 der Verordnung (EU) Nr. 910/2014;
35.
„Rechenzentrumsdienst“ ein Dienst, der Strukturen umfasst, die dem vorrangigen Zweck der zentralen Unterbringung, der Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstungen dienen, und die Datenverarbeitungsdienste erbringen, mitsamt allen benötigten Anlagen und Infrastrukturen, insbesondere für die Stromverteilung und die Umgebungskontrolle;
36.
„Schadprogramme“ Programme und sonstige informationstechnische Routinen und Verfahren, die dazu dienen, unbefugt Daten zu nutzen oder zu löschen oder unbefugt auf sonstige informationstechnische Abläufe einzuwirken;
37.
„Schnittstellen der Kommunikationstechnik des Bundes“ sicherheitsrelevante Netzwerkübergänge innerhalb der Kommunikationstechnik des Bundes sowie zwischen dieser und der Informationstechnik der einzelnen Einrichtungen der Bundesverwaltung, der Informationstechnik von Gruppen von Einrichtungen der Bundesverwaltung oder der Informationstechnik Dritter; nicht als „Schnittstellen der Kommunikationstechnik des Bundes“ gelten die Komponenten an den Netzwerkübergängen, die in eigener Zuständigkeit der in Nummer 21 genannten Gerichte und Verfassungsorgane betrieben werden;
38.
„Schwachstelle“ eine Eigenschaft von IKT-Produkten oder IKT-Diensten, die von Dritten ausgenutzt werden kann, um sich gegen den Willen des Berechtigten Zugang zu den IKT-Produkten oder IKT-Diensten zu verschaffen oder die Funktion der IKT-Produkte oder IKT-Dienste zu beeinflussen;
39.
„Sicherheit in der Informationstechnik“ die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen
a)
in informationstechnischen Systemen, Komponenten oder Prozessen oder
b)
bei der Anwendung informationstechnischer Systeme, Komponenten oder Prozesse;
40.
„Sicherheitsvorfall“ ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt;
41.
„Systeme zur Angriffserkennung“ durch technische Werkzeuge und organisatorische Einbindung unterstützte Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme; wobei die Angriffserkennung durch Abgleich der in einem informationstechnischen System verarbeiteten Daten mit Informationen und technischen Mustern, die auf Angriffe hindeuten, erfolgt;
42.
„Top Level Domain Name Registry“ eine natürliche oder juristische Person, die die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top Level Domain (TLD) verwaltet und betreibt, einschließlich des Betriebs ihrer Namenserver, der Pflege ihrer Datenbanken und der Verteilung von TLD-Zonendateien über die Namenserver, unabhängig davon, ob der Betrieb durch die natürliche oder juristische Person selbst erfolgt oder ausgelagert wird; keine „Top Level Domain Name Registry“ sind Register, die TLD-Namen nur für eigene Zwecke verwenden;
43.
„Vertrauensdienst“ ein Vertrauensdienst nach Artikel 3 Nummer 16 der Verordnung (EU) Nr. 910/2014;
44.
„Vertrauensdiensteanbieter“ ein Vertrauensdiensteanbieter nach Artikel 3 Nummer 19 der Verordnung (EU) Nr. 910/2014;
45.
„weltraumgestützte Dienste“ Dienste, die den Sektor Weltraum betreffen, die auf Daten und Informationen beruhen, die entweder von Weltraumgegenständen erzeugt oder über diese weitergegeben werden und deren Störung zu breiteren Kaskadeneffekten, die weitreichende und langanhaltende negative Auswirkungen auf die Erbringung von Diensten im gesamten Binnenmarkt haben können, führen kann;
46.
„Zertifizierung“ die Feststellung einer Zertifizierungsstelle, dass ein Produkt, ein Prozess, ein System, ein Schutzprofil (Sicherheitszertifizierung), eine Person (Personenzertifizierung) oder ein IT-Sicherheitsdienstleister bestimmte Anforderungen erfüllt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 3
§ 3

Aufgaben des Bundesamtes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt fördert die Sicherheit in der Informationstechnik. Hierzu nimmt es folgende wichtige im öffentlichen Interesse liegende Aufgaben wahr:
1.
Gefahren für die Sicherheit in der Informationstechnik des Bundes abwehren;
2.
Informationen über Sicherheitsrisiken und Sicherheitsvorkehrungen sammeln und auswerten und die gewonnenen Erkenntnisse anderen Stellen zur Verfügung stellen, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist, und Dritten zur Verfügung stellen, soweit dies zur Wahrung ihrer Sicherheitsinteressen erforderlich ist;
3.
Aufgaben in der Kooperationsgruppe und im CSIRTs-Netzwerk nach den Artikeln 14 und 15 der NIS-2-Richtlinie wahrnehmen;
4.
Sicherheitsrisiken bei der Anwendung der Informationstechnik sowie Entwicklung von Sicherheitsvorkehrungen untersuchen, insbesondere von informationstechnischen Verfahren und Geräten für die Sicherheit in der Informationstechnik (IT-Sicherheitsprodukte), soweit dies zur Erfüllung von Aufgaben des Bundes erforderlich ist, einschließlich der Forschung im Rahmen seiner gesetzlichen Aufgaben;
5.
Kriterien, Verfahren und Werkzeuge für die Prüfung und Bewertung der Sicherheit von informationstechnischen Systemen oder Komponenten und für die Prüfung und Bewertung der Konformität im Bereich der IT-Sicherheit entwickeln;
6.
Peer Reviews nach Artikel 19 der NIS-2-Richtlinie durchführen;
7.
Sicherheitsanforderungen für die Kommunikationsinfrastruktur der ressortübergreifenden Kommunikationsnetze sowie weiterer staatlicher Kommunikationsinfrastrukturen des Bundes im Benehmen mit den jeweiligen Betreibern festlegen sowie die Einhaltung dieser Sicherheitsanforderungen überprüfen;
8.
Sicherheit von informationstechnischen Systemen oder Komponenten prüfen und bewerten sowie Sicherheitszertifikate erteilen;
9.
Aufgaben und Befugnisse nach Artikel 58 Absatz 7 und 8 der Verordnung (EU) 2019/881 als nationale Behörde für die Cybersicherheitszertifizierung wahrnehmen;
10.
Konformität im Bereich der IT-Sicherheit von informationstechnischen Systemen und Komponenten mit technischen Richtlinien des Bundesamtes prüfen und bestätigen;
11.
informationstechnische Systeme oder Komponenten, die für die Verarbeitung amtlich geheim gehaltener Informationen nach § 4 des Sicherheitsüberprüfungsgesetzes im Bereich des Bundes oder bei Unternehmen im Rahmen von Aufträgen des Bundes eingesetzt werden sollen, prüfen, bewerten und zulassen;
12.
Schlüsseldaten und Betrieb von Krypto- und Sicherheitsmanagementsystemen für informationssichernde Systeme des Bundes herstellen, die im Bereich des staatlichen Geheimschutzes oder auf Anforderung der betroffenen Behörde auch in anderen Bereichen eingesetzt werden;
13.
bei organisatorischen und technischen Sicherheitsmaßnahmen unterstützen und beraten sowie technische Prüfungen zum Schutz amtlich geheim gehaltener Informationen nach § 4 des Sicherheitsüberprüfungsgesetzes gegen die Kenntnisnahme durch Unbefugte durchführen;
14.
sicherheitstechnische Anforderungen an die einzusetzende Informationstechnik des Bundes und an die Eignung von Auftragnehmern im Bereich von Informationstechnik des Bundes mit besonderem Schutzbedarf entwickeln;
15.
IT-Sicherheitsprodukte und IT-Sicherheitsdienstleistungen für Einrichtungen der Bundesverwaltung bereitstellen;
16.
die für die Sicherheit in der Informationstechnik zuständigen Stellen des Bundes, insbesondere soweit sie Beratungs- oder Kontrollaufgaben wahrnehmen, unterstützen; dies gilt vorrangig für die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, deren oder dessen Unterstützung im Rahmen der Unabhängigkeit erfolgt, die ihr oder ihm bei der Erfüllung ihrer oder seiner Aufgaben nach der Verordnung (EU) 2016/679 und dem Bundesdatenschutzgesetz zusteht;
17.
Einrichtungen der Bundesverwaltung in Fragen der Informationssicherheit, einschließlich der Behandlung von Sicherheitsvorfällen, beraten und unterstützen sowie konkrete, praxisnahe Hilfsmittel zur Umsetzung von Informationssicherheitsvorgaben, insbesondere zur Umsetzung der Vorgaben nach den §§ 30 und 44, bereitstellen;
18.
Unterstützung
a)
der Polizeien und Strafverfolgungsbehörden des Bundes und der Länder bei der Wahrnehmung ihrer gesetzlichen Aufgaben,
b)
der Verfassungsschutzbehörden des Bundes und der Länder und des Militärischen Abschirmdienstes bei der Auswertung und Bewertung von Informationen, die bei der Beobachtung von Bestrebungen anfallen, die gegen die freiheitliche demokratische Grundordnung, den Bestand des Staates oder die Sicherheit des Bundes oder eines Landes gerichtet sind, oder die bei der Beobachtung sicherheitsgefährdender oder geheimdienstlicher Tätigkeiten im Rahmen der gesetzlichen Befugnisse nach den Verfassungsschutzgesetzen des Bundes und der Länder beziehungsweise dem MAD-Gesetz anfallen,
c)
des Bundesnachrichtendienstes bei der Wahrnehmung seiner gesetzlichen Aufgaben;
die Unterstützung darf nur gewährt werden, soweit sie erforderlich ist, um Tätigkeiten zu verhindern oder zu erforschen, die gegen die Sicherheit in der Informationstechnik gerichtet sind oder unter Nutzung der Informationstechnik erfolgen; die Unterstützungsersuchen sind durch das Bundesamt aktenkundig zu machen;
19.
die zuständigen Stellen der Länder in Fragen der Abwehr von Gefahren für die Sicherheit in der Informationstechnik auf deren Ersuchen unterstützen;
20.
Einrichtungen der Bundesverwaltung, die Länder sowie Hersteller, Vertreiber und Anwender in Fragen der Sicherheit in der Informationstechnik, insbesondere unter Berücksichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvorkehrungen, beraten, informieren und warnen;
21.
Verbraucherschutz und Verbraucherinformation im Bereich der Sicherheit in der Informationstechnik, insbesondere Beratung und Warnung von Verbrauchern in Fragen der Sicherheit in der Informationstechnik unter Berücksichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvorkehrungen;
22.
geeignete Kommunikationsstrukturen zur Krisenfrüherkennung, Krisenreaktion und Krisenbewältigung aufbauen sowie Zusammenarbeit zum Schutz der Sicherheit in der Informationstechnik kritischer Anlagen im Verbund mit der Privatwirtschaft koordinieren;
23.
Aufgaben als zentrale Stelle im Bereich der Sicherheit in der Informationstechnik im Hinblick auf die Zusammenarbeit mit den zuständigen Stellen im Ausland, unbeschadet besonderer Zuständigkeiten anderer Stellen;
24.
Aufgaben nach § 40 als zentrale Stelle für die Sicherheit in der Informationstechnik besonders wichtiger Einrichtungen und wichtiger Einrichtungen einschließlich des Ersuchens und Erbringens von Amtshilfe nach Artikel 37 der NIS-2-Richtinie;
25.
bei der Wiederherstellung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme in herausgehobenen Fällen nach § 11 unterstützen;
26.
Empfehlungen für Identifizierungs- und Authentisierungsverfahren und Bewertung dieser Verfahren im Hinblick auf die Informationssicherheit erarbeiten;
27.
einen Stand der Technik von sicherheitstechnischen Anforderungen an IT-Produkte, unter Berücksichtigung bestehender Normen und Standards sowie unter Einbeziehung der betroffenen Wirtschaftsverbände, beschreiben und veröffentlichen;
28.
mit nationalen Computer-Notfallteams von Drittländern oder gleichwertigen Stellen von Drittländern kooperieren sowie diese Teams oder Stellen unterstützen; Einsätze des Bundesamtes in Drittländern dürfen nicht gegen den Willen des Staates erfolgen, auf dessen Hoheitsgebiet die Maßnahme stattfinden soll; die Entscheidung über einen Einsatz des Bundesamtes in Drittländern trifft das Bundesministerium des Innern im Einvernehmen mit dem Auswärtigen Amt;
29.
mit der Bundesanstalt für Finanzdienstleistungsaufsicht kooperieren und Informationen austauschen, soweit dies für ihre Aufgabenerfüllung erforderlich ist, insbesondere in Bezug auf die ergriffenen Maßnahmen gemäß der Verordnung (EU) 2022/2554; die Bundesanstalt für Finanzdienstleistungsaufsicht übermittelt an das Bundesamt die für dessen Aufgabenerfüllung erforderlichen Informationen.
(2)
Das Bundesamt kann die Länder auf Ersuchen bei der Sicherung ihrer Informationstechnik unterstützen.
(3)
Das Bundesamt kann besonders wichtige Einrichtungen auf deren Ersuchen bei der Sicherung ihrer Informationstechnik beraten und unterstützen oder auf qualifizierte Sicherheitsdienstleister verweisen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 4
§ 4

Zentrale Meldestelle für die Sicherheit in der Informationstechnik des Bundes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt ist die zentrale Meldestelle für die Zusammenarbeit der Einrichtungen der Bundesverwaltung in Angelegenheiten der Sicherheit in der Informationstechnik.
(2)
Das Bundesamt hat zur Wahrnehmung dieser Aufgabe
1.
alle für die Abwehr von Gefahren für die Sicherheit in der Informationstechnik erforderlichen Informationen, insbesondere zu Schwachstellen, Schadprogrammen, erfolgten oder versuchten Angriffen auf die Sicherheit in der Informationstechnik und der dabei beobachteten Vorgehensweise, zu sammeln und auszuwerten,
2.
die Einrichtungen der Bundesverwaltung unverzüglich über die sie betreffenden Informationen nach Nummer 1 und die in Erfahrung gebrachten Zusammenhänge zu unterrichten,
3.
den Einrichtungen der Bundesverwaltung Empfehlungen zum Umgang mit den Gefahren bereitzustellen.
(3)
Ausgenommen von den Unterrichtungspflichten nach Absatz 2 Nummer 2 sind Informationen, die aufgrund von Regelungen zum Geheimschutz oder Vereinbarungen mit Dritten nicht weitergegeben werden dürfen oder deren Weitergabe im Widerspruch zu der verfassungsrechtlichen Stellung eines Abgeordneten des Bundestages oder eines Verfassungsorgans oder der gesetzlich geregelten Unabhängigkeit einzelner Stellen stünde.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 5
§ 5

Allgemeine Meldestelle für die Sicherheit in der Informationstechnik

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Zur Wahrnehmung der Aufgaben nach § 3 nimmt das Bundesamt als zentrale Stelle für Meldungen von Dritten Informationen über Sicherheitsrisiken in der Informationstechnik entgegen und wertet diese Informationen aus. Das Bundesamt ist dabei der nationale Koordinator für die Zwecke einer koordinierten Offenlegung von Schwachstellen nach Artikel 12 Absatz 1 der NIS-2-Richtlinie.
(2)
Das Bundesamt nimmt zur Wahrnehmung der Aufgaben nach Absatz 1 Informationen zu Schwachstellen, Schadprogrammen, erfolgten oder versuchten Angriffen auf die Sicherheit in der Informationstechnik und der dabei beobachteten Vorgehensweisen sowie zu Sicherheitsvorfällen, Cyberbedrohungen und Beinahevorfällen entgegen. Das Bundesamt richtet hierzu geeignete Meldemöglichkeiten ein. Die Meldungen können anonym erfolgen. Erfolgt die Meldung nicht anonym, kann der Meldende zum Zeitpunkt der Meldung oder später verlangen, dass seine personenbezogenen Daten nur anonymisiert weitergegeben werden dürfen. Dies gilt nicht in den Fällen des § 8 Absatz 6 und 7 Satz 1. Eine Übermittlung der personenbezogenen Daten in den Fällen von § 8 Absatz 6 und 7 Satz 1 hat zu unterbleiben, wenn für das Bundesamt erkennbar ist, dass die schutzwürdigen Interessen des Meldenden das Allgemeininteresse an der Übermittlung überwiegen. Zu berücksichtigen ist dabei auch die Art und Weise, in der der Meldende die Erkenntnisse gewonnen hat. Die Entscheidung nach Satz 6 muss dem oder der behördlichen Datenschutzbeauftragten des Bundesamtes sowie einem oder einer weiteren Bediensteten des Bundesamtes, der oder die die Befähigung zum Richteramt hat, zur vorherigen Prüfung vorgelegt werden.
(3)
Zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 1 gibt das Bundesamt die Informationen zu den nach Absatz 2 gemeldeten Schwachstellen unverzüglich an den verantwortlichen Hersteller oder Produktverantwortlichen zum Zwecke der Schließung der Schwachstelle weiter, sofern diese nicht bereits öffentlich bekannt ist. Das Bundesamt soll die gemäß Absatz 2 gemeldeten Informationen nutzen, um
1.
Dritte über bekannt gewordene Schwachstellen, Schadprogramme oder erfolgte oder versuchte Angriffe auf die Sicherheit in der Informationstechnik zu informieren, soweit dies zur Wahrung ihrer Sicherheitsinteressen erforderlich ist,
2.
die Öffentlichkeit oder betroffene Kreise gemäß § 13 zu warnen und zu informieren,
3.
Einrichtungen der Bundesverwaltung gemäß § 4 Absatz 2 Nummer 2 über die sie betreffenden Informationen zu unterrichten,
4.
besonders wichtige Einrichtungen und wichtige Einrichtungen gemäß § 40 Absatz 3 Nummer 4 Buchstabe a über die sie betreffenden Informationen zu unterrichten,
5.
seine Aufgaben als zuständige Behörde, CSIRT und zentrale Anlaufstelle im Sinne der NIS-2-Richtlinie wahrzunehmen.
(4)
Eine Weitergabe nach Absatz 3 Nummer 1, 2 oder 4 erfolgt nicht, soweit die gemäß Absatz 2 gemeldeten Informationen
1.
Betriebs- und Geschäftsgeheimnisse von Dritten beinhalten und die Maßnahmen nach Absatz 3 nicht ohne Bekanntgabe dieser Betriebs- und Geschäftsgeheimnisse durchgeführt werden können oder
2.
aufgrund von Vereinbarungen des Bundesamtes mit Dritten nicht übermittelt werden dürfen.
(5)
Sonstige gesetzliche Meldepflichten, Regelungen zum Geheimschutz, gesetzliche Übermittlungshindernisse und Übermittlungsregelungen bleiben unberührt.
(6)
Das Bundesamt veröffentlicht am 6. Dezember 2026 eine Verfahrensbeschreibung zur Durchführung der Absätze 1 bis 3.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 6
§ 6

Informationsaustausch

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt betreibt eine Online-Plattform zum Informationsaustausch mit wichtigen Einrichtungen, besonders wichtigen Einrichtungen und Einrichtungen der Bundesverwaltung. Es kann die beteiligten Hersteller, Lieferanten oder Dienstleister zum Austausch über Cyberbedrohungen, Schwachstellen, Beinahevorfälle und IT-Sicherheitsmaßnahmen sowie zur Aufdeckung und Abwehr von Cyberangriffen hinzuziehen. Das Bundesamt kann weiteren Stellen die Teilnahme ermöglichen.
(2)
Das Bundesamt gibt Teilnahmebedingungen für den Informationsaustausch und die Plattformnutzung zwischen den Teilnehmenden vor.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 7
§ 7

Kontrolle der Kommunikationstechnik des Bundes, Betretensrechte

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt ist befugt, die Sicherheit der Kommunikationstechnik des Bundes und ihrer Komponenten, einschließlich technischer Infrastrukturen, die zum Betrieb der Kommunikationstechnik des Bundes erforderlich sind, zu kontrollieren. Es kann hierzu
1.
die Bereitstellung der zur Erfüllung der Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1 und 20 erforderlichen Informationen, insbesondere zu technischen Details, zu Strategien, Planungen und Regelungen mit Bezug zur Kommunikationstechnik des Bundes einschließlich Aufbau- und Ablauforganisation verlangen sowie
2.
Unterlagen und Datenträger des Betreibers der jeweiligen Kommunikationstechnik des Bundes oder eines mit Betriebsleistungen beauftragten Dritten einsehen und die unentgeltliche Herausgabe von Kopien dieser Unterlagen und Dokumente, auch in elektronischer Form, verlangen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen des Betreibers entgegenstehen.
(2)
Dem Bundesamt ist in den Zeiten, zu denen die Räume normalerweise für die jeweilige geschäftliche oder betriebliche Nutzung zur Verfügung stehen, Zugang zu den Grundstücken und Betriebsräumen, einschließlich Datenverarbeitungsanlagen und -geräten, die für die Kommunikationstechnik des Bundes verwendet werden, zu gewähren, soweit dies zur Erfüllung der Zwecke nach Absatz 1 erforderlich ist.
(3)
Bei Anlagen eines Dritten, bei dem eine Schnittstelle zur Kommunikationstechnik des Bundes besteht, kann das Bundesamt auf der Schnittstellenseite der Einrichtung nur mit Zustimmung des Dritten die Sicherheit der Schnittstelle kontrollieren. Es kann hierzu mit Zustimmung des Dritten die zur Aufgabenerfüllung erforderlichen Informationen, insbesondere zu technischen Details, zu Strategien, Planungen und Regelungen einsehen sowie Unterlagen und Datenträger des Betreibers einsehen und unentgeltlich Kopien, auch in elektronischer Form, anfertigen.
(4)
Das Bundesamt informiert über das Ergebnis seiner Kontrolle nach den Absätzen 1 bis 3
1.
den jeweiligen überprüften Betreiber,
2.
die oder den Informationssicherheitsbeauftragten des Ressorts und
3.
die zuständige Rechts- und Fachaufsicht.
(5)
Das Bundesamt führt vor der Finalisierung des Prüfberichts eine Sachverhaltsklärung mit der geprüften Einrichtung durch. Mit der Mitteilung soll das Bundesamt Vorschläge zur Verbesserung der Informationssicherheit, insbesondere zur Beseitigung der festgestellten Mängel, verbinden. Für die Mitteilung an Stellen außerhalb des Betreibers gilt § 4 Absatz 3 entsprechend. Das Bundesamt kann im Benehmen mit dem oder der Informationssicherheitsbeauftragten des jeweils zuständigen Ressorts Einrichtungen der Bundesverwaltung anweisen, die Vorschläge zur Verbesserung innerhalb einer angemessenen Frist umzusetzen.
(6)
Ausgenommen von den Befugnissen nach den Absätzen 1 bis 3 sind Kontrollen der Auslandsinformations- und ‑kommunikationstechnik nach § 9 Absatz 2 des Gesetzes über den Auswärtigen Dienst, soweit sie im Ausland belegen ist oder für das Ausland oder für Anwender im Ausland betrieben wird. Die Bestimmungen für die Schnittstellen der Kommunikationstechnik des Bundes im Inland bleiben davon unberührt. Näheres zu Satz 1 regelt eine Verwaltungsvereinbarung zwischen dem Bundesministerium für Digitales und Staatsmodernisierung und dem Auswärtigen Amt.
(7)
Die Befugnisse nach den Absätzen 1 bis 3 gelten im Geschäftsbereich des Bundesministeriums der Verteidigung nicht für die Kontrolle der Informations- und Kommunikationstechnik, die von den Streitkräften für ihre Zwecke oder dem Militärischen Abschirmdienst genutzt wird. Nicht ausgenommen ist die Informations- und Kommunikationstechnik von Dritten, insbesondere von IT-Dienstleistern, soweit sie nicht ausschließlich für die Zwecke der Streitkräfte betrieben wird. Die Bestimmungen für die Schnittstellen der Kommunikationstechnik des Bundes bleiben von den Sätzen 1 und 2 unberührt. Näheres regelt eine Verwaltungsvereinbarung zwischen dem Bundesministerium für Digitales und Staatsmodernisierung und dem Bundesministerium der Verteidigung.
(8)
Stellt das Bundesamt im Rahmen seiner Kontrollen fest, dass ein Verstoß gegen die Verpflichtungen dieses Gesetzes eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 zur Folge haben kann, die gemäß Artikel 33 dieser Verordnung zu melden ist, so unterrichtet es unverzüglich die zuständigen Aufsichtsbehörden.
(9)
Das Bundesamt unterrichtet den Haushaltsausschuss des Deutschen Bundestages kalenderjährlich jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres über die Anwendung dieser Vorschrift.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 8
§ 8

Abwehr von Schadprogrammen und Gefahren für die Kommunikationstechnik des Bundes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt darf zur Abwehr von Gefahren für die Kommunikationstechnik des Bundes
1.
Protokolldaten, die beim Betrieb von Kommunikationstechnik des Bundes anfallen, erheben und automatisiert auswerten, soweit dies zum Erkennen, Eingrenzen oder Beseitigen von Störungen oder Fehlern bei der Kommunikationstechnik des Bundes oder von Angriffen auf die Informationstechnik des Bundes erforderlich ist,
2.
die an den Schnittstellen der Kommunikationstechnik des Bundes anfallenden Daten automatisiert auswerten, soweit dies für die Erkennung und Abwehr von Schadprogrammen und sonstigen erheblichen Gefahren für die Kommunikationstechnik des Bundes erforderlich ist.
Sofern nicht die nachfolgenden Absätze eine weitere Verwendung gestatten, müssen die automatisierte Auswertung dieser Daten und deren anschließende vollständige und nicht wiederherstellbare Löschung unverzüglich erfolgen. Die Verwendungsbeschränkungen gelten nicht für Protokolldaten, sofern diese weder personenbezogene noch dem Fernmeldegeheimnis unterliegende Daten beinhalten. Die Einrichtungen der Bundesverwaltung sind verpflichtet, das Bundesamt bei Maßnahmen nach Satz 1 zu unterstützen und hierbei den Zugang des Bundesamtes zu einrichtungsinternen Protokolldaten nach Satz 1 Nummer 1 sowie zu Schnittstellendaten nach Satz 1 Nummer 2 sicherzustellen. Protokolldaten der Bundesgerichte dürfen nur in deren Einvernehmen erhoben werden.
(2)
Protokolldaten nach Absatz 1 Satz 1 Nummer 1 dürfen über den für die automatisierte Auswertung nach Absatz 1 Satz 1 Nummer 1 erforderlichen Zeitraum hinaus, längstens jedoch für 18 Monate, gespeichert werden, soweit tatsächliche Anhaltspunkte dafür bestehen, dass diese im Falle der Bestätigung eines Verdachts nach Absatz 4 Satz 2 zur Abwehr von Gefahren, die von dem gefundenen Schadprogramm ausgehen, oder zur Erkennung und Abwehr anderer Schadprogramme oder sonstiger erheblicher Gefahren für die Kommunikationstechnik des Bundes erforderlich sein können. Durch organisatorische und technische Maßnahmen ist sicherzustellen, dass eine Auswertung der nach diesem Absatz gespeicherten Daten nur automatisiert erfolgt und dass ein Zugriff auf Daten, die länger als drei Monate gespeichert sind, nur bei Vorliegen tatsächlicher Erkenntnisse über die Betroffenheit des Bundes mit einem Schadprogramm oder einer sonstigen erheblichen Gefahr für die Kommunikationstechnik des Bundes erfolgt. Die Daten sind zu pseudonymisieren, soweit dies automatisiert möglich ist. Eine nicht automatisierte Verarbeitung ist nur nach Maßgabe der nachfolgenden Absätze zulässig. Soweit hierzu die Wiederherstellung pseudonymisierter Protokolldaten erforderlich ist, muss diese durch die Präsidentin oder den Präsidenten des Bundesamtes oder die Vertretung im Amt angeordnet werden. Die Entscheidung ist zu dokumentieren.
(3)
Protokolldaten dürfen vor ihrer Pseudonymisierung und Speicherung nach Absatz 2 zur Sicherstellung einer fehlerfreien automatisierten Auswertung manuell verarbeitet werden. Liegen Hinweise vor, dass die fehlerfreie automatisierte Auswertung wegen eines erheblichen Fehlers erschwert wird, darf der Personenbezug von Protokolldaten zur Sicherstellung der fehlerfreien automatisierten Auswertung wiederhergestellt werden, sofern dies im Einzelfall erforderlich ist. Absatz 2 Satz 3 bis 6 gilt entsprechend.
(4)
Eine über die Absätze 1 und 2 hinausgehende Verwendung personenbezogener Daten ist nur zulässig, wenn bestimmte Tatsachen den Verdacht begründen, dass
1.
diese Daten ein Schadprogramm enthalten,
2.
diese Daten durch ein Schadprogramm übermittelt wurden,
3.
diese Daten im Zusammenhang mit einer sonstigen erheblichen Gefahr für die Kommunikationstechnik des Bundes stehen oder
4.
sich aus diesen Daten Hinweise auf ein Schadprogramm oder eine sonstige erhebliche Gefahr für die Kommunikationstechnik des Bundes ergeben können,
und soweit die Datenverarbeitung erforderlich ist, um den Verdacht zu bestätigen oder zu widerlegen. Im Falle der Bestätigung des Verdachts ist die weitere Verarbeitung personenbezogener Daten zulässig, soweit dies erforderlich ist
1.
zur Abwehr des Schadprogramms der sonstigen erheblichen Gefahren für die Kommunikationstechnik des Bundes,
2.
zur Abwehr von Gefahren, die von dem aufgefundenen Schadprogramm ausgehen, oder
3.
zur Erkennung und Abwehr anderer Schadprogramme oder Gefahren für die Kommunikationstechnik des Bundes.
Ein Schadprogramm kann beseitigt oder in seiner Funktionsweise gehindert werden. Es dürfen die erforderlichen technischen Maßnahmen getroffen werden, um eine sonstige erhebliche Gefahr für die Kommunikationstechnik des Bundes zu beseitigen. Das Bundesamt kann die Daten an die betroffene Einrichtung der Bundesverwaltung übermitteln, soweit dies für eine Verwendung nach den Sätzen 1 bis 4 erforderlich ist. Die nicht automatisierte Verwendung der Daten nach den Sätzen 1 und 2 darf nur durch einen Bediensteten des Bundesamtes mit der Befähigung zum Richteramt angeordnet werden. Die Anordnung nach Satz 4 muss die daraus erwachsenden Übermittlungsbefugnisse nach Absatz 6 berücksichtigen.
(5)
Die Beteiligten des Kommunikationsvorgangs sind spätestens nach dem Erkennen und der Abwehr eines Schadprogramms oder seiner Wirkungen oder von sonstigen erheblichen Gefahren für die Kommunikationstechnik des Bundes, die von einem Schadprogramm ausgehen, zu benachrichtigen, wenn sie bekannt sind oder ihre Identifikation ohne unverhältnismäßige weitere Ermittlungen möglich ist und nicht überwiegende schutzwürdige Belange Dritter entgegenstehen. Die Unterrichtung kann unterbleiben, wenn die Person nur unerheblich betroffen wurde und wenn anzunehmen ist, dass sie an einer Benachrichtigung kein Interesse hat. Das Bundesamt legt Fälle, in denen es von einer Benachrichtigung absieht, dem behördlichen Datenschutzbeauftragten des Bundesamtes sowie einem weiteren Bediensteten des Bundesamtes, der die Befähigung zum Richteramt hat, zur Kontrolle vor. Wenn der behördliche Datenschutzbeauftragte der Entscheidung des Bundesamtes widerspricht, ist die Benachrichtigung nachzuholen. Die Entscheidung über die Nichtbenachrichtigung ist zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist nach zwölf Monaten zu löschen. In den Fällen der Absätze 6 und 7 erfolgt die Benachrichtigung durch die dort genannten Behörden in entsprechender Anwendung der für diese Behörden geltenden Vorschriften. Enthalten diese Vorschriften keine Bestimmungen zu Benachrichtigungspflichten, sind die Vorschriften der Strafprozessordnung entsprechend anzuwenden.
(6)
Das Bundesamt kann die nach Absatz 4 verwendeten personenbezogenen Daten an die Strafverfolgungsbehörden zur Verfolgung einer mittels eines Schadprogramms oder im Rahmen einer sonstigen erheblichen Gefahr für die Kommunikationstechnik des Bundes begangenen Straftat nach den §§ 202a, 202b, 303a oder 303b des Strafgesetzbuches übermitteln. Es kann diese Daten ferner übermitteln
1.
an die Polizeien des Bundes und der Länder zur Abwehr einer Gefahr für die öffentliche Sicherheit, die unmittelbar von einem Schadprogramm ausgeht,
2.
an das Bundesamt für Verfassungsschutz zur Unterrichtung über Tatsachen, die sicherheitsgefährdende oder geheimdienstliche Tätigkeiten für eine fremde Macht erkennen lassen, sowie an den Militärischen Abschirmdienst, wenn sich diese Tätigkeiten gegen Personen, Dienststellen oder Einrichtungen im Geschäftsbereich des Bundesministeriums der Verteidigung richten,
3.
an den Bundesnachrichtendienst zur Unterrichtung über Tatsachen, die einen internationalen kriminellen, terroristischen oder staatlichen Angriff mittels Schadprogrammen oder vergleichbarer schädlich wirkender informationstechnischer Mittel auf die Vertraulichkeit, Integrität oder Verfügbarkeit von IT-Systemen in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland erkennen lassen.
(7)
Für sonstige Zwecke kann das Bundesamt die Daten nach Absatz 4 Satz 1 übermitteln
1.
an die Strafverfolgungsbehörden zur Verfolgung einer Straftat von auch im Einzelfall erheblicher Bedeutung, insbesondere einer in § 100a Absatz 2 der Strafprozessordnung bezeichneten Straftat,
2.
an die Polizeien des Bundes und der Länder zur Abwehr einer Gefahr für den Bestand oder die Sicherheit des Staates oder Leib, Leben oder Freiheit einer Person oder Sachen von bedeutendem Wert, deren Erhalt im öffentlichen Interesse geboten ist,
3.
an die Verfassungsschutzbehörden des Bundes und der Länder sowie an den Militärischen Abschirmdienst, wenn tatsächliche Anhaltspunkte für Bestrebungen in der Bundesrepublik Deutschland vorliegen, die durch Anwendung von Gewalt oder darauf gerichtete Vorbereitungshandlungen gegen die in § 3 Absatz 1 des Bundesverfassungsschutzgesetzes oder § 1 Absatz 1 des MAD-Gesetzes genannten Schutzgüter gerichtet sind,
4.
an den Bundesnachrichtendienst, wenn tatsächliche Anhaltspunkte für den Verdacht bestehen, dass jemand Straftaten nach § 3 Absatz 1 Nummer 8 des Artikel 10-Gesetzes plant, begeht oder begangen hat und dies von außen- und sicherheitspolitischer Bedeutung für die Bundesrepublik Deutschland ist.
Die Übermittlung nach Satz 2 Nummer 1 und 2 bedarf der vorherigen gerichtlichen Zustimmung. Für das Verfahren nach Satz 2 Nummer 1 und 2 gelten die Vorschriften des Gesetzes über das Verfahren in Familiensachen und in den Angelegenheiten der freiwilligen Gerichtsbarkeit entsprechend. Zuständig ist das Amtsgericht, in dessen Bezirk das Bundesamt seinen Sitz hat. Die Übermittlung nach Satz 2 Nummer 3 und 4 erfolgt nach Anordnung des Bundesministeriums des Innern. Die §§ 9 bis 16 des Artikel 10-Gesetzes gelten entsprechend.
(8)
Eine über die vorstehenden Absätze hinausgehende inhaltliche Auswertung zu anderen Zwecken und die Weitergabe von personenbezogenen Daten an Dritte sind unzulässig. Soweit möglich, ist technisch sicherzustellen, dass Daten, die den Kernbereich privater Lebensgestaltung betreffen, nicht erhoben werden. Werden aufgrund der Maßnahmen der Absätze 1 bis 4 Erkenntnisse aus dem Kernbereich privater Lebensgestaltung oder Daten nach Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 erlangt, dürfen diese Erkenntnisse und Daten nicht verwendet werden. Erkenntnisse aus dem Kernbereich privater Lebensgestaltung sind unverzüglich zu löschen. Dies gilt auch in Zweifelsfällen. Die Tatsache der Erlangung und Löschung dieser Erkenntnisse ist zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist zu löschen, wenn sie für diese Zwecke nicht mehr erforderlich ist, spätestens jedoch am Ende des Kalenderjahres, das dem Jahr folgt, in dem die Dokumentation erstellt worden ist. Werden im Rahmen der Absätze 5 oder 6 Inhalte oder Umstände der Kommunikation von in § 53 Absatz 1 Satz 1 der Strafprozessordnung genannten Personen übermittelt, auf die sich das Zeugnisverweigerungsrecht dieser Personen erstreckt, ist die Verwertung dieser Daten zu Beweiszwecken in einem Strafverfahren nur insoweit zulässig, als Gegenstand dieses Strafverfahrens eine Straftat ist, die im Höchstmaß mit mindestens fünf Jahren Freiheitsstrafe bedroht ist.
(9)
Vor Aufnahme der Datenerhebung und -verwendung hat das Bundesamt ein Datenerhebungs- und ‑verwendungskonzept zu erstellen und für Kontrollen durch die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit bereitzuhalten. Das Konzept hat dem besonderen Schutzbedürfnis der Regierungskommunikation Rechnung zu tragen. Die für die automatisierte Auswertung verwendeten Kriterien sind zu dokumentieren. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit teilt das Ergebnis seiner Kontrollen nach § 16 des Bundesdatenschutzgesetzes auch den Ressorts mit.
(10)
Das Bundesamt unterrichtet die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit kalenderjährlich jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres über
1.
die Anzahl der Vorgänge, in denen Daten nach Absatz 6 Satz 1, 2 Nummer 1 oder Absatz 7 Nummer 1 übermittelt wurden, aufgegliedert nach den einzelnen Übermittlungsbefugnissen,
2.
die Anzahl der personenbezogenen Auswertungen nach Absatz 4 Satz 1, in denen der Verdacht widerlegt wurde,
3.
die Anzahl der Fälle, in denen das Bundesamt nach Absatz 5 Satz 2 oder 3 von einer Benachrichtigung der Betroffenen abgesehen hat.
(11)
Das Bundesamt unterrichtet kalenderjährlich jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres den Innenausschuss des Deutschen Bundestages über die Anwendung dieser Vorschrift.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 9
§ 9

Verarbeitung von Protokollierungsdaten der Kommunikationstechnik des Bundes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt darf zur Abwehr von Gefahren für die Kommunikationstechnik des Bundes und ihrer Komponenten, einschließlich technischer Infrastrukturen, die zum Betrieb der Kommunikationstechnik des Bundes erforderlich sind, Protokollierungsdaten, die durch den Betrieb von Kommunikationstechnik des Bundes anfallen, verarbeiten, soweit dies zum Erkennen, Eingrenzen oder Beseitigen von Störungen, Fehlern oder Sicherheitsvorfällen in der Kommunikationstechnik des Bundes oder von Angriffen auf die Informationstechnik des Bundes erforderlich ist und Geheimschutzinteressen oder überwiegende Sicherheitsinteressen der betroffenen Stellen nicht entgegenstehen.
(2)
Die Einrichtungen der Bundesverwaltung sind verpflichtet, das Bundesamt bei Maßnahmen nach Absatz 1 zu unterstützen und hierbei den Zugang des Bundesamtes zu einrichtungsinternen Protokollierungsdaten nach Absatz 1 sicherzustellen. Hierzu dürfen sie dem Bundesamt die entsprechenden Protokollierungsdaten übermitteln. § 8 Absatz 1 Satz 5, Absatz 2 bis 5, 9 und 10 gilt entsprechend. § 7 Absatz 7 gilt für die Verpflichtung nach Satz 1 entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 10
§ 10

Anordnungen von Maßnahmen zur Abwendung oder Behebung von Sicherheitsvorfällen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Das Bundesamt kann im Einzelfall gegenüber Einrichtungen der Bundesverwaltung Maßnahmen anordnen, die zur Abwendung oder Behebung eines gegenwärtigen Sicherheitsvorfalls erforderlich sind. Ferner kann das Bundesamt die Einrichtungen der Bundesverwaltung zur Berichterstattung innerhalb einer angemessenen Frist zu den nach Satz 1 angeordneten Maßnahmen auffordern. Der oder die jeweils zuständige Informationssicherheitsbeauftragte des Ressorts wird über Anweisungen und Aufforderungen nach Satz 1 und 2 durch das Bundesamt informiert. Der Bericht ist dem Bundesamt und zugleich dem oder der Informationssicherheitsbeauftragten des jeweils zuständigen Ressorts zu übermitteln. Für die Berichterstattung gilt § 4 Absatz 3 entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 11
§ 11

Wiederherstellung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme in herausgehobenen Fällen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Handelt es sich bei einer Beeinträchtigung der Sicherheit oder Funktionsfähigkeit eines informationstechnischen Systems einer Einrichtung der Bundesverwaltung oder einer besonders wichtigen Einrichtung oder einer wichtigen Einrichtung um einen herausgehobenen Fall, so kann das Bundesamt auf Ersuchen der betroffenen Einrichtung oder des betroffenen Betreibers oder einer anderen für die Einrichtung oder den Betreiber zuständigen Behörde die Maßnahmen treffen, die zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich sind. Soweit das Bundesamt erste Maßnahmen zur Schadensbegrenzung und Sicherstellung des Notbetriebes vor Ort ergreift, werden hierfür keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes erhoben. Hiervon unberührt bleiben etwaige Kosten für die Hinzuziehung qualifizierter Dritter.
(2)
Ein herausgehobener Fall nach Absatz 1 liegt insbesondere dann vor, wenn es sich um einen Angriff von besonderer technischer Qualität handelt oder wenn die zügige Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems von besonderem öffentlichem Interesse ist.
(3)
Das Bundesamt darf bei Maßnahmen nach Absatz 1 personenbezogene oder dem Fernmeldegeheimnis unterliegende Daten verarbeiten, soweit dies zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich und angemessen ist. Die Daten sind unverzüglich zu löschen, sobald sie für die Wiederherstellung der Sicherheit oder Funktionsfähigkeit des informationstechnischen Systems nicht mehr benötigt werden. Wenn die Daten in Fällen des Absatzes 4 an eine andere Behörde zur Erfüllung von deren gesetzlichen Aufgaben weitergegeben worden sind, darf das Bundesamt die Daten abweichend von Satz 2 bis zur Beendigung der Unterstützung dieser Behörden weiterverarbeiten. Eine Nutzung zu anderen Zwecken ist unzulässig. § 8 Absatz 8 ist entsprechend anzuwenden.
(4)
Das Bundesamt darf Informationen, von denen es im Rahmen dieser Vorschrift Kenntnis erlangt, nur mit Einwilligung des Ersuchenden weitergeben, es sei denn, die Informationen lassen keine Rückschlüsse auf die Identität des Ersuchenden zu oder die Informationen können entsprechend § 8 Absatz 6 und 7 übermittelt werden. Zugang zu den in Verfahren nach Absatz 1 geführten Akten wird Dritten nicht gewährt. Hiervon sind erforderliche Informationsaustausche zwischen dem Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach § 3 Absatz 7 des KRITIS-Dachgesetzes ausgenommen.
(5)
Das Bundesamt kann sich bei Maßnahmen nach Absatz 1 mit der Einwilligung des Ersuchenden der Hilfe qualifizierter Dritter bedienen, wenn dies zur rechtzeitigen oder vollständigen Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich ist. Die hierdurch entstehenden Kosten hat der Ersuchende zu tragen. Das Bundesamt kann den Ersuchenden auch auf qualifizierte Dritte verweisen. Das Bundesamt und vom Ersuchenden oder vom Bundesamt nach Satz 1 beauftragte Dritte können einander bei Maßnahmen nach Absatz 1 mit der Einwilligung des Ersuchenden Daten übermitteln. Hierfür gilt Absatz 3 entsprechend.
(6)
Soweit es zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des informationstechnischen Systems erforderlich ist, kann das Bundesamt vom Hersteller des informationstechnischen Systems verlangen, an der Wiederherstellung der Sicherheit oder Funktionsfähigkeit mitzuwirken.
(7)
In begründeten Einzelfällen kann das Bundesamt auch bei anderen als den in Absatz 1 genannten Einrichtungen tätig werden, wenn das Bundesamt darum ersucht wurde und wenn es sich um einen herausgehobenen Fall nach Absatz 2 handelt. Ein begründeter Einzelfall liegt in der Regel vor, wenn eine Stelle eines Landes betroffen ist.
(8)
Im Falle von Anlagen oder Tätigkeiten, die einer Genehmigung nach dem Atomgesetz bedürfen, ist in Fällen der Absätze 1, 4, 5 und 7 vor Tätigwerden des Bundesamtes das Benehmen mit den zuständigen atomrechtlichen Aufsichtsbehörden des Bundes und der Länder herzustellen. Im Falle von Anlagen oder Tätigkeiten, die einer Genehmigung nach dem Atomgesetz bedürfen, haben bei Maßnahmen des Bundesamtes nach diesem Paragraphen die Vorgaben aufgrund des Atomgesetzes Vorrang.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 12
§ 12

Bestandsdatenauskunft

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt darf zur Erfüllung seiner gesetzlichen Aufgabe nach § 3 Absatz 1 Satz 1 Nummer 1, 2, 20, 24 oder 25 von demjenigen, der geschäftsmäßig Telekommunikationsdienste erbringt oder daran mitwirkt, über Bestandsdaten gemäß § 3 Nummer 6 des Telekommunikationsgesetzes und über die nach § 172 des Telekommunikationsgesetzes erhobenen Daten (§ 174 Absatz 1 Satz 1 des Telekommunikationsgesetzes) Auskunft verlangen. Die Auskunft nach Satz 1 darf nur verlangt werden zum Schutz der Versorgung der Bevölkerung in den Sektoren des § 2 Nummer 24 oder der öffentlichen Sicherheit, um damit eine Beeinträchtigung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme einer besonders wichtigen Einrichtung oder wichtigen Einrichtung abzuwenden, wenn Tatsachen den Schluss auf ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen zulassen, das auf die informationstechnischen Systeme bestimmbarer Infrastrukturen oder Unternehmen abzielen wird, und wenn die in die Auskunft aufzunehmenden Daten im Einzelfall erforderlich sind, um die Betroffenen nach Absatz 4 vor dieser Beeinträchtigung zu warnen, über diese Beeinträchtigung zu informieren oder bei der Beseitigung zu beraten oder zu unterstützen.
(2)
Die Auskunft nach Absatz 1 darf auch anhand einer zu einem bestimmten Zeitpunkt zugewiesenen Internetprotokoll-Adresse verlangt werden (§ 174 Absatz 1 Satz 3, § 177 Absatz 1 Nummer 3 des Telekommunikationsgesetzes). Die rechtlichen und tatsächlichen Grundlagen des Auskunftsverlangens sind aktenkundig zu machen.
(3)
Der aufgrund eines Auskunftsverlangens Verpflichtete hat die zur Auskunftserteilung erforderlichen Daten unverzüglich und vollständig zu übermitteln.
(4)
Nach erfolgter Auskunft weist das Bundesamt die besonders wichtige Einrichtung oder die wichtige Einrichtung auf die bei ihr drohenden Beeinträchtigungen hin. Nach Möglichkeit weist das Bundesamt die besonders wichtige Einrichtung oder die wichtige Einrichtung auf technische Mittel hin, mittels derer die festgestellten Beeinträchtigungen durch die besonders wichtige Einrichtung oder die wichtige Einrichtung selbst beseitigt werden können.
(5)
Das Bundesamt kann personenbezogene Daten, die es im Rahmen dieser Vorschrift verarbeitet, entsprechend § 8 Absatz 6 und 7 übermitteln.
(6)
In den Fällen des Absatzes 2 ist die betroffene Person über die Auskunft zu benachrichtigen. Im Falle der Weitergabe der Information nach § 8 Absatz 6 oder wenn Tatsachen die Annahme rechtfertigen, dass die Voraussetzungen einer Weitergabe nach § 8 Absatz 6 vorliegen, ergeht darüber keine Benachrichtigung an die betroffene Person, sofern und solange überwiegende schutzwürdige Belange Dritter entgegenstehen. Wird nach Satz 2 die Benachrichtigung zurückgestellt oder wird von ihr abgesehen, sind die Gründe aktenkundig zu machen.
(7)
Das Bundesamt unterrichtet die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres über
1.
die Gesamtzahl der Vorgänge, in denen Daten nach Absatz 1 oder Absatz 2 an das Bundesamt übermittelt wurden, und
2.
die Übermittlungen nach Absatz 5.
(8)
Das Bundesamt hat den Verpflichteten für ihm erteilte Auskünfte eine Entschädigung zu gewähren. Der Umfang der Entschädigung bemisst sich nach § 23 und Anlage 3 des Justizvergütungs- und ‑entschädigungsgesetzes; die Vorschriften über die Verjährung in § 2 Absatz 1 und 4 des Justizvergütungs- und ‑entschädigungsgesetzes finden entsprechende Anwendung.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 13
§ 13

Warnungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 20 und 21 kann das Bundesamt
1.
die folgenden Warnungen und Informationen an die Öffentlichkeit oder an die betroffenen Kreise richten:
a)
Warnungen vor Schwachstellen und anderen Sicherheitsrisiken in informationstechnischen Produkten und Diensten,
b)
Warnungen vor Schadprogrammen,
c)
Warnungen bei einem Verlust oder einem unerlaubten Zugriff auf Daten,
d)
Informationen über sicherheitsrelevante IT-Eigenschaften von Produkten und
e)
Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen gegen die Pflichten aus diesem Gesetz sowie
2.
Sicherheitsmaßnahmen und Einsatz bestimmter Sicherheitsprodukte empfehlen.
Das Bundesamt kann zur Wahrnehmung der Aufgaben nach Satz 1 Dritte einbeziehen, wenn dies für eine wirksame und rechtzeitige Warnung erforderlich ist.
(2)
Die Hersteller betroffener Produkte sind rechtzeitig vor Veröffentlichung der Warnungen zu informieren. Diese Informationspflicht besteht nicht,
1.
wenn hierdurch die Erreichung des mit der Maßnahme verfolgten Zwecks gefährdet würde oder
2.
wenn berechtigterweise davon ausgegangen werden kann, dass der Hersteller an einer vorherigen Benachrichtigung kein Interesse hat.
Soweit entdeckte Schwachstellen oder Schadprogramme nicht allgemein bekannt werden sollen, um eine Weiterverbreitung oder rechtswidrige Ausnutzung zu verhindern oder weil das Bundesamt gegenüber Dritten zur Vertraulichkeit verpflichtet ist, kann es den Kreis der zu warnenden Personen einschränken. Kriterien für die Auswahl des zu warnenden Personenkreises nach Satz 3 sind insbesondere die besondere Gefährdung bestimmter Einrichtungen oder die besondere Zuverlässigkeit des Empfängers.
(3)
Zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 20 und 21 kann das Bundesamt die Öffentlichkeit unter Nennung der Bezeichnung und des Herstellers des betroffenen Produkts und Dienstes
1.
vor Schwachstellen in informationstechnischen Produkten und Diensten und vor Schadprogrammen warnen, wenn hinreichende Anhaltspunkte dafür vorliegen, dass Gefahren für die Sicherheit in der Informationstechnik hiervon ausgehen, oder
2.
Sicherheitsmaßnahmen sowie den Einsatz bestimmter informationstechnischer Produkte und Dienste empfehlen.
Stellen sich die an die Öffentlichkeit gegebenen Informationen im Nachhinein als falsch heraus oder stellen sich die zugrunde liegenden Umstände als unzutreffend wiedergegeben heraus, ist dies unverzüglich öffentlich bekannt zu machen. Warnungen nach Satz 1 sind sechs Monate nach der Veröffentlichung zu entfernen, wenn nicht weiterhin hinreichende Anhaltspunkte dafür vorliegen, dass Gefahren für die Sicherheit in der Informationstechnik bestehen. Wird eine Warnung nach Satz 3 nicht entfernt, so ist diese Entscheidung regelmäßig zu überprüfen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 14
§ 14

Untersuchung der Sicherheit in der Informationstechnik, Auskunftsverlangen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt kann zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 20, 21, 24 oder 25 auf dem Markt bereitgestellte oder zur Bereitstellung auf dem Markt vorgesehene informationstechnische Produkte und Systeme untersuchen. Es kann sich hierbei der Unterstützung Dritter bedienen, soweit berechtigte Interessen des Herstellers der betroffenen Produkte und Systeme dem nicht entgegenstehen.
(2)
Soweit erforderlich, kann das Bundesamt für Untersuchungen nach Absatz 1 Satz 1 von Herstellern informationstechnischer Produkte und Systeme alle notwendigen Auskünfte, insbesondere auch zu technischen Details, verlangen. In dem Auskunftsverlangen gibt das Bundesamt die Rechtsgrundlage, den Zweck des Auskunftsverlangens und die benötigten Auskünfte an und legt eine angemessene Frist für die Übermittlung der Auskünfte fest. Das Auskunftsverlangen enthält ferner einen Hinweis auf die in § 65 vorgesehenen Sanktionen.
(3)
Das Bundesamt gibt Auskünfte sowie die aus den Untersuchungen gewonnen Erkenntnisse unverzüglich an die zuständigen Aufsichtsbehörden des Bundes oder, sofern keine Aufsichtsbehörde vorhanden ist, an das jeweilige Ressort weiter, wenn Anhaltspunkte bestehen, dass diese sie zur Erfüllung ihrer Aufgaben benötigen.
(4)
Die Auskünfte und die aus den Untersuchungen gewonnenen Erkenntnisse dürfen nur zur Erfüllung der Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 20, 21, 24 und 25 genutzt werden. Das Bundesamt darf seine Erkenntnisse weitergeben und veröffentlichen, soweit dies zur Erfüllung der Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 20, 21, 24 und 25 erforderlich ist. Zuvor ist dem Hersteller der betroffenen Produkte und Systeme mit angemessener Frist Gelegenheit zur Stellungnahme zu geben. Von einer Gelegenheit zur Stellungnahme kann abgesehen werden, wenn die Erkenntnisse ohne erkennbaren Bezug zum Hersteller oder zu den untersuchten informationstechnischen Produkten und Systemen weitergegeben oder veröffentlicht werden.
(5)
Kommt ein Hersteller der Aufforderung des Bundesamtes nach Absatz 2 Satz 1 nicht oder nur unzureichend nach, kann das Bundesamt hierüber die Öffentlichkeit informieren. Es kann hierbei den Namen des Herstellers sowie die Bezeichnung des betroffenen Produkts oder Systems angeben und darlegen, inwieweit der Hersteller seiner Auskunftspflicht nicht nachgekommen ist. Zuvor ist dem Hersteller mit angemessener Frist Gelegenheit zur Stellungnahme zu gewähren. § 13 Absatz 2 Satz 2 gilt entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 15
§ 15

Detektion von Angriffsmethoden und von Sicherheitsrisiken für die Netz- und IT-Sicherheit

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt kann im Rahmen seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1 zur Detektion von bekannten Schwachstellen und anderen Sicherheitsrisiken Abfragen an den Schnittstellen öffentlich erreichbarer informationstechnischer Systeme zu öffentlichen Telekommunikationsnetzen durchführen,
1.
um festzustellen, ob diese Schnittstellen unzureichend geschützt und dadurch in ihrer Sicherheit oder Funktionsfähigkeit gefährdet sein können, oder
2.
wenn die Einrichtungen der Bundesverwaltung, der besonders wichtigen oder der wichtigen Einrichtungen die entsprechenden Einrichtungen darum ersuchen.
Erlangt das Bundesamt dabei Informationen, die durch Artikel 10 des Grundgesetzes geschützt sind, darf es diese nur zum Zwecke der Übermittlung nach § 8 Absatz 6 und 7 verarbeiten. Sofern die Voraussetzungen des § 8 Absatz 6 und 7 nicht vorliegen, sind Informationen, die durch Artikel 10 des Grundgesetzes geschützt sind, unverzüglich zu löschen.
(2)
Wird durch Abfragen gemäß Absatz 1 Satz 1 eine bekannte Schwachstelle oder ein anderes Sicherheitsrisiko eines informationstechnischen Systems erkannt, informiert das Bundesamt als allgemeine Meldestelle für die Sicherheit in der Informationstechnik nach § 5 darüber unverzüglich die für das informationstechnische System Verantwortlichen. Gehört das informationstechnische System zu einer Einrichtung der Bundesverwaltung, sind zugleich die Informationssicherheitsbeauftragten der betroffenen Einrichtung der Bundesverwaltung nach § 45 und des übergeordneten Ressorts nach § 46 zu informieren. Das Bundesamt soll dabei auf bestehende Möglichkeiten zur Abhilfe des Sicherheitsrisikos hinweisen. Sind dem Bundesamt die Verantwortlichen nicht bekannt oder ist ihre Identifikation nur mit unverhältnismäßigem Aufwand oder über eine Bestandsdatenabfrage nach § 12 möglich, so ist hilfsweise der betreibende Dienstleister des jeweiligen Netzes oder Systems unverzüglich zu benachrichtigen, wenn überwiegende Sicherheitsinteressen nicht entgegenstehen.
(3)
Das Bundesamt unterrichtet die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit jeweils bis zum 30. Juni des Folgejahres über die Anzahl der gemäß Absatz 1 durchgeführten Abfragen.
(4)
Das Bundesamt legt der Bundesbeauftragten oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu den Abfragen nach Absatz 1 auf Anforderung eine Liste der geprüften Systeme der Einrichtungen der Bundesverwaltung, der besonders wichtigen Einrichtungen und der wichtigen Einrichtungen zur Kontrolle vor.
(5)
Das Bundesamt darf zur Erfüllung seiner Aufgaben Systeme und Verfahren einsetzen, die einem Angreifer einen erfolgreichen Angriff vortäuschen, um den Einsatz von Schadprogrammen oder andere Angriffsmethoden zu erheben und auszuwerten. Das Bundesamt darf dabei die zur Auswertung der Funktionsweise der Schadprogramme und Angriffsmethoden erforderlichen Daten verarbeiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 16
§ 16

Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von Telekommunikationsdiensten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Zur Abwehr erheblicher Gefahren für die in Absatz 3 genannten Schutzgüter kann das Bundesamt anordnen, dass ein Anbieter von öffentlich zugänglichen Telekommunikationsdiensten im Sinne des Telekommunikationsgesetzes
1.
die in § 169 Absatz 6 und 7 des Telekommunikationsgesetzes bezeichneten Maßnahmen trifft oder
2.
technische Befehle zur Bereinigung von einem konkret benannten Schadprogramm an betroffene informationstechnische Systeme verteilt,
sofern und soweit der Anbieter von öffentlich zugänglichen Telekommunikationsdiensten dazu technisch in der Lage und es ihm wirtschaftlich zumutbar ist. Vor der Anordnung der Maßnahmen nach Satz 1 Nummer 1 oder 2 durch das Bundesamt ist die Bundesnetzagentur ins Benehmen zu setzen. Vor der Anordnung der Maßnahme nach Satz 1 Nummer 2 durch das Bundesamt ist zusätzlich Einvernehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit herzustellen. Die Daten, auf die mit der Maßnahme nach Satz 1 Nummer 2 zugegriffen werden soll, sind in der Anordnung zu benennen. § 8 Absatz 8 Satz 2 bis 8 gilt entsprechend. Widerspruch und Anfechtungsklage gegen die Anordnungen nach Satz 1 haben keine aufschiebende Wirkung.
(2)
Zur Abwehr erheblicher Gefahren für die in Absatz 3 genannten Schutzgüter kann das Bundesamt technische Befehle zur Bereinigung von einem konkret benannten Schadprogramm an betroffene informationstechnische Systeme verteilen. Absatz 1 Satz 2 und 3 gilt entsprechend. Der betroffene Diensteanbieter ist verpflichtet, das Bundesamt bei der Umsetzung nach Satz 1 zu unterstützen und insbesondere alle notwendigen Auskünfte zu erteilen, die zur Erstellung und Verteilung des Befehls notwendig sind.
(3)
Schutzgüter gemäß Absatz 1 Satz 1 sind die Verfügbarkeit, Integrität oder Vertraulichkeit
1.
der Kommunikationstechnik des Bundes, einer besonders wichtigen Einrichtung oder einer wichtigen Einrichtung,
2.
von Informations- oder Kommunikationsdiensten oder
3.
von Informationen, sofern deren Verfügbarkeit, Unversehrtheit oder Vertraulichkeit durch unerlaubte Zugriffe auf eine erhebliche Anzahl von telekommunikations- oder informationstechnischen Systemen von Nutzern eingeschränkt wird.
(4)
Ordnet das Bundesamt eine Maßnahme nach Absatz 1 Satz 1 Nummer 1 an, so kann es gegenüber dem Anbieter von öffentlich zugänglichen Telekommunikationsdiensten auch anordnen, den Datenverkehr an eine vom Bundesamt benannte Anschlusskennung umzuleiten.
(5)
Das Bundesamt darf Daten, die von einem Anbieter von öffentlich zugänglichen Telekommunikationsdiensten nach Absatz 1 Satz 1 Nummer 1 und Absatz 4 umgeleitet wurden, verarbeiten, um Informationen über Schadprogramme oder andere Sicherheitsrisiken in informationstechnischen Systemen zu erlangen. Die übermittelten Daten dürfen durch das Bundesamt so lange gespeichert werden, wie dies für die Erfüllung des in Satz 1 genannten Zwecks erforderlich ist, längstens jedoch für drei Monate. § 8 Absatz 8 Satz 2 bis 8 gilt entsprechend. Das Bundesamt unterrichtet die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit jeweils bis zum 30. Juni des Folgejahres über die Gesamtzahl der angeordneten Datenumleitungen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 17
§ 17

Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von digitalen Diensten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Das Bundesamt kann in Einzelfällen zur Abwehr erheblicher Gefahren für informationstechnische Systeme einer Vielzahl von Nutzern, die von digitalen Diensten von Anbietern von digitalen Diensten nach § 2 Absatz 2 Nummer 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes ausgehen, die durch ungenügende technische und organisatorische Vorkehrungen nach § 19 Absatz 4 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes unzureichend gesichert sind und dadurch keinen hinreichenden Schutz bieten vor
1.
unerlaubten Zugriffen auf die für diese digitalen Dienste genutzten technischen Einrichtungen oder
2.
Störungen, auch soweit sie durch äußere Angriffe bedingt sind,
gegenüber dem jeweiligen Anbieter von digitalen Diensten nach § 2 Absatz 2 Nummer 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes anordnen, dass dieser die jeweils zur Herstellung des ordnungsgemäßen Zustands seiner digitalen Dienste erforderlichen technischen und organisatorischen Maßnahmen ergreift, um den ordnungsgemäßen Zustand seiner digitalen Dienste herzustellen. Die Zuständigkeit der Aufsichtsbehörden der Länder bleibt im Übrigen unberührt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 18
§ 18

Anordnungen von Maßnahmen des Bundesamtes gegenüber Herstellern von IKT-Produkten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Soweit erforderlich, kann das Bundesamt von einem Hersteller, dessen IKT-Produkte von erheblichen Sicherheitsvorfällen betroffen sind, die Mitwirkung an der Beseitigung oder Vermeidung erheblicher Sicherheitsvorfälle bei besonders wichtigen Einrichtungen und wichtigen Einrichtungen verlangen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 19
§ 19

Bereitstellung von IT-Sicherheitsprodukten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Die Bereitstellung von IT-Sicherheitsprodukten durch das Bundesamt nach § 3 Absatz 1 Satz 2 Nummer 15 erfolgt durch Eigenentwicklung oder nach Durchführung von Vergabeverfahren aufgrund einer entsprechenden Bedarfsfeststellung. IT-Sicherheitsprodukte können nur in begründeten Ausnahmefällen durch eine Eigenentwicklung des Bundesamtes zur Verfügung gestellt werden. Die Vorschriften des Vergaberechts und der Bundeshaushaltsordnung bleiben unberührt. Wenn das Bundesamt IT-Sicherheitsprodukte bereitstellt, können die Einrichtungen der Bundesverwaltung oder von ihnen beauftragte Dritte diese Produkte beim Bundesamt abrufen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 20
§ 20

Verarbeitung personenbezogener Daten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Die Verarbeitung personenbezogener Daten durch das Bundesamt ist zulässig, wenn die Verarbeitung zur Erfüllung seiner im öffentlichen Interesse liegenden Aufgaben erforderlich ist.
(2)
Die Verarbeitung personenbezogener Daten durch das Bundesamt zu anderen Zwecken als demjenigen, zu dem die Daten ursprünglich erhoben wurden, ist unbeschadet von Artikel 6 Absatz 4 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung und von § 23 des Bundesdatenschutzgesetzes zulässig, wenn
1.
die Verarbeitung erforderlich ist
a)
zur Sammlung, Auswertung oder Untersuchung von Informationen über Sicherheitsrisiken oder Sicherheitsvorkehrungen für die Informationstechnik oder
b)
zur Unterstützung, Beratung oder Warnung in Fragen der Sicherheit in der Informationstechnik und
2.
kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.
(3)
Eine Verarbeitung von besonderen Kategorien personenbezogener Daten durch das Bundesamt ist abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 und unbeschadet des § 22 Absatz 1 des Bundesdatenschutzgesetzes zulässig, wenn
1.
die Verarbeitung erforderlich ist zur Abwehr einer erheblichen Gefahr für die Netz-, Daten- oder Informationssicherheit,
2.
ein Ausschluss dieser Daten von der Verarbeitung die Erfüllung der Aufgaben des Bundesamtes unmöglich machen oder diese erheblich gefährden würde und
3.
kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss dieser Daten von der Verarbeitung überwiegt.
(4)
Das Bundesamt sieht angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person gemäß § 22 Absatz 2 Satz 2 des Bundesdatenschutzgesetzes vor.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 21
§ 21

Beschränkungen der Rechte der betroffenen Person

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Für die Rechte der betroffenen Person gegenüber dem Bundesamt gelten ergänzend zu den in der Verordnung (EU) 2016/679 enthaltenen Ausnahmen die nachfolgenden Beschränkungen. Soweit dieses Gesetz keine oder geringere Beschränkungen der Rechte der betroffenen Person enthält, gelten für die Beschränkungen im Übrigen die Regelungen des Bundesdatenschutzgesetzes ergänzend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 22
§ 22

Informationspflicht bei Erhebung von personenbezogenen Daten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Die Pflicht zur Information gemäß den Artikeln 13 und 14 der Verordnung (EU) 2016/679 besteht ergänzend zu den in Artikel 13 Absatz 4 und Artikel 14 Absatz 5 der Verordnung (EU) 2016/679 genannten Ausnahmen nicht, wenn
1.
die Informationserteilung die ordnungsgemäße Erfüllung der in der Zuständigkeit des Bundesamtes liegenden Aufgaben gefährden würde oder
2.
die Informationserteilung die öffentliche Sicherheit oder Ordnung oder die Gewährleistung der Netz- und Informationssicherheit auf sonstige Weise gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde
und deswegen das Interesse der betroffenen Person an der Informationserteilung zurücktreten muss.
(2)
Unterbleibt eine Information der betroffenen Person nach Maßgabe des Absatzes 1, ergreift das Bundesamt geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung der in Artikel 13 Absatz 1 und 2 und Artikel 14 Absatz 1 und 2 der Verordnung (EU) 2016/679 genannten Informationen für die Öffentlichkeit in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Das Bundesamt hält schriftlich fest, aus welchen Gründen es von einer Information der betroffenen Person abgesehen hat.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 23
§ 23

Auskunftsrecht der betroffenen Person

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Recht auf Auskunft gemäß Artikel 15 Absatz 1 und 2 der Verordnung (EU) 2016/679 besteht nicht, wenn und soweit
1.
die Auskunftserteilung die ordnungsgemäße Erfüllung der Aufgaben gefährden würde, die in der Zuständigkeit des Bundesamtes liegen,
2.
die Auskunftserteilung
a)
die öffentliche Sicherheit oder die Gewährleistung der Netz- und Informationssicherheit gefährden würde oder
b)
sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde oder
3.
die Auskunftserteilung strafrechtliche Ermittlungen oder die Verfolgung von Straftaten gefährden würde
und deswegen das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muss.
(2)
§ 34 Absatz 2 bis 4 des Bundesdatenschutzgesetzes gilt entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 24
§ 24

Recht auf Berichtigung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Recht der betroffenen Person auf Berichtigung und Vervollständigung gemäß Artikel 16 der Verordnung (EU) 2016/679 besteht nicht, wenn und soweit die Erfüllung der Rechte der betroffenen Person die ordnungsgemäße Erfüllung der in der Zuständigkeit des Bundesamtes liegenden Aufgaben gefährden würde und deswegen das Interesse der betroffenen Person an der Ausübung dieser Rechte zurücktreten muss.
(2)
In den Fällen des Absatzes 1 hat die betroffene Person einen Anspruch darauf, den Daten für die Dauer der Verarbeitung eine Gegendarstellung beizufügen, sofern dies für eine faire und transparente Verarbeitung erforderlich ist.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 25
§ 25

Recht auf Löschung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Im Fall der nicht automatisierten Verarbeitung besteht die Pflicht des Bundesamtes zur Löschung personenbezogener Daten gemäß Artikel 17 Absatz 1 und 2 ergänzend zu den in Absatz 3 der Verordnung (EU) 2016/679 genannten Ausnahmen nicht, wenn
1.
eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist und
2.
das Interesse der betroffenen Person an der Löschung als gering anzusehen ist.
In diesem Fall tritt an die Stelle der Löschung eine Einschränkung der Verarbeitung gemäß Artikel 18 der Verordnung (EU) 2016/679. Die Sätze 1 und 2 sind nicht anzuwenden, wenn die personenbezogenen Daten unrechtmäßig verarbeitet wurden.
(2)
Ist die Löschung lediglich für eine etwaige gerichtliche Überprüfung von Maßnahmen nach § 8 Absatz 4 zurückgestellt, dürfen die Daten ohne Einwilligung der betroffenen Person nur zu diesem Zweck verwendet werden. Sie sind für andere Zwecke in der Verarbeitung einzuschränken. § 8 Absatz 8 bleibt unberührt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 26
§ 26

Recht auf Einschränkung der Verarbeitung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Die Pflicht des Bundesamtes zur Einschränkung der Verarbeitung gemäß Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 besteht für die Dauer der Überprüfung der Richtigkeit der personenbezogenen Daten nicht, wenn
1.
die Verarbeitung oder Weiterverarbeitung durch dieses Gesetz ausdrücklich geregelt ist oder
2.
die Einschränkung der Verarbeitung die Abwehr von Gefahren für die Sicherheit in der Informationstechnik gefährden würde.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 27
§ 27

Widerspruchsrecht

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Das Recht der betroffenen Person auf Widerspruch gemäß Artikel 21 Absatz 1 der Verordnung (EU) 2016/679 besteht nicht, wenn
1.
an der Verarbeitung ein zwingendes öffentliches Interesse besteht, das die Interessen der betroffenen Person überwiegt, oder
2.
eine Rechtsvorschrift das Bundesamt zur Verarbeitung verpflichtet.
Darüber hinaus darf das Bundesamt die personenbezogenen Daten ergänzend zu Artikel 21 Absatz 1 Satz 2 der Verordnung (EU) 2016/679 so lange verarbeiten, bis das Bundesamt geprüft hat, ob zwingende schutzwürdige Gründe für die Verarbeitung bestehen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 28
§ 28

Besonders wichtige Einrichtungen und wichtige Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Als besonders wichtige Einrichtung gelten
1.
Betreiber kritischer Anlagen,
2.
qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter,
3.
Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
a)
mindestens 50 Mitarbeiter beschäftigen oder
b)
einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen,
4.
sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in Anlage 1 bestimmten Einrichtungsarten zuzuordnen sind, und
a)
mindestens 250 Mitarbeiter beschäftigen oder
b)
einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.
Davon ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.
2 Sollmaßnahmen
N-BSIG28.001Selbsteinordnung als besonders wichtige oder wichtige Einrichtung
N-BSIG28.002Aktualisierung der Selbsteinordnung
(2)
Als wichtige Einrichtungen gelten
1.
Vertrauensdiensteanbieter,
2.
Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
a)
weniger als 50 Mitarbeiter beschäftigen und
b)
einen Jahresumsatz oder eine Jahresbilanzsumme von jeweils 10 Millionen Euro oder weniger aufweisen,
3.
sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und
a)
mindestens 50 Mitarbeiter beschäftigen oder
b)
einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.
Davon ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung.
(3)
Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.
(4)
Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach den Absätzen 1 und 2 ist außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden. Die Daten von Partner- oder verbundenen Unternehmen im Sinne der Empfehlung der Kommission (2003/361/EG) sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist.
(5)
Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für besonders wichtige Einrichtungen und wichtige Einrichtungen, die
1.
ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen oder
2.
Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen.
Satz 1 gilt nicht für die dort aufgeführten besonders wichtigen und wichtigen Einrichtungen, soweit sie über die in Satz 1 Nummer 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nummer 22 betreiben oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 bestimmten Einrichtungsarten zuzuordnen sind. Satz 2 gilt für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind. Im Fall, dass der Betrieb einer Energieanlage nach Satz 1 Nummer 2 einer in Satz 1 aufgeführten besonders wichtigen und wichtigen Einrichtung im Hinblick auf die gesamte Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit darstellt, findet dieser Absatz keine Anwendung.
(6)
Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für
1.
Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
2.
die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.
(7)
§ 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.
(8)
Dieses Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie
1.
zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und
2.
durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 29
§ 29

Einrichtungen der Bundesverwaltung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Einrichtungen der Bundesverwaltung im Sinne dieses Gesetzes sind, mit Ausnahme der Institutionen der Sozialen Sicherung und der Deutschen Bundesbank,
1.
Bundesbehörden,
2.
öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung sowie
3.
weitere Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie ihre Vereinigungen, ungeachtet ihrer Rechtsform, auf Bundesebene, soweit durch das Bundesamt im Einvernehmen mit dem jeweils zuständigen Ressort angeordnet.
(2)
Für Einrichtungen der Bundesverwaltung sind die Regelungen für besonders wichtige Einrichtungen anzuwenden, nicht jedoch die Regelungen der §§ 38, 40 Absatz 3 und der §§ 61 und 65.
(3)
Die Geschäftsbereiche des Auswärtigen Amts und des Bundesministeriums der Verteidigung sowie der Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz sind zusätzlich zu den Regelungen gemäß Absatz 2 von den Regelungen des § 7 Absatz 5 Satz 4, der §§ 10, 13 Absatz 1 Satz 1 Nummer 1 Buchstabe e sowie der §§ 30, 33 und 35 ausgenommen. Das Auswärtige Amt erlässt im Einvernehmen mit dem Bundesministerium für Digitales und Staatsmodernisierung eine allgemeine Verwaltungsvorschrift, um die Ziele der NIS-2-Richtlinie im Geschäftsbereich des Auswärtigen Amts durch ergebnisäquivalente Maßnahmen umzusetzen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 30
§ 30

Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.
2 Sollmaßnahmen
N-BSIG30.001Dokumentation der Maßnahmen und der Verhältnismäßigkeitsbewertung
N-BSIG30.002Grundpflicht: technische und organisatorische Maßnahmen
(2)
Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen:
1.
Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
2.
Bewältigung von Sicherheitsvorfällen,
3.
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
4.
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
5.
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
6.
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
7.
grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
8.
Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
9.
Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
10.
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
(3)
Der von der Europäischen Kommission gemäß Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie erlassene Durchführungsrechtsakt zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 1 genannten Maßnahmen in Bezug auf DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter hat für die vorgenannten Einrichtungsarten Vorrang.
(4)
Sofern die Europäische Kommission einen Durchführungsrechtsakt gemäß Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie erlässt, in dem die technischen und methodischen Anforderungen sowie erforderlichenfalls die sektoralen Anforderungen der in Absatz 2 genannten Maßnahmen festgelegt werden, so gehen diese Anforderungen den in Absatz 2 genannten Maßnahmen vor, soweit sie diesen entgegenstehen.
(5)
Sofern die Durchführungsrechtsakte der Europäischen Kommission nach Artikel 21 Absatz 5 der NIS-2-Richtlinie keine abschließenden Bestimmungen über die technischen und methodischen Anforderungen sowie erforderlichenfalls über die sektoralen Anforderungen an die in Absatz 2 genannten Maßnahmen in Bezug auf besonders wichtige Einrichtungen und wichtige Einrichtungen enthalten, können diese Bestimmungen vom Bundesministerium des Innern im Benehmen mit den jeweils betroffenen Ressorts durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, unter Berücksichtigung der möglichen Folgen unzureichender Maßnahmen sowie der Bedeutung bestimmter Einrichtungen präzisiert und erweitert werden.
(6)
Besonders wichtige Einrichtungen und wichtige Einrichtungen dürfen durch Rechtsverordnung nach § 56 Absatz 3 bestimmte IKT-Produkte, IKT-Dienste und IKT-Prozesse nur verwenden, wenn diese über eine Cybersicherheitszertifizierung gemäß europäischer Schemata nach Artikel 49 der Verordnung (EU) 2019/881 verfügen.
1 Sollmaßnahme
N-BSIG30.003Zertifizierungspflicht für bestimmte IKT-Produkte
(7)
Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten dürfen der Austausch von Informationen nach § 6 oder die freiwillige Meldung nach § 5 nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die nicht für sie gegolten hätten, wenn sie die Meldung nicht übermittelt hätte.
(8)
Besonders wichtige Einrichtungen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Diese vorgeschlagenen Sicherheitsstandards müssen Durchführungsrechtsakte der Europäischen Kommission so berücksichtigen, dass sie nicht im Widerspruch zu den dort genannten Anforderungen stehen sowie darin enthaltene Vorgaben nicht unterschritten werden. Das Bundesamt stellt auf Antrag fest, ob die vorgeschlagenen Sicherheitsstandards branchenspezifisch und geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten und veröffentlicht diese auf seiner Internetseite. Die Feststellung erfolgt
1.
im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe;
2.
im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes.
Im Sektor Gesundheitswesen ist, soweit keine zuständige Aufsichtsbehörde des Bundes besteht, abweichend von Satz 4 Nummer 2 das Benehmen mit dem Bundesministerium für Gesundheit herzustellen. Aus Gründen des öffentlichen Interesses werden für die Feststellung keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes erhoben.
(9)
Betreiber kritischer Anlagen können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 vorschlagen. Absatz 8 Satz 2 bis 6 gilt entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 31
§ 31

Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Für Betreiber kritischer Anlagen gelten für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, im Vergleich zu anderen informationstechnischen Systemen, Komponenten und Prozessen besonders wichtiger Einrichtungen auch über das Schutzniveau dieser Einrichtungen hinausgehende Maßnahmen nach § 30 Absatz 1 Satz 1 als verhältnismäßig, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage steht.
1 Sollmaßnahme
N-BSIG31.001Erhöhter Maßnahmenmaßstab für anlagenkritische IT-Systeme
(2)
Betreiber kritischer Anlagen sind verpflichtet, für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, Systeme zur Angriffserkennung einzusetzen. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen. Dabei soll der Stand der Technik eingehalten werden. Der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen.
1 Sollmaßnahme
N-BSIG31.002Systeme zur Angriffserkennung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 32
§ 32

Meldepflichten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden:
1.
unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;
2.
unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;
3.
auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen;
4.
spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die Folgendes enthält:
a)
eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen;
b)
Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat;
c)
Angaben zu den getroffenen und laufenden Abhilfemaßnahmen;
d)
gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls.
Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.
5 Sollmaßnahmen
N-BSIG32.007Verfahren für die Behördenmeldung
N-BSIG32.001Frühe Erstmeldung binnen 24 Stunden
N-BSIG32.002Folgemeldung binnen 72 Stunden
N-BSIG32.003Zwischenmeldung auf Ersuchen
N-BSIG32.004Abschlussmeldung binnen eines Monats
(2)
Dauert der Sicherheitsvorfall zum in Absatz 1 Satz 1 Nummer 4 genannten Zeitpunkt noch an, legt die betreffende Einrichtung statt einer Abschlussmeldung zu diesem Zeitpunkt eine Fortschrittsmeldung vor. Die Abschlussmeldung ist dem Bundesamt nach abschließender Bearbeitung des Sicherheitsvorfalls durch die betreffende Einrichtung vorzulegen.
1 Sollmaßnahme
N-BSIG32.005Fortschrittsmeldung bei andauerndem Vorfall
(3)
Betreiber kritischer Anlagen sind zusätzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte.
1 Sollmaßnahme
N-BSIG32.006KRITIS-Zusatzangaben zur Meldung
(4)
Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Meldeverfahrens und zur Konkretisierung der Meldungsinhalte nach Anhörung der betroffenen Betreiber und der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest, soweit sie möglichen Durchführungsrechtsakten der Europäischen Kommission nicht widersprechen. Die Informationen nach Satz 1 werden durch das Bundesamt auf dessen Internetseite veröffentlicht.
(5)
Das Bundesamt stellt den zuständigen Aufsichtsbehörden des Bundes unverzüglich die bei ihm eingegangenen Meldungen zur Verfügung.
(6)
Das Bundesamt kann meldenden Einrichtungen nach Maßgabe des § 36 Absatz 1 Angebote zu deren Unterstützung bei der Behebung des Sicherheitsvorfalls machen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 33
§ 33

Registrierungspflicht

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:
1.
Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer,
2.
Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern,
3.
relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche,
4.
Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und
5.
die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder.
1 Sollmaßnahme
N-BSIG33.001Registrierung binnen drei Monaten
(2)
Die Registrierung von Betreibern kritischer Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.
1 Sollmaßnahme
N-BSIG33.002KRITIS-Registrierung nach KRITIS-Dachgesetz
(3)
Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbietern kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird.
(4)
Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Pflicht zur Registrierung nach Absatz 1 oder 2 nicht erfüllt, so hat diese Einrichtung dem Bundesamt auf Verlangen die aus Sicht des Bundesamtes für die Bewertung erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu erteilen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen entgegenstehen.
1 Sollmaßnahme
N-BSIG33.003Auskunft bei vermuteter Registrierungspflicht
(5)
Bei Änderungen der nach Absatz 1 oder 2 zu übermittelnden Angaben sind dem Bundesamt geänderte Versorgungskennzahlen sowie Änderungen der bei Betreibern kritischer Anlagen zum Einsatz kommenden Typen von kritischen Komponenten einmal jährlich zu übermitteln und alle anderen Angaben unverzüglich, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln.
1 Sollmaßnahme
N-BSIG33.004Aktualisierung der Registrierungsangaben
(6)
Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 34
§ 34

Besondere Registrierungspflicht für bestimmte Einrichtungsarten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Eine Einrichtung der in § 60 Absatz 1 Satz 1 genannten Einrichtungsart ist verpflichtet, spätestens drei Monate, nachdem sie als eine der vorgenannten Einrichtungen gelten, dem Bundesamt die folgenden Angaben zu übermitteln:
1.
Name der Einrichtung;
2.
einschlägiger Sektor, Branche und Einrichtungsart wie in Anlage 1 bestimmt;
3.
Anschrift der Hauptniederlassung in der Europäischen Union nach § 60 Absatz 2 und ihrer sonstigen Niederlassungen in der Europäischen Union oder, falls sie nicht in der Europäischen Union niedergelassen ist, Anschrift ihres nach § 60 Absatz 3 benannten Vertreters;
4.
aktuelle Kontaktdaten, einschließlich E-Mail-Adressen und Telefonnummern der Einrichtung und soweit erforderlich, ihres nach § 60 Absatz 3 benannten Vertreters;
5.
die Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste erbringt, und
6.
die öffentlichen IP-Adressbereiche der Einrichtung.
1 Sollmaßnahme
N-BSIG34.001Besondere Registrierung bestimmter Einrichtungsarten
(2)
Im Fall einer Änderung der gemäß Absatz 1 übermittelten Angaben unterrichten die Einrichtungen der in § 60 Absatz 1 Satz 1 genannten Einrichtungsart das Bundesamt unverzüglich über diese Änderung, jedoch spätestens innerhalb von drei Monaten ab dem Tag, an dem die Änderung eingetreten ist.
1 Sollmaßnahme
N-BSIG34.002Änderungsmitteilung binnen drei Monaten
(3)
Mit Ausnahme der in Absatz 1 Nummer 6 genannten Angaben leitet das Bundesamt die nach diesem Paragraphen übermittelten Angaben an die Agentur der Europäischen Union für Cybersicherheit weiter.
(4)
Das Bundesamt kann für die Übermittlung der Angaben nach den Absätzen 1 und 2 einen geeigneten Meldeweg vorsehen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 35
§ 35

Unterrichtungspflichten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Im Fall eines erheblichen Sicherheitsvorfalls kann das Bundesamt besonders wichtigen Einrichtungen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte. Das Bundesamt setzt die für die Einrichtung zuständige Aufsichtsbehörde des Bundes über Anweisungen nach Satz 1 in Kenntnis. Die Unterrichtung nach Satz 1 kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen.
1 Sollmaßnahme
N-BSIG35.001Unterrichtung der Dienstempfänger auf Anordnung
(2)
Einrichtungen nach Absatz 1 Satz 1 aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste teilen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mit, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. Die Einrichtungen informieren zugleich diese Empfänger auch über die erhebliche Cyberbedrohung selbst. Die Pflichten nach Satz 1 oder 2 gelten nur dann, wenn in Abwägung der Interessen der Einrichtung und des Empfängers die Interessen des Empfängers überwiegen.
1 Sollmaßnahme
N-BSIG35.002Information über erhebliche Cyberbedrohungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 36
§ 36

Rückmeldungen des Bundesamtes gegenüber meldenden Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Im Fall einer Meldung einer Einrichtung gemäß § 32 übermittelt das Bundesamt dieser unverzüglich und nach Möglichkeit innerhalb von 24 Stunden eine Bestätigung über den Eingang der Meldung und, auf Ersuchen der Einrichtung, Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen. Das Bundesamt kann auf Ersuchen der betreffenden Einrichtung zusätzliche technische Unterstützung leisten.
2 Sollmaßnahmen
N-BSIG36.001Umgang mit BSI-Rückmeldungen im Meldeverfahren
N-BSIG36.002Auswertung der BSI-Rückmeldungen
(2)
Ist eine Sensibilisierung der Öffentlichkeit erforderlich, um einen erheblichen Sicherheitsvorfall zu verhindern oder zu bewältigen, oder liegt die Offenlegung des erheblichen Sicherheitsvorfalls anderweitig im öffentlichen Interesse, so kann das Bundesamt nach Anhörung der betreffenden Einrichtung diese dazu verpflichten, die Öffentlichkeit über den erheblichen Sicherheitsvorfall zu informieren. Das Bundesamt kann entsprechend der Voraussetzungen nach Satz 1 die Öffentlichkeit auch selbst informieren. Handelt es sich bei der betreffenden Einrichtung um eine Einrichtung der Bundesverwaltung, gilt für die Information der Öffentlichkeit § 4 Absatz 3 entsprechend.
1 Sollmaßnahme
N-BSIG36.003Information der Öffentlichkeit auf Verpflichtung durch das BSI
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 37
§ 37

Ausnahmebescheid

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesministerium des Innern kann auf Vorschlag des Bundeskanzleramtes, des Bundesministeriums der Justiz und für Verbraucherschutz, des Bundesministeriums für Verteidigung, des Bundesministeriums der Finanzen, der Ministerien für Inneres und der Justiz der Länder oder auf eigenes Betreiben eine besonders wichtige Einrichtung oder eine wichtige Einrichtung von Verpflichtungen nach diesem Gesetz nach Maßgabe des Absatzes 2 teilweise befreien (einfacher Ausnahmebescheid) oder nach Maßgabe des Absatzes 3 insgesamt befreien (erweiterter Ausnahmebescheid), sofern die Einrichtung Vorgaben einhält, die den Verpflichtungen nach diesem Gesetz gleichwertig sind. Die Entscheidung nach Satz 1 erfolgt mit dem jeweils zuständigen Ressort im Einvernehmen, im Fall der Ministerien für Inneres und der Justiz der Länder im Benehmen.
1 Sollmaßnahme
N-BSIG37.001Prüfung eines Ausnahmebescheids
(2)
Einrichtungen, die
1.
in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung, einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten, (relevante Bereiche) tätig sind oder Dienste erbringen oder
2.
ausschließlich für Behörden, die Aufgaben in relevanten Bereichen erfüllen, tätig sind oder Dienste erbringen,
können für diese Tätigkeiten oder Dienste von den Risikomanagementmaßnahmen nach § 30 und den Meldepflichten nach § 32 befreit werden. Die Sicherheit in der Informationstechnik dieser Einrichtungen muss in diesen Fällen anderweitig gewährleistet sein und beaufsichtigt werden.
(3)
Einrichtungen, die ausschließlich in relevanten Bereichen tätig sind oder Dienste erbringen, können insgesamt von den in Absatz 2 genannten Pflichten und von den Registrierungspflichten nach den §§ 33 und 34 befreit werden. Absatz 2 Satz 2 gilt entsprechend.
(4)
Die Absätze 1 bis 3 gelten nicht, wenn die betreffende Einrichtung ein Vertrauensdiensteanbieter ist.
(5)
Ein Ausnahmebescheid nach diesem Gesetz ist zu widerrufen, wenn nachträglich Tatsachen eintreten, die zur Ablehnung einer Erteilung einer Ausnahme hätten führen müssen. Abweichend von Satz 1 kann im Falle eines vorübergehenden Wegfalls der Voraussetzungen des Absatzes 2 Satz 1 Nummer 1 oder 2 von einem Widerruf abgesehen werden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 38
§ 38

Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
1 Sollmaßnahme
N-BSIG38.001Umsetzung und Überwachung durch die Geschäftsleitung
(2)
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
(3)
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
1 Sollmaßnahme
N-BSIG38.002Schulung der Geschäftsleitung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 39
§ 39

Nachweispflichten für Betreiber kritischer Anlagen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Betreiber kritischer Anlagen haben die Umsetzung der Maßnahmen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 zu einem vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre dem Bundesamt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich Angaben über die dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln die Vorlage eines geeigneten Mängelbeseitigungsplanes und im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen. Das Bundesamt kann die Vorlage eines geeigneten Nachweises über die erfolgte Mängelbeseitigung verlangen.
2 Sollmaßnahmen
N-BSIG39.001Turnusmäßiger Umsetzungsnachweis
N-BSIG39.002Mitwirkung bei festgestellten Sicherheitsmängeln
(2)
Das Bundesamt kann zur Ausgestaltung des Verfahrens der Prüfungen und Erbringung der Nachweise nach Absatz 1 folgende Anforderungen festlegen:
1.
Anforderungen an die Art und Weise der Durchführung,
2.
Anforderungen an die Geeignetheit der zu erbringenden Nachweise sowie
3.
nach Anhörung der betroffenen Betreiber und Einrichtungen und der betroffenen Wirtschaftsverbände fachliche und organisatorische Anforderungen an die prüfenden Stellen im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.
(3)
Abweichend von Absatz 1 Satz 1 legt das Bundesamt für Betreiber kritischer Anlagen, die bis zum Inkrafttreten dieses Gesetzes Betreiber Kritischer Infrastrukturen waren nach § 2 Absatz 10 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, den Zeitpunkt der Nachweiserbringung auf frühestens drei Jahre nach Erbringung des letzten Nachweises nach § 8a Absatz 3 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, fest. Betreiber kritischer Anlagen, die bis zum Inkrafttreten dieses Gesetzes Betreiber Kritischer Infrastrukturen waren, und deren Nachweisfrist nach § 8a Absatz 3 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, innerhalb von zwölf Monaten nach Inkrafttreten dieses Gesetzes abgelaufen wäre, können in diesem Zeitraum einen Nachweis nach den bisher geltenden Vorgaben erbringen.
(4)
Die Verpflichtung nach Absatz 1 Satz 1 gilt nicht für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 40
§ 40

Nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle für besonders wichtige und wichtige Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt ist die nationale Verbindungsstelle sowie die zentrale Melde- und Anlaufstelle für die Aufsicht für besonders wichtige Einrichtungen und wichtige Einrichtungen in der Sicherheit in der Informationstechnik.
(2)
Zur Wahrnehmung seiner Aufgabe als nationale Verbindungsstelle koordiniert das Bundesamt
1.
die grenzüberschreitende Zusammenarbeit der Länderbehörden, die die Länder als zuständige Behörden für die Aufsicht von Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene nach Artikel 2 Absatz 2 Buchstabe f Ziffer ii der NIS-2-Richtlinie bestimmt haben, sowie der Bundesnetzagentur und der Bundesanstalt für Finanzdienstleistungsaufsicht mit den für die Überwachung der Anwendung der NIS-2-Richtlinie zuständigen Behörden anderer Mitgliedstaaten und gegebenenfalls mit der Europäischen Kommission und der Agentur der Europäischen Union für Cybersicherheit sowie
2.
die sektorübergreifende Zusammenarbeit der in Nummer 1 genannten Länderbehörden, des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe, der Bundesnetzagentur und der Bundesanstalt für Finanzdienstleistungsaufsicht.
(3)
Zur Wahrnehmung seiner Aufgabe als zentrale Meldestelle hat das Bundesamt
1.
die für die Abwehr von Gefahren für die Sicherheit in der Informationstechnik wesentlichen Informationen zu sammeln und auszuwerten, insbesondere Informationen zu Schwachstellen, zu Schadprogrammen und zu Angriffen,
2.
in Zusammenarbeit mit den zuständigen Aufsichtsbehörden und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die Relevanz der Informationen nach Nummer 1 für die Verfügbarkeit kritischer Dienstleistungen zu analysieren,
3.
das Lagebild bezüglich der Sicherheit in der Informationstechnik von kritischen Anlagen, besonders wichtigen Einrichtungen und wichtigen Einrichtungen kontinuierlich zu aktualisieren und
4.
unverzüglich die nachfolgenden Personen oder Stellen zu unterrichten:
a)
die Betreiber kritischer Anlagen über sie betreffende Informationen nach den Nummern 1 bis 3 nach § 33 Absatz 1 Nummer 2 und
b)
die zuständigen Behörden eines anderen Mitgliedstaats der Europäischen Union über nach Absatz 5 oder nach vergleichbaren Regelungen gemeldete erhebliche Störungen, die Auswirkungen in diesem Mitgliedstaat haben, unter Berücksichtigung der Interessen nationaler Sicherheit und Verteidigung und
c)
das Auswärtige Amt über nach § 32 Absatz 1 gemeldete erhebliche Sicherheitsvorfälle mit internationalem Bezug und
d)
im Rahmen vorab zwischen dem Bundesamt und den Empfängern abgestimmter Prozesse zur Weitergabe und Wahrung der notwendigen Vertraulichkeit die zu diesem Zweck dem Bundesamt von den Ländern als zentrale Kontaktstellen benannten Behörden oder die zuständigen Behörden des Bundes über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen.
(4)
Zur Wahrnehmung seiner Aufgabe als zentrale Anlaufstelle hat das Bundesamt
1.
Anfragen der in Absatz 2 genannten Stellen anzunehmen und an die zuständigen in Absatz 2 genannten Stellen weiterzuleiten,
2.
Antworten auf die in Absatz 2 Satz 1 Nummer 2 genannten Anfragen zu erstellen und dabei die in Absatz 1 genannten Stellen zu beteiligen oder Antworten der in Absatz 2 Satz 1 genannten Stellen an die in Absatz 2 Satz 1 genannten Stellen weiterzuleiten, nach § 32 eingegangene Meldungen an zentrale Anlaufstellen der anderen betroffenen Mitgliedstaaten der Europäischen Union weiterzuleiten,
3.
wenn ein erheblicher Sicherheitsvorfall zwei oder mehr Mitgliedstaaten der Europäischen Union betrifft, die anderen betroffenen Mitgliedstaaten und die Agentur der Europäischen Union für Cybersicherheit über den erheblichen Sicherheitsvorfall zu unterrichten, wobei die Art der gemäß § 32 Absatz 2 erhaltenen Informationen mitzuteilen und das wirtschaftliche Interesse der Einrichtung sowie die Vertraulichkeit der bereitgestellten Informationen zu wahren ist.
(5)
Während eines erheblichen Sicherheitsvorfalls gemäß § 32 Absatz 1 kann das Bundesamt im Einvernehmen mit der jeweils zuständigen Aufsichtsbehörde des Bundes von den betroffenen Betreibern kritischer Anlagen die Herausgabe der zur Bewältigung der Störung notwendigen Informationen einschließlich personenbezogener Daten verlangen. Betreiber kritischer Anlagen sind befugt, dem Bundesamt auf Verlangen die zur Bewältigung der Störung notwendigen Informationen einschließlich personenbezogener Daten zu übermitteln, soweit dies zur Bewältigung eines erheblichen Sicherheitsvorfalls erforderlich ist.
1 Sollmaßnahme
N-BSIG40.001Informationsherausgabe während eines erheblichen Sicherheitsvorfalls
(6)
Soweit im Rahmen dieser Vorschrift personenbezogene Daten verarbeitet werden, ist eine über die vorstehenden Absätze hinausgehende Verarbeitung zu anderen Zwecken unzulässig. § 8 Absatz 8 Satz 3 bis 9 ist entsprechend anzuwenden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 41
§ 41

Untersagung des Einsatzes kritischer Komponenten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesministerium des Innern kann gegenüber dem Betreiber kritischer Anlagen den Einsatz von kritischen Komponenten eines Herstellers im Benehmen mit dem Bundesministerium für Wirtschaft und Energie im Sektor Energie, dem Bundesministerium für Wirtschaft und Energie sowie dem Bundesministerium für Forschung, Technologie und Raumfahrt im Sektor Weltraum, dem Bundesministerium für Digitales und Staatsmodernisierung in den Sektoren Informationstechnik und Telekommunikation, dem Bundesministerium für Verkehr in den Sektoren Transport und Verkehr, dem Bundesministerium für Gesundheit im Sektor Gesundheit, dem Bundesministerium für Ernährung und Landwirtschaft im Sektor Ernährung, dem Bundesministerium der Finanzen im Sektor Finanzwesen, dem Bundesministerium für Arbeit und Soziales in den Sektoren Sozialversicherungsträger sowie Grundsicherung für Arbeitsuchende und dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit in den Sektoren Wasser sowie Siedlungsabfallentsorgung sowie dem Auswärtigen Amt untersagen oder Anordnungen dazu erlassen, wenn der Einsatz die öffentliche Ordnung oder Sicherheit der Bundesrepublik Deutschland voraussichtlich beeinträchtigt.
(2)
Hat das Bundesministerium des Innern einem Betreiber kritischer Anlagen den Einsatz einer kritischen Komponente untersagt oder eine Anordnung dazu erlassen, kann es im Benehmen mit dem in Absatz 1 genannten Bundesministerium
1.
dem Betreiber kritischer Anlagen auch den zukünftigen Einsatz weiterer kritischer Komponenten desselben Herstellers und desselben Komponententyps untersagen oder Anordnungen dazu erlassen,
2.
allen Betreibern kritischer Anlagen den Einsatz derselben kritischen Komponente desselben Herstellers sowie von weiteren kritischen Komponenten desselben Komponententyps desselben Herstellers untersagen oder Anordnungen dazu erlassen.
(3)
Die Entscheidung nach Satz 1 Nummer 2 ergeht als Allgemeinverfügung. Widerspruch und Klage gegen eine Untersagung oder Anordnung nach den Absätzen 1 und 2 Satz 1 haben keine aufschiebende Wirkung.
(4)
Bei der Prüfung einer voraussichtlichen Beeinträchtigung der öffentlichen Ordnung oder Sicherheit nach Absatz 1 kann insbesondere berücksichtigt werden, ob
1.
der Hersteller unmittelbar oder mittelbar von der Regierung, einschließlich sonstiger staatlicher Stellen oder Streitkräfte, eines Drittstaates kontrolliert wird oder zur Zusammenarbeit mit staatlichen Stellen oder Streitkräften eines Drittstaates verpflichtet ist oder von dem Drittstaat hierzu verpflichtet werden kann,
2.
der Hersteller an Aktivitäten beteiligt war oder ist, die geeignet waren oder sind, nachteilige Auswirkungen auf die öffentliche Ordnung oder Sicherheit der Bundesrepublik Deutschland oder eines anderen Mitgliedstaates der Europäischen Union, der Europäischen Freihandelsassoziation oder des Nordatlantikvertrages oder auf deren Einrichtungen zu haben,
3.
hinreichende Anhaltspunkte dafür bestehen, dass der Hersteller aus sonstigen Gründen nicht vertrauenswürdig ist,
4.
der Einsatz der kritischen Komponente im Einklang mit den sicherheitspolitischen Interessen der Bundesrepublik Deutschland, der Europäischen Union oder des Nordatlantikvertrages steht.
(5)
Der Betreiber kritischer Anlagen ist zur Mitwirkung bei der Ermittlung des Sachverhalts verpflichtet. Dafür hat er auf Verlangen alle für das Verfahren erheblichen Tatsachen vollständig und wahrheitsgemäß mitzuteilen und die ihm bekannten Beweismittel anzugeben.
1 Sollmaßnahme
N-BSIG41.001Mitwirkung bei der Prüfung kritischer Komponenten
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 42
§ 42

Auskunftsverlangen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Zugang zu den Informationen und Akten in Angelegenheiten nach Teil 2 §§ 4 bis 10 und Teil 3 dieses Gesetzes wird nicht gewährt. Die Akteneinsichtsrechte von Verfahrensbeteiligten bleiben unberührt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 43
§ 43

Informationssicherheitsmanagement

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Die Leitung der Einrichtung der Bundesverwaltung ist dafür verantwortlich, unter Berücksichtigung der Belange des IT-Betriebs die Voraussetzungen zur Gewährleistung der Informationssicherheit zu schaffen. Die Einrichtungen der Bundesverwaltung weisen dem Bundesamt die Erfüllung der Anforderungen nach Satz 1 spätestens fünf Jahre nach Inkrafttreten dieses Gesetzes und anschließend regelmäßig nach seinen Vorgaben nach.
(2)
Die Leitung der Einrichtung der Bundesverwaltung muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Informationssicherheit zu erlangen sowie die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
(3)
Soweit öffentlich-rechtlich oder privatrechtlich organisierte Stellen mit Leistungen für Informationstechnik des Bundes beauftragt werden, ist vertraglich sicherzustellen, dass sie sich zur Einhaltung der Voraussetzungen zur Gewährleistung der Informationssicherheit verpflichten. Dies gilt auch für den Fall, dass Schnittstellen zur Kommunikationstechnik des Bundes eingerichtet werden. Die Pflichten der Leitung der Einrichtung der Bundesverwaltung nach Absatz 1 bleiben hiervon unberührt.
(4)
Die Registrierung von Einrichtungen der Bundesverwaltung nach § 33 obliegt der Leitung der Einrichtung der Bundesverwaltung.
(5)
Werden, über die sich aus § 32 ergebenden Meldepflichten hinaus, Einrichtungen der Bundesverwaltung Informationen nach § 4 Absatz 2 Nummer 1 bekannt, die für die Erfüllung von Aufgaben oder für die Sicherheit der Kommunikationstechnik des Bundes von Bedeutung sind, unterrichten die Einrichtungen der Bundesverwaltung das Bundesamt hierüber unverzüglich, soweit andere Vorschriften dem nicht entgegenstehen. Ausgenommen von den Meldepflichten für Einrichtungen der Bundesverwaltung nach § 32 sowie nach Satz 1 dieses Absatzes sind Informationen, die aufgrund von Regelungen zum Geheimschutz oder Vereinbarungen mit Dritten nicht weitergegeben werden dürfen oder deren Weitergabe im Widerspruch zu der verfassungsrechtlichen Stellung eines Abgeordneten des Bundestages oder eines Verfassungsorgans oder der gesetzlich geregelten Unabhängigkeit einzelner Stellen stünde. Die Einrichtungen der Bundesverwaltung melden dem Bundesamt kalenderjährlich jeweils bis zum 31. Januar eines Jahres die Gesamtzahl der nach Satz 2 nicht übermittelten Informationen. Ausgenommen von der Pflicht nach Satz 3 sind der Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz.
(6)
Das Bundesministerium des Innern erlässt im Einvernehmen mit den Ressorts allgemeine Verwaltungsvorschriften zur Durchführung des Absatzes 5.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 44
§ 44

Vorgaben des Bundesamtes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden Fassungen werden auf der Internetseite des Bundesamtes veröffentlicht. Die Mindeststandards legt das Bundesamt im Benehmen mit den Ressorts und weiteren obersten Bundesbehörden fest. Der IT-Grundschutz und die Mindeststandards werden durch das Bundesamt regelmäßig evaluiert und entsprechend dem Stand der Technik sowie unter Berücksichtigung der Erfahrungen aus der Praxis und aus der Beratung und Unterstützung nach Absatz 3 fortentwickelt; dabei wird der Umsetzungsaufwand soweit möglich minimiert. Das Bundesamt wird den IT-Grundschutz bis zum 1. Januar 2026 modernisieren und fortentwickeln. Für die Verpflichtung nach Satz 1 gelten die Ausnahmen nach § 7 Absatz 6 und 7 entsprechend.
(2)
Durch die Umsetzung der Mindestanforderungen nach Absatz 1 Satz 1 ist die Erfüllung der Vorgaben nach § 30 gewährleistet, soweit nicht die Europäische Kommission einen Durchführungsrechtsakt gemäß Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie erlässt, in dem die technischen und methodischen Anforderungen über die Mindestanforderungen aus Absatz 1 Satz 1 hinausgehen. Falls eine Einrichtung des Bundes gleichzeitig ein Betreiber kritischer Anlagen ist und die Anforderungen des IT-Grundschutzes und der Mindeststandards den Anforderungen nach § 30 Absatz 9 und § 31 widersprechen, genießen Letztere Vorrang.
(3)
Das Bundesamt berät die Einrichtungen der Bundesverwaltung auf Ersuchen bei der Umsetzung und Einhaltung der Mindestanforderungen nach Absatz 1 Satz 1, stellt Hilfsmittel zur Verfügung und unterstützt die Bereitstellung entsprechender Lösungen durch die IT-Dienstleister des Bundes über den gesamten Lebenszyklus.
(4)
Das Bundesamt stellt im Rahmen seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 10 technische Richtlinien und Referenzarchitekturen bereit, die von den Einrichtungen der Bundesverwaltung als Rahmen für die Entwicklung sachgerechter Anforderungen an Auftragnehmer – im Sinne einer Eignung – und IT-Produkte – im Sinne einer Spezifikation – für die Durchführung von Vergabeverfahren berücksichtigt werden. Die Vorschriften des Vergaberechts und des Geheimschutzes bleiben unberührt.
(5)
Für die Einrichtungen der Bundesverwaltung kann das Bundesministerium des Innern im Einvernehmen mit den anderen Ressorts festlegen, dass sie verpflichtet sind, nach § 19 bereitgestellte IT-Sicherheitsprodukte beim Bundesamt abzurufen. Eigenbeschaffungen der Einrichtungen der Bundesverwaltung sind in diesem Fall nur zulässig, wenn das spezifische Anforderungsprofil den Einsatz abweichender Produkte erfordert. Dies gilt nicht für die in § 2 Nummer 21 genannten Gerichte und Verfassungsorgane sowie die Auslandsinformations- und -kommunikationstechnik gemäß § 7 Absatz 6.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 45
§ 45

Informationssicherheitsbeauftragte der Einrichtungen der Bundesverwaltung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Jede Leitung einer Einrichtung der Bundesverwaltung bestellt für ihre Einrichtung eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten und bestimmt mindestens eine zur Vertretung berechtigte Person.
(2)
Für die Erfüllung ihrer Aufgaben ist eine zielgerichtete Befähigung der Informationssicherheitsbeauftragten der Einrichtungen der Bundesverwaltung notwendig. Die Informationssicherheitsbeauftragen der Einrichtungen sowie ihre Vertreter müssen die zur Erfüllung ihrer Aufgaben erforderliche Fachkunde erwerben. Sie sowie ihre Vertreter unterstehen der Fachaufsicht des oder der Informationssicherheitsbeauftragten des jeweils zuständigen Ressorts.
(3)
Die Informationssicherheitsbeauftragten der Einrichtungen der Bundesverwaltung sind für den Aufbau und die Aufrechterhaltung des Informationssicherheitsprozesses ihrer Einrichtung zuständig. Sie erstellen ein Informationssicherheitskonzept, das mindestens die Vorgaben des Bundesamtes nach § 44 Absatz 1 erfüllt. Sie wirken auf die operative Umsetzung des Informationssicherheitskonzepts hin und kontrollieren die Umsetzung innerhalb der Einrichtung. Die Informationssicherheitsbeauftragten beraten die Leitung der Einrichtung der Bundesverwaltung in allen Fragen der Informationssicherheit und unterrichten die Leitung der Einrichtung der Bundesverwaltung sowie den jeweils zuständigen Informationssicherheitsbeauftragten oder die jeweils zuständige Informationssicherheitsbeauftragte des Ressorts regelmäßig sowie anlassbezogen über ihre Tätigkeit, über den Stand der Informationssicherheit innerhalb der Einrichtung, über die Mittel- und Personalausstattung sowie über Sicherheitsvorfälle. Ihre Berichts- und Beratungsaufgaben erfüllen sie unabhängig und weisungsfrei.
(4)
Die Informationssicherheitsbeauftragten der Einrichtungen sind bei allen Maßnahmen zu beteiligen, die die Informationssicherheit der Einrichtung betreffen. Sie haben ein unmittelbares Vortragsrecht bei der jeweiligen Leitung ihrer Einrichtung sowie bei dem oder der Informationssicherheitsbeauftragten des jeweils zuständigen Ressorts. Sie dürfen von ihrer jeweiligen Einrichtung wegen der Erfüllung ihrer Aufgaben nicht abberufen oder benachteiligt werden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 46
§ 46

Informationssicherheitsbeauftragte der Ressorts

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Die Leitungen der einzelnen Ressorts sowie die Leitungen weiterer oberster Bundesbehörden bestellen jeweils eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten des Ressorts, der oder dem unter Berücksichtigung der Belange des IT-Betriebs die Steuerung und Überwachung des Informationssicherheitsmanagements innerhalb des Ressorts beziehungsweise innerhalb der obersten Bundesbehörde und ihres Geschäftsbereichs obliegt, und bestimmen mindestens eine zur Vertretung berechtigte Person. Der oder die Informationssicherheitsbeauftragte des Ressorts wirkt auf die Umsetzung der Informationssicherheit in seinem oder ihrem Ressort hin.
(2)
Für die Erfüllung ihrer Aufgaben ist eine zielgerichtete Befähigung der Informationssicherheitsbeauftragten der Ressorts notwendig. Der oder die Informationssicherheitsbeauftragte des Ressorts muss die zur Erfüllung seiner oder ihrer Aufgaben erforderliche Fachkunde erwerben.
(3)
Die Informationssicherheitsbeauftragten der Ressorts koordinieren jeweils die Fortschreibung von Informationssicherheitsleitlinien für ihr Ressort. Sie unterrichten die Ressortleitung über ihre Tätigkeit und über den Stand der Informationssicherheit innerhalb des Ressorts, über die Mittel- und Personalausstattung sowie über Sicherheitsvorfälle. Ihre Berichts- und Beratungsaufgaben erfüllen sie unabhängig und weisungsfrei.
(4)
In begründeten Einzelfällen kann der oder die Informationssicherheitsbeauftragte des Ressorts im Benehmen mit dem oder der jeweiligen IT-Beauftragten des Ressorts den Einsatz bestimmter IT-Produkte in Einrichtungen der Bundesverwaltung innerhalb des jeweiligen Ressorts ganz oder teilweise untersagen. Über eine Untersagung ist das Bundesamt zu unterrichten.
(5)
Der oder die Informationssicherheitsbeauftragte des Ressorts kann im Benehmen mit dem Bundesamt Einrichtungen der Bundesverwaltung innerhalb des Ressorts von Verpflichtungen nach diesem Teil teilweise oder insgesamt durch Erteilung eines Ausnahmebescheides befreien. Voraussetzung hierfür ist, dass sachliche Gründe für die Erteilung eines Ausnahmebescheids vorliegen und durch die Befreiung keine nachteiligen Auswirkungen für die Informationssicherheit des Bundes zu befürchten sind. Über erteilte Ausnahmebescheide ist das Bundesamt zu unterrichten. Satz 1 gilt nicht, wenn die jeweilige Einrichtung der Bundesverwaltung die Voraussetzungen des § 28 Absatz 1 Satz 1 oder § 28 Absatz 2 Satz 1 erfüllt.
(6)
Der oder die Informationssicherheitsbeauftragte des Ressorts ist bei allen Gesetzes-, Verordnungs- und sonstigen wichtigen Vorhaben innerhalb des Ressorts zu beteiligen, soweit die Vorhaben Fragen der Informationssicherheit berühren. Er oder sie hat ein unmittelbares Vortragsrecht bei der jeweiligen Leitung des Ressorts. Er oder sie darf von seiner oder ihrer jeweiligen Einrichtung wegen der Erfüllung seiner oder ihrer Aufgaben nicht abberufen oder benachteiligt werden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 47
§ 47

Wesentliche Digitalisierungsvorhaben und Kommunikationsinfrastrukturen des Bundes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Für die Planung und Umsetzung von wesentlichen Digitalisierungsvorhaben und Kommunikationsinfrastrukturen des Bundes sind eigene Informationssicherheitsbeauftragte nach § 45 zu bestellen.
(2)
Digitalisierungsvorhaben oder Kommunikationsinfrastrukturen des Bundes sind insbesondere dann wesentlich, wenn dabei Kommunikationstechnik des Bundes ressortübergreifend betrieben wird oder der ressortübergreifenden Kommunikation oder dem ressortübergreifenden Datenaustausch dient.
(3)
In der Regel bestellt diejenige Einrichtung den Informationssicherheitsbeauftragten nach Satz 1, die für die Steuerung des Digitalisierungsvorhabens oder die Kommunikationsinfrastrukturen des Bundes verantwortlich ist. Wenn bei ressortübergreifenden Digitalisierungsvorhaben oder Kommunikationsinfrastrukturen eine Bestellung durch Einrichtungen in verschiedenen beteiligten Ressorts und weiteren obersten Bundesbehörden in Betracht kommt und nicht innerhalb einer angemessenen Frist Einvernehmen darüber hergestellt werden kann, durch welche Einrichtung die Bestellung erfolgt, so entscheidet das Bundesministerium für Digitales und Staatsmodernisierung.
(4)
Die Informationssicherheitsbeauftragten nach Satz 1 unterstehen entweder der Leitung der Einrichtung oder dem oder der jeweils zuständigen Informationssicherheitsbeauftragten des Ressorts.
(5)
Zur Gewährleistung der Informationssicherheit bei der Planung und Umsetzung von wesentlichen Digitalisierungsvorhaben soll die jeweils verantwortliche Einrichtung das Bundesamt frühzeitig beteiligen und dem Bundesamt Gelegenheit zur Stellungnahme geben.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 48
§ 48

Amt des Koordinators für Informationssicherheit

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Die Leitung des Bundesamtes für Sicherheit in der Informationstechnik nimmt die Aufgaben der Koordinatorin oder des Koordinators der Bundesregierung für Informationssicherheit wahr. Die Fachaufsicht über das Bundesamt in Bezug auf seine Rolle als Koordinatorin oder Koordinator für Informationssicherheit liegt beim Bundesministerium für Digitales und Staatsmodernisierung.
(2)
Die Koordinatorin oder der Koordinator koordiniert das operative Informationssicherheitsmanagement des Bundes. Im Benehmen mit den obersten Bundesbehörden entwickelt sie oder er Programme zur Gewährleistung der Informationssicherheit des Bundes und schreibt diese fort.
(3)
Auf Basis der durch das Bundesamt erhaltenen Informationen wahrt die Koordinatorin oder der Koordinator den Überblick über den Stand der Informationssicherheit in der Bundesverwaltung. Auf dieser Grundlage beaufsichtigt sie oder er die Umsetzung der Programme zur Gewährleistung der Informationssicherheit des Bundes.
(4)
Die Koordinatorin oder der Koordinator unterstützt die Ressorts bei der Umsetzung der Vorgaben nach diesem Gesetz und wirkt gemeinsam mit dem Bundesministerium für Digitales und Staatsmodernisierung im Benehmen mit dem Bundesministerium des Innern auf ein angemessenes Verhältnis zwischen dem Einsatz von Informationstechnik und Informationssicherheit hin.
(5)
Zur Wahrnehmung ihrer oder seiner Aufgaben hat die Koordinatorin oder der Koordinator ein direktes halbjährliches Vortragsrecht vor den zuständigen Ausschüssen des Deutschen Bundestages zu den in den Absätzen 1 bis 3 benannten Themen.
(6)
Die Koordinatorin oder der Koordinator wird bei allen Gesetzes-, Verordnungs- und sonstigen wichtigen Vorhaben beteiligt, soweit sie Fragen der Informationssicherheit berühren.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 49
§ 49

Pflicht zum Führen einer Datenbank

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Um einen Beitrag zur Sicherheit, Stabilität und Resilienz des Domain Name Systems zu leisten, haben Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister genaue und vollständige Domain-Namen-Registrierungsdaten in einer eigenen Datenbank mit der gebotenen Sorgfalt zu sammeln und zu pflegen.
1 Sollmaßnahme
N-BSIG49.001Datenbank der Domain-Namen-Registrierungsdaten
(2)
Die Datenbank hat die erforderlichen Angaben zu enthalten, anhand derer die Inhaber der Domain-Namen und die Kontaktstellen, die die Domain-Namen im Rahmen der TLD verwalten, identifiziert und kontaktiert werden können. Diese Angaben müssen Folgendes umfassen:
1.
den Domain-Namen;
2.
das Datum der Registrierung;
3.
den Namen des Domain-Inhabers, seine E-Mail-Adresse und Telefonnummer;
4.
die Kontakt-E-Mail-Adresse und die Telefonnummer der Anlaufstelle, die den Domain-Namen verwaltet, falls diese sich von denen des Domain-Inhabers unterscheiden.
1 Sollmaßnahme
N-BSIG49.002Pflichtangaben der Registrierungsdatenbank
(3)
Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister haben Vorgaben und Verfahren, einschließlich Überprüfungsverfahren, vorzuhalten, mit denen sichergestellt wird, dass die Datenbank genaue und vollständige Angaben enthält. Sie haben diese Vorgaben und Verfahren bis zum 6. März 2026 öffentlich zugänglich zu machen.
1 Sollmaßnahme
N-BSIG49.003Verfahren zur Datenqualität der Registrierungsdaten
(4)
Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister haben unverzüglich nach der Registrierung eines Domain-Namens die nicht personenbezogenen Domain-Namen-Registrierungsdaten öffentlich zugänglich zu machen.
1 Sollmaßnahme
N-BSIG49.004Veröffentlichung nicht personenbezogener Registrierungsdaten
(5)
Das Bundesamt kann die Erfüllung der Vorgaben überprüfen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 50
§ 50

Verpflichtung zur Zugangsgewährung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister haben einem berechtigten Zugangsnachfrager auf begründeten Antrag unter Darlegung eines berechtigten Interesses und soweit dies für die Erfüllung seiner Aufgaben erforderlich ist unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Eingang des Antrags Zugang zu den Domain-Namen-Registrierungsdaten zu gewähren. Liegen die angefragten Informationen nicht vor, so ist dies innerhalb von 24 Stunden nach Eingang des Antrags auf Zugang mitzuteilen.
1 Sollmaßnahme
N-BSIG50.002Zugangsgewährung binnen 72 Stunden
(2)
Die Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister haben die Vorgaben und Verfahren im Hinblick auf die Offenlegung der Domain-Namen-Registrierungsdaten bis zum 6. März 2026 öffentlich zugänglich zu machen.
1 Sollmaßnahme
N-BSIG50.001Offenlegungsverfahren für Registrierungsdaten
(3)
Das Auskunftsverfahren bei Bestandsdaten gemäß § 22 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes bleibt unberührt.
(4)
Das Bundesamt kann die Erfüllung der Vorgaben überprüfen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 51
§ 51

Kooperationspflicht

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister sind zur Kooperation verpflichtet, um die in den §§ 49 und 50 festgelegten Verpflichtungen zu erfüllen und insbesondere eine doppelte Erhebung von Domain-Namen-Registrierungsdaten vom Domaininhaber auszuschließen.
1 Sollmaßnahme
N-BSIG51.001Kooperation zwischen Registry und Registrar
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 52
§ 52

Zertifizierung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt ist nationale Zertifizierungsstelle der Bundesverwaltung für IT-Sicherheit.
(2)
Für bestimmte Produkte oder Leistungen kann beim Bundesamt eine Sicherheits- oder Personenzertifizierung oder eine Zertifizierung als IT-Sicherheitsdienstleister beantragt werden. Die Anträge werden in der zeitlichen Reihenfolge ihres Eingangs bearbeitet; hiervon kann abgewichen werden, wenn das Bundesamt wegen der Anzahl und des Umfangs anhängiger Prüfungsverfahren eine Prüfung in angemessener Zeit nicht durchführen kann und an der Erteilung eines Zertifikats ein öffentliches Interesse besteht. Der Antragsteller hat dem Bundesamt diejenigen Unterlagen vorzulegen und die Auskünfte zu erteilen, deren Kenntnis für die Prüfung und Bewertung der Produkte und Leistungen oder der Eignung der Person sowie für die Erteilung des Zertifikats erforderlich ist. Ein Zertifikat nach Satz 1 darf nur dann für ein Produkt, eine Leistung, eine Person oder einen IT-Sicherheitsdienstleister verwendet werden, wenn das Bundesamt ein entsprechendes Zertifikat erteilt hat und dieses nicht aufgehoben wurde oder auf andere Weise ungültig geworden ist.
2 Sollmaßnahmen
N-BSIG52.001Prüfung einer BSI-Zertifizierung
N-BSIG52.002Verwendung von BSI-Zertifikaten nur bei Gültigkeit
(3)
Die Prüfung und die Bewertung können durch vom Bundesamt nach Absatz 7 anerkannte sachverständige Stellen erfolgen.
(4)
Das Sicherheitszertifikat wird erteilt, wenn
1.
die informationstechnischen Systeme, Komponenten, Produkte oder Schutzprofile den vom Bundesamt festgelegten Kriterien entsprechen und
2.
das Bundesministerium des Innern die Erteilung des Zertifikats nicht nach Absatz 5 untersagt hat.
Vor Erteilung des Sicherheitszertifikats legt das Bundesamt den Vorgang dem Bundesministerium des Innern zur Prüfung nach Absatz 5 vor.
(5)
Das Bundesministerium des Innern kann die Erteilung eines Zertifikats nach Absatz 4 im Einzelfall untersagen, wenn überwiegende öffentliche Interessen, insbesondere sicherheitspolitische Belange der Bundesrepublik Deutschland, der Erteilung entgegenstehen.
(6)
Für die Zertifizierung von Personen und IT-Sicherheitsdienstleistern gilt Absatz 4 entsprechend.
(7)
Eine Stelle wird als sachverständig im Sinne des Absatz 3 anerkannt, wenn
1.
die sachliche und personelle Ausstattung sowie die fachliche Qualifikation und Zuverlässigkeit der Konformitätsbewertungsstelle den vom Bundesamt festgelegten Kriterien entsprechen und
2.
das Bundesministerium des Innern festgestellt hat, dass überwiegende öffentliche Interessen, insbesondere sicherheitspolitische Belange der Bundesrepublik Deutschland, der Erteilung nicht entgegenstehen.
Das Bundesamt stellt durch die notwendigen Maßnahmen sicher, dass das Fortbestehen der Voraussetzungen nach Satz 1 regelmäßig überprüft wird.
(8)
Sicherheitszertifikate anderer anerkannter Zertifizierungsstellen aus dem Bereich der Europäischen Union werden vom Bundesamt anerkannt, sofern sie eine den Sicherheitszertifikaten des Bundesamtes gleichwertige Sicherheit ausweisen und die Gleichwertigkeit vom Bundesamt festgestellt worden ist.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 53
§ 53

Konformitätsbewertung und Konformitätserklärung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt kann für die vom Bundesamt in einer Technischen Richtlinie festgelegten Anforderungen und Vorgaben zulassen, dass ein Hersteller oder Anbieter von IKT-Produkten, IKT-Diensten und IKT-Prozessen, die keine Verbraucherprodukte nach § 55 sind, sowie eine Person oder ein IT-Sicherheitsdienstleister eine Selbstbewertung seiner oder ihrer Konformität vornimmt. Der Hersteller oder Anbieter von IKT-Produkten, IKT-Diensten und IKT-Prozessen, die Person oder der IT-Sicherheitsdienstleister kann unter den Voraussetzungen von Satz 1 eine Konformitätserklärung ausstellen, die bestätigt, dass er oder sie die in der Technischen Richtlinie festgelegten Anforderungen erfüllt. Durch die Ausstellung der Konformitätserklärung übernimmt der Hersteller oder Anbieter der IKT-Produkte, IKT-Dienste und IKT-Prozesse, die Person oder der IT-Sicherheitsdienstleister (Aussteller) die Verantwortung dafür, dass das IKT-Produkt, der IKT-Dienst, der IKT-Prozess, die Person oder die IT-Sicherheitsdienstleistung den in der Technischen Richtlinie festgelegten Anforderungen entspricht. Eine Erklärung nach Satz 3 darf nur dann für ein IKT-Produkt, einen IKT-Dienst und IKT-Prozess, eine Person oder einen IT-Sicherheitsdienstleister verwendet werden, wenn der Hersteller, der Anbieter, die Person oder der IT-Sicherheitsdienstleisters diese ausgestellt hat und sie weder widerrufen noch nach Absatz 5 Nummer 3 für ungültig erklärt wurde.
2 Sollmaßnahmen
N-BSIG53.001Prüfung der Selbstbewertung mit Konformitätserklärung
N-BSIG53.002Verwendung von Konformitätserklärungen nur bei Gültigkeit
(2)
Die Technische Richtlinie nach Absatz 1 kann insbesondere Vorgaben enthalten über
1.
den Inhalt und das Format der Konformitätserklärung,
2.
Nachweise und Verfahren, die die Angaben der Konformitätserklärung belegen,
3.
die Bedingungen für die Aufrechterhaltung, Fortführung und Verlängerung der Konformitätserklärung,
4.
die Verwendung eines vom Bundesamt bereitgestellten Kennzeichens und Siegels sowie die Bedingungen für deren Verwendung,
5.
die Meldung und Behandlung erkannter Schwachstellen des IKT-Produktes, IKT-Dienstes oder IKT-Prozesses oder der IT-Sicherheitsdienstleistung,
6.
die Bereitstellung von Informationen auf der Internetseite des Bundesamtes über die Konformitätserklärung, dessen Aussteller und das IKT-Produkt, den -Dienst, den -Prozess, die Person oder die IT-Sicherheitsdienstleistung oder
7.
die Befristung der Geltungsdauer der Konformitätserklärung.
(3)
Wird in den Vorgaben nach Absatz 2 festgelegt, dass die Angaben der Konformitätserklärung nur durch eine akkreditierte Konformitätsbewertungsstelle nachgewiesen werden können, so kann das Bundesamt auf Antrag Konformitätsbewertungsstellen, die beabsichtigen, im Anwendungsbereich dieses Paragraphen tätig zu werden, eine Befugnis erteilen, wenn die maßgeblichen Voraussetzungen der Technischen Richtlinie erfüllt sind. Ohne eine Befugniserteilung durch das Bundesamt dürfen Konformitätsbewertungsstellen im Anwendungsbereich dieses Paragraphen nicht tätig werden.
(4)
Der Aussteller hält die Konformitätserklärung, die technische Dokumentation und alle weiteren einschlägigen Informationen in Bezug auf die Konformität der IKT-Produkte, IKT-Dienste und IKT-Prozesse, der Person oder der IT-Sicherheitsdienstleistung mit den festgelegten Kriterien während eines Zeitraums, der vom Bundesamt in der Technischen Richtlinie nach Absatz 1 festgelegt wurde, für das Bundesamt bereit. Eine Kopie der Konformitätserklärung ist dem Bundesamt vorzulegen.
1 Sollmaßnahme
N-BSIG53.003Bereithaltung der Konformitätsunterlagen
(5)
Das Bundesamt kann geeignete Maßnahmen ergreifen, um sicherzustellen, dass die Aussteller von Konformitätserklärungen den Anforderungen des Schemas und den Vorgaben dieses Paragraphen genügen und insbesondere
1.
Aussteller von Konformitätserklärungen auffordern, ihm sämtliche Auskünfte zu erteilen, die es für die Erfüllung seiner Aufgaben benötigt,
2.
Untersuchungen in Form von Testkäufen oder Audits bei den Ausstellern von Konformitätserklärungen durchführen, um deren Einhaltung der in der Technischen Richtlinie festgelegten Anforderungen und Vorgaben nach Absatz 1 zu überprüfen und
3.
Konformitätserklärungen nach Absatz 1 für ungültig erklären.
1 Sollmaßnahme
N-BSIG53.004Mitwirkung bei der Aufsicht über Konformitätserklärungen
(6)
Für Maßnahmen nach Absatz 4 kann das Bundesamt Gebühren erheben, sofern es aufgrund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen der Technischen Richtlinie oder dieses Paragraphen begründeten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 54
§ 54

Nationale Behörde für die Cybersicherheitszertifizierung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt ist die nationale Behörde für die Cybersicherheitszertifizierung nach Artikel 58 Absatz 1 der Verordnung (EU) 2019/881.
(2)
Das Bundesamt kann auf Antrag Konformitätsbewertungsstellen, die im Anwendungsbereich der Verordnung (EU) 2019/881 sowie des § 52 dieses Gesetzes tätig werden, eine Befugnis erteilen, als solche tätig zu werden, wenn die Voraussetzungen des maßgeblichen europäischen Schemas für die Cybersicherheitszertifizierung nach Artikel 54 der Verordnung (EU) 2019/881 oder des § 52 dieses Gesetzes erfüllt sind. Ohne eine Befugniserteilung durch das Bundesamt dürfen Konformitätsbewertungsstellen im Anwendungsbereich der Verordnung (EU) 2019/881 nicht tätig werden.
(3)
Soweit dies zur Erfüllung seiner Aufgaben nach Artikel 58 Absatz 7 der Verordnung (EU) 2019/881 und nach § 52 dieses Gesetzes erforderlich ist, kann das Bundesamt von Konformitätsbewertungsstellen, denen eine Befugnis nach Absatz 2 erteilt wurde, von Inhabern europäischer Cybersicherheitszertifikate und von Ausstellern von EU-Konformitätserklärungen im Sinne von Artikel 56 Absatz 8 der Verordnung (EU) 2019/881 die erforderlichen Auskünfte und sonstige Unterstützung, insbesondere die Vorlage von Unterlagen oder Mustern, verlangen. § 3 Absatz 1 Satz 1 und 3 des Akkreditierungsstellengesetzes gilt entsprechend.
1 Sollmaßnahme
N-BSIG54.001Auskunft und Unterstützung der Zertifizierungsbehörde
(4)
Das Bundesamt kann Untersuchungen in Form von Auditierungen nach Artikel 58 Absatz 8 Buchstabe b der Verordnung (EU) 2019/881 bei Konformitätsbewertungsstellen, denen eine Befugnis nach Absatz 2 erteilt wurde, bei Inhabern europäischer Cybersicherheitszertifikate und bei Ausstellern von EU-Konformitätserklärungen im Sinne von Artikel 56 Absatz 8 der Verordnung (EU) 2019/881 durchführen, um die Einhaltung der Bestimmungen des Titels III der Verordnung (EU) 2019/881 zu überprüfen. § 3 Absatz 1 Satz 1 bis 3 des Akkreditierungsstellengesetzes gilt entsprechend.
1 Sollmaßnahme
N-BSIG54.002Duldung von Auditierungen der Zertifizierungsbehörde
(5)
Das Bundesamt ist befugt, Betriebsstätten, Geschäfts- und Betriebsräume von Konformitätsbewertungsstellen, denen eine Befugnis nach Absatz 2 erteilt wurde, und von Inhabern europäischer Cybersicherheitszertifikate im Sinne von Artikel 56 Absatz 8 der Verordnung (EU) 2019/881 in den Zeiten, zu denen die Räume normalerweise für die jeweilige geschäftliche oder betriebliche Nutzung zur Verfügung stehen, zu betreten, zu besichtigen und dort befindliche Unterlagen und Muster zu prüfen, soweit dies zur Erfüllung seiner Aufgaben nach Artikel 58 Absatz 7 der Verordnung (EU) 2019/881 sowie nach diesem Paragraphen erforderlich ist. § 3 Absatz 1 Satz 1 bis 3 des Akkreditierungsstellengesetzes gilt entsprechend.
1 Sollmaßnahme
N-BSIG54.003Betretens- und Prüfrechte der Zertifizierungsbehörde gestatten
(6)
Das Bundesamt kann von ihm ausgestellte Cybersicherheitszertifikate oder durch eine Konformitätsbewertungsstelle, der eine Befugnis nach Absatz 2 erteilt wurde, nach Artikel 56 Absatz 6 der Verordnung (EU) 2019/881 ausgestellte Cybersicherheitszertifikate widerrufen oder EU-Konformitätserklärungen im Sinne der Verordnung (EU) 2019/881 für ungültig erklären,
1.
sofern diese Zertifikate oder EU-Konformitätserklärungen die Anforderungen nach der Verordnung (EU) 2019/881 oder eines europäischen Schemas für die Cybersicherheitszertifizierung nach Artikel 54 der Verordnung (EU) 2019/881 nicht erfüllen oder
2.
wenn das Bundesamt die Erfüllung nach Nummer 1 nicht feststellen kann, weil der Inhaber des europäischen Cybersicherheitszertifikats oder der Aussteller der EU-Konformitätserklärung seinen Mitwirkungspflichten nach Absatz 3 nicht nachgekommen ist oder weil er das Bundesamt bei der Wahrnehmung seiner Befugnisse nach Absatz 4 oder im Falle eines Inhabers eines europäischen Cybersicherheitszertifikats auch nach Absatz 5 behindert hat.
Widerrufene Cybersicherheitszertifikate oder für ungültig erklärte EU-Konformitätserklärungen nach Satz 1 dürfen nicht verwendet werden.
1 Sollmaßnahme
N-BSIG54.004Keine Verwendung widerrufener Zertifikate und Erklärungen
(7)
Das Bundesamt kann von ihm erteilte Befugnisse nach Absatz 2 widerrufen,
1.
sofern die Voraussetzungen des maßgeblichen europäischen Schemas für die Cybersicherheitszertifizierung nach Artikel 54 Verordnung (EU) 2019/881 oder des § 52 dieses Gesetzes nicht erfüllt sind oder
2.
wenn das Bundesamt die Erfüllung dieser Voraussetzungen nicht feststellen kann, weil die Konformitätsbewertungsstelle ihren Mitwirkungspflichten nach Absatz 3 nicht nachgekommen ist oder weil sie das Bundesamt bei der Wahrnehmung seiner Befugnisse nach den Absätzen 4 und 5 behindert hat.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 55
§ 55

Freiwilliges IT-Sicherheitskennzeichen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt führt zur Information von Verbrauchern über die IT-Sicherheit von Produkten bestimmter vom Bundesamt festgelegter Produktkategorien ein einheitliches IT-Sicherheitskennzeichen ein. Das IT-Sicherheitskennzeichen trifft keine Aussage über die den Datenschutz betreffenden Eigenschaften eines Produktes.
(2)
Das IT-Sicherheitskennzeichen besteht aus
1.
einer Zusicherung des Herstellers oder Diensteanbieters, dass das Produkt für eine festgelegte Dauer bestimmte IT-Sicherheitsanforderungen erfüllt (Herstellererklärung), und
2.
einer Information des Bundesamtes über sicherheitsrelevante IT-Eigenschaften des Produktes (Sicherheitsinformation).
(3)
Die IT-Sicherheitsanforderungen, auf die sich die Herstellererklärung bezieht, ergeben sich aus einer Norm oder einem Standard oder aus einer branchenabgestimmten IT-Sicherheitsvorgabe, die die jeweilige Produktkategorie umfasst, sofern das Bundesamt in einem Verfahren, das durch Rechtsverordnung nach § 56 Absatz 2 geregelt wird, festgestellt hat, dass die Norm oder der Standard oder die branchenabgestimmte IT-Sicherheitsvorgabe geeignet ist, ausreichende IT-Sicherheitsanforderungen für die Produktkategorie abzubilden. Ein Anspruch auf diese Feststellung besteht nicht. Liegt keine Feststellung nach Satz 1 vor, ergeben sich die IT-Sicherheitsvorgaben aus einer vom Bundesamt veröffentlichten Technischen Richtlinie, die die jeweilige Produktkategorie umfasst, sofern das Bundesamt eine solche Richtlinie bereits veröffentlicht hat. Wird ein Produkt von mehr als einer oder einem bestehenden, als geeignet festgestellten Norm, Standard, branchenabgestimmten IT-Sicherheitsvorgabe oder Technischen Richtlinie umfasst, richten sich die Anforderungen nach der oder dem jeweils spezielleren bestehenden, als geeignet festgestellten Norm, Standard, branchenabgestimmten IT-Sicherheitsvorgabe oder Technischen Richtlinie.
(4)
Das IT-Sicherheitskennzeichen darf nur dann für ein Produkt verwendet werden, wenn das Bundesamt das IT-Sicherheitskennzeichen für dieses Produkt freigegeben hat. Das Bundesamt prüft die Freigabe des IT-Sicherheitskennzeichens für ein Produkt auf Antrag des Herstellers oder Diensteanbieters. Dem Antrag sind die Herstellererklärung zu dem Produkt sowie alle Unterlagen beizufügen, die die Angaben in der Herstellererklärung belegen. Das Bundesamt bestätigt den Eingang des Antrags und prüft die Plausibilität der Herstellererklärung anhand der beigefügten Unterlagen. Die Plausibilitätsprüfung kann auch durch einen vom Bundesamt beauftragten qualifizierten Dritten erfolgen. Für die Antragsbearbeitung kann das Bundesamt eine Verwaltungsgebühr erheben.
2 Sollmaßnahmen
N-BSIG55.001Prüfung des IT-Sicherheitskennzeichens
N-BSIG55.002Verwendung des IT-Sicherheitskennzeichens nur nach Freigabe
(5)
Das Bundesamt erteilt die Freigabe des IT-Sicherheitskennzeichens für das jeweilige Produkt, wenn
1.
das Produkt zu einer der Produktkategorien gehört, die das Bundesamt durch im Bundesanzeiger veröffentlichte Allgemeinverfügung bekannt gegeben hat,
2.
die Herstellererklärung plausibel und durch die beigefügten Unterlagen ausreichend belegt ist und
3.
die gegebenenfalls erhobene Verwaltungsgebühr beglichen wurde.
Die Erteilung der Freigabe erfolgt schriftlich und innerhalb einer angemessenen Frist, die in der Rechtsverordnung nach § 56 Absatz 2 bestimmt wird. Den genauen Ablauf des Antragsverfahrens und die beizufügenden Unterlagen regelt die Rechtsverordnung nach § 56 Absatz 2.
(6)
Hat das Bundesamt die Freigabe erteilt, ist das Etikett des IT-Sicherheitskennzeichens auf dem jeweiligen Produkt oder auf dessen Umverpackung anzubringen, sofern dies nach der Beschaffenheit des Produktes möglich ist. Das IT-Sicherheitskennzeichen kann auch elektronisch veröffentlicht werden. Wenn nach der Beschaffenheit des Produktes das Anbringen nicht möglich ist, muss die Veröffentlichung des IT-Sicherheitskennzeichens elektronisch erfolgen. Das Etikett des IT-Sicherheitskennzeichens verweist auf eine Internetseite des Bundesamtes, auf der die Herstellererklärung und die Sicherheitsinformationen abrufbar sind. Das genaue Verfahren und die Gestaltung des Verweises sind in der Rechtsverordnung nach § 56 Absatz 2 festzulegen.
1 Sollmaßnahme
N-BSIG55.003Anbringung und Veröffentlichung des IT-Sicherheitskennzeichens
(7)
Nach Ablauf der festgelegten Dauer, für die der Hersteller oder Diensteanbieter die Erfüllung der IT-Sicherheitsanforderungen zusichert, oder nach Rücknahmeerklärung des Herstellers oder Diensteanbieters gegenüber dem Bundesamt erlischt die Freigabe. Das Bundesamt nimmt einen Hinweis auf das Erlöschen der Freigabe in die Sicherheitsinformation auf.
(8)
Das Bundesamt kann prüfen, ob die Anforderungen an die Freigabe des IT-Sicherheitskennzeichens für ein Produkt eingehalten werden. Werden bei der Prüfung Abweichungen von der abgegebenen Herstellererklärung oder Schwachstellen festgestellt, kann das Bundesamt die geeigneten Maßnahmen zum Schutz des Vertrauens der Verbraucher in das IT-Sicherheitskennzeichen treffen, insbesondere
1.
Informationen über die Abweichungen oder Schwachstellen in geeigneter Weise in der Sicherheitsinformation veröffentlichen oder
2.
die Freigabe des IT-Sicherheitskennzeichens widerrufen.
Absatz 7 Satz 2 gilt entsprechend.
(9)
Bevor das Bundesamt eine Maßnahme nach Absatz 8 trifft, räumt es dem Hersteller oder Diensteanbieter die Gelegenheit ein, die festgestellten Abweichungen oder Schwachstellen innerhalb eines angemessenen Zeitraumes zu beseitigen, es sei denn, gewichtige Gründe der Sicherheit der Produkte erfordern eine sofortige Maßnahme. Die Befugnis des Bundesamtes zur Warnung nach § 13 bleibt davon unberührt.
1 Sollmaßnahme
N-BSIG55.004Einhaltung der Zusicherung und Nachbesserung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 56
§ 56

Ermächtigung zum Erlass von Rechtsverordnungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesministerium des Innern bestimmt nach Anhörung der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, das Nähere über das Verfahren der Erteilung von Sicherheitszertifikaten und Anerkennungen nach § 52 und deren Inhalt.
(2)
Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, nach Anhörung der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie und dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit die Einzelheiten der Gestaltung, des Inhalts und der Verwendung des IT-Sicherheitskennzeichens nach § 55, um eine einheitliche Gestaltung des Kennzeichens und eine eindeutige Erkennbarkeit der gekennzeichneten informationstechnischen Produkte zu gewährleisten, sowie die Einzelheiten des Verfahrens zur Feststellung der Eignung branchenabgestimmter IT-Sicherheitsvorgaben und des Antragsverfahrens auf Freigabe einschließlich der diesbezüglichen Fristen und der beizufügenden Unterlagen sowie das Verfahren und die Gestaltung des Verweises auf Sicherheitsinformationen.
(3)
Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie, dem Bundesministerium der Finanzen, dem Bundesministerium der Justiz und für Verbraucherschutz, dem Bundesministerium für Arbeit und Soziales, dem Bundesministerium der Verteidigung, dem Bundesministerium für Landwirtschaft, Ernährung und Heimat, dem Bundesministerium für Gesundheit, dem Bundesministerium für Verkehr, dem Bundesministerium für Forschung, Technologie und Raumfahrt, dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit und dem Bundesministerium für Digitales und Staatsmodernisierung welche durch eine besonders wichtige Einrichtung oder eine wichtige Einrichtung eingesetzten Produkte, Dienste oder Prozesse gemäß § 30 Absatz 6 über eine Cybersicherheitszertifizierung verfügen müssen, da sie für die Erbringung der Dienste der Einrichtung maßgeblich sind und Art und Ausmaß der Risikoexposition der Einrichtung einen verpflichtenden Einsatz von zertifizierten Produkten, Diensten oder Prozessen in diesem Bereich erforderlich machen.
(4)
Das Bundesministerium des Innern kann im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie und im Benehmen mit dem Bundesministerium der Justiz und für Verbraucherschutz, dem Bundesministerium der Finanzen, dem Bundesministerium für Arbeit und Soziales, dem Bundesministerium für Landwirtschaft, Ernährung und Heimat, dem Bundesministerium für Gesundheit, dem Bundesministerium für Verkehr, dem Bundesministerium der Verteidigung, dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit, dem Bundesministerium für Forschung, Technologie und Raumfahrt und dem Bundesministerium für Digitales und Staatsmodernisierung durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, bestimmen, wann ein Sicherheitsvorfall im Hinblick auf seine technischen oder organisatorischen Ursachen oder im Hinblick auf seine Auswirkungen auf die Einrichtung, den Staat, die Wirtschaft oder die Anzahl der von den Auswirkungen Betroffenen als erheblich im Sinne von § 2 Nummer 11 anzusehen ist. Das Bundesministerium kann diese Ermächtigung durch Rechtsverordnung auf das Bundesamt übertragen. Etwaige Durchführungsrechtsakte der Europäischen Kommission gemäß Artikel 23 Absatz 11 Unterabsatz 2 der NIS-2-Richtlinie, die die Voraussetzungen eines erheblichen Sicherheitsvorfalls bestimmen, gehen der Rechtsverordnung nach den Sätzen 1 und 2 insoweit vor.
(5)
Das Bundesministerium des Innern kann durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, im Einvernehmen mit dem Bundesministerium für Gesundheit bestimmen, dass das Bundesamt gegenüber zugelassenen Krankenhäusern nach § 108 des Fünften Buches Sozialgesetzbuch zu einem früheren als dem in § 61 Absatz 3 Satz 5 genannten Zeitpunkt die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in § 61 Absatz 1 genannten Verpflichtungen anordnen kann.
(6)
Das Bundesministerium des Innern kann durch Rechtsverordnungen, die nicht der Zustimmung des Bundesrates bedürfen, für jeweils einen der in § 2 Nummer 24 aufgeführten Sektoren im Einvernehmen mit dem in § 41 Absatz 1 für den jeweiligen Sektor genannten Bundesministerium kritische Komponenten im Sinne des § 2 Nummer 23 bestimmen. In der Rechtsverordnung kann eine Komponente als kritische Komponente bestimmt werden, wenn
1.
es sich bei der Komponente um ein IKT-Produkt handelt,
2.
die Komponente in kritischen Anlagen eingesetzt wird,
3.
die Komponente eine kritische Funktion realisiert und
4.
eine Störung der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der Komponente zu einer Beeinträchtigung der Funktionsfähigkeit kritischer Anlagen oder zu anderen Beeinträchtigungen der öffentlichen Ordnung oder Sicherheit führen könnte.
(7)
Die in § 41 Absatz 1 genannten Bundesministerien können dem Bundesministerium des Innern einen Vorschlag für den Erlass einer Rechtsverordnung im Sinne des Absatzes 7 vorlegen. Das Vorschlagsrecht betrifft nur den Sektor im Sinne des § 2 Nummer 24, für den das jeweilige Bundesministerium in § 41 Absatz 1 genannt wird.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 57
§ 57

Einschränkung von Grundrechten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Das Fernmeldegeheimnis (Artikel 10 des Grundgesetzes) wird durch die §§ 7, 8, 9, 11, 12, 15 und 16 eingeschränkt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 58
§ 58

Berichtspflichten des Bundesamtes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt unterrichtet das Bundesministerium des Innern über seine Tätigkeit.
(2)
Die Unterrichtung nach Absatz 1 dient auch der Aufklärung der Öffentlichkeit durch das Bundesministerium des Innern über Gefahren für die Sicherheit in der Informationstechnik, die mindestens einmal jährlich in einem zusammenfassenden Bericht erfolgt. § 13 Absatz 2 ist entsprechend anzuwenden.
(3)
Das Bundesministerium des Innern unterrichtet kalenderjährlich jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres den Innenausschuss des Deutschen Bundestages über die Anwendung dieses Gesetzes. Es geht dabei auch auf die Fortentwicklung des maßgeblichen Unionsrechts ein.
(4)
Das Bundesamt legt der Agentur der Europäischen Union für Cybersicherheit jeweils zum 18. Januar, 18. April, 18. Juli und zum 18. Oktober eines jeden Jahres einen zusammenfassenden Bericht vor, der anonymisierte und aggregierte Daten zu erheblichen Sicherheitsvorfällen, erheblichen Cyberbedrohungen und Beinahevorfällen enthält, die gemäß § 32 und § 5 Absatz 2 gemeldet wurden.
(5)
Das Bundesamt übermittelt zum 17. April 2027 und in der Folge alle zwei Jahre
1.
der Europäischen Kommission und der Kooperationsgruppe nach Artikel 14 der NIS-2-Richtlinie für jeden Sektor und Teilsektor gemäß Anhang I oder II der NIS-2-Richtlinie die Anzahl der besonders wichtigen Einrichtungen und wichtigen Einrichtungen, die gemäß § 33 Absatz 1 registriert wurden, und
2.
der Europäischen Kommission sachdienliche Informationen über die Anzahl der kritischen Anlagen, über den Sektor und den Teilsektor gemäß Anhang I oder II der NIS-2-Richtlinie, zu dem sie gehören, über die Art der von ihnen erbrachten Dienste und über die Bestimmungen, auf deren Grundlage sie ermittelt wurden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 59
§ 59

Zuständigkeit des Bundesamtes

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Das Bundesamt ist die zuständige Aufsichtsbehörde für die Einhaltung der Vorschriften in Teil 3
1.
durch wichtige und besonders wichtige Einrichtungen, die in der Bundesrepublik Deutschland niedergelassen sind,
2.
durch Betreiber kritischer Anlagen, deren kritische Anlagen sich auf dem Hoheitsgebiet der Bundesrepublik Deutschland befinden, und
3.
durch Einrichtungen der Bundesverwaltung.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 60
§ 60

Zentrale Zuständigkeit in der Europäischen Union für bestimmte Einrichtungsarten

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Abweichend von § 59 ist das Bundesamt für DNS-Diensteanbieter, Top Level Domain Name Registries, Domain-Name-Registry-Dienstleister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie für Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke nur dann zuständig, wenn diese ihre Hauptniederlassung in der Europäischen Union in der Bundesrepublik Deutschland haben. Ist dies der Fall, so ist das Bundesamt für die Einrichtung in der gesamten Europäischen Union zentral zuständig.
(2)
Als Hauptniederlassung in der Europäischen Union im Sinne von Absatz 1 gilt derjenige Mitgliedstaat der Europäischen Union, in dem die Entscheidungen der Einrichtung im Zusammenhang mit den Maßnahmen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Kann ein solcher Mitgliedstaat nicht bestimmt werden oder werden solche Entscheidungen nicht in der Europäischen Union getroffen, so gilt als Hauptniederlassung der Mitgliedstaat, in dem die Cybersicherheitsmaßnahmen durchgeführt werden. Kann ein solcher Mitgliedstaat nicht bestimmt werden, so gilt als Hauptniederlassung der Mitgliedstaat, in dem die betreffende Einrichtung die Niederlassung mit der höchsten Beschäftigtenzahl in der Europäischen Union hat.
(3)
Hat eine Einrichtung der in Absatz 1 Satz 1 genannten Einrichtungsart keine Niederlassung in der Europäischen Union, bietet aber Dienste innerhalb der Europäischen Union an, so ist sie verpflichtet, einen Vertreter zu benennen. Der Vertreter muss in einem Mitgliedstaat der Europäischen Union niedergelassen sein, in der die Einrichtung die Dienste anbietet. Ist der Vertreter in der Bundesrepublik Deutschland niedergelassen, ist das Bundesamt für die Einrichtung zuständig. Hat eine Einrichtung der in Absatz 1 Satz 1 genannten Einrichtungsart in der Europäischen Union keinen Vertreter im Sinne dieses Absatzes benannt, so kann das Bundesamt sich für die betreffende Einrichtung zuständig erklären.
(4)
Die Benennung eines Vertreters durch eine Einrichtung der in Absatz 1 Satz 1 genannten Einrichtungsart lässt rechtliche Schritte, die gegen die Einrichtung selbst eingeleitet werden könnten, unberührt.
(5)
Hat das Bundesamt ein Amtshilfeersuchen eines anderen Mitgliedstaats der Europäischen Union zu einer Einrichtung der in Absatz 1 Satz 1 genannten Einrichtungsart erhalten, so ist das Bundesamt befugt, innerhalb der Grenzen dieses Ersuchens geeignete Aufsichts- und Durchsetzungsmaßnahmen in Bezug auf die betreffende Einrichtung zu ergreifen, die in der Bundesrepublik Deutschland Dienste anbietet oder eine informationstechnisches System, eine informationstechnische Komponente oder einen informationstechnischen Prozess betreibt. Satz 1 gilt entsprechend bei Amtshilfeersuchen eines anderen Mitgliedstaats der Europäischen Union, der für eine Einrichtung in der gesamten Europäischen Union zuständig ist, wenn die Einrichtung in der Bundesrepublik Deutschland Dienste anbietet oder ein informationstechnisches System, eine informationstechnische Komponente oder einen informationstechnischen Prozess betreibt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 61
§ 61

Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Das Bundesamt kann gegenüber einzelnen besonders wichtigen Einrichtungen anordnen, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen zur Prüfung der Erfüllung der Verpflichtungen nach § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und 2 Satz 1 und § 32 Absatz 1 bis 3 sowie § 38 Absatz 3 durchführen zu lassen.
1 Sollmaßnahme
N-BSIG61.001Angeordnete unabhängige Prüfungen durchführen lassen
(2)
Das Bundesamt kann nach Anhörung der betroffenen Einrichtungen und Wirtschaftsverbände fachliche und organisatorische Anforderungen für die prüfenden Stellen festlegen. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.
(3)
Das Bundesamt kann auch gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen. Soweit das Bundesamt von seinem Recht nach Absatz 1 Gebrauch gemacht hat, kann es hierbei auch die Übermittlung der Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel sowie die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln die Vorlage eines geeigneten Mängelbeseitigungsplans im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder der sonst zuständigen Aufsichtsbehörde verlangen. Das Bundesamt kann die Vorlage eines geeigneten Nachweises über die erfolgte Mängelbeseitigung verlangen. Abweichend von Satz 1 kann das Bundesamt gegenüber zugelassenen Krankenhäusern nach § 108 des Fünften Buches Sozialgesetzbuch frühestens fünf Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen, soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 ein früherer Zeitpunkt bestimmt wird.
1 Sollmaßnahme
N-BSIG61.002Nachweise und Prüfergebnisse auf Anordnung vorlegen
(4)
Bei der Auswahl, von welchen Einrichtungen das Bundesamt nach Absatz 3 Nachweise anfordert, berücksichtigt das Bundesamt das Ausmaß der Risikoexposition, die Größe der Einrichtung sowie die Eintrittswahrscheinlichkeit und Schwere von möglichen Sicherheitsvorfällen sowie ihre möglichen gesellschaftlichen und wirtschaftlichen Auswirkungen.
(5)
Das Bundesamt kann bei besonders wichtigen Einrichtungen die Einhaltung der Anforderungen nach diesem Gesetz überprüfen. Es kann sich bei der Durchführung der Überprüfung eines qualifizierten unabhängigen Dritten bedienen. Die besonders wichtige Einrichtung hat dem Bundesamt und den in dessen Auftrag handelnden Personen zum Zweck der Überprüfung das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren. Für die Überprüfung erhebt das Bundesamt Gebühren und Auslagen bei der jeweiligen besonders wichtigen Einrichtung nur, sofern das Bundesamt aufgrund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach § 30 Absatz 1 begründeten.
1 Sollmaßnahme
N-BSIG61.003Mitwirkung bei Vor-Ort-Überprüfungen
(6)
Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde zur Verhütung oder Behebung eines Sicherheitsvorfalls oder eines Mangels erforderliche Maßnahmen nach § 30 Absatz 1 Satz 1 sowie die Vorlage eines geeigneten Mängelbeseitigungsplanes und eines geeigneten Nachweises über die erfolgte Mängelbeseitigung anordnen. Ein Benehmen mit der zuständigen Aufsichtsbehörde kann entfallen, sofern Gefahr im Verzug besteht. Ferner kann das Bundesamt die Berichterstattung zu den nach Satz 1 angeordneten Maßnahmen innerhalb einer angemessenen Frist verlangen.
1 Sollmaßnahme
N-BSIG61.004Angeordnete Abhilfemaßnahmen umsetzen und berichten
(7)
Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde Anordnungen zur Umsetzung der in Absatz 1 genannten Verpflichtungen erlassen. Ein Benehmen mit der zuständigen Aufsichtsbehörde kann entfallen, sofern Gefahr im Verzug besteht. Es kann die Umsetzung von im Rahmen einer Sicherheitsprüfung formulierten konkreten Empfehlungen im Einzelfall innerhalb einer angemessenen Frist anordnen.
1 Sollmaßnahme
N-BSIG61.005Umsetzungsanordnungen und Prüfempfehlungen fristgerecht erfüllen
(8)
Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen anordnen,
1.
die natürlichen oder juristischen Personen, für die sie Dienste erbringen oder Tätigkeiten ausüben und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten, die diese Personen als Reaktion auf die Bedrohung ergreifen können, und
2.
Informationen zu Verstößen gegen die in Absatz 1 genannten Verpflichtungen nach durch das Bundesamt bestimmten Vorgaben öffentlich bekannt zu machen.
1 Sollmaßnahme
N-BSIG61.006Angeordnete Kundeninformation und Bekanntmachung von Verstößen
(9)
Sofern besonders wichtige Einrichtungen den Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommen, kann das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann, wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht, als letztes Mittel
1.
die dieser Einrichtung erteilte Genehmigung nach dem jeweiligen Fachrecht vorübergehend ganz oder teilweise aussetzen und
2.
unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagen.
Die Aussetzung nach Satz 2 Nummer 1 und die Untersagung nach Satz 2 Nummer 2 sind nur solange zulässig, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden.
(10)
Soweit das Bundesamt Maßnahmen gegenüber besonders wichtigen Einrichtungen durchführt, informiert es die zuständige Aufsichtsbehörde des Bundes darüber. Die Information hat unverzüglich zu erfolgen, wenn es sich um Maßnahmen nach Absatz 6 oder 7 handelt, die wegen Gefahr im Verzug ohne Benehmen der zuständigen Aufsichtsbehörde ergangen sind.
(11)
Stellt das Bundesamt im Zuge der Beaufsichtigung einer Einrichtung oder Durchsetzung einer Maßnahme fest, dass ein Verstoß gegen die Verpflichtungen dieses Gesetzes eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 zur Folge haben kann, die gemäß Artikel 33 dieser Verordnung zu melden ist, unterrichtet es unverzüglich die zuständigen Aufsichtsbehörden.
(12)
Bei Einrichtungen, die in anderen Mitgliedstaaten der Europäischen Union Dienste erbringen, kann das Bundesamt auch auf Ersuchen der jeweils zuständigen Aufsichtsbehörden des Mitgliedstaats Maßnahmen nach den Absätzen 1 bis 11 ergreifen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 62
§ 62

Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.
1 Sollmaßnahme
N-BSIG62.001Anlassbezogene Aufsicht über wichtige Einrichtungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 63
§ 63

Verwaltungszwang

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Sofern das Bundesamt Zwangsgelder verhängt, beträgt deren Höhe abweichend von § 11 Absatz 3 des Verwaltungsvollstreckungsgesetzes bis zu 100 000 Euro.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 64
§ 64

Zuwiderhandlungen durch Institutionen der sozialen Sicherung

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
Bei Zuwiderhandlungen gegen eine in § 65 Absatz 1 bis 4 genannte Vorschrift, die von Institutionen der Sozialen Sicherung begangen werden, finden die Sätze 2 bis 4 Anwendung. Bei einer in Satz 1 genannten Zuwiderhandlung von Institutionen der Sozialen Sicherung in Trägerschaft des Bundes stellt das Bundesamt das Einvernehmen über die zu ergreifenden Maßnahmen mit der für die Institution der Sozialen Sicherung zuständigen Aufsichtsbehörde her. Bei einer in Satz 1 genannten Zuwiderhandlung von Institutionen der Sozialen Sicherung in Trägerschaft der Länder informiert das Bundesamt die zuständige Aufsichtsbehörde und schlägt geeignete Maßnahmen vor. Die jeweils zuständige Aufsichtsbehörde informiert das Bundesamt über die Einleitung und Umsetzung von Aufsichtsmitteln und sorgt für deren Durchsetzung.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 65
§ 65

Bußgeldvorschriften

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
(1)
Ordnungswidrig handelt, wer entgegen § 39 Absatz 1 Satz 1 in Verbindung mit einer Rechtsverordnung nach § 56 Absatz 4 Satz 1 einen Nachweis nicht richtig oder nicht vollständig erbringt.
(2)
Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
1.
einer vollziehbaren Anordnung nach
a)
§ 11 Absatz 6, § 16 Absatz 1 Satz 1, auch in Verbindung mit Absatz 4, § 17 Satz 1 oder § 39 Absatz 1 Satz 5,
b)
§ 14 Absatz 2 Satz 1,
c)
den §§ 18, 40 Absatz 5 Satz 1 oder nach § 61 Absatz 3 Satz 1 oder Absatz 6 Satz 1 oder 3 oder Absatz 7 Satz 1 oder 3 oder Absatz 8, jeweils auch in Verbindung mit § 62, oder
d)
§ 35 Absatz 1 Satz 1 oder § 36 Absatz 2 Satz 1
zuwiderhandelt,
2.
entgegen § 30 Absatz 1 Satz 1 eine dort genannte Maßnahme nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift,
3.
entgegen § 30 Absatz 1 Satz 3 die Einhaltung der Verpflichtung nicht, nicht richtig oder nicht vollständig dokumentiert,
4.
entgegen § 32 Absatz 1 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,
5.
entgegen § 32 Absatz 2 Satz 2 eine Abschlussmeldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt,
6.
entgegen § 33 Absatz 1 oder 2 Satz 1, jeweils auch in Verbindung mit einer Rechtsverordnung nach § 56 Absatz 4 Satz 1, oder entgegen § 34 Absatz 1 eine Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt,
7.
entgegen § 33 Absatz 2 Satz 2 nicht sicherstellt, dass er erreichbar ist,
8.
entgegen § 34 Absatz 2 das Bundesamt nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterrichtet,
9.
entgegen § 35 Absatz 2 Satz 1, auch in Verbindung mit Satz 2, eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,
10.
entgegen § 39 Absatz 1 Satz 1 in Verbindung mit einer Rechtsverordnung nach § 56 Absatz 4 Satz 1 einen Nachweis nicht oder nicht rechtzeitig erbringt,
11.
entgegen § 41 Absatz 5 Satz 2 eine Mitteilung oder Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,
12.
entgegen § 49 Absatz 3 Satz 1 eine dort genannte Vorgabe oderein dort genanntes Verfahren nicht vorhält,
13.
entgegen § 49 Absatz 3 Satz 2 oder Absatz 4 eine dort genannte Vorgabe, ein dort genanntes Verfahren oder Daten nicht, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig zugänglich macht,
14.
entgegen § 50 Absatz 1 Satz 1 einen Zugang nicht oder nicht rechtzeitig gewährt,
15.
entgegen § 52 Absatz 2 Satz 4, § 53 Absatz 1 Satz 4, § 54 Absatz 6 Satz 2 oder § 55 Absatz 4 Satz 1 ein dort genanntes Zertifikat, eine dort genannte Erklärung oder ein dort genanntes Kennzeichen verwendet,
16.
entgegen § 53 Absatz 3 Satz 2 oder § 54 Absatz 2 Satz 2 tätig wird oder
17.
entgegen § 61 Absatz 5 Satz 3 das Betreten eines dort genannten Raums nicht gestattet, eine dort genannte Aufzeichnung, ein dort genanntes Schriftstück oder eine dort genannte Unterlage nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt oder eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt.
(3)
Ordnungswidrig handelt, wer eine in Absatz 1 bezeichnete Handlung fahrlässig begeht.
(4)
Ordnungswidrig handelt, wer gegen die Verordnung (EU) 2019/881 in der Fassung vom 19. Dezember 2024 verstößt, indem er vorsätzlich oder fahrlässig
1.
entgegen Artikel 55 Absatz 1 eine dort genannte Angabe nicht, nicht richtig, nicht vollständig oder nicht binnen eines Monats nach Ausstellung zugänglich macht oder
2.
entgegen Artikel 56 Absatz 8 Satz 1 eine Information nicht, nicht richtig, nicht vollständig oder nicht unverzüglich nach Feststellung einer Sicherheitslücke oder Unregelmäßigkeit gibt.
(5)
Die Ordnungswidrigkeit kann geahndet werden:
1.
in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9,
a)
bei besonders wichtigen Einrichtungen nach § 28 Absatz 1 Satz 1 mit einer Geldbuße bis zu zehn Millionen Euro,
b)
bei wichtigen Einrichtungen im Sinne des § 28 Absatz 2 Satz 1 mit einer Geldbuße bis zu sieben Millionen Euro,
2.
in den Fällen des Absatzes 2 Nummer 11 mit einer Geldbuße bis zu fünf Millionen Euro,
3.
in den Fällen des Absatzes 2 Nummer 1 Buchstabe a mit einer Geldbuße bis zu zwei Millionen Euro,
4.
in den Fällen des Absatzes 1 und des Absatzes 2 Nummer 10 mit einer Geldbuße bis zu einer Million Euro,
5.
in den Fällen des Absatzes 2 Nummer 1 Buchstabe c, Nummer 6, 8, 12 bis 16 und des Absatzes 4 mit einer Geldbuße bis zu fünfhunderttausend Euro und
6.
in den Fällen des Absatzes 2 Nummer 1 Buchstabe b, Nummer 7 und 17 und des Absatzes 3 mit einer Geldbuße bis zu hunderttausend Euro.
In den Fällen des Satzes 1 Nummer 3 und 4 ist § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten anzuwenden.
(6)
Gegenüber einer besonders wichtigen Einrichtung im Sinne des § 28 Absatz 1 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe a, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 2 Prozent des Gesamtumsatzes geahndet werden.
(7)
Gegenüber einer wichtigen Einrichtung im Sinne des § 28 Absatz 2 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe b, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 1,4 Prozent des Gesamtumsatzes geahndet werden.
(8)
Gesamtumsatz im Sinne der Absätze 6 und 7 ist die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. Der Gesamtumsatz kann geschätzt werden.
(9)
§ 17 Absatz 2 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 nicht anzuwenden.
(10)
Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist
1.
in den Fällen des Absatzes 2 Nummer 11 das Bundesministerium des Innern und
2.
in den Fällen der Absätze 1, 3 und 4 sowie in den Fällen des Absatzes 2, die nicht in Nummer 1 genannt sind, das Bundesamt.
(11)
Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf eine weitere Geldbuße für einen Verstoß nach diesem Gesetz, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, nicht verhängt werden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025ݤ 66
§ 66

Anwendungsbestimmungen und Übergangsregelungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301
§ 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025›Anlage 1
Anlage 1

Sektoren besonders wichtiger und wichtiger Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301

(Fundstelle: BGBl. 2025 I Nr. 301, S. 43 - 46)

Spalte ASpalte BSpalte CSpalte D
NummerSektorBrancheEinrichtungsart
1Energie
1.1Stromversorgung
1.1.1Stromlieferanten nach § 3 Nummer 31c EnWG
1.1.2Betreiber von Elektrizitätsverteilernetzen nach § 3 Nummer 3 EnWG
1.1.3Betreiber von Übertragungsnetzen nach § 3 Nummer 10 EnWG
1.1.4Betreiber von Erzeugungsanlagen nach § 3 Nummer 18d EnWG
1.1.5Nominierte Strommarktbetreiber nach Artikel 2 Nummer 8 der Verordnung (EU) 2019/943
1.1.6Aggregatoren nach § 3 Nummer 1a EnWG
1.1.7Betreiber von Energiespeicheranlagen nach § 3 Nummer 15d EnWG
1.1.8Anbieter von Ausgleichsleistungen nach § 3 Nummer 1b EnWG
1.1.9Ladepunktbetreiber nach § 2 Nummer 8 LSV
1.2Fernwärmeversorgung oder Fernkälteversorgung
1.2.1Betreiber von Fernwärme- oder Fernkälteversorgung im Sinne von § 3 Nummer 19 oder Nummer 20 GEG
1.3Kraftstoff- und Heizölversorgung
1.3.1Betreiber von Erdöl-Fernleitungen
1.3.2Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl sowie Betreiber von Erdöllagern und Erdöl-Fernleitungen
1.3.3Zentrale Bevorratungsstellen nach Artikel 2 Buchstabe f der Richtlinie 2009/119/EG
1.4Gasversorgung
1.4.1Betreiber von Gasverteilernetzen nach § 3 Nummer 8 EnWG
1.4.2Betreiber von Fernleitungsnetzen nach § 3 Nummer 5 EnWG
1.4.3Betreiber von Gasspeicheranlagen nach § 3 Nummer 6 EnWG
1.4.4Betreiber von LNG-Anlagen nach § 3 Nummer 9 EnWG
1.4.5Gaslieferanten nach § 3 Nummer 19b EnWG
1.4.6Betreiber von Anlagen zur Gewinnung von Erdgas
1.4.7Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas
1.4.8Betreiber im Bereich Wasserstofferzeugung, ‑speicherung und -fernleitung
2Transport und Verkehr
2.1Luftverkehr
2.1.1Luftfahrtunternehmen nach Artikel 3 Nummer 4 der Verordnung (EG) Nr. 300/2008, die für gewerbliche Zwecke genutzt werden
2.1.2Flughafenleitungsorgane nach Artikel 2 Nummer 2 der Richtlinie 2009/12/EG, Flughäfen nach Artikel 2 Nummer 1 jener Richtlinie, einschließlich der in Anhang II Abschnitt 2 der Verordnung (EU) Nr. 1315/2013 aufgeführten Flughäfen des Kernnetzes, und Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben
2.1.3ATM/ANS-Anbieter nach Artikel 2 Nummer 2 der Durchführungsverordnung (EU) 2017/373
2.2Schienenverkehr
2.2.1Betreiber von Eisenbahninfrastruktur nach § 2 Absatz 6 und 6a AEG einschließlich zentraler Einrichtungen, die den Zugbetrieb vorausschauend und bei unerwartet eintretenden Ereignissen disponiert
2.2.2Eisenbahnverkehrsunternehmen nach § 2 Absatz 3 AEG, einschließlich Betreiber einer Serviceeinrichtung nach § 2 Nummer 9 AEG
2.3Schifffahrt
2.3.1Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 für die Schifffahrt definiert sind, ausschließlich der einzelnen von diesen Unternehmen betriebenen Schiffe
2.3.2Leitungsorgane von Häfen nach Artikel 3 Nummer 1 der Richtlinie 2005/65/EG, einschließlich ihrer Hafenanlagen nach Artikel 2 Nummer 11 der Verordnung (EG) Nr. 725/2004, sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben
2.3.3Betreiber einer Anlage oder eines Systems zum sicheren Betrieb einer Wasserstraße im Sinne von § 1 Absatz 6 Nummer 1 WaStrG
2.4Straßenverkehr
2.4.1Betreiber einer Anlage oder eines Systems zur Verkehrsbeeinflussung im Straßenverkehr einschließlich der in § 1 Absatz 4 Nummer 1, 3 und 4 FStrG genannten Einrichtungen, zum Beispiel Verkehrs-, Betriebs- und Tunnelleitzentralen, Entwässerungsanlagen, intelligente Verkehrssysteme und Fachstellen für Informationstechnik und -sicherheit im Straßenbau sowie der Telekommunikationsnetze der Bundesautobahnen
2.4.2Betreiber eines intelligenten Verkehrssystems nach § 2 Nummer 1 IVSG
3Finanzwesen
3.1Bankwesen
3.1.1Kreditinstitute: Einrichtungen, deren Tätigkeit darin besteht, Einlagen oder andere rückzahlbare Gelder des Publikums entgegenzunehmen und Kredite für eigene Rechnung zu gewähren
3.2Finanzmarktinfrastrukturen
3.2.1Handelsplätze im Sinne von § 2 Absatz 22 WpHG
3.2.2Zentrale Gegenparteien, die zwischen die Gegenparteien der auf einem oder mehreren Märkten gehandelten Kontrakte tritt und somit als Käufer für jeden Verkäufer bzw. als Verkäufer für jeden Käufer fungiert
4Gesundheit
4.1.1Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU
4.1.2EU-Referenzlaboratorien nach Artikel 15 der Verordnung (EU) 2022/2371
4.1.3Unternehmen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel nach § 2 AMG ausüben
4.1.4Unternehmen, die pharmazeutische Erzeugnisse nach Abschnitt C Abteilung 21 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) herstellen
4.1.5Unternehmen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch nach Artikel 22 der Verordnung (EU) 2022/123 („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden
5Wasser
5.1Trinkwasserversorgung
5.1.1Betreiber von Wasserversorgungsanlagen im Sinne von § 2 Nummer 3 TrinkwV, jedoch unter Ausschluss der Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist
5.2Abwasserbeseitigung
5.2.1Unternehmen, die Abwasser nach § 54 Absatz 1 WHG sammeln, entsorgen oder behandeln, jedoch unter Ausschluss der Unternehmen, für die das Sammeln, die Entsorgung oder die Behandlung solchen Abwassers ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist
6Digitale Infrastruktur
6.1.1Betreiber von Internet Exchange Points
6.1.2DNS-Dienstanbieter, ausgenommen Betreiber von Root-Nameservern
6.1.3Top Level Domain Name Registry
6.1.4Anbieter von Cloud-Computing-Diensten
6.1.5Anbieter von Rechenzentrumsdiensten
6.1.6Betreiber von Content Delivery Networks
6.1.7Vertrauensdiensteanbieter
6.1.8Betreiber öffentlicher Telekommunikationsnetze
6.1.9Anbieter öffentlich zugänglicher Telekommunikationsdienste
6.1.10Managed Services Provider
6.1.11Managed Security Services Provider
7Weltraum
7.1.1Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die Erbringung von weltraumgestützten Diensten unterstützen, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSIG 2025›Anlage 2
Anlage 2

Sektoren wichtiger Einrichtungen

BSIG 2025 (Art. 1 NIS2UmsuCG) · BGBl. 2025 I Nr. 301

(Fundstelle: BGBl. 2025 I Nr. 301, S. 47 - 48)

Spalte ASpalte BSpalte CSpalte D
NummerSektorBrancheEinrichtungsart
1Transport und Verkehr
1.1Post- und Kurierdienste
1.1.1Anbieter von Postdienstleistungen nach § 3 Nummer 15 PostG, einschließlich Anbieter von Kurierdiensten
2Abfall- bewirtschaftung
2.1.1Unternehmen der Abfallbewirtschaftung nach § 3 Absatz 14 KrWG, ausgenommen Unternehmen, für die Abfallbewirtschaftung nicht ihre Hauptwirtschaftstätigkeit ist
3Produktion, Herstellung und Handel mit chemischen Stoffen
3.1.1Hersteller und Importeure nach Artikel 3 Nummer 9 und 11 der Verordnung (EG) Nr. 1907/2006 von chemischen Stoffen und Gemischen im Sinne des Artikels 3 Nummer 1 und 2 der genannten Verordnung, sofern diese in Kategorie 20 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) fallen und der Registrierungspflicht nach Artikel 6 der genannten Verordnung unterliegen
4Produktion, Verarbeitung und Vertrieb von Lebensmitteln
4.1.1Lebensmittelunternehmen nach Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind
5Verarbeitendes Gewerbe/Herstellung von Waren
5.1Herstellung von Medizinprodukten und In-vitro-Diagnostika
5.1.1Unternehmen, die Medizinprodukte nach Artikel 2 Nummer 1 der Verordnung (EU) 2017/745 herstellen, und Unternehmen, die In-vitro-Diagnostika nach Artikel 2 Nummer 2 der Verordnung (EU) 2017/746 herstellen, mit Ausnahme von Unternehmen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch nach Artikel 22 der Verordnung (EU) 2022/123 („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden
5.2Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen
5.2.1Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 26 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben
5.3Herstellung von elektrischen Ausrüstungen
5.3.1Unternehmen, die eine der Wirtschaftstätigkeiten im Sinne des Abschnitts C Abteilung 27 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben
5.4Maschinenbau
5.4.1Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 28 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben
5.5Herstellung von Kraftwagen und Kraftwagenteilen
5.5.1Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 29 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben
5.6Sonstiger Fahrzeugbau
5.6.1Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 30 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben
6Anbieter digitaler Dienste
6.1.1Anbieter von Online-Marktplätzen
6.1.2Anbieter von Online-Suchmaschinen
6.1.3Anbieter von Plattformen für Dienste sozialer Netzwerke
7Forschung
7.1.1Forschungseinrichtungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 1
§ 1

Begriffsbestimmungen

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Im Sinne dieser Verordnung ist oder sind
1.
Anlagen
a)
Betriebsstätten und sonstige ortsfeste Einrichtungen,
b)
Maschinen, Geräte und sonstige ortsveränderliche Einrichtungen oder
c)
Software und IT-Dienste,
die für die Erbringung einer kritischen Dienstleistung notwendig sind,
2.
(weggefallen)
3.
Versorgungsgrad ein Wert, mittels dessen der Beitrag einer Anlage oder Teilen davon im jeweiligen Sektor zur Versorgung der Allgemeinheit mit einer kritischen Dienstleistung bestimmt wird,
4.
Schwellenwert ein Wert, bei dessen Erreichen oder dessen Überschreitung der Versorgungsgrad einer Anlage oder Teilen davon als bedeutend im Sinne von § 10 Absatz 1 Satz 1 des BSI-Gesetzes anzusehen ist.
(2)
Einer Anlage sind alle vorgesehenen Anlagenteile und Verfahrensschritte zuzurechnen, die zum Betrieb notwendig sind, sowie Nebeneinrichtungen, die mit den Anlagenteilen und Verfahrensschritten in einem betriebstechnischen Zusammenhang stehen und die für die Erbringung einer kritischen Dienstleistung notwendig sind. Mehrere Anlagen derselben Kategorie, die durch einen betriebstechnischen Zusammenhang verbunden sind, gelten als gemeinsame Anlage, wenn sie gemeinsam zur Erbringung derselben kritischen Dienstleistung notwendig sind. Betreiben zwei oder mehr Personen gemeinsam eine Anlage, so ist jeder für die Erfüllung der Pflichten als Betreiber verantwortlich.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 2
§ 2

Sektor Energie

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Energie kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1.
die Versorgung der Allgemeinheit mit Elektrizität (Stromversorgung);
2.
die Versorgung der Allgemeinheit mit Gas (Gasversorgung);
3.
die Versorgung der Allgemeinheit mit Kraftstoff und Heizöl (Kraftstoff- und Heizölversorgung);
4.
die Versorgung der Allgemeinheit mit Fernwärme (Fernwärmeversorgung).
(2)
Die Stromversorgung wird in den Bereichen Stromerzeugung, Stromhandel, Stromübertragung und Stromverteilung erbracht.
(3)
Die Gasversorgung wird in den Bereichen Gasförderung, Gashandel, Gastransport und Gasverteilung erbracht.
(4)
Die Kraftstoff- und Heizölversorgung wird in den Bereichen Erdölförderung, Produktenherstellung, Mineralölhandel, Öltransport und -lagerung sowie Kraftstoff- und Heizölverteilung erbracht.
(5)
Die Fernwärmeversorgung wird in den Bereichen Erzeugung von Fernwärme, Steuerung und Überwachung von Fernwärme sowie Verteilung von Fernwärme erbracht.
(6)
Im Sektor Energie sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 1 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 1 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 3
§ 3

Sektor Wasser

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Wasser kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1.
die Versorgung der Allgemeinheit mit Trinkwasser (Trinkwasserversorgung);
2.
die Beseitigung von Abwasser der Allgemeinheit (Abwasserbeseitigung).
(2)
Die Trinkwasserversorgung wird in den Bereichen Gewinnung, Aufbereitung, Verteilung sowie Steuerung und Überwachung von Trinkwasser erbracht.
(3)
Die Abwasserbeseitigung wird in den Bereichen Siedlungsentwässerung, Abwasserbehandlung und Gewässereinleitung sowie Steuerung und Überwachung erbracht.
(4)
Im Sektor Wasser sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 2 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 2 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 4
§ 4

Sektor Ernährung

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Ernährung die Versorgung der Allgemeinheit mit Lebensmitteln (Lebensmittelversorgung) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2)
Die Lebensmittelversorgung wird in den Bereichen Lebensmittelherstellung und -behandlung sowie Lebensmittelhandel erbracht.
(3)
Im Sektor Ernährung sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 3 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 3 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 5
§ 5

Sektor Informationstechnik und Telekommunikation

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Informationstechnik und Telekommunikation kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1.
die Sprach- und Datenübertragung;
2.
die Datenspeicherung und -verarbeitung.
(2)
Die Sprach- und Datenübertragung wird in den Bereichen Zugang, Übertragung, Vermittlung und Steuerung erbracht.
(3)
Die Datenspeicherung und -verarbeitung wird in den Bereichen Housing, IT-Hosting und Vertrauensdienste erbracht.
(4)
Im Sektor Informationstechnik und Telekommunikation sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 4 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 4 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 6
§ 6

Sektor Gesundheit

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Gesundheit kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1.
die stationäre medizinische Versorgung;
2.
die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind;
3.
die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper;
4.
die Laboratoriumsdiagnostik.
(2)
Die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind, wird in den Bereichen Herstellung und Abgabe erbracht.
(3)
Die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper wird in den Bereichen Herstellung, Vertrieb und Abgabe erbracht.
(4)
Im Sektor Gesundheit sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 5 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 5 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 7
§ 7

Sektor Finanzwesen

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Finanzwesen kritische Dienstleistungen im Sinne des § 56 Absatz 4 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1.
die Bargeldversorgung;
2.
der kartengestützte Zahlungsverkehr;
3.
der konventionelle Zahlungsverkehr;
4.
der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften.
(2)
Die Bargeldversorgung wird in den Bereichen Autorisierung einer Abhebung, Einbringen in den Zahlungsverkehr, Belastung Kundenkonto und Bargeldlogistik erbracht.
(3)
Der kartengestützte Zahlungsverkehr wird bei kartengebundenen Zahlungsvorgängen im Sinne der Verordnung (EU) 2015/751 des Europäischen Parlaments und des Rates vom 29. April 2015 über Interbankenentgelte für kartengebundene Zahlungsvorgänge (ABl. L 123 vom 19.5.2015, S. 1) in den Bereichen Autorisierung, Einbringen in den Zahlungsverkehr sowie Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers erbracht.
(4)
Der konventionelle Zahlungsverkehr wird bei Zahlungsvorgängen mittels Überweisung und Lastschrift im Sinne der Verordnung (EU) Nr. 260/2012 des Europäischen Parlaments und des Rates vom 14. März 2012 zur Festlegung der technischen Vorschriften und der Geschäftsanforderungen für Überweisungen und Lastschriften in Euro (ABl. L 94 vom 30.3.2012, S. 22) in den Bereichen Annahme einer Überweisung oder Lastschrift, Einbringen in den Zahlungsverkehr sowie Belastung und Gutschrift auf Kundenkonten erbracht.
(5)
Der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften wird in den Bereichen Einbringen von Aufträgen in den Handel, Ausführung des Handels und Bestandsführung für den Kunden sowie Verrechnung von Wertpapier- und Derivatgeschäften, Verbuchung Wertpapiere und Verbuchung Geld erbracht.
(6)
Im Sektor Finanzwesen sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 6 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 6 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 8
§ 8

Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Leistungen der Sozialversicherung werden im Bereich Inanspruchnahme von Sozialversicherungsleistungen erbracht. Leistungen der Grundsicherung für Arbeitsuchende werden im Bereich der Inanspruchnahme von Leistungen, die der Sicherung des Lebensunterhalts dienen, mithilfe von IT-Systemen der Bundesagentur für Arbeit erbracht.
(2)
Im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 9 Teil 2 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 9 Teil 2 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 9
§ 9

Sektor Transport und Verkehr

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Transport und Verkehr die Versorgung der Allgemeinheit mit Leistungen zum Transport von Personen und Gütern (Personen- und Güterverkehr) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2)
Der Personen- und Güterverkehr wird in den Bereichen Luftverkehr, Eisenbahnverkehr, See- und Binnenschifffahrt, Straßenverkehr, öffentlicher Personennahverkehr (ÖPNV) und Logistik sowie verkehrsträgerübergreifend erbracht.
(3)
Im Sektor Transport und Verkehr sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 7 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 7 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 10
§ 10

Sektor Siedlungsabfallentsorgung

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Siedlungsabfallentsorgung die Entsorgung von Siedlungsabfällen kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2)
Die Siedlungsabfallentsorgung wird in den Bereichen „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“ erbracht.
(3)
Im Sektor Siedlungsabfallentsorgung sind kritische Anlagen solche Anlagen oder Teile davon, die
1.
den in Anhang 8 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2.
den Schwellenwert nach Anhang 8 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 11
§ 11

Evaluierung

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
Zwei Jahre nach Inkrafttreten dieser Rechtsverordnung und danach alle zwei Jahre sind unter Beteiligung der in § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes genannten Ressorts und unter Berücksichtigung von Erkenntnissen der Betreiber kritischer Anlagen, von deren Verbänden sowie von Vertretern der Wissenschaft zu evaluieren
1.
die Festlegung der kritischen Dienstleistungen und Bereiche,
2.
die Festlegung der Anlagenkategorien, die für die Erbringung der kritischen Dienstleistungen erforderlich sind, und
3.
die Bestimmung der Schwellenwerte.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 12
§ 12

Außerkrafttreten

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz
Die BSI-Kritisverordnung vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 2 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, tritt mit Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes außer Kraft. Das Bundesministerium des Innern gibt das Inkrafttreten im Bundesgesetzblatt bekannt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 1
Anhang 1

(zu § 1 Absatz 1 Nummer 2 und 3, § 2 Absatz 5 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Energie

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2016, 960 - 962 bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Energiewirtschaftsgesetzes und nach § 2 des Kraft-Wärme-Kopplungsgesetzes in der jeweils geltenden Fassung.
2.
Im Sinne von Anhang 1 ist oder sind
2.1
Erzeugungsanlage
eine Anlage im Sinne des § 3 Nummer 43 des Energiewirtschaftsgesetzes. Diese Kategorie umfasst auch Anlagen zur Speicherung von elektrischer Energie sowie dezentrale Energieerzeugungsanlagen im Sinne des § 3 Nummer 25 des Energiewirtschaftsgesetzes.
2.2
Digitaler Energiedienst
Eine Anlage oder ein System, das den zentralen, standortübergreifenden Zugriff auf die Steuerung oder die unmittelbare Beeinflussung von Energieanlagen oder den zentralen, standortübergreifenden Zugriff auf die Steuerung oder die unmittelbare Beeinflussung dezentraler Anlagen zum Verbrauch elektrischer Energie oder Gas ermöglicht.
2.3
Übertragungsnetz
ein Netz zur Übertragung im Sinne des § 3 Nummer 100 des Energiewirtschaftsgesetzes.
2.4
Zentrale Anlage oder System für den Stromhandel
eine Anlage oder ein elektronisches Handelssystem, das den physischen, kurzfristigen Spothandel sowie den Terminhandel mit Energie für das deutsche Marktgebiet betrifft.
2.5
Stromverteilernetz
ein Netz zur Verteilung von Elektrizität im Sinne des § 3 Nummer 108 des Energiewirtschaftsgesetzes.
2.6
Gasförderanlage
eine Anlage zur Förderung von Erdgas aus einer Bohrung.
2.7
Anlage zur zentralen standortübergreifenden Steuerung
eine Anlage oder ein IT-System, durch das eine oder mehrere Anlagen standortübergreifend gesteuert oder überwacht werden.
2.8
Fernleitungsnetz
ein Netz zur Fernleitung im Sinne des § 3 Nummer 45 des Energiewirtschaftsgesetzes.
2.9
Gasgrenzübergabestelle
eine Netzkoppelstelle, die in der Regel zwischen einem deutschen Fernleitungsnetz und dem eines anderen Staates besteht, soweit diese nicht von einem deutschen Fernleitungsnetzbetreiber als Bestandteil dessen Fernleitungsnetzes betrieben wird.
2.10
Gasspeicher
eine Speicheranlage im Sinne des § 3 Nummer 49 des Energiewirtschaftsgesetzes.
2.11
Gasverteilernetz
ein Netz zur Verteilung von Gas im Sinne des § 3 Nummer 108 des Energiewirtschaftsgesetzes.
2.12
Gas- oder Kapazitätshandelssystem
eine Anlage oder ein elektronisches Handelssystem für den Handel von Gasmengen oder -kapazitäten.
2.13
LNG-Anlage
schwimmende oder landgebundene stationäre Anlagen oder Systeme zur Verflüssigung von Gas nach § 3 Nummer 47 des Energiewirtschaftsgesetzes oder zur Einfuhr, Entladung und Wiederverdampfung von verflüssigtem Gas, einschließlich der Anlagenteile für Hilfsdienste und für die vorübergehende Speicherung von verflüssigtem Erdgas, die für die Wiederverdampfung und die anschließende Einspeisung in das Fernleitungsnetz erforderlich sind.
2.14
Ölförderanlage
eine Anlage zur Förderung von Erdöl aus einer Bohrung.
2.15
Raffinerie
eine Anlage zur Destillation oder Raffination oder sonstigen Weiterverarbeitung von Erdöl in Mineralölraffinerien im Sinne der Nummer 4.3 der Anlage 1 des Gesetzes über die Umweltverträglichkeitsprüfung.
2.16
Mineralölfernleitung
eine Rohrfernleitung im Sinne der Rohrfernleitungsverordnung zum Transport von Erdöl oder Erdölprodukten.
2.17
Erdöl- und Erdölproduktenlager
eine Anlage zur Lagerung von Erdöl oder Mineralölprodukten.
2.18
Anlage oder System von Aggregatoren zum Vertrieb von Kraftstoff und Heizöl
eine Anlage oder ein IT-System, das zur Disposition insbesondere von Tankkraftwagen, Kesselwagen oder Binnenschiffen verwendet wird, mit dem Ziel, den Vertrieb von Kraftstoff oder Heizöl abzuwickeln, zu koordinieren oder zu optimieren, unabhängig davon, ob durch die Anlage oder das IT-System Verbraucher beliefert werden.
2.19
Tankstellennetz
eine Anlage oder ein System zur Verbindung voneinander unabhängiger Tankstellen oder Flugfeldbetankungsanlagen mittels zentraler Komponenten (beispielsweise physischer oder datentechnischer Verbindungen). Eine zentrale Komponente dient der zentralen Erbringung wichtiger Aufgaben für den Betrieb der Tankstellen oder Flugfeldbetankungsanlagen eines Tankstellennetzes zur Versorgung mit Kraftstoff.
2.20
Anlage oder System zur zentralen kommerziellen Steuerung
eine Anlage oder ein System zur zentralen Steuerung oder Koordinierung der Betriebsplanung einer oder mehrerer Anlagen oder zur kommerziellen Abwicklung für eine oder mehrere Anlagen, soweit diese zum Betrieb notwendig sind. Dazu zählen auch Clearing-Instanzen oder Kollaborationslösungen, die als Cloud-Lösung betrieben werden.
2.21
Heizwerk
eine Anlage zur Erzeugung von Wärme zur Belieferung von Endkunden im Sinne der Verordnung über Allgemeine Bedingungen für die Versorgung mit Fernwärme.
2.22
Heizkraftwerk
eine KWK-Anlage im Sinne des § 2 Nummer 14 des Kraft-Wärme-Kopplungsgesetzes.
2.23
Fernwärmenetz
ein Netz zur Versorgung der Allgemeinheit mit Wärme.
3.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet. Anlagen nach Teil 3 Nummer 2.2.4 gelten ab dem ersten Tag des dritten Kalendermonats, der auf den Kalendermonat folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erreicht oder überschreitet als kritische Anlage. Diese Anlagen gelten nicht mehr als kritische Anlage ab dem 1. April des Kalenderjahres, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln. Betreiber von Anlagen nach Teil 3 Nummer 2.2.4 haben den aktuellen Versorgungsgrad ihrer Anlage jeweils zur Inbetriebnahme und zum 31. März eines jeden Kalenderjahres zu ermitteln.
5.
Ist der Versorgungsgrad anhand der Anzahl angeschlossener Haushalte zu ermitteln, ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich.
6.
Ist der Versorgungsgrad anhand der Kapazität (installierte Netto-Nennleistung) einer Anlage zu ermitteln, ist auf den rechtlich und tatsächlich möglichen Betriebsumfang der durch denselben Betreiber betriebenen Anlage abzustellen.
7.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
8.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 und 1.1.2 genannte Schwellenwert von 104 MW ist unter Annahme eines Durchschnittsverbrauchs von 1 815 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:



Die durchschnittliche elektrische Arbeit zur Versorgung von 500 000 Personen im Jahr entspricht im Falle der Nummern 1.1.1 und 1.1.2 einer installierten Nettonennleistung von:



Der Schwellenwert von 36 MW für zur Erbringung von Primärregelleistung präqualifizierter Anlagen ergibt sich aus Artikel 5 Absatz 3 der Verordnung (EU) 2016/631 der Kommission vom 14. April 2016 zur Festlegung eines Netzkodex mit Netzanschlussbestimmungen für Stromerzeuger.
9.
Der für die Anlagenkategorien des Teils 3 Nummer 1.4.1 genannte Schwellenwert ist unter Annahme eines Gesamthandelsvolumens rund 7 400 TWh und eines Durchschnittshandelsvolumens pro Person pro Jahr von 92,6 MWh und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




10.
Der für die Anlagenkategorien des Teils 3 Nummer 2 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 10 380 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




11.
Der für die Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.2, 3.2.3, 3.3.1 und 3.3.3 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 0,84 Tonnen Kraftstoff zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




12.
Der für Erdöl in den Anlagenkategorien des Teils 3 Nummer 3.1.1, 3.1.3, 3.2.1, 3.2.2, 3.2.3 und 3.4.1 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und damit einer durchschnittlichen Gesamtproduktionsmenge von 620 000 Tonnen leichtem Heizöl für 500 000 versorgte Personen sowie unter der Annahme, dass aus einer Tonne Rohöl etwa 0,14 Tonnen leichtes Heizöl hergestellt werden, wie folgt berechnet:




13.
Der für Kraftstoff in den Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.1, 3.2.2, 3.2.3, 3.3.1, 3.3.2, 3.3.3 und 3.4.1 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 0,84 Tonnen Kraftstoff zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




14.
Der für Flugkraftstoff in den Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.1., 3.2.2, 3.2.3, 3.3.1, 3.3.2, 3.3.3 und 3.4.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs einer Person pro Jahr von 0,1275 Tonnen Flugkraftstoff und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:



15.
Der für Heizöl in den Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.1, 3.2.2, 3.2.3, 3.3.1, 3.3.3 und 3.4.1 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Stromversorgung
1.1Stromerzeugung
1.1.1ErzeugungsanlageInstallierte Nettonennleistung (elektrisch oder direkt mit Wärmeauskopplung verbundene elektrische Wirkleistung bei Wärmenennleistung ohne Kondensationsanteil) in MW oder104
installierte Nettonennleistung in MW, wenn die Anlage als Schwarzstartanlage nach § 3 Absatz 2 des Beschlusses der Bundesnetzagentur vom 20. Mai 2020, Aktenzeichen BK6-18-249 kontrahiert ist, oder0
installierte Nettonennleistung in MW, wenn die Anlage zur Erbringung von Primärregelleistung nach § 2 Nummer 8 StromNZV präqualifiziert ist36
1.1.2Digitaler EnergiedienstInstallierte Nettonennleistung (elektrisch) in MW oder104
installierte Nettonennleistung in MW, wenn die Anlage als Schwarzstartanlage nach § 3 Absatz 2 des Beschlusses BK6-18-249 kontrahiert ist, oder0
installierte Nettonennleistung in MW, wenn die Anlage zur Erbringung von Primärregelleistung nach § 2 Nummer 8 StromNZV präqualifiziert ist36
1.2Stromübertragung
1.2.1ÜbertragungsnetzDurch Letztverbraucher und Weiterverteiler entnommene Jahresarbeit in GWh/Jahr3 700
1.3Stromverteilung
1.3.1StromverteilernetzDurch Letztverbraucher und Weiterverteiler entnommene Jahresarbeit in GWh/Jahr3 700
1.4Stromhandel
1.4.1Zentrale Anlage oder System für den StromhandelAbgewickeltes Handelsvolumen in TWh/Jahr3,7
2Gasversorgung
2.1Gasförderung
2.1.1GasförderanlageEnergie des geförderten Gases in GWh/Jahr5 190
2.1.2Anlage zur zentralen standortübergreifenden SteuerungEnergie des geförderten Gases in GWh/Jahr5 190
2.2Gastransport und -speicherung
2.2.1FernleitungsnetzDurch Letztverbraucher und Weiterverteiler entnommene Jahresarbeit in GWh/Jahr5 190
2.2.2GasgrenzübergabestelleDurchgeleitete Arbeit in GWh/Jahr5 190
2.2.3GasspeicherEntnommene Arbeit in GWh/Jahr5 190
2.2.4LNG-AnlageTechnische Regasifizierungskapazität in GWh/Jahr5 190
2.3Gasverteilung
GasverteilernetzEntnommene Arbeit in GWh/Jahr5 190
2.4Gashandel
2.4.1Gas- oder KapazitätshandelssystemEnergie der gehandelten Gasmengen in GWh/Jahr oder5 190
Menge der gehandelten Gastransportkapazitäten in GWh/h/Jahr5 190
3Kraftstoff- und Heizölversorgung
3.1Erdölförderung und Produktenherstellung
3.1.1ÖlförderanlageGefördertes Erdöl in Tonnen/Jahr4 400 000
3.1.2RaffinerieErzeugter Kraftstoff in Tonnen/Jahr oder420 000 (≈ 420 Millionen Liter)
erzeugter Flugkraftstoff in Tonnen/Jahr oder63 750
erzeugtes Heizöl in Tonnen/Jahr620 000
3.1.3Anlage zur zentralen standortübergreifenden SteuerungGefördertes Rohöl in Tonnen/Jahr oder4 400 000
erzeugter Kraftstoff in Tonnen/Jahr oder420 000
erzeugter Flugkraftstoff in Tonnen/Jahr oder63 750
erzeugtes Heizöl in Tonnen/Jahr620 000
3.2Erdöltransport und -lagerung
3.2.1MineralölfernleitungTransportierte entnommene Rohölmenge in Tonnen/Jahr oder4 400 000
transportierte Kraftstoffmenge in Tonnen/Jahr oder420 000
transportierte Flugkraftstoffmenge in Tonnen/Jahr oder63 750
transportierte Heizölmenge in Tonnen/Jahr620 000
3.2.2Erdöl- und ErdölproduktenlagerUmgeschlagenes Rohöl in Tonnen/Jahr oder4 400 000
umgeschlagener Kraftstoff in Tonnen/Jahr oder420 000
umgeschlagener Flugkraftstoff in Tonnen/Jahr oder63 750
umgeschlagenes Heizöl in Tonnen/Jahr620 000
3.2.3Anlage zur zentralen standortübergreifenden SteuerungGesamtmenge des transportierten Rohöls und der transportierten Ölprodukte in Tonnen/Jahr oder4 400 000
umgeschlagenes Rohöl in Tonnen/Jahr oder4 400 000
umgeschlagener Kraftstoff in Tonnen/Jahr oder420 000
umgeschlagener Flugkraftstoff in Tonnen/Jahr oder63 750
umgeschlagenes Heizöl in Tonnen/Jahr620 000
3.3Kraftstoff- und Heizölverteilung
3.3.1Anlage oder System von Aggregatoren zum Vertrieb von Kraftstoff und HeizölVerteilter Kraftstoff in Tonnen/Jahr oder420 000
verteilter Flugkraftstoff in Tonnen/Jahr oder63 750
verteiltes Heizöl in Tonnen/Jahr620 000
3.3.2TankstellennetzVerteilter Kraftstoff in Tonnen/Jahr oder420 000
verteilter Flugkraftstoff in Tonnen/Jahr63 750
3.3.3Anlage zur zentralen standortübergreifenden SteuerungVerteilter Kraftstoff in Tonnen/Jahr oder420 000
verteilter Flugkraftstoff in Tonnen/Jahr oder63 750
verteiltes Heizöl in Tonnen/Jahr620 000
3.4Mineralölhandel
3.4.1Anlagen oder Systeme zur zentralen kommerziellen SteuerungAbgewickeltes Erdöl in Tonnen/Jahr oder4 400 000
abgewickelter Kraftstoff in Tonnen/Jahr oder420 000
abgewickelter Flugkraftstoff in Tonnen/Jahr oder63 750
abgewickeltes Heizöl in Tonnen/Jahr620 000
4Fernwärmeversorgung
4.1Erzeugung von Fernwärme
4.1.1HeizwerkAusgeleitete Wärmeenergie in GWh/Jahr2 300
4.1.2HeizkraftwerkAusgeleitete Wärmeenergie in GWh/Jahr2 300
4.2Verteilung von Fernwärme
4.2.1FernwärmenetzAngeschlossene Haushalte250 000
4.3Steuerung und Überwachung
4.3.1Anlage zur zentralen standortübergreifenden SteuerungAngeschlossene Haushalte oder250 000
ausgeleitete Wärmeenergie in GWh/Jahr2 300
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 2
Anhang 2

(zu § 1 Absatz 1 Nummer 2 und 3, § 3 Absatz 4 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Wasser

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2016,963 - 964bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Im Sinne von Anhang 2 ist oder sind
1.1.
Gewinnungsanlage
ein Brunnen oder eine Brunnenreihe, eine Sickerleitung, ein Sickerstollen, eine Zisterne, ein Entnahmebauwerk oder eine Stauanlage zur Gewinnung, Bevorratung oder Bewirtschaftung von Oberflächenwasser oder andere Wasserfassung zur Gewinnung von Rohwasser.
1.2.
Aufbereitungsanlage (Wasserwerk)
die Gesamtheit aller technischen Einrichtungen zur Trinkwasseraufbereitung einschließlich der zugehörigen Nebenanlagen sowie der Mess-, Steuerungs- und Regelungstechnik.
1.3.
Wasserverteilungssystem
ein Teil eines Wasserversorgungssystems mit Rohrleitungen, Trinkwasserbehältern, Förderanlagen und sonstigen Einrichtungen zum Zweck der Verteilung von Wasser an die Verbraucher. Dieses System beginnt nach der Wasseraufbereitungsanlage oder, wenn keine Aufbereitung erfolgt, nach der Wassergewinnung oder bei Weiterverteilern an der Übergabestelle des Vorlieferanten und endet an der Übergabestelle zum Verbraucher.
1.4.
Leitzentrale
eine Anlage, insbesondere eine Leitwarte, Leitstelle oder Prozessleitwarte, in der ein oder mehrere Prozessschritte auch räumlich verteilter Anlagen zentral überwacht und/oder gesteuert werden können.
1.5.
Kanalisation
ein Netz von Rohrleitungen und Zusatzbauten (zum Beispiel Regenüberlaufbecken, Regenrückhaltebecken, Regenklärbecken und Pumpstationen), das Abwasser von Anschlusskanälen zu Kläranlagen oder zu anderen Entsorgungsstellen ableitet.
1.6.
Kläranlage
eine Anlage, in der Abwasser physikalisch, biologisch oder chemisch behandelt wird. Die Anlagen zur Gewässereinleitung (zum Beispiel Hochwasserpumpwerke und Ableitungskanäle) werden als Bestandteil der Kläranlage angesehen.
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.3.1 ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich.
5.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
6.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.4.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 44 m 3 pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Trinkwasserversorgung
1.1Gewinnung
1.1.1GewinnungsanlageGewonnene Wassermenge in Millionen m 3 /Jahr22
1.2Aufbereitung
1.2.1Aufbereitungsanlage (Wasserwerk)Aufbereitete Trinkwassermenge in Millionen m 3 /Jahr22
1.3Verteilung
1.3.1WasserverteilungssystemVerteilte Wassermenge in Millionen m 3 /Jahr22
1.4Steuerung und Überwachung
1.4.1LeitzentraleVon den gesteuerten/überwachten Anlagen gewonnene, transportierte oder aufbereitete Wassermenge in Millionen m 3 /Jahr22
2Abwasserbeseitigung
2.1Siedlungsentwässerung
2.1.1KanalisationAngeschlossene Einwohner500 000
2.2Abwasserbehandlung und Gewässereinleitung
2.2.1KläranlageAusbaugröße in Einwohnerwerten500 000
2.3Steuerung und Überwachung
2.3.1LeitzentraleAusbaugrößen der Anlagen in Einwohnerwerten oder angeschlossene Einwohner der gesteuerten oder überwachten Anlagen500 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 3
Anhang 3

(zu § 1 Absatz 1 Nummer 2 und 3, § 4 Absatz 3 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Ernährung

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2016,965 - 966bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Für die in Teil 3 Spalte B Nummer 1 genannten Anlagenkategorien gelten grundsätzlich die Begriffsbestimmungen des § 3 Nummer 1 bis 3 des Lebensmittel-, Bedarfsgegenstände- und Futtermittelgesetzbuches in der jeweils geltenden Fassung.
2.
Im Sinne von Anhang 3 ist oder sind
2.1
Anlage oder System zur Herstellung von Lebensmitteln
eine Anlage zum Herstellen von Lebensmitteln im Sinne des § 3 Absatz 1 Nummer 1 des Lebensmittel- und Futtermittelgesetzbuches.
2.2
Anlage oder System zur Behandlung von Lebensmitteln
eine Anlage zum Behandeln von Lebensmitteln im Sinne des § 3 Absatz 1 Nummer 2 des Lebensmittel- und Futtermittelgesetzbuches.
2.3
Anlage oder System zur Distribution von Lebensmitteln
eine Anlage oder ein System zur Planung, Steuerung, Bereitstellung und Verteilung von Produktionsmitteln oder Lebensmitteln, zum Beispiel Fuhrpark-, Hof- oder Flottenmanagementsysteme.
2.4
Anlage oder System zur zentralen Steuerung oder Überwachung
eine Anlage oder ein System, durch die oder das eine oder mehrere andere Anlagen oder Systeme gesteuert oder überwacht werden, zum Beispiel ERP-, Warenwirtschafts- oder Lagerverwaltungssysteme.
2.5
Anlage oder System zur Bestellung von Lebensmitteln
eine Anlage oder ein System zur Aufgabe oder Entgegennahme von Lebensmittelbestellungen, zum Beispiel EDI-Dispositionssysteme, Lieferanten- und Kundenstammdatensysteme.
2.6
Anlage oder System zum Inverkehrbringen von Lebensmitteln
eine Anlage oder ein System zum Inverkehrbringen von Lebensmitteln im Sinne des Artikels 3 Nummer 8 der Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates vom 28. Januar 2002 zur Festlegung der allgemeinen Grundsätze und Anforderungen des Lebensmittelrechts, zur Errichtung der Europäischen Behörde für Lebensmittelsicherheit und zur Festlegung von Verfahren zur Lebensmittelsicherheit (ABl. L 31 vom 1.2.2002, S. 1), die zuletzt durch die Verordnung (EU) 2019/1381 (ABl. L 231 vom 6.9.2019, S. 1) geändert worden ist, zum Beispiel eine Verkaufsstelle des Einzel- oder Großhandels.
3.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmalig erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
5.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
6.
Die Ermittlung des Versorgungsgrads kann, bei einer Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 1.2 zuzuordnen ist, mittels einer pauschalierten Umrechnung der in Teil 3 Spalte D genannten Schwellenwerte auf den in einem Kalenderjahr erzielten Bruttoumsatz in einem Verhältnis von 3,90 Euro pro kg oder l erfolgen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
7.
Der für die Anlagenkategorien des Teils 3 genannte Schwellenwert (Lebensmittel außer Getränke) ist unter Annahme einer durchschnittlichen Produktionsmenge zur Versorgung einer Person mit Lebensmitteln aller Produktgruppen außer Getränken von 0,869 Tonnen/Jahr sowie eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
8.
Der für die Anlagenkategorien des Teils 3 genannte Schwellenwert (Getränke) ist unter Annahme eines Durchschnittsverbrauchs von 700 l/Jahr von Getränken mit Ausnahme von Getränken mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent sowie eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Lebensmittelversorgung
1.1Lebensmittelherstellung und -behandlung
1.1.1Anlage oder System zur Herstellung von LebensmittelnHergestellte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
hergestellte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.1.2Anlage oder System zur Behandlung von LebensmittelnBehandelte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
behandelte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.1.3Anlage oder System zur Distribution von LebensmittelnUmgeschlagene Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
umgeschlagene Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.1.4Anlage oder System zur zentralen Steuerung oder ÜberwachungHergestellte, behandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Lebensmittel außer Getränke aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Tonnen/Jahr oder434 500
hergestellte, behandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Liter/Jahr350 000 000
1.2Lebensmittelhandel
1.2.1Anlage oder System zur Behandlung von LebensmittelnBehandelte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
behandelte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.2Anlage oder System zur Distribution von LebensmittelnUmgeschlagene Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
umgeschlagene Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.3Anlage oder System zur Bestellung von LebensmittelnBestellte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
bestellte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.4Anlage oder System zum Inverkehrbringen von LebensmittelnIn Verkehr gebrachte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
in Verkehr gebrachte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.5Anlage oder System zur zentralen Steuerung oder ÜberwachungBehandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Lebensmittel außer Getränke aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Tonnen/Jahr oder434 500
behandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Liter/Jahr350 000 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 4
Anhang 4

(zu § 1 Absatz 1 Nummer 2 und 3, § 5 Absatz 4 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Informationstechnik und Telekommunikation

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2016, 967 - 969bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Telekommunikationsgesetzes in der jeweils geltenden Fassung.
2.
Im Sinne von Anhang 4 ist oder sind
2.1
Zugangsnetz
eine Anlage, über die der Zugang zu einem Sprachkommunikationsdienst, zu einem öffentlich zugänglichen Datenübertragungsdienst oder zu einem Internetzugangsdienst erfolgt, zum Beispiel Glasfaseranschlüsse und Mobilfunkzugangsnetze.
2.2
Übertragungsnetz
eine Anlage zur Übertragung von Sprache und Daten für Sprachkommunikationsdienste und öffentlich zugängliche Datenübertragungsdienste oder für Internetzugangsdienste, zum Beispiel Backbone- und Core-Netze.
2.3
Seekabelanlandestation
eine Anlandestation zur Anbindung primär der Sprach- und Datenübertragung dienender Seekabel an landgestützte Telekommunikationsnetze.
2.4
IXP
eine von den angeschlossenen autonomen Systemen unabhängige Netzeinrichtung, die die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen für den Zweck des Austausches von Internetdatenverkehr ermöglicht. Eine Anlage ist auch dann ein IXP, wenn der Internetdatenverkehr zwischen zwei beliebigen teilnehmenden autonomen Systemen nicht über ein intermediäres autonomes System läuft.
2.5
DNS-Resolver
eine Anlage oder ein System im Zugangsnetz eines Anbieters von Internetzugangsdiensten zur Beantwortung von Anfragen zur Namensauflösung, die oder das bei Unkenntnis der Antwort die Anfragen an übergeordnete DNS-Instanzen weiterreicht, wenn die Anlage oder das System zur Nutzung von Sprachkommunikationsdiensten, öffentlich zugänglichen Datenübertragungsdiensten oder Internetzugangsdiensten angeboten wird.
2.6
Autoritativer DNS-Server
eine Anlage oder ein System zur Beantwortung von Anfragen zur Namensauflösung gemäß Kapitel 5 des RFC 7719, in der oder in dem durch lokal vorliegende Informationen über den Inhalt einer DNS-Zone Anfragen über diese DNS-Zone beantwortet werden oder die Anfragen an andere Server delegiert werden.
2.7
Top-Level-Domain-Name-Registry
eine Anlage, welche die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top-Level-Domain (TLD) verwaltet und betreibt.
2.8
Rechenzentrum (Housing)
ein oder mehrere Gebäude, zumindest aber ein geschlossener Raum mit dem vorrangigen Zweck, eine geeignete Umgebung für die Unterbringung und den Betrieb von zentralen IT-Komponenten, zum Beispiel Server oder Netzwerktechnik, in mindestens zehn Racks bereitzustellen.
2.9
Serverfarm (Hosting)
zwei oder mehrere physische oder virtuelle Instanzen, die im IT-Netzwerk Dienste bereitstellen. Dabei gelten virtuelle Maschinen, die mit einem eigenen Betriebssystem auf einer physischen Instanz betrieben werden, als virtuelle Instanzen.
2.10
Content Delivery Network
ein Netz regional verteilter und über das Internet verbundener Server, mit dem Inhalte ausgeliefert und zwischengespeichert werden, um insbesondere die Verfügbarkeit und Performanz zu erhöhen.
2.11
Anlage zur Erbringung von Vertrauensdiensten
eine vertrauenswürdige dritte Instanz (Trusted Third Party), die in elektronischen Kommunikationsprozessen die jeweilige Identität des Kommunikationspartners bescheinigt.
3.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr bis zum 31. März des Folgejahres zu ermitteln.
5.
Für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 und 2.1.1 ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres jeweils maßgeblich.
6.
Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger betrieblicher Zusammenhang ist unabhängig von der räumlichen Distanz der Anlagen gegeben, wenn die Anlagen
a)
mit gemeinsamen Betriebseinrichtungen oder untereinander verbunden sind,
b)
einem vergleichbaren technischen Zweck dienen und
c)
unter gemeinsamer Leitung oder Steuerung stehen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
7.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1 und 1.2 genannte Schwellenwert ergibt sich aus § 185 Absatz 1 Satz 1 des Telekommunikationsgesetzes in der jeweils geltenden Fassung.
8.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.1 genannte Schwellenwert von 100 autonomen Systemen basiert auf der wirtschaftlichen und regionalen Relevanz der betroffenen IXPs.
9.
Der für die Anlagenkategorie des Teils 3 Nummer 1.4.2 und 1.4.3 genannte Schwellenwert ist unter Annahme von 40 Millionen in der Bundesrepublik Deutschland verwalteten Domains und einer Bedarfsabdeckung von 500 000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:
10.
Die für die Anlagenkategorie des Teils 3 Nummer 2.2.1 genannten Schwellenwerte sind unter Annahme von 1,6 Millionen physischen und 2,4 Millionen virtuellen in der Bundesrepublik Deutschland verwalteten Serverinstanzen und einer Bedarfsabdeckung von 500 000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:
11.
Der für die Anlagenkategorie des Teils 3 Nummer 2.2.2 genannte Schwellenwert ist unter Annahme eines Transportvolumens von 11 826 000 Terabyte/Jahr und einer Bedarfsabdeckung von 500 000 versorgten Personen bei 80 Millionen Personen Gesamtbevölkerung wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1.Sprach- und Datenübertragung
1.1Zugang
1.1.1ZugangsnetzTeilnehmeranschlüsse des Zugangsnetzes nach § 3 Nummer 58 TKG100 000
1.2Übertragung
1.2.1ÜbertragungsnetzVertragspartner des jeweiligen Dienstes100 000
1.2.2SeekabelanlandestationAnzahl der angebundenen Seekabel1
1.3Vermittlung
1.3.1IXPAnzahl angeschlossener autonomer Systeme (Jahresdurchschnitt)100
1.4Steuerung
1.4.1DNS-ResolverAnzahl der Vertragspartner des Zugangsnetzes, in dem der DNS-Resolver betrieben wird100 000
1.4.2Autoritativer DNS-ServerAnzahl der Domains, für die der Server autoritativ ist oder die aus der Zone delegiert werden250 000
1.4.3Top-Level-Domain-Name-RegistryAnzahl der Domains, die verwaltet oder betrieben werden250 000
2.Datenspeicherung- und Verarbeitung
2.1Housing
2.1.1Rechenzentrum (Housing)Vertraglich vereinbarte Leistung in MW3,5
2.2IT-Hosting
2.2.1Serverfarm (Hosting)Anzahl der für Nutzer betriebenen physischen Instanzen (Jahresdurchschnitt)10 000
Anzahl der für Nutzer betriebenen virtuellen Instanzen (Jahresdurchschnitt)15 000
2.2.2Content Delivery NetworkAusgeliefertes Datenvolumen (in TByte/Jahr)75 000
2.3Vertrauensdienste
2.3.1Anlage zur Erbringung von VertrauensdienstenAnzahl der ausgegebenen qualifizierten Zertifikate oder500 000
Anzahl der Zertifikate zur Authentifizierung öffentlich zugänglicher Server (Serverzertifikate, z. B. für Webserver, E-Mailserver, Cloudserver (z. B. TLS/SSL-Zertifikate))10 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 5
Anhang 5

(zu § 1 Absatz 1 Nummer 2 und 3, § 6 Absatz 6 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Gesundheit

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2017, 1910 — 1912bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1Grundsätze und Fristen
1.
Im Sinne von Anhang 5 ist oder sind
1.1
Krankenhaus
ein zugelassenes Krankenhaus im Sinne des § 108 des Fünften Buches Sozialgesetzbuch.
1.2
Produktionsstätte für unmittelbar lebenserhaltende Medizinprodukte, die Verbrauchsgüter sind
eine Betriebsstätte, in der Medizinprodukte für Beatmung/Tracheostomie, parenterale Ernährung, enterale Ernährung, ableitende Inkontinenz, Dialyse und Diabetes – Typ 1 hergestellt werden.
1.3
Abgabestelle
eine Einrichtung, in der Medizinprodukte für Beatmung/Tracheostomie, parenterale Ernährung, enterale Ernährung, ableitende Inkontinenz und Diabetes – Typ 1 abgegeben werden.
1.4
Produktionsstätte für verschreibungspflichtige Arzneimittel zur Anwendung im oder am menschlichen Körper
eine Betriebsstätte, die auf der Grundlage einer Herstellungserlaubnis nach § 13 des Arzneimittelgesetzes Hilfsstoffe und Hilfsmaterialien sowie Wirkstoffe zu verschreibungspflichtigen Arzneimitteln zur Anwendung im oder am menschlichen Körper nach § 48 Absatz 1 des Arzneimittelgesetzes verarbeitet.
1.5
Blut- oder Plasmaspendensteuerungssystem
ein zentrales IT-System in Blutspendeeinrichtungen oder Herstellungseinheiten zur Steuerung und Verwaltung von Entnahme und Weiterverarbeitung von Blut- oder Plasmaspenden zur Anwendung im oder am menschlichen Körper.
1.7
Betriebs- und Lagerraum
eine Einrichtung zur kurzzeitigen Lagerung von verschreibungspflichtigen Arzneimitteln, von Blutspenden und Blut- und Plasmaderivaten sowie zur Weiterverarbeitung oder Aufbereitung von Blutspenden und Blut- und Plasmaderivaten zur Anwendung im oder am menschlichen Körper; Teil der Einrichtung sind Anlagen und Systeme für den Wareneingang, die Lagerung und den Warenausgang.
1.8
Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln
ein zentrales Logistikmanagementsystem für den Vertrieb und die Disposition von verschreibungspflichtigen Arzneimitteln zur Anwendung im oder am menschlichen Körper.
1.9
Apotheke
eine Einrichtung im Sinne des ersten Abschnitts des Apothekengesetzes zur Bereitstellung verschreibungspflichtiger Arzneimittel für Patienten.
1.10
Labor
eine Einrichtung, in der medizinische labordiagnostische Verfahren für Diagnose und Therapiekontrolle in der Humanmedizin durchgeführt und deren Ergebnisse fachärztlich befundet werden.
1.11
Laborinformationsverbund
ein Verbund von Anlagen oder Systemen, die IT-Dienstleistungen für Diagnose und Therapiekontrolle in der Humanmedizin für mindestens ein Labor zur Verfügung stellen; zu den IT-Dienstleistungen zählen insbesondere die Steuerung des Probentransports, die Kommunikation zum Auftragseingang und zur Befundübermittlung sowie der Betrieb eines Laborinformationssystems.
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
5.
Nummer 4 findet keine Anwendung auf Anlagen, die der in Teil 3 Nummer 1.1 genannten Anlagenkategorie zuzuordnen sind.
Teil 2Berechnungsformeln zur Ermittlung der Schwellenwerte
6.
Der für die Anlagenkategorien des Teils 3 Nummer 2.1.1 und 2.2.1 genannte Schwellenwert ist unter Annahme von durchschnittlichen Ausgaben für Medizinprodukte, die Verbrauchsgüter sind, von 181,36 Euro pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

90 680 000 Euro Umsatz/Jahr = 181,36 Euro Umsatz/Jahr x 500 000
7.
Der für die Anlagenkategorien des Teils 3 Nummer 3.1.1 sowie 3.2.1 bis 3.3.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 9,3 Packungen verschreibungspflichtiger Arzneimittel pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

4 650 000 Packungen/Jahr = 9,3 Packungen/Jahr x 500 000
8.
Der für die Anlagenkategorie des Teils 3 Nummer 3.1.2 genannte Schwellenwert ist unter Annahme eines Durchschnittswerts von 0,068 Einheiten hergestellten Erythrozytenkonzentrats, Thrombozytenkonzentrats und Plasmas zur Transfusion pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

34 000 Einheiten/Jahr = 0,068 Einheiten/Jahr x 500 000
9.
Der für die Anlagenkategorien des Teils 3 Nummer 4 genannte Schwellenwert ist unter Annahme eines Durchschnittswerts von 3 Aufträgen für eine labormedizinische Untersuchung pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

1 500 000 Aufträge/Jahr = 3 Aufträge/Jahr x 500 000
Teil 3Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Stationäre medizinische Versorgung
1.1KrankenhausVollstationäre Fallzahl/Jahr30 000
2Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind
2.1Herstellung
2.1.1ProduktionsstätteUmsatz in Euro/Jahr90 680 000
2.2Abgabe
2.2.1AbgabestelleUmsatz in Euro/Jahr90 680 000
3Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper
3.1Herstellung
3.1.1ProduktionsstätteIn Verkehr gebrachte Packungen/Jahr4 650 000
3.1.2Blut- oder PlasmaspendensteuerungssystemHergestellte oder in Verkehr gebrachte Produkte/Jahr34 000
3.2Vertrieb
3.2.1Betriebs- und LagerraumUmgeschlagene Packungen/Jahr4 650 000
3.2.2Anlage oder System zum Vertrieb verschreibungspflichtiger ArzneimittelTransportierte Packungen/Jahr4 650 000
3.3Abgabe
3.3.1ApothekeAbgegebene Packungen/Jahr4 650 000
4Laboratoriumsdiagnostik
4.1LaborAnzahl der Aufträge/Jahr oder1 500 000
4.2Laborinformationsverbundkumulierte Anzahl der Aufträge im Verbund/Jahr1 500 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 6
Anhang 6

(zu § 1 Absatz 1 Nummer 2 und 3, § 7 Absatz 7 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Finanzwesen

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2017, 1913 — 1918bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1Grundsätze und Fristen
1.
Im Sinne von Anhang 6 ist oder sind
1.1
Autorisierungssystem
ein System, mit dem ein angefragter Transaktionsbetrag bei Transaktionen aus Geldautomatensystemen oder aus dem kartengestützten Zahlungsverkehr nach Prüfung der Kartendaten durch das kontoführende Institut oder den Zahlungsdienstleister genehmigt oder abgelehnt wird.
1.2
System zur Anbindung an ein Autorisierungssystem aus Sicht des Geldautomatenbetreibers
ein System, das der Anbindung des Geldautomatenbetreibers an ein Autorisierungssystem des kontoführenden Instituts dient.
1.3
System zur Aufbereitung durch den Geldautomatenbetreiber
ein System eines Geldautomatenbetreibers, welches Nachrichten oder Transaktionen aus Geldautomatensystemen verarbeitet, um die Transaktion in den Zahlungsverkehr einzubringen.
1.4
System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem
ein System, das den Zahlungsdienstleister an die Interbanken-Zahlungsverkehrssysteme anbindet.
1.5
Clearing-System
ein System, das im Interbankenverkehr die Transaktionsdaten (Clearing-Daten) an das kontoführende Institut weiterleitet.
1.6
Settlement-System
ein System zur Verrechnung von Beträgen zwischen den partizipierenden Instituten.
1.7
Kontoführungssystem
ein System des Zahlungsdienstleisters des Zahlers oder des Zahlungsdienstleisters des Zahlungsempfängers zur elektronischen Führung und Verwaltung der Konten.
1.8
Cash Center
Einrichtungen von Wertdienstleistern, in denen Bargeld geprüft, gezählt, sortiert, gelagert oder wieder ausgegeben wird.
1.9
IT-System für das Cash Management
ein System des Wertdienstleisters zur Berichterstattung, zur Bestellung von Bargeld und zum Cash Management des Wertdienstleisters.
1.10
System zur Anbindung an ein Autorisierungssystem aus Sicht des Terminalbetreibers
ein System, das der Anbindung des Terminalbetreibers (zum Beispiel des Netzbetreibers) an ein Autorisierungssystem dient oder Transaktionen zum zuständigen Autorisierungssystem weiterleitet.
1.11
System zur Aufbereitung durch den POS-Terminalbetreiber
ein System eines Netzbetreibers oder POS-Terminalbetreibers, welches Nachrichten oder Transaktionen von POS-Terminals verarbeitet, um Transaktionen in den Zahlungsverkehr einzubringen.
1.12
System zur Annahme der POS-Transaktionsdaten beim Zahlungsdienstleister des Zahlungsempfängers
ein System, das Transaktionen von einem Acquirer annimmt.
1.13
System zur Annahme einer Überweisung oder Lastschrift
ein System, mit dem Überweisungsaufträge oder Aufträge zum Einzug von Lastschriften durch den Zahlungsdienstleister des Zahlers oder des Zahlungsempfängers als kontoführendes Institut angenommen und verarbeitet werden. Hiervon umfasst sind auch Überweisungsaufträge, die über einen Zahlungsauslösedienstleister im Sinne von Artikel 4 Nummer 18 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 eingereicht werden.
1.14
System einer Clearingstelle oder einer zentralen Gegenpartei zur Verrechnung von Wertpapier- und Derivatgeschäften
ein System der Clearingstelle oder einer zentralen Gegenpartei gemäß § 1 Absatz 31 des Kreditwesengesetzes.
1.15
System zur Anbindung für die Verrechnung und Verbuchung von Wertpapier- und Derivatgeschäften
ein System, das der Anbindung eines Teilnehmers oder einer Handelsplattform zu einer Clearingstelle oder zentralen Gegenpartei sowie von einer Clearingstelle oder zentralen Gegenpartei zu einer Verbuchungsstelle dient.
1.16
Wertpapier-Settlement-System
ein Wertpapierliefer- und -abrechnungssystem gemäß Artikel 2 Absatz 1 Nummer 10 der Verordnung (EU) Nr. 909/2014.
1.17
Depotführungssystem eines Finanzmarktinfrastrukturbetreibers
ein System eines Finanzmarktinfrastrukturbetreibers, das zur Prüfung des Depotbestands und für Transaktionen von Depots genutzt wird.
1.18
System eines Zentralverwahrers
ein System eines Zentralverwahrers gemäß Artikel 2 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 909/2014.
1.19
System zur Aufbereitung von Zahlungsanweisungen
ein System eines Finanzmarktbetreibers, welches Wertpapier- oder Derivattransaktionen mittelbar oder unmittelbar verarbeitet, um die Transaktionen in den Zahlungsverkehr einzubringen.
1.20
System für das Erzeugen und Weiterleiten von Aufträgen zum Handel von Wertpapieren und Derivaten an einen Handelsplatz
ein System, in dem Kundenaufträge zum Handel von Wertpapieren und Derivaten entgegengenommen, aufbereitet und an Handelsplätze weitergeleitet werden.
1.21
System eines Handelsplatzes
System eines Handelsplatzes im Sinne des Artikels 4 Nummer 24 der Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014.
1.22
Sonstiges Depotführungssystem
ein System, das zur Prüfung des Depotbestands und für Transaktionen von Depots genutzt wird und nicht zur unmittelbaren Infrastruktur eines Zentralverwahrers in der Rolle eines Finanzmarktinfrastrukturbetreibers gehört.
1.23
(weggefallen)
1.24
(weggefallen)
1.25
(weggefallen)
1.26
(weggefallen)
1.27
(weggefallen)
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Abweichend von Nummer 1 gilt eine Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 5.1.3, 5.1.7 oder 5.1.11 zuzuordnen ist, ab dem 1. April des Kalenderjahres, das auf die drei Kalenderjahre folgt, deren durchschnittlicher Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
5.
Bei der Ermittlung des Versorgungsgrades einer Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 5.1.1, 5.1.4 oder 5.1.8 zuzuordnen ist, sind nur ablaufende Verträge mit Auszahlung der Versicherungsleistung zu berücksichtigen. Ungeachtet der Auszahlungsweise ist jeder Leistungsfall nur einmalig, bei wiederkehrenden Auszahlungen nur bei der erstmaligen Leistungsbearbeitung zu berücksichtigen.
6.
Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
b)
einem identischen technischen Zweck dienen und
c)
unter gemeinsamer Leitung stehen.
Teil 2Berechnungsformeln zur Ermittlung der Schwellenwerte
7.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 und 1.3.1 genannte Schwellenwert ist unter Annahme von 30 Transaktionen mit im Inland ausgegebenen Karten an Terminals (Geldautomaten) in- und ausländischer Zahlungsdienstleister pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

15 000 000 Transaktionen/Jahr = 30 Transaktionen/Jahr x 500 000
8.
Der für die Anlagenkategorie des Teils 3 Nummer 1.4 genannte Schwellenwert ist unter der Annahme von 187 im Cash-Center bearbeiteten Banknoten zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

93 500 000 Banknoten/Jahr = 187 Banknoten/Jahr x 500 000
9.
Der für die Anlagenkategorien des Teils 3 Nummer 1.2.2 bis 1.2.4 und 2.2.3 bis 2.2.5 genannte Schwellenwert ist unter Annahme von 36 Transaktionen als Mittelwert mit im Inland ausgegebenen Karten an POS-Terminals und Geldautomaten in- und ausländischer Zahlungsdienstleister pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

18 000 000 Transaktionen/Jahr = 36 Transaktionen/Jahr x 500 000
10.
Der für die Anlagenkategorien des Teils 3 Nummer 2.1.1 bis 2.2.2 und 2.3.1 genannte Schwellenwert ist unter Annahme von 43 Transaktionen mit im Inland ausgegebenen Karten an Terminals (POS) in- und ausländischer Zahlungsdienstleister und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

21 500 000 Transaktionen/Jahr = 43 Transaktionen/Jahr x 500 000
11.
Der für die Anlagenkategorien des Teils 3 Nummer 3 genannte Schwellenwert ist unter Annahme von 200 Transaktionen bei Überweisungen und Lastschriften pro versorgter Person und pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

100 000 000 Transaktionen/Jahr = 200 Transaktionen/Jahr x 500 000
12.
Der für die Anlagenkategorien des Teils 3 Nummer 4.1.1, 4.1.2, 4.2.1, 4.2.2, 4.2.3, 4.3.1 und 4.5.1 genannte Schwellenwert ist unter Annahme von 1,7 Abwicklungstransaktionen im In- und Ausland pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
13.
Der für die Anlagenkategorien des Teils 3 Nummer 4.4.1 und 4.6.1 genannte Schwellenwert ist unter Annahme von 13,5 Transaktionen pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 Personen wie folgt berechnet:
14.
Der für die Anlagenkategorien des Teils 3 Nummer 5.1.1, 5.1.2 und 5.1.4 genannte Schwellenwert für die private Krankenversicherung ist unter Annahme von vier Leistungsfällen pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
Teil 3Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Bargeldversorgung
1.1Autorisierung einer Abhebung
1.1.1AutorisierungssystemAnzahl der Transaktionen/Jahr15 000 000
1.1.2System zur Anbindung an ein Autorisierungssystem aus Sicht des GeldautomatenbetreibersAnzahl der Transaktionen/Jahr15 000 000
1.2Einbringen in den Zahlungsverkehr
1.2.1System zur Aufbereitung durch den GeldautomatenbetreiberAnzahl der Transaktionen/Jahr15 000 000
1.2.2System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem (Clearing und Settlement)Anzahl der Transaktionen/Jahr18 000 000
1.2.3Clearing-SystemAnzahl der Transaktionen/Jahr18 000 000
1.2.4Settlement-SystemAnzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr18 000 000
1.3Belastung Kundenkonto
1.3.1KontoführungssystemAnzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung verbuchten Transaktionen15 000 000
1.4Bargeldlogistik
1.4.1Cash CenterAnzahl bearbeiteter Banknoten/Jahr93 500 000
1.4.2IT-System für das Cash ManagementAnzahl bearbeiteter Banknoten/Jahr93 500 000
2Kartengestützter Zahlungsverkehr
2.1Autorisierung
2.1.1AutorisierungssystemAnzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung autorisierten Transaktionen21 500 000
2.1.2System zur Anbindung an ein Autorisierungssystem aus Sicht des TerminalbetreibersAnzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung autorisierten Transaktionen21 500 000
2.2Einbringen in den Zahlungsverkehr
2.2.1System zur Aufbereitung durch den POS-TerminalbetreiberAnzahl der Transaktionen/Jahr21 500 000
2.2.2System zur Annahme der POS-Transaktionsdaten beim Zahlungsdienstleister des ZahlungsempfängersAnzahl der Transaktionen/Jahr21 500 000
2.2.3System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem (Clearing und Settlement)Anzahl der Transaktionen/Jahr18 000 000
2.2.4Clearing-SystemAnzahl der Transaktionen/Jahr18 000 000
2.2.5Settlement-SystemAnzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr18 000 000
2.3Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers
2.3.1KontoführungssystemAnzahl der in diesem System bei der Erbringung der jeweiligen kritischen Dienstleistung verbuchten Transaktionen21 500 000
3Konventioneller Zahlungsverkehr
3.1Annahme einer Überweisung oder Lastschrift
3.1.1System zur Annahme einer Überweisung oder LastschriftAnzahl der Transaktionen/Jahr100 000 000
3.2Einbringen in den Zahlungsverkehr
3.2.1System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem (Clearing und Settlement)Anzahl der Transaktionen/Jahr100 000 000
3.2.2Clearing-SystemAnzahl der Transaktionen/Jahr100 000 000
3.2.3Settlement-SystemAnzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr100 000 000
3.3Belastung und Gutschrift auf Kundenkonten
3.3.1KontoführungssystemAnzahl der Transaktionen/Jahr100 000 000
4Handel, Verrechnung und Abwicklung von Wertpapier- und Derivatgeschäften
4.1Verrechnung von Wertpapier- und Derivatgeschäften
4.1.1System einer Clearingstelle oder zentralen Gegenpartei zur Verrechnung von Wertpapier- und DerivatgeschäftenAnzahl der Transaktionen/Jahr850 000
4.1.2System zur Anbindung für die Verrechnung und Verbuchung von Wertpapier- und DerivatgeschäftenAnzahl der Transaktionen/Jahr850 000
4.2Verbuchung Wertpapiere
4.2.1Wertpapier-Settlement-SystemAnzahl der Transaktionen/Jahr850 000
4.2.2Depotführungssystem eines FinanzmarktinfrastrukturbetreibersAnzahl der Transaktionen/Jahr850 000
4.2.3System eines ZentralverwahrersAnzahl der Transaktionen/Jahr850 000
4.3Verbuchung Geld
4.3.1System zur Aufbereitung der ZahlungsanweisungAnzahl der Transaktionen/Jahr850 000
4.4Einbringen von Aufträgen in den Handel
4.4.1System für das Erzeugen von Aufträgen zum Handel von Wertpapieren und Derivaten und Weiterleiten an einen HandelsplatzAnzahl der Transaktionen/Jahr6 750 000
4.5Ausführung des Handels
4.5.1System eines HandelsplatzesAnzahl der Transaktionen/Jahr850 000
4.6Bestandsführung für den Kunden
4.6.1Sonstiges DepotführungssystemAnzahl der Transaktionen/Jahr6 750 000
5(weggefallen)
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 7
Anhang 7

(zu § 1 Absatz 1 Nummer 2 und 3, § 8 Absatz 3 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Transport und Verkehr

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. I 2017, 1918 - 1922bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1Grundsätze und Fristen
1.
Im Sinne von Anhang 7 ist oder sind
1.1
Anlage oder System zur Passagierabfertigung an Flugplätzen
eine Anlage oder ein System für die Passagier- oder Gepäckabfertigung im Sinne von § 2 Nummer 4 in Verbindung mit Anlage 1 Nummer 2 oder 3 der Bodenabfertigungsdienst-Verordnung.
1.2
Anlage oder System zur Frachtabfertigung an Flugplätzen
eine Anlage oder ein System zur Abfertigung von Fracht im Luftverkehr im Sinne von § 2 Nummer 4 in Verbindung mit Anlage 1 Nummer 4 der Bodenabfertigungsdienst-Verordnung.
1.3
Infrastrukturbetrieb eines Flugplatzes
die Gesamtheit aller Anlagen oder Systeme zur Erbringung von sonstigen Bodenabfertigungsdiensten nach § 2 Nummer 4 in Verbindung mit Anlage 1 Nummer 5, 7, 9 oder 10 der Bodenabfertigungsdienst-Verordnung.
1.4
Anlage zur Erbringung von Flugsicherungsdiensten
eine Anlage oder ein System der Flugsicherungsdienste nach der Durchführungsverordnung (EU) 2017/373 der Kommission vom 1. März 2017 zur Festlegung gemeinsamer Anforderungen an Flugverkehrsmanagementanbieter und Anbieter von Flugsicherungsdiensten sowie sonstiger Funktionen des Flugverkehrsmanagementnetzes und die Aufsicht hierüber sowie zur Aufhebung der Verordnung (EG) Nr. 482/2008, der Durchführungsverordnungen (EU) Nr. 1034/2011, (EU) Nr. 1035/2011 und (EU) 2016/1377 und zur Änderung der Verordnung (EU) Nr. 677/2011 (ABl. L 62 vom 8.3.2017, S. 1; L 15 vom 20.1.2020, S. 9), die durch die Durchführungsverordnung (EU) 2020/469 (ABl. L 104 vom 3.4.2020, S. 1) geändert worden ist.
1.5
Verkehrszentrale einer Fluggesellschaft
eine Anlage oder ein System einer Fluggesellschaft zur Planung, Steuerung oder Überwachung des Flugbetriebs, zur Disposition von Personal oder zur Disposition des Wartungsbetriebs.
1.6
Flughafenleitungsorgan
eine Anlage oder ein System zur Verwaltung oder zum Betrieb der Einrichtungen eines Flughafens oder Flughafennetzes oder zur Koordinierung oder Überwachung der Tätigkeiten der verschiedenen Akteure auf einem Flughafen oder in einem Flughafennetz.
1.7
Personenbahnhof der Eisenbahn
ein Bahnhof zur Abwicklung des Reiseverkehrs gemäß § 4 Absatz 1 und 2 der Eisenbahn-Bau- und Betriebsordnung.
1.8
Güterbahnhof
ein Bahnhof zur Abwicklung des Güterverkehrs gemäß § 4 Absatz 1 und 2 der Eisenbahn-Bau- und Betriebsordnung.
1.9
Zugbildungsbahnhof
ein Bahnhof zur Bildung von Zügen (Einzelwagen, Ganzzüge sowie kombinierter Verkehr).
1.10
Schienennetz und Stellwerke der Eisenbahn
ein Schienennetz gemäß § 4 Absatz 3 bis 7 und 10 bis 11 der Eisenbahn-Bau- und Betriebsordnung einschließlich der zugehörigen Stellwerke.
1.11
Verkehrssteuerungs- und Leitsystem der Eisenbahn
die zentrale Einrichtung des Eisenbahninfrastrukturbetreibers, die den Zugbetrieb vorausschauend und bei unerwartet eintretenden Ereignissen disponiert.
1.12
Leitzentrale der Eisenbahn
eine regionale oder überregionale zentrale Einrichtung des Eisenbahnverkehrsunternehmens zur Überwachung des betrieblichen Ist-Zustandes, zur Einleitung von Maßnahmen bei Verspätungen oder Störungsfällen oder zur Disposition der unternehmenseigenen Züge, des Personals oder der Instandhaltung der Fahrzeuge.
1.13
Anlage oder System zum Betrieb von Bundeswasserstraßen
eine Anlage oder ein System zum sicheren Betrieb einer Wasserstraße nach § 1 Absatz 4 Nummer 1 des Bundeswasserstraßengesetzes.
1.14
Verkehrssteuerungs- und Leitsystem der See- und Binnenschifffahrt
Revier- und Verkehrszentralen der Wasserstraßen- und Schifffahrtsverwaltung des Bundes.
1.15
Leitzentrale von Betreibern und Verkehrsunternehmen der Seeschifffahrt
eine Anlage oder ein System zur operativen Steuerung oder zur Disposition des Schiffsraums von Seeschiffen.
1.16
Leitzentrale von Betreibern und Verkehrsunternehmen der Binnenschifffahrt (nur Güterverkehr)
eine Anlage oder ein System zur operativen Steuerung oder zur Disposition des Schiffsraums der Binnenschifffahrtsflotte.
1.17
Umschlaganlage in See- und Binnenhäfen
eine Umschlaganlage in einem See- oder Binnenhafen, in der Container oder lose, unverpackte Güter zwischen Verkehrsträgern (auch den gleichen) be- und entladen, umgeschlagen, sortiert oder zwischenabgestellt werden.
1.18
Hafenleitungsorgan (nur Güterverkehr)
eine Anlage oder ein System zur Koordinierung des Hafenverkehrs, zur Verwaltung des Hafenverkehrs oder zur Koordinierung oder zur Überwachung der Tätigkeiten der Akteure in dem betreffenden Hafen.
1.19
Hafeninformationssystem
eine Anlage oder ein System einer übergreifenden IT-Plattform, welches als Port Community System (PCS), Cargo Community System (CCS) oder Single Submission Portal (SSP) oder der Erfüllung der gesetzlichen Anforderungen an die Hafenanmeldungen nach Artikel 4 der Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG (ABl. L 283 vom 29.10.2010, S. 1), die zuletzt durch die Richtlinie (EU) 2019/883 (ABl. L 151 vom 7.6.2019, S. 116) geändert worden ist, dient.
1.20
Verkehrssteuerungs- und Leitsystem
eine Anlage oder ein System zur Verkehrsbeeinflussung im Straßenverkehr einschließlich der in § 1 Absatz 4 Nummer 1, 3 und 4 des Bundesfernstraßengesetzes genannten Einrichtungen, zum Beispiel Verkehrs-, Betriebs- und Tunnelleitzentralen, Entwässerungsanlagen, intelligente Verkehrssysteme und Fachstellen für Informationstechnik und -sicherheit im Straßenbau, sowie der Telekommunikationsnetze der Bundesautobahnen.
1.21
Verkehrssteuerungs- und Leitsystem im kommunalen Straßenverkehr
ein System für die kommunale Steuerung und Überwachung von Lichtsignalanlagen, von Verkehrsbeeinflussungsanlagen sowie von Verkehrswarn- und Informationssystemen.
1.22
Intelligentes Verkehrssystem
ein intelligentes Verkehrssystem im Sinne des § 2 Nummer 1 des Intelligente-Verkehrssysteme-Gesetzes.
1.23
Schienennetz und Stellwerke des öffentlichen Straßenpersonenverkehrs (ÖSPV)
das schienengebundene Netz des ÖSPV im Sinne des § 4 Absatz 1 bis 3 des Personenbeförderungsgesetzes einschließlich der zu diesen Strecken und Haltestellen gehörenden Stellwerke und Beeinflussungsanlagen sowie der Fahrstromversorgung.
1.24
Leitzentrale des ÖSPV
eine Anlage oder ein System zur betreiberseitigen Überwachung und Steuerung des Verkehrs einschließlich Systeme für die Fahrgastsicherheit und Fahrgastinformation, zur Personaldisposition und Fahrzeugdisposition, auch zur Fahrzeugbereitstellung im Betriebshof, sowie der Flottentelematik. Systeme für die Fahrgastsicherheit und Fahrgastinformation sowie zur Personaldisposition und Fahrzeugdisposition sind nur insoweit erfasst, als deren Störung das Potenzial aufweist, die kritische Dienstleistung erheblich kapazitiv zu beeinträchtigen, oder sie zur Evakuierung im Notfall kritisch sind, insbesondere in unterirdischen Verkehrsanlagen.
1.25
Anlage oder System zur Erbringung operativer Logistikleistungen
eine Anlage oder ein System zur Bereitstellung, Verteilung, Lagerung, Bearbeitung oder zum Transport oder Umschlag von Gütern in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und Luftfracht.
1.26
IT-System zur Logistiksteuerung oder -verwaltung
ein betreiberseitiges, zentrales IT-System zur Gesamtkoordinierung und -steuerung von Logistikdienstleistungen in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und Luftfracht.
1.27
Anlage zur Wettervorhersage, zur Gezeitenvorhersage oder zur Wasserstandsmeldung
eine Anlage oder ein System zur Erbringung von Wettervorhersagen, insbesondere im Kürzestfristbereich (bis zu 12 Stunden), sowie zur Messung von Gezeiten- und Wasserstand (Pegelstation).
1.28
Bodenstation eines europäischen Satellitennavigationssystems
eine Bodenstation im Sinne des Artikels 28 der Verordnung (EU) Nr. 1285/2013 des Europäischen Parlaments und des Rates vom 11. Dezember 2013 betreffend den Aufbau und den Betrieb der europäischen Satellitennavigationssysteme und zur Aufhebung der Verordnung (EG) Nr. 876/2002 des Rates und der Verordnung (EG) Nr. 683/2008 des Europäischen Parlaments und des Rates (ABl. L 347 vom 20.12.2013, S. 1).
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
Teil 2Berechnungsformeln zur Ermittlung der Schwellenwerte
5.
Der für die Anlagenkategorie des Teils 3 Nummer 1.1.4 genannte Schwellenwert ist unter Annahme von durchschnittlich 0,035 Flugbewegungen zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

17 500 Flugbewegungen/Jahr = 0,035 Flugbewegungen/Jahr x 500 000
6.
Der für die Anlagenkategorien des Teils 3 Nummer 1.2.2 und 1.2.3 genannte Schwellenwert ist unter Annahme einer durchschnittlichen disponierten Transportleistung im Schienengüterverkehr von 1 460 Tonnenkilometern zur Versorgung einer Person, eines Regelschwellenwertes von 500 000 versorgten Personen sowie einer durchschnittlichen Transportleistung von 32 000 Tonnenkilometern pro Güterzug pro Jahr wie folgt berechnet:
7.
Der für die Anlagenkategorie des Teils 3 Nummer 1.2.6 genannte Schwellenwert ist unter Annahme einer durchschnittlichen disponierten Transportleistung im Güterschienenverkehr von 1 460 Tonnenkilometern zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

730 000 000 tkm/Jahr = 1 460 tkm/Jahr x 500 000
8.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.5 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Gesamttransportmenge der Binnenschifffahrt von 223 000 000 Tonnen und einer durchschnittlichen Güterumschlagsmenge in deutschen Seehäfen von 300 000 000 Tonnen für einen Regelschwellenwert von 500 000 versorgten Personen bei einer Gesamtbevölkerung von 80 000 000 wie folgt berechnet:
9.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.6 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Frachtmenge der Seeschifffahrtsflotte von 3,75 Tonnen zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

1 875 000 t/Jahr = 3,75 t/Jahr x 500 000
10.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.7 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Transportleistung der durch die Binnenschifffahrtsflotte transportierten Fracht von 691 Tonnenkilometern zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

345 500 000 tkm/Jahr = 691 tkm/Jahr x 500 000
11.
Der für die Anlagenkategorien des Teils 3 Nummer 1.6.1 und 1.6.2 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Gütermenge im Straßenverkehr von 35,1 Tonnen pro Jahr zur Versorgung einer Person und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
Das ermittelte Gewicht von 17 550 000 Tonnen pro Jahr entspricht unter Annahme eines durchschnittlichen Gewichts einer Stückgutsendung von 330 Kilogramm der Anzahl von 53 200 000 Sendungen pro Jahr:
Teil 3
Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Personen- und Güterverkehr
1.1Luftverkehr
1.1.1Anlage oder System zur Passagierabfertigung an FlugplätzenAnzahl der Passagiere/Jahr20 000 000
1.1.2Anlage oder System zur Frachtabfertigung an FlugplätzenGütermenge in Tonnen/Jahr750 000
1.1.3Infrastrukturbetrieb eines FlugplatzesAnzahl der Passagiere/Jahr oder20 000 000
Gütermenge in Tonnen/Jahr750 000
1.1.4Anlage zur Erbringung von FlugsicherungsdienstenAnzahl der Flugbewegungen/Jahr17 500
1.1.5Verkehrszentrale einer FluggesellschaftAnzahl der Passagiere/Jahr oder20 000 000
Gütermenge in Tonnen/Jahr750 000
1.1.6FlughafenleitungsorganAnzahl der Passagiere/Jahr oder20 000 000
Gütermenge in Tonnen/Jahr750 000
1.2Eisenbahnverkehr
1.2.1Personenbahnhof der EisenbahnBahnhofskategoriejeweils höchste Kategorie
1.2.2GüterbahnhofAnzahl ausgehender Züge/Jahr23 000
1.2.3ZugbildungsbahnhofAnzahl gebildete Züge/Jahr23 000
1.2.4Schienennetz und Stellwerke der EisenbahnEinordnung des Schienennetzes nach der Verordnung (EU) Nr. 1315/2013 des Europäischen Parlaments und des Rats vom 11. Dezember 2013 über Leitlinien der Union für den Aufbau eines transeuropäischen Verkehrsnetzes und zur Aufhebung des Beschlusses Nr. 661/2010/EU (ABl. L 348 vom 20.12.2013, S. 1), die zuletzt durch die Delegierte Verordnung (EU) 2019/254 (ABl. L 43 vom 14.2.2019, S. 1) geändert worden istDeutscher Teil des Kernnetzes
1.2.5Verkehrssteuerungs- und Leitsystem der EisenbahnEinordnung des zu dem System gehörenden Schienennetzes nach der Verordnung (EU) Nr. 1315/2013Deutscher Teil des Kernnetzes
1.2.6Leitzentrale der EisenbahnDisponierte Transportleistung (Personenverkehr) in Zugkilometer/Jahr pro Netz/Teilnetz oder8 200 000
disponierte Transportleistung (Güterverkehr) in Tonnenkilometer/Jahr730 000 000
1.3See- und Binnenschifffahrt
1.3.1Anlage oder System zum Betrieb von BundeswasserstraßenGüterverkehrsdichte in Tonnen17 000 000
1.3.2Verkehrssteuerungs- und Leitsystem der See- und BinnenschifffahrtGüterverkehrsdichte in Tonnen17 000 000
1.3.3Hafenleitungsorgan (nur Güterverkehr)Gesamtmenge der bereitgestellten, verteilten, gelagerten oder umgeschlagenen Güter im Zuständigkeitsbereich des Hafens in Tonnen/Jahr50 000 000
1.3.4HafeninformationssystemGesamtmenge der bereitgestellten, verteilten, gelagerten oder umgeschlagenen Güter im Zuständigkeitsbereich des Hafens, in dem die Anlage oder das System eingesetzt wird, in Tonnen/Jahr50 000 000
1.3.5Umschlaganlage in See- und BinnenhäfenAbgefertigte Fracht in Tonnen/Jahr3 270 000
1.3.6Leitzentrale von Betreibern und Verkehrsunternehmen der SeeschifffahrtDisponierte Frachtmenge der Seeschiffe des Betreibers einschließlich gecharterter Schiffe in Tonnen/Jahr1 875 000
1.3.7Leitzentrale von Betreibern und Verkehrsunternehmen der Binnenschifffahrt (nur Güterverkehr)Disponierte Transportleistung der Binnenschiffe des Betreibers einschließlich gecharterter Schiffe in Tonnenkilometer/Jahr345 500 000
1.4Straßenverkehr
1.4.1Verkehrssteuerungs- und LeitsystemArt der zu dem Verkehrssteuerungs- und Leitsystem gehörenden BundesfernstraßenBundesautobahn
1.4.2Verkehrssteuerungs- und Leitsystem im kommunalen StraßenverkehrAnzahl Einwohner der versorgten Stadt500 000
1.4.3Intelligentes VerkehrssystemAnzahl angeschlossener Nutzer oder durchschnittlich im Versorgungsgebiet versorgter Nutzer500 000
1.5ÖPNV
1.5.1Schienennetz und Stellwerke des öffentlichen Straßenpersonenverkehrs (ÖSPV)Anzahl unternehmensbezogene Fahrgastfahrten/Jahr125 000 000
1.5.2Leitzentrale des ÖSPVAnzahl unternehmensbezogene Fahrgastfahrten/Jahr125 000 000
1.6Logistik
1.6.1Anlage oder System zum Betrieb eines Logistikzentrums in den Segmenten Massengut-, Ladungs-, Stückgut-, Kontrakt-, See- oder LuftfrachtlogistikTransportmengen im Im- und Export, sowie im Binnenverkehr in Tonnen/Jahr, soweit diese im Unternehmen erfasst werden, im Übrigen17 550 000
Anzahl der Sendungen pro Jahr53 200 000
1.6.2Anlage oder IT-System zur Logistiksteuerung oder -verwaltung in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und LuftfrachtGesamtmenge bereitgestellte, verteilte, gelagerte, bearbeitete oder umgeschlagene Transporte im Im- und Export, sowie im Binnenverkehr in Tonnen/Jahr, soweit diese im Unternehmen erfasst werden, im Übrigen17 550 000
Anzahl der Sendungen pro Jahr53 200 000
1.7Verkehrsträgerübergreifende Anlagen
1.7.1Anlage zur Wettervorhersage, zur Gezeitenvorhersage oder zur WasserstandsvorhersageEinsatz der Anlage zur Erbringung von Wettervorhersagen insbesondere im Kürzestfristbereich (bis zu 12 Stunden) zur Erfüllung der gesetzlichen Aufgaben nach § 4 Absatz 1 des Gesetzes über den Deutschen Wetterdienst oderzur Aufgabenerfüllung eingesetzte Anlage
Einsatz der Anlage zur Erfüllung der gesetzlichen Aufgaben nach § 1 Nummer 9 des Seeaufgabengesetzeszur Aufgabenerfüllung eingesetzte Anlage
1.7.2Bodenstation eines SatellitennavigationssystemsEinordnung der Anlage nach der Verordnung (EU) Nr. 1285/2013Bodenstationen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 8
Anhang 8

(zu § 1 Absatz 1 Nummer 2 und 3, § 9 Absatz 3 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Siedlungsabfallentsorgung

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. 2023 I Nr. 339, S. 2 – 4bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen

1.
Im Sinne von Anhang 8 ist oder sind
1.1
Anlage zur Disposition der Siedlungsabfallsammlung oder -beförderung
eine Anlage zur Planung, Steuerung, Optimierung und Durchführung der Sammlung oder Beförderung von Siedlungsabfällen, zum Beispiel Dispositionssysteme, Flottenmanagement- oder Enterprise Resource Planning-Systeme (ERP-Systeme).
1.2
Anlage zur Lagerung, Zwischenlagerung und Umladung von Siedlungsabfällen
eine Anlage zur Planung, Steuerung, Optimierung und Durchführung der Lagerung, Zwischenlagerung und Umladung von Siedlungsabfällen zum Zweck des Weitertransports, zum Beispiel Zwischenlager oder Umladestationen.
1.3
Anlage zur thermischen Behandlung von Siedlungsabfällen
eine Anlage zur Verbrennung von Siedlungsabfällen, zum Beispiel Müllverbrennungsanlagen (MVA) oder Ersatzbrennstoffkraftwerke (EBS-Kraftwerke).
1.4
Anlage zur mechanisch-biologischen oder mechanisch-physikalischen Behandlung von Siedlungsabfällen
eine Anlage zur Trennung, Sortierung, Zerkleinerung, Pressung, aeroben oder anaeroben Behandlung von Siedlungsabfällen, zum Beispiel mechanisch-biologische Abfallbehandlungsanlagen (MBA), mechanisch-biologische Stabilisierungsanlagen (MBS) oder mechanisch-physikalische Abfallbehandlungsanlagen (MPS).
1.5
Anlage zur biologischen Behandlung von Siedlungsabfällen
eine Anlage zum hygienisierenden oder biologisch-stabilisierenden Behandeln von getrennt erfassten Bioabfällen, zum Beispiel Kompostierungs- und Vergärungsanlagen.
1.6
Anlage zur mechanischen Behandlung von Siedlungsabfällen
eine Anlage zur Zerkleinerung, Klassierung, Sortierung, Pressung und Palettierung von Siedlungsabfällen.
1.7
Anlage zur Sortierung von Siedlungsabfällen
eine Anlage zur Trennung und Sortierung von Siedlungsabfällen, zum Beispiel Sortieranlagen.
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
Teil 2

Berechnungsformen zur Ermittlung der Schwellenwerte

5.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (Rest- oder gemischter Gewerbeabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 159 kg Rest- oder Hausmüll sowie hausmüllähnliche Gewerbeabfälle, in Bezug auf übliche Restmülltonnen, einer Person pro Jahr wie folgt berechnet:

6.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (Bioabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 67 kg Abfälle aus der Biotonne einer Person pro Jahr wie folgt berechnet:


7.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (LVP- und Kunststoffabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 35 kg Leichtverpackungen und 2 kg Kunststoff (Gesamtmenge: 37 kg) einer Person pro Jahr wie folgt berechnet:


8.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (PPK-Abfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 65 kg Papier, Pappe und Karton einer Person pro Jahr wie folgt berechnet:


9.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (Glasabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 24 kg Glas einer Person pro Jahr wie folgt berechnet:


Teil 3

Anlagekategorien und Schwellenwerte

Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1.Sammlung und Beförderung
1.1Anlage zur Disposition der Siedlungsabfallsammlung oder -beförderungAnzahl Einwohner, die an die Abfallsammlung angeschlossen sind, oder500 000
gesammelter oder beförderter Rest- oder gemischter Gewerbeabfall in Mg/Jahr oder79 500
gesammelter oder beförderter Bioabfall in Mg/Jahr oder33 500
gesammelter oder beförderter LVP- und Kunststoffabfall in Mg/Jahr oder18 500
gesammelter PPK-Abfall in Mg/Jahr oder32 500
gesammelter Glasabfall in Mg/Jahr12 000
1.2Anlage zur Lagerung, Zwischenlagerung und Umladung von SiedlungsabfällenZugang an Rest- oder gemischtem Gewerbeabfall in Mg/Jahr oder79 500
Zugang an Bioabfall in Mg/Jahr oder33 500
Zugang an LVP- und Kunststoffabfall in Mg/Jahr18 500
2.Verwertung und Beseitigung
2.1Anlage zur thermischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr79 500
2.2Anlage zur mechanisch-biologischen oder mechanisch-physikalischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr79 500
2.3Anlage zur biologischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Bioabfall in Mg/Jahr33 500
2.4Anlage zur mechanischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr79 500
2.5Anlage zur Sortierung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr oder79 500
genehmigte Behandlungskapazität von LVP- und Kunststoffabfall in Mg/Jahr18 500
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 9
Anhang 9

(zu § 1 Absatz 1 Nummer 2 und 3, § 8 Absatz 2 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende

BSI-Kritisverordnung (BSI-KritisV) · gilt fort bis zur Rechtsverordnung nach dem KRITIS-Dachgesetz

(Fundstelle: BGBl. 2025 I Nr. 301, S. 52 – 53)

Teil 1Grundsätze und Fristen

1.
Im Sinne von Anhang 9 ist oder sind
1.1
Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung
ein integriertes Anwendungssystem im Bereich der gesetzlichen Kranken- und Pflegeversicherung.
1.2
Leistungssystem
ein integriertes Anwendungssystem zur Erfassung, Prüfung und Berechnung von sozialversicherungsrechtlichen Entgeltersatzleistungen der gesetzliche Unfall- und Arbeitslosenversicherung, der gesetzlichen Rentenversicherung oder ein IT-System der Bundesagentur für Arbeit zur Erfassung, Speicherung, Berechnung und Bewilligung von Leistungen der Grundsicherung für Arbeitsuchende zur Sicherung des Lebensunterhalts nach dem Zweiten Buch Sozialgesetzbuch.
1.3
Auszahlungssystem
ein System zur Auszahlung der Entschädigung, Versicherungsleistung oder Leistungen der Sozialversicherung oder ein IT-System der Bundesagentur für Arbeit zur Auszahlung von Leistungen der Grundsicherung für Arbeitsuchende zur Sicherung des Lebensunterhaltes nach dem Zweiten Buch Sozialgesetzbuch an den Zahlungsempfänger.
2.
Eine Anlage, die einer in Teil 2 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 2 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 2 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
b)
einem identischen technischen Zweck dienen und
c)
unter gemeinsamer Leitung stehen.

Teil 2Anlagenkategorien und Schwellenwerte

Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Leistungen der Sozialversicherung sowie der Grundsicherung für Arbeitsuchende
1.1Leistungen der Sozialversicherung sowie der Grundsicherung für Arbeitsuchende
1.1.1Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und PflegeversicherungAnzahl der Versicherten500 000
1.1.2LeistungssystemLeistungsfälle Sozialversicherungsträger der gesetzlichen Unfall- und Arbeitslosenversicherung/Jahr oder500 000
Anzahl der Versicherungskonten des Sozialversicherungsträgers der gesetzlichen Rentenversicherung oder500 000
Leistungsfälle zur Sicherung des Lebensunterhalts in der Grundsicherung für Arbeitsuchende nach dem Zweiten Buch Sozialgesetzbuch500 000
1.1.3AuszahlungssystemLeistungsfälle Sozialversicherungsträger der gesetzlichen Unfall- und Arbeitslosenversicherung/Jahr oder500 000
Anzahl der Versicherungskonten des Sozialversicherungsträgers der gesetzlichen Rentenversicherung oder500 000
Leistungsfälle zur Sicherung des Lebensunterhalts in der Grundsicherung für Arbeitsuchende nach dem Zweiten Buch Sozialgesetzbuch500 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 1
Artikel 1

Gegenstand

DVO (EU) 2024/2690 — Artikelteil
Gegenstand
In dieser Verordnung werden in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter (im Folgenden „betreffende Einrichtungen“) die technischen und methodischen Anforderungen der in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 genannten Maßnahmen festgelegt und die Fälle präzisiert, in denen ein Sicherheitsvorfall gemäß Artikel 23 Absatz 3 der Richtlinie (EU) 2022/2555 als erheblich anzusehen ist.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 2
Artikel 2

Technische und methodische Anforderungen

DVO (EU) 2024/2690 — Artikelteil
(1)
Für die betreffenden Einrichtungen sind im Anhang dieser Verordnung die technischen und methodischen Anforderungen der in Artikel 21 Absatz 2 Buchstaben a bis j der Richtlinie (EU) 2022/2555 genannten Risikomanagementmaßnahmen im Bereich der Cybersicherheit festgelegt.
(2)
Bei der Umsetzung und Anwendung der technischen und methodischen Anforderungen der im Anhang dieser Verordnung festgelegten Risikomanagementmaßnahmen im Bereich der Cybersicherheit gewährleisten die betreffenden Einrichtungen ein den bestehenden Risiken angemessenes Sicherheitsniveau der Netz- und Informationssysteme. Zu diesem Zweck tragen sie dem Ausmaß ihrer Risikoexposition, ihrer Größe und der Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen, gebührend Rechnung, wenn sie die im Anhang dieser Verordnung festgelegten technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit erfüllen.
Ist im Anhang dieser Verordnung vorgesehen, dass eine technische oder methodische Anforderung einer Risikomanagementmaßnahmen im Bereich der Cybersicherheit nur anzuwenden ist, soweit dies angemessen, anwendbar oder durchführbar ist, und hält es eine betreffende Einrichtung für nicht angemessen, nicht anwendbar oder nicht durchführbar, bestimmte technische und methodische Anforderungen anzuwenden, so muss die betreffende Einrichtung ihre diesbezügliche Begründung in verständlicher Weise dokumentieren.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 3
Artikel 3

Erhebliche Sicherheitsvorfälle

DVO (EU) 2024/2690 — Artikelteil
(1)
Ein Sicherheitsvorfall gilt in Bezug auf die betreffenden Einrichtungen als erheblich im Sinne von Artikel 23 Absatz 3 der Richtlinie (EU) 2022/2555, wenn eines oder mehrere der folgenden Kriterien erfüllt sind:
a)
der Vorfall hat der betreffenden Einrichtung einen direkten finanziellen Verlust in Höhe von mehr als 500 000 EUR oder 5 % ihres jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr — je nachdem, welcher Wert niedriger ist — verursacht oder kann einen solchen Verlust verursachen;
b)
der Vorfall hat den Abfluss von Geschäftsgeheimnissen der betreffenden Einrichtung im Sinne von Artikel 2 Nummer 1 der Richtlinie (EU) 2016/943 verursacht oder kann einen solchen Abfluss verursachen;
c)
der Vorfall hat den Tod einer natürlichen Person verursacht oder kann einen solchen Tod verursachen;
d)
der Vorfall hat eine schwere Schädigung der Gesundheit einer natürlichen Person verursacht oder kann eine solche Schädigung verursachen;
e)
es hat einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme gegeben, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen;
f)
der Vorfall erfüllt die in Artikel 4 aufgeführten Kriterien;
g)
der Vorfall erfüllt eines oder mehrere der in den Artikeln 5 bis 14 aufgeführten Kriterien.
6 Sollmaßnahmen
N-DVOA3.001Kriterium: direkter finanzieller Verlust
N-DVOA3.002Kriterium: Abfluss von Geschäftsgeheimnissen
N-DVOA3.003Kriterium: Tod einer natürlichen Person
N-DVOA3.004Kriterium: schwere Gesundheitsschädigung
N-DVOA3.005Kriterium: böswilliger unbefugter Zugriff
N-DVOA3.009Gelebte Vorfallbewertung
(2)
Planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten, die von oder im Auftrag der betreffenden Einrichtungen durchgeführt werden, gelten nicht als erhebliche Sicherheitsvorfälle.
1 Sollmaßnahme
N-DVOA3.006Ausnahme: planmäßige Wartung
(3)
Bei der Berechnung der Zahl der von einem Sicherheitsvorfall betroffenen Nutzer für die Zwecke der Artikel 7 und Artikel 9 bis 14 berücksichtigen die betreffenden Einrichtungen Folgendes:
a)
die Zahl der Kunden, die mit der betreffenden Einrichtung einen Vertrag geschlossen haben, der ihnen Zugang zu den Netz- und Informationssystemen der betreffenden Einrichtung oder über diese Netz- und Informationssysteme angebotenen oder zugänglichen Diensten verschafft;
b)
die Zahl der natürlichen oder juristischen Personen, die mit Geschäftskunden verbunden sind, die Netz- und Informationssysteme der betreffenden Einrichtung oder über diese Netz- und Informationssysteme angebotene oder zugängliche Diensten nutzen.
2 Sollmaßnahmen
N-DVOA3.007Nutzerzählung: Vertragskunden
N-DVOA3.008Nutzerzählung: verbundene Nutzer von Geschäftskunden
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 4
Artikel 4

Wiederholte Sicherheitsvorfälle

DVO (EU) 2024/2690 — Artikelteil
Wiederholte Sicherheitsvorfälle
Sicherheitsvorfälle, die einzeln betrachtet nach Artikel 3 nicht als erhebliche Sicherheitsvorfälle angesehen werden, gelten zusammengenommen als ein erheblicher Sicherheitsvorfall, wenn sie alle folgenden Kriterien erfüllen:
a)
sie sind innerhalb von sechs Monaten mindestens zwei Mal aufgetreten;
b)
sie haben dieselbe offensichtliche Ursache;
c)
sie erfüllen zusammengenommen die in Artikel 3 Absatz 1 Buchstabe a aufgeführten Kriterien.
2 Sollmaßnahmen
N-DVOA4.001Zusammenrechnung wiederholter Vorfälle
N-DVOA4.002Nachhalten wiederholter Vorfälle
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 5
Artikel 5

Erhebliche Sicherheitsvorfälle in Bezug auf DNS-Diensteanbieter

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf DNS-Diensteanbieter
In Bezug auf DNS-Diensteanbieter gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein rekursiver oder autoritativer Dienst zur Auflösung von Domänennamen ist mehr als 30 Minuten lang vollständig nicht verfügbar;
b)
mehr als eine Stunde lang beträgt die durchschnittliche Antwortzeit eines rekursiven oder autoritativen Dienstes zur Auflösung von Domänennamen auf DNS-Anfragen mehr als 10 Sekunden;
c)
die Integrität, Vertraulichkeit oder Authentizität der Daten, die im Zusammenhang mit der Bereitstellung des autoritativen Dienstes zur Auflösung von Domänennamen gespeichert, übermittelt oder verarbeitet werden, ist beeinträchtigt, außer falls die Daten von weniger als 1 000 Domänennamen, die von dem DNS-Diensteanbieter verwaltet werden und die höchstens 1 % der von dem DNS-Diensteanbieter verwalteten Domänennamen ausmachen, aufgrund einer Fehlkonfiguration nicht korrekt sind.
3 Sollmaßnahmen
N-DVOA5.001DNS: vollständiger Ausfall der Namensauflösung
N-DVOA5.002DNS: überhöhte Antwortzeiten
N-DVOA5.003DNS: Beeinträchtigung der Auflösungsdaten
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 6
Artikel 6

Erhebliche Sicherheitsvorfälle in Bezug auf TLD-Namenregister

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf TLD-Namenregister
In Bezug auf TLD-Namenregister gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein autoritativer Dienst zur Auflösung von Domänennamen ist vollständig nicht verfügbar;
b)
mehr als eine Stunde lang beträgt die durchschnittliche Antwortzeit eines autoritativen Dienstes zur Auflösung von Domänennamen auf DNS-Anfragen mehr als 10 Sekunden;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem technischen Betrieb der TLD gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt.
3 Sollmaßnahmen
N-DVOA6.001TLD: vollständiger Ausfall der Namensauflösung
N-DVOA6.002TLD: überhöhte Antwortzeiten
N-DVOA6.003TLD: Beeinträchtigung der Betriebsdaten
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 7
Artikel 7

Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Cloud-Computing-Diensten

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Cloud-Computing-Diensten
In Bezug auf Anbieter von Cloud-Computing-Diensten gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein erbrachter Cloud-Computing-Dienst ist mehr als 30 Minuten lang vollständig nicht verfügbar;
b)
die Verfügbarkeit eines Cloud-Computing-Dienstes eines Anbieters ist für mehr als 5 % der Nutzer des Cloud-Computing-Dienstes in der Union oder für mehr als 1 Mio. Nutzer des Cloud-Computing-Dienstes in der Union — je nachdem, welche Zahl niedriger ist — für eine Dauer von mehr als einer Stunde eingeschränkt;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit der Erbringung eines Cloud-Computing-Dienstes gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit der Erbringung eines Cloud-Computing-Dienstes gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer des Cloud-Computing-Dienstes in der Union oder auf mehr als 1 Mio. Nutzer des Cloud-Computing-Dienstes in der Union — je nachdem, welche Zahl niedriger ist — aus.
4 Sollmaßnahmen
N-DVOA7.001Cloud: vollständiger Dienstausfall
N-DVOA7.002Cloud: eingeschränkte Verfügbarkeit für viele Nutzer
N-DVOA7.003Cloud: böswillige Datenbeeinträchtigung
N-DVOA7.004Cloud: Datenbeeinträchtigung mit breiter Nutzerwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 8
Artikel 8

Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Rechenzentrumsdiensten

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Rechenzentrumsdiensten
In Bezug auf Anbieter von Rechenzentrumsdiensten gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein Rechenzentrumsdienst eines vom Anbieter betriebenen Rechenzentrums ist vollständig nicht verfügbar;
b)
die Verfügbarkeit eines Rechenzentrumsdienstes eines vom Anbieter betriebenen Rechenzentrums ist für eine Dauer von mehr als einer Stunde eingeschränkt;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit der Erbringung eines Rechenzentrumsdienstes gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
der physische Zugang zu einem von dem Anbieter betriebenen Rechenzentrum ist beeinträchtigt.
4 Sollmaßnahmen
N-DVOA8.001Rechenzentrum: vollständiger Dienstausfall
N-DVOA8.002Rechenzentrum: eingeschränkte Verfügbarkeit
N-DVOA8.003Rechenzentrum: böswillige Datenbeeinträchtigung
N-DVOA8.004Rechenzentrum: Beeinträchtigung des physischen Zugangs
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 9
Artikel 9

Erhebliche Sicherheitsvorfälle in Bezug auf Betreiber von Inhaltszustellnetzen

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Betreiber von Inhaltszustellnetzen
In Bezug auf Betreiber von Inhaltszustellnetzen gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein Inhaltszustellnetz ist mehr als 30 Minuten lang vollständig nicht verfügbar;
b)
die Verfügbarkeit eines Inhaltszustellnetzes ist für mehr als 5 % der Nutzer des Inhaltszustellnetzes in der Union oder für mehr als 1 Mio. Nutzer des Inhaltszustellnetzes in der Union — je nachdem, welche Zahl niedriger ist — für eine Dauer von mehr als einer Stunde eingeschränkt;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb eines Inhaltszustellnetzes gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb eines Inhaltszustellnetzes gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer des Inhaltszustellnetzes in der Union oder auf mehr als 1 Mio. Nutzer des Inhaltszustellnetzes in der Union — je nachdem, welche Zahl niedriger ist — aus.
4 Sollmaßnahmen
N-DVOA9.001CDN: vollständiger Netzausfall
N-DVOA9.002CDN: eingeschränkte Verfügbarkeit für viele Nutzer
N-DVOA9.003CDN: böswillige Datenbeeinträchtigung
N-DVOA9.004CDN: Datenbeeinträchtigung mit breiter Nutzerwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 10
Artikel 10

Erhebliche Sicherheitsvorfälle in Bezug Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste
In Bezug auf Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein verwalteter Dienst oder ein verwalteter Sicherheitsdienst ist mehr als 30 Minuten lang vollständig nicht verfügbar;
b)
die Verfügbarkeit eines verwalteten Dienstes oder verwalteten Sicherheitsdienstes ist für mehr als 5 % der Nutzer des Dienstes in der Union oder für mehr als 1 Mio. Nutzer des Dienstes in der Union — je nachdem, welche Zahl niedriger ist — für eine Dauer von mehr als einer Stunde eingeschränkt;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit der Erbringung eines verwalteten Dienstes oder verwalteten Sicherheitsdienstes gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit der Erbringung eines verwalteten Dienstes oder verwalteten Sicherheitsdienstes gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer des Dienstes in der Union oder auf mehr als 1 Mio. Nutzer des Dienstes in der Union — je nachdem, welche Zahl niedriger ist — aus.
4 Sollmaßnahmen
N-DVOA10.001MSP/MSSP: vollständiger Dienstausfall
N-DVOA10.002MSP/MSSP: eingeschränkte Verfügbarkeit für viele Nutzer
N-DVOA10.003MSP/MSSP: böswillige Datenbeeinträchtigung
N-DVOA10.004MSP/MSSP: Datenbeeinträchtigung mit breiter Nutzerwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 11
Artikel 11

Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Online-Marktplätzen

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Online-Marktplätzen
In Bezug auf Anbieter von Online-Marktplätzen gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein Online-Marktplatz ist für mehr als 5 % der Nutzer des Online-Marktplatzes in der Union oder für mehr als 1 Mio. Nutzer des Online-Marktplatzes in der Union — je nachdem, welche Zahl niedriger ist — vollständig nicht verfügbar;
b)
mehr als 5 % der Nutzer eines Online-Marktplatzes in der Union oder mehr als 1 Mio. Nutzer eines Online-Marktplatzes in der Union — je nachdem, welche Zahl niedriger ist — sind von einer eingeschränkten Verfügbarkeit des Online-Marktplatzes betroffen;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb eines Online-Marktplatzes gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb eines Online-Marktplatzes gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer des Online-Marktplatzes in der Union oder auf mehr als 1 Mio. Nutzer des Online-Marktplatzes in der Union — je nachdem, welche Zahl niedriger ist — aus.
4 Sollmaßnahmen
N-DVOA11.001Online-Marktplatz: vollständige Nichtverfügbarkeit
N-DVOA11.002Online-Marktplatz: eingeschränkte Verfügbarkeit
N-DVOA11.003Online-Marktplatz: böswillige Datenbeeinträchtigung
N-DVOA11.004Online-Marktplatz: Datenbeeinträchtigung mit breiter Nutzerwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 12
Artikel 12

Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Online-Suchmaschinen

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Online-Suchmaschinen
In Bezug auf Anbieter von Online-Suchmaschinen gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
eine Online-Suchmaschine ist für mehr als 5 % der Nutzer der Online-Suchmaschine in der Union oder für mehr als 1 Mio. Nutzer der Online-Suchmaschine in der Union — je nachdem, welche Zahl niedriger ist — vollständig nicht verfügbar;
b)
mehr als 5 % der Nutzer einer Online-Suchmaschine in der Union oder mehr als 1 Mio. Nutzer einer Online-Suchmaschine in der Union — je nachdem, welche Zahl niedriger ist — sind von einer eingeschränkten Verfügbarkeit der Online-Suchmaschine betroffen;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb einer Online-Suchmaschine gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb einer Online-Suchmaschine gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer der Online-Suchmaschine in der Union oder auf mehr als 1 Mio. Nutzer der Online-Suchmaschine in der Union — je nachdem, welche Zahl niedriger ist — aus.
4 Sollmaßnahmen
N-DVOA12.001Suchmaschine: vollständige Nichtverfügbarkeit
N-DVOA12.002Suchmaschine: eingeschränkte Verfügbarkeit
N-DVOA12.003Suchmaschine: böswillige Datenbeeinträchtigung
N-DVOA12.004Suchmaschine: Datenbeeinträchtigung mit breiter Nutzerwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 13
Artikel 13

Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Plattformen für Dienste sozialer Netzwerke

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Anbieter von Plattformen für Dienste sozialer Netzwerke
In Bezug auf Anbieter von Plattformen für Dienste sozialer Netzwerke gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
eine Plattform für Dienste sozialer Netzwerke ist für mehr als 5 % der Nutzer der Plattform für Dienste sozialer Netzwerke in der Union oder für mehr als 1 Mio. Nutzer der Plattform für Dienste sozialer Netzwerke in der Union — je nachdem, welche Zahl niedriger ist — vollständig nicht verfügbar;
b)
mehr als 5 % der Nutzer einer Plattform für Dienste sozialer Netzwerke in der Union oder mehr als 1 Mio. Nutzer einer Plattform für Dienste sozialer Netzwerke in der Union — je nachdem, welche Zahl niedriger ist — sind von einer eingeschränkten Verfügbarkeit der Plattform für Dienste sozialer Netzwerke betroffen;
c)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb einer Plattform für Dienste sozialer Netzwerke gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
d)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb einer Plattform für Dienste sozialer Netzwerke gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer der Plattform für Dienste sozialer Netzwerke in der Union oder auf mehr als 1 Mio. Nutzer der Plattform für Dienste sozialer Netzwerke in der Union — je nachdem, welche Zahl niedriger ist — aus.
4 Sollmaßnahmen
N-DVOA13.001Soziales Netzwerk: vollständige Nichtverfügbarkeit
N-DVOA13.002Soziales Netzwerk: eingeschränkte Verfügbarkeit
N-DVOA13.003Soziales Netzwerk: böswillige Datenbeeinträchtigung
N-DVOA13.004Soziales Netzwerk: Datenbeeinträchtigung mit breiter Nutzerwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 14
Artikel 14

Erhebliche Sicherheitsvorfälle in Bezug auf Vertrauensdiensteanbieter

DVO (EU) 2024/2690 — Artikelteil
Erhebliche Sicherheitsvorfälle in Bezug auf Vertrauensdiensteanbieter
In Bezug auf Vertrauensdiensteanbieter gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:
a)
ein Vertrauensdienst ist mehr als 20 Minuten lang vollständig nicht verfügbar;
b)
ein Vertrauensdienst ist für Nutzer oder vertrauende Beteiligte im Laufe einer Kalenderwoche mehr als eine Stunde lang nicht verfügbar;
c)
mehr als 1 % der Nutzer oder vertrauenden Beteiligten in der Union oder mehr als 200 000 Nutzer oder vertrauende Beteiligte in der Union — je nachdem, welche Zahl niedriger ist — sind von einer eingeschränkten Verfügbarkeit eines Vertrauensdienstes betroffen;
d)
der physische Zugang zu einem Bereich, in dem sich Netz- und Informationssysteme befinden und zu dem nur vertrauenswürdiges Personal des Vertrauensdiensteanbieters Zugang hat, oder der Schutz dieses physischen Zugangs ist beeinträchtigt;
e)
die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit der Erbringung eines Vertrauensdienstes gespeicherten, übermittelten oder verarbeiteten Daten ist beeinträchtigt, und dies wirkt sich auf mehr als 0,1 % der Nutzer oder vertrauenden Beteiligten oder auf mehr als 100 Nutzer oder vertrauende Beteiligte des Vertrauensdienstes in der Union — je nachdem, welche Zahl niedriger ist — aus.
5 Sollmaßnahmen
N-DVOA14.001Vertrauensdienst: vollständiger Ausfall
N-DVOA14.002Vertrauensdienst: Nichtverfügbarkeit je Kalenderwoche
N-DVOA14.003Vertrauensdienst: eingeschränkte Verfügbarkeit für viele Beteiligte
N-DVOA14.004Vertrauensdienst: Beeinträchtigung gesicherter Bereiche
N-DVOA14.005Vertrauensdienst: Datenbeeinträchtigung mit Beteiligtenwirkung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 15
Artikel 15

Aufhebung

DVO (EU) 2024/2690 — Artikelteil
Aufhebung
Die Durchführungsverordnung (EU) 2018/151 der Kommission (4) wird aufgehoben.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Art. 16
Artikel 16

Inkrafttreten und Geltungsbeginn

DVO (EU) 2024/2690 — Artikelteil
Inkrafttreten und Geltungsbeginn
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 1›Nr. 1.1
Nummer 1.1

Konzept für die Sicherheit von Netz- und Informationssystemen

DVO (EU) 2024/2690 — Anhang, Nr. 1: Konzept für die Sicherheit von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555
1.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555 muss das Konzept für die Sicherheit von Netz- und Informationssystemen
a)
den Ansatz der betreffenden Einrichtungen für das Management der Sicherheit ihrer Netz- und Informationssysteme darlegen;
1 Sollmaßnahme
N-1.1.002Ansatz für das Sicherheitsmanagement
b)
für die Geschäftsstrategie und die Ziele der betreffenden Einrichtungen geeignet sein und diese ergänzen;
1 Sollmaßnahme
N-1.1.003Passung zu Geschäftsstrategie und Zielen
c)
die Ziele der Sicherheit von Netz- und Informationssystemen darlegen;
1 Sollmaßnahme
N-1.1.004Sicherheitsziele
d)
eine Verpflichtung zur kontinuierlichen Verbesserung der Sicherheit von Netz- und Informationssystemen enthalten;
1 Sollmaßnahme
N-1.1.005Verpflichtung zur kontinuierlichen Verbesserung
e)
eine Verpflichtung enthalten, die für seine Umsetzung erforderlichen angemessenen Ressourcen bereitzustellen, einschließlich des erforderlichen Personals, der erforderlichen Finanzmittel sowie der Verfahren, Instrumente und Technologien;
1 Sollmaßnahme
N-1.1.006Verpflichtung zur Ressourcenbereitstellung
f)
den einschlägigen Mitarbeitenden und interessierten externen Beteiligten mitgeteilt und von ihnen anerkannt werden;
2 Sollmaßnahmen
N-1.1.007Bekanntmachung und Anerkennung des Konzepts
N-1.1.014Gelebte Bekanntmachung des Konzepts
g)
die Festlegung der Rollen und Verantwortlichkeiten gemäß Nummer 1.2 enthalten;
1 Sollmaßnahme
N-1.1.008Rollen und Verantwortlichkeiten im Konzept
h)
die aufzubewahrenden Unterlagen und die Dauer ihrer Aufbewahrung aufführen;
1 Sollmaßnahme
N-1.1.009Aufzubewahrende Unterlagen
i)
die themenspezifischen Konzepte aufführen;
1 Sollmaßnahme
N-1.1.010Verzeichnis der themenspezifischen Konzepte
j)
Indikatoren und Maßnahmen zur Überwachung seiner Umsetzung und des aktuellen Reifegrads der Netz- und Informationssicherheit in den betreffenden Einrichtungen festlegen;
2 Sollmaßnahmen
N-1.1.011Kennzahlen zur Umsetzungsüberwachung
N-1.1.015Erhebung der Kennzahlen
k)
das Datum der förmlichen Genehmigung durch die Leitungsorgane der betreffenden Einrichtungen (im Folgenden „Leitungsorgane“) enthalten.
1 Sollmaßnahme
N-1.1.012Förmliche Genehmigung durch die Geschäftsleitung
1 Sollmaßnahme
N-1.1.001Konzept für die Sicherheit der IT-Systeme
1.1.2.
Das Konzept für die Sicherheit von Netz- und Informationssystemen wird von den Leitungsorganen mindestens jährlich sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken überprüft und – soweit angemessen – aktualisiert. Das Ergebnis der Überprüfung wird dokumentiert.
1 Sollmaßnahme
N-1.1.013Review des Konzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 1›Nr. 1.2
Nummer 1.2

Rollen, Verantwortlichkeiten und Weisungsbefugnisse

DVO (EU) 2024/2690 — Anhang, Nr. 1: Konzept für die Sicherheit von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555
1.2.1.
Im Rahmen ihres Konzepts für die Sicherheit von Netz- und Informationssystemen gemäß Nummer 1.1 legen die betreffenden Einrichtungen Verantwortlichkeiten und Weisungsbefugnisse für die Sicherheit von Netz- und Informationssystemen fest und ordnen sie den Rollen zu, weisen sie entsprechend dem Bedarf der jeweiligen Einrichtungen zu und teilen dies den Leitungsorganen mit.
2 Sollmaßnahmen
N-1.2.001Rollen, Verantwortlichkeiten und Weisungsbefugnisse
N-1.2.007Besetzte und mitgeteilte Rollen
1.2.2.
Die betreffenden Einrichtungen verlangen von allen Mitarbeitenden und Dritten, die Netz- und Informationssystemsicherheit entsprechend dem festgelegten Konzept für die Sicherheit von Netz- und Informationssystemen, den themenspezifischen Konzepten und den Verfahren der betreffenden Einrichtungen anzuwenden.
1 Sollmaßnahme
N-1.2.002Verpflichtung von Mitarbeitenden und Dritten
1.2.3.
Mindestens eine Person muss gegenüber den Leitungsorganen direkt für Fragen der Sicherheit von Netz- und Informationssystemen verantwortlich sein.
2 Sollmaßnahmen
N-1.2.003Direkt verantwortliche Person für die IT-Sicherheit
N-1.2.008Etablierter direkter Berichtsweg
1.2.4.
Je nach Größe der betreffenden Einrichtungen wird die Sicherheit von Netz- und Informationssystemen durch spezielle Rollen oder Aufgaben abgedeckt, die zusätzlich zu den bestehenden Rollen übernommen werden.
1 Sollmaßnahme
N-1.2.004Spezielle Sicherheitsrollen nach Größe
1.2.5.
Widerstrebende Pflichten und sich widersprechende Verantwortlichkeiten werden – soweit anwendbar – getrennt.
2 Sollmaßnahmen
N-1.2.005Funktionstrennung
N-1.2.009Umgesetzte Funktionstrennung
1.2.6.
Die Rollen, Verantwortlichkeiten und Weisungsbefugnisse werden von den Leitungsorganen in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken überprüft und – soweit angemessen – aktualisiert.
1 Sollmaßnahme
N-1.2.006Review der Rollen und Verantwortlichkeiten
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 2›Nr. 2.1
Nummer 2.1

Risikomanagementrahmen

DVO (EU) 2024/2690 — Anhang, Nr. 2: Konzept für das Risikomanagement · Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555
2.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555 führen die betreffenden Einrichtungen einen geeigneten Risikomanagementrahmen ein, um die Risiken für die Sicherheit von Netz- und Informationssystemen zu ermitteln und anzugehen, und erhalten diesen Rahmen aufrecht. Die betreffenden Einrichtungen führen Risikobewertungen durch und dokumentieren diese; auf der Grundlage der Ergebnisse erstellen sie einen Risikobehandlungsplan, setzen diesen um und überwachen ihn. Die Ergebnisse der Risikobewertung und die Restrisiken werden von den Leitungsorganen oder – soweit anwendbar – von Personen akzeptiert, die für das Risikomanagement rechenschaftspflichtig und befugt sind, sofern die betreffenden Einrichtungen für eine angemessene Berichterstattung an die Leitungsorgane sorgen.
2 Sollmaßnahmen
N-2.1.002Risikobewertung, Behandlungsplan und Risikoakzeptanz
N-2.1.015Durchgeführte Risikobewertung und akzeptierte Restrisiken
2.1.2.
Für die Zwecke von Nummer 2.1.1 legen die betreffenden Einrichtungen Verfahren für die Ermittlung, Analyse, Bewertung und Behandlung von Risiken fest („Risikomanagementverfahren im Bereich der Cybersicherheit“). Das Risikomanagementverfahren im Bereich der Cybersicherheit ist – soweit anwendbar – fester Bestandteil des gesamten Risikomanagementverfahrens der betreffenden Einrichtungen. Als Teil des Risikomanagementverfahrens im Bereich der Cybersicherheit müssen die betreffenden Einrichtungen
a)
eine Risikomanagementmethodik befolgen;
1 Sollmaßnahme
N-2.1.003Risikomanagementmethodik
b)
eine Risikotoleranzschwelle im Einklang mit der Risikobereitschaft der betreffenden Einrichtungen festlegen;
1 Sollmaßnahme
N-2.1.004Risikotoleranzschwelle
c)
einschlägige Risikokriterien einführen und pflegen;
1 Sollmaßnahme
N-2.1.005Risikokriterien
d)
im Einklang mit einem gefahrenübergreifenden Ansatz die bestehenden Risiken für die Sicherheit von Netz- und Informationssystemen ermitteln und dokumentieren, insbesondere in Bezug auf Dritte sowie auf Risiken, die zu Störungen der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der Netz- und Informationssysteme führen könnten, wobei auch punktuelle Ausfälle zu ermitteln sind;
2 Sollmaßnahmen
N-2.1.006Gefahrenübergreifende Risikoermittlung
N-2.1.016Dokumentierte Risiken
e)
die bestehenden Risiken für die Sicherheit von Netz- und Informationssystemen analysieren, einschließlich des Niveaus der Bedrohung, der Wahrscheinlichkeit, der Auswirkung und des Risikos unter Berücksichtigung der Erkenntnisse über Cyberbedrohungen und Schwachstellen;
1 Sollmaßnahme
N-2.1.007Risikoanalyse
f)
die ermittelten Risiken auf der Grundlage der Risikokriterien bewerten;
1 Sollmaßnahme
N-2.1.008Risikobewertung anhand der Kriterien
g)
geeignete Optionen und Maßnahmen für die Behandlung von Risiken bestimmen;
1 Sollmaßnahme
N-2.1.009Optionen für die Risikobehandlung
h)
die Umsetzung der Maßnahmen für die Behandlung von Risiken fortlaufend überwachen;
2 Sollmaßnahmen
N-2.1.010Überwachung der Maßnahmenumsetzung
N-2.1.017Nachverfolgte Maßnahmenumsetzung
i)
ermitteln, wer für die Umsetzung der Maßnahmen für die Behandlung von Risiken verantwortlich ist und wann diese erfolgen sollte;
1 Sollmaßnahme
N-2.1.011Verantwortliche und Termine der Risikobehandlung
j)
die gewählten Maßnahmen für die Behandlung von Risiken in einem Risikobehandlungsplan dokumentieren und die Gründe für das Eingehen der Restrisiken umfassend erläutern.
1 Sollmaßnahme
N-2.1.012Dokumentation im Risikobehandlungsplan
1 Sollmaßnahme
N-2.1.001Verfahren für das Cyber-Risikomanagement
2.1.3.
Bei der Ermittlung und Priorisierung geeigneter Risikomanagementoptionen und -maßnahmen berücksichtigen die betreffenden Einrichtungen die Ergebnisse der Risikobewertung, die Ergebnisse des Verfahrens zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit, die Umsetzungskosten im Verhältnis zum erwarteten Nutzen, die in Nummer 12.1 genannte Klassifizierung von Anlagen und Werten und die in Nummer 4.1.3 genannte Analyse der betrieblichen Auswirkungen.
1 Sollmaßnahme
N-2.1.013Priorisierung der Behandlungsmaßnahmen
2.1.4.
Die betreffenden Einrichtungen bewerten die Ergebnisse der Risikobewertung und den Risikobehandlungsplan in geplanten Zeitabständen und mindestens jährlich sowie bei wesentlichen Änderungen der Betriebsabläufe oder der Risiken oder bei erheblichen Sicherheitsvorfällen und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-2.1.014Review von Risikobewertung und Behandlungsplan
N-2.1.018Aktuell gehaltene Risikobewertung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 2›Nr. 2.2
Nummer 2.2

Überwachung der Einhaltung

DVO (EU) 2024/2690 — Anhang, Nr. 2: Konzept für das Risikomanagement · Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555
2.2.1.
Die betreffenden Einrichtungen überprüfen regelmäßig die Einhaltung ihrer Konzepte für die Sicherheit von Netz- und Informationssystemen, themenspezifischen Konzepten, Vorschriften und Normen. Die Leitungsorgane werden durch regelmäßige Berichterstattung auf der Grundlage der Überprüfungen der Einhaltung über den Stand der Netz- und Informationssicherheit unterrichtet.
3 Sollmaßnahmen
N-2.2.001Verfahren für die Überwachung der Einhaltung der Sicherheitsvorgaben
N-2.2.002Überprüfung der Einhaltung und Unterrichtung der Geschäftsleitung
N-2.2.005Durchgeführte Einhaltungsprüfungen
2.2.2.
Die betreffenden Einrichtungen führen ein wirksames System für die Berichterstattung über die Einhaltung der Bestimmungen ein, das ihren Strukturen, Betriebsumfeldern und Bedrohungslandschaften angemessen ist. Das System für die Berichterstattung über die Einhaltung muss den Leitungsorganen einen fundierten Überblick über den aktuellen Stand des Risikomanagements der betreffenden Einrichtungen geben können.
2 Sollmaßnahmen
N-2.2.003Berichtssystem zur Einhaltung der Sicherheitsvorgaben
N-2.2.006Gelebte Berichterstattung an die Geschäftsleitung
2.2.3.
Die betreffenden Einrichtungen führen in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken Maßnahmen zur Überwachung der Einhaltung durch.
1 Sollmaßnahme
N-2.2.004Turnus der Überwachungsmaßnahmen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 2›Nr. 2.3
Nummer 2.3

Unabhängige Überprüfung der Netz- und Informationssicherheit

DVO (EU) 2024/2690 — Anhang, Nr. 2: Konzept für das Risikomanagement · Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555
2.3.1.
Die betreffenden Einrichtungen überprüfen unabhängig ihren Ansatz für das Management der Sicherheit von Netz- und Informationssystemen und dessen Umsetzung, einschließlich Personen, Verfahren und Technologien.
1 Sollmaßnahme
N-2.3.002Gegenstand der unabhängigen Überprüfung
2.3.2.
Die betreffenden Einrichtungen entwickeln Verfahren zur Durchführung unabhängiger Überprüfungen durch Personen mit angemessener Prüfungskompetenz und pflegen diese Verfahren. Wird die unabhängige Überprüfung von Mitgliedern des Personals der betreffenden Einrichtung durchgeführt, so dürfen die Personen, die die Überprüfungen durchführen, nicht dem Personal des zu überprüfenden Bereichs unterstellt sein. Lässt die Größe der betreffenden Einrichtungen eine solche Trennung der Befugnisse nicht zu, so ergreifen die betreffenden Einrichtungen alternative Maßnahmen, um die Unparteilichkeit der Überprüfungen zu gewährleisten.
2 Sollmaßnahmen
N-2.3.001Verfahren für die unabhängige Überprüfung der IT-Sicherheit
N-2.3.003Prüfungskompetenz und Unparteilichkeit
2.3.3.
Die Ergebnisse der unabhängigen Überprüfungen, einschließlich der Ergebnisse der Überwachung der Einhaltung gemäß Nummer 2.2 und der Überwachung und Messung gemäß Nummer 7, werden den Leitungsorganen gemeldet. Gemäß den Risikoakzeptanzkriterien der betreffenden Einrichtungen sind Korrekturmaßnahmen zu ergreifen oder Restrisiken zu akzeptieren.
2 Sollmaßnahmen
N-2.3.004Berichtswege und Korrekturmaßnahmen
N-2.3.007Berichtete Ergebnisse und nachverfolgte Korrekturmaßnahmen
2.3.4.
Die unabhängigen Überprüfungen finden in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken statt.
2 Sollmaßnahmen
N-2.3.005Turnus der unabhängigen Überprüfungen
N-2.3.006Durchgeführte unabhängige Überprüfungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 3›Nr. 3.1
Nummer 3.1

Konzept für die Bewältigung von Sicherheitsvorfällen

DVO (EU) 2024/2690 — Anhang, Nr. 3: Bewältigung von Sicherheitsvorfällen · Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555
3.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555 arbeiten die betreffenden Einrichtungen ein Konzept für die Bewältigung von Sicherheitsvorfällen aus, in dem Rollen, Verantwortlichkeiten und Verfahren für die zeitnahe Erkennung, Analyse, Eindämmung oder Reaktion, die Wiederherstellung sowie Dokumentation und Meldung in Bezug auf Sicherheitsvorfälle festgelegt werden, und setzen dieses um.
1 Sollmaßnahme
N-3.1.001Konzept für die Bewältigung von Sicherheitsvorfällen
3.1.2.
Das in Nummer 3.1.1 genannte Konzept muss mit dem Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs gemäß Nummer 4.1 im Einklang stehen. Das Konzept umfasst
a)
ein Kategorisierungssystem für Sicherheitsvorfälle, das mit der Bewertung und Klassifizierung von Ereignissen gemäß Nummer 3.4.1 im Einklang steht;
1 Sollmaßnahme
N-3.1.003Kategorisierungssystem für Sicherheitsvorfälle
b)
wirksame Kommunikationspläne, auch für die Eskalation und Meldung;
1 Sollmaßnahme
N-3.1.004Kommunikationspläne für Eskalation und Meldung
c)
eine Zuweisung der Rollen bei der Erkennung von Sicherheitsvorfällen und der angemessenen Reaktion darauf an kompetente Mitarbeitende;
1 Sollmaßnahme
N-3.1.005Rollenzuweisung an kompetente Mitarbeitende
d)
Dokumente, die im Laufe der Erkennung von Sicherheitsvorfällen und der Reaktion darauf zu verwenden sind, wie Anleitungen für die Reaktion bei Sicherheitsvorfällen, Eskalationsschemata, Kontaktlisten und Vorlagen.
1 Sollmaßnahme
N-3.1.006Arbeitsdokumente für Erkennung und Reaktion
1 Sollmaßnahme
N-3.1.002Abstimmung mit dem Notfallplan
3.1.3.
Die in dem Konzept festgelegten Rollen, Verantwortlichkeiten und Verfahren werden in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken getestet, überprüft und – soweit angemessen – aktualisiert.
2 Sollmaßnahmen
N-3.1.007Test und Review des Konzepts
N-3.1.008Getestete Rollen und Verfahren
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 3›Nr. 3.2
Nummer 3.2

Überwachung und Protokollierung

DVO (EU) 2024/2690 — Anhang, Nr. 3: Bewältigung von Sicherheitsvorfällen · Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555
3.2.1.
Die betreffenden Einrichtungen legen Verfahren fest und verwenden Instrumente, um Aktivitäten in ihrem Netz- und Informationssystem zu überwachen und zu protokollieren, damit sie Ereignisse, die als Sicherheitsvorfälle betrachtet werden könnten, erkennen und zur Eindämmung der Auswirkungen entsprechend darauf reagieren können.
2 Sollmaßnahmen
N-3.2.001Verfahren für die Überwachung und Protokollierung
N-3.2.020Gelebte Überwachung und Protokollierung
3.2.2.
Soweit durchführbar, erfolgt die Überwachung automatisch und wird vorbehaltlich der betrieblichen Kapazitäten entweder kontinuierlich oder in regelmäßigen Zeitabständen durchgeführt. Die betreffenden Einrichtungen führen ihre Überwachungstätigkeiten so durch, dass es zu möglichst wenigen falsch positiven und falsch negativen Ergebnissen kommt.
1 Sollmaßnahme
N-3.2.002Automatisierte Überwachung
3.2.3.
Auf der Grundlage der in Nummer 3.2.1 genannten Verfahren führen, dokumentieren und überprüfen die betreffenden Einrichtungen Protokolle. Die betreffenden Einrichtungen erstellen auf der Grundlage der Ergebnisse der gemäß Nummer 2.1 durchgeführten Risikobewertung eine Liste der Anlagen und Werte, die Gegenstand der Protokollierung sind. Soweit angemessen, müssen die Protokolle Folgendes enthalten:
a)
relevanten ausgehenden und eingehenden Netzverkehr;
1 Sollmaßnahme
N-3.2.004Protokollierung des Netzverkehrs
b)
Einrichtung, Änderung oder Löschung von Nutzern der Netz- und Informationssysteme der betreffenden Einrichtungen und Erweiterung der Berechtigungen;
1 Sollmaßnahme
N-3.2.005Protokollierung der Benutzerverwaltung
c)
Zugriffe auf Systeme und Anwendungen;
1 Sollmaßnahme
N-3.2.006Protokollierung von Systemzugriffen
d)
authentifizierungsbezogene Ereignisse;
1 Sollmaßnahme
N-3.2.007Protokollierung von Authentifizierungsereignissen
e)
alle privilegierten Zugriffe auf Systeme und Anwendungen sowie Aktivitäten der Verwaltungskonten;
1 Sollmaßnahme
N-3.2.008Protokollierung privilegierter Zugriffe
f)
Zugriffe auf kritische Konfigurations- und Backup-Sicherungsdateien oder Änderungen dieser Dateien;
1 Sollmaßnahme
N-3.2.009Protokollierung von Konfigurations- und Backup-Zugriffen
g)
Ereignisprotokolle und Protokolle von Sicherheitstools wie Antivirenprogrammen, Angriffserkennungssystemen oder Firewalls;
1 Sollmaßnahme
N-3.2.010Protokolle der Sicherheitstools
h)
Nutzung der Systemressourcen sowie deren Leistung;
1 Sollmaßnahme
N-3.2.011Protokollierung von Ressourcennutzung und Leistung
i)
physischen Zugang zu Betriebsstätten;
1 Sollmaßnahme
N-3.2.012Protokollierung des physischen Zugangs
j)
Zugang zu ihren Netzwerkausrüstungen und -geräten und deren Nutzung;
1 Sollmaßnahme
N-3.2.013Protokollierung des Zugangs zu Netzwerkgeräten
k)
Aktivierung, Beendigung und Pausieren der verschiedenen Protokolle;
1 Sollmaßnahme
N-3.2.014Protokollierung von Start und Stopp der Protokolle
l)
Ereignisse im Umfeld.
1 Sollmaßnahme
N-3.2.015Protokollierung von Umgebungsereignissen
1 Sollmaßnahme
N-3.2.003Protokollführung und Liste der protokollierten Assets
3.2.4.
Die Protokolle werden regelmäßig auf ungewöhnliche oder unerwünschte Trends überprüft. Soweit angemessen, legen die betreffenden Einrichtungen geeignete Werte für Alarmschwellen fest. Bei Überschreitung der festgelegten Alarmschwellenwerte wird – soweit angemessen – automatisch ein Alarm ausgelöst. Der betreffenden Einrichtungen stellen sicher, dass im Falle eines Alarms zeitnah eine qualifizierte und angemessene Reaktion eingeleitet wird.
2 Sollmaßnahmen
N-3.2.016Protokollauswertung und Alarmschwellen
N-3.2.021Ausgewertete Protokolle und bearbeitete Alarme
3.2.5.
Die betreffenden Einrichtungen führen und sichern die Protokolle für einen vorab festgelegten Zeitraum und schützen sie vor unbefugten Zugriffen oder Änderungen.
2 Sollmaßnahmen
N-3.2.017Aufbewahrung und Schutz der Protokolle
N-3.2.022Aufbewahrte und geschützte Protokolle
3.2.6.
Soweit durchführbar, stellen die betreffenden Einrichtungen sicher, alle Systeme zeitlich synchronisiert sind, um Protokolle zwischen den Systemen für die Ereignisbewertung miteinander in Beziehung setzen zu können. Die betreffenden Einrichtungen erstellen und führen eine Liste aller Anlagen und Werten, die protokolliert werden, und stellen sicher, dass für die Überwachung und Protokollierung Redundanzsysteme zur Verfügung stehen. Die Verfügbarkeit der Überwachungs- und Protokollierungssysteme wird unabhängig von den von ihnen überwachten Systemen überwacht.
2 Sollmaßnahmen
N-3.2.018Zeitsynchronisation und Redundanz der Protokollierung
N-3.2.023Synchronisierte Systemuhren und redundante Protokollierung
3.2.7.
Die Verfahren sowie die Liste der protokollierten Anlagen und Werte werden in regelmäßigen Abständen und nach erheblichen Sicherheitsvorfällen überprüft und – soweit angemessen – aktualisiert.
1 Sollmaßnahme
N-3.2.019Review des Verfahrens und der Asset-Liste
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 3›Nr. 3.3
Nummer 3.3

Meldung von Ereignissen

DVO (EU) 2024/2690 — Anhang, Nr. 3: Bewältigung von Sicherheitsvorfällen · Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555
3.3.1.
Die betreffenden Einrichtungen richten einen einfachen Mechanismus ein, über den ihre Mitarbeitenden, Anbieter und Kunden verdächtige Ereignisse melden können.
3 Sollmaßnahmen
N-3.3.001Verfahren für die Meldung verdächtiger Ereignisse
N-3.3.002Meldekanäle für Mitarbeitende, Anbieter und Kunden
N-3.3.004Betriebener Meldeweg
3.3.2.
Die betreffenden Einrichtungen unterrichten – soweit angemessen – ihre Anbieter und Kunden über den Mechanismus für die Meldung von Ereignissen und schulen ihre Mitarbeitenden regelmäßig in Bezug auf dessen Nutzung.
2 Sollmaßnahmen
N-3.3.003Information und Schulung zum Meldeweg
N-3.3.005Durchgeführte Schulungen zum Meldeweg
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 3›Nr. 3.4
Nummer 3.4

Bewertung und Klassifizierung von Ereignissen

DVO (EU) 2024/2690 — Anhang, Nr. 3: Bewältigung von Sicherheitsvorfällen · Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555
3.4.1.
Die betreffenden Einrichtungen bewerten verdächtige Ereignisse, um festzustellen, ob es sich um Sicherheitsvorfälle handelt, und – falls dies der Fall ist – um deren Art und Schwere zu bestimmen.
2 Sollmaßnahmen
N-3.4.001Verfahren für die Bewertung und Einstufung von Sicherheitsvorfällen
N-3.4.006Durchgeführte Ereignisbewertung
3.4.2.
Für die Zwecke von Nummer 3.4.1 gehen die betreffenden Einrichtungen wie folgt vor:
a)
Sie führen die Bewertung auf der Grundlage vorab festgelegter Kriterien und einer Triage durch, um die Priorisierung der Eindämmung und Beseitigung von Sicherheitsvorfällen zu bestimmen,
2 Sollmaßnahmen
N-3.4.002Bewertungskriterien und Triage
N-3.4.007Angewandte Triage
b)
sie bewerten vierteljährlich, ob wiederholte Sicherheitsvorfälle gemäß Artikel 4 dieser Verordnung vorliegen,
c)
sie überprüfen die betreffenden Protokolle für die Zwecke der Bewertung und Klassifizierung von Ereignissen,
1 Sollmaßnahme
N-3.4.003Protokollprüfung für die Ereignisbewertung
d)
sie führen ein Verfahren für die Korrelation und Analyse von Protokollen ein, und
1 Sollmaßnahme
N-3.4.004Korrelation und Analyse von Protokollen
e)
sie bewerten und klassifizieren Ereignisse neu, falls neue Informationen verfügbar werden, oder nach der Auswertung zuvor verfügbarer Informationen.
1 Sollmaßnahme
N-3.4.005Neubewertung bei neuen Informationen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 3›Nr. 3.5
Nummer 3.5

Reaktion auf Sicherheitsvorfälle

DVO (EU) 2024/2690 — Anhang, Nr. 3: Bewältigung von Sicherheitsvorfällen · Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555
3.5.1.
Die betreffenden Einrichtungen reagieren auf Sicherheitsvorfälle zeitnah gemäß dokumentierten Verfahren.
2 Sollmaßnahmen
N-3.5.001Verfahren für die Reaktion auf Sicherheitsvorfälle
N-3.5.009Zeitnahe Reaktion auf Sicherheitsvorfälle
3.5.2.
Die Verfahren für Reaktionsmaßnahmen bei Sicherheitsvorfällen umfassen folgende Phasen:
a)
Eindämmung des Sicherheitsvorfalls, um zu verhindern, dass sich dessen Folgen ausbreiten;
1 Sollmaßnahme
N-3.5.002Eindämmung von Sicherheitsvorfällen
b)
Beseitigung, um zu verhindern, dass der Sicherheitsvorfall andauert oder erneut auftritt;
1 Sollmaßnahme
N-3.5.003Beseitigung von Sicherheitsvorfällen
c)
erforderlichenfalls Wiederherstellung nach dem Sicherheitsvorfall.
1 Sollmaßnahme
N-3.5.004Wiederherstellung nach Sicherheitsvorfällen
3.5.3.
Die betreffenden Einrichtungen erstellen Pläne und Verfahren für die Kommunikation
a)
mit den Computer-Notfallteams (CSIRTs) oder – soweit anwendbar – mit den zuständigen Behörden im Zusammenhang mit der Meldung von Sicherheitsvorfällen;
1 Sollmaßnahme
N-3.5.005Kommunikation mit CSIRTs und Behörden
b)
zwischen den Mitgliedern des Personals der betreffenden Einrichtung und mit einschlägigen Interessenträgern außerhalb der betreffenden Einrichtung.
1 Sollmaßnahme
N-3.5.006Interne und externe Krisenkommunikation bei Vorfällen
3.5.4.
Die betreffenden Einrichtungen protokollieren die Tätigkeiten zur Reaktion auf Sicherheitsvorfälle gemäß den in Nummer 3.2.1 genannten Verfahren und sammeln Nachweise.
2 Sollmaßnahmen
N-3.5.007Protokollierung der Reaktion und Beweissicherung
N-3.5.010Protokollierte Reaktion und gesicherte Nachweise
3.5.5.
Die betreffenden Einrichtungen testen ihre Verfahren zur Reaktion auf Sicherheitsvorfälle in geplanten Zeitabständen.
2 Sollmaßnahmen
N-3.5.008Test der Reaktionsverfahren
N-3.5.011Durchgeführte Tests der Reaktionsverfahren
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 3›Nr. 3.6
Nummer 3.6

Überprüfungen nach Sicherheitsvorfällen

DVO (EU) 2024/2690 — Anhang, Nr. 3: Bewältigung von Sicherheitsvorfällen · Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555
3.6.1.
Nach Sicherheitsvorfällen führen die betreffenden Einrichtungen im Anschluss an die Wiederherstellung – soweit angemessen – nachträgliche Überprüfungen durch. Bei der Überprüfung nach einem Sicherheitsvorfall wird, soweit möglich, die Ursache des Vorfalls ermittelt und es werden die daraus gezogenen Lehren dokumentiert, um das Auftreten und die Folgen künftiger Vorfälle zu verringern.
3 Sollmaßnahmen
N-3.6.001Verfahren für die Überprüfung nach Sicherheitsvorfällen
N-3.6.002Nachträgliche Überprüfung und Ursachenermittlung
N-3.6.005Durchgeführte nachträgliche Überprüfungen
3.6.2.
Die betreffenden Einrichtungen stellen sicher, dass die Überprüfungen nach Sicherheitsvorfällen zur Verbesserung ihres Konzepts für die Netz- und Informationssicherheit, zu Risikobehandlungsmaßnahmen und Verfahren zur Bewältigung und Erkennung von Sicherheitsvorfällen sowie zur Reaktion darauf beitragen.
2 Sollmaßnahmen
N-3.6.003Rückfluss der Erkenntnisse in Verbesserungen
N-3.6.006Umgesetzte Lehren aus Vorfällen
3.6.3.
Die betreffenden Einrichtungen überprüfen in geplanten Zeitabständen, ob Sicherheitsvorfälle entsprechende Überprüfungen nach sich zogen.
1 Sollmaßnahme
N-3.6.004Kontrolle der Überprüfungsquote
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 4›Nr. 4.1
Nummer 4.1

Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs

DVO (EU) 2024/2690 — Anhang, Nr. 4: Betriebskontinuitäts- und Krisenmanagement · Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555
4.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen einen Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs fest, der bei Sicherheitsvorfällen Anwendung findet.
1 Sollmaßnahme
N-4.1.001Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs
4.1.2.
Die Abläufe der betreffenden Einrichtungen werden gemäß dem Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs wiederhergestellt. Der Plan beruht auf den Ergebnissen der gemäß Nummer 2.1 durchgeführten Risikobewertung ein und umfasst – soweit angemessen – Folgendes:
a)
Zweck, Umfang und Zielgruppe;
1 Sollmaßnahme
N-4.1.003Zweck, Umfang und Zielgruppe des Notfallplans
b)
Rollen und Verantwortlichkeiten;
1 Sollmaßnahme
N-4.1.004Rollen und Verantwortlichkeiten im Notfall
c)
wichtige Kontaktangaben und (interne und externe) Kommunikationskanäle;
1 Sollmaßnahme
N-4.1.005Kontaktangaben und Kommunikationskanäle
d)
Bedingungen für die Aktivierung und die Deaktivierung des Plans;
1 Sollmaßnahme
N-4.1.006Aktivierung und Deaktivierung des Notfallplans
e)
Reihenfolge der Wiederherstellung der Betriebsabläufe;
1 Sollmaßnahme
N-4.1.007Reihenfolge der Wiederherstellung
f)
Wiederherstellungspläne für bestimmte Betriebsabläufe, einschließlich der Wiederherstellungsziele;
1 Sollmaßnahme
N-4.1.008Wiederherstellungspläne und Wiederherstellungsziele
g)
erforderliche Ressourcen, einschließlich Sicherungen und Redundanzen;
1 Sollmaßnahme
N-4.1.009Erforderliche Ressourcen im Notfall
h)
Wiederherstellung und Wiederaufnahme der Tätigkeiten nach vorübergehenden Maßnahmen.
1 Sollmaßnahme
N-4.1.010Rückkehr in den Normalbetrieb
2 Sollmaßnahmen
N-4.1.002Risikobasierte Grundlage des Notfallplans
N-4.1.013Wiederherstellung gemäß Notfallplan
4.1.3.
Die betreffenden Einrichtungen führen eine Analyse der betrieblichen Auswirkungen durch, um die möglichen Auswirkungen schwerwiegender Störungen auf ihre Betriebsabläufe zu bewerten, und legen auf der Grundlage der Ergebnisse Kontinuitätsanforderungen für die Netz- und Informationssysteme fest.
1 Sollmaßnahme
N-4.1.011Analyse der betrieblichen Auswirkungen (BIA)
4.1.4.
Der Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs wird in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken getestet, überprüft und – soweit angemessen – aktualisiert. Die betreffenden Einrichtungen stellen sicher, dass die aus diesen Tests gezogenen Lehren in die Pläne einfließen.
2 Sollmaßnahmen
N-4.1.012Test und Review des Notfallplans
N-4.1.014Durchgeführte Notfalltests
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 4›Nr. 4.2
Nummer 4.2

Backup-Sicherungs- und Redundanzmanagement

DVO (EU) 2024/2690 — Anhang, Nr. 4: Betriebskontinuitäts- und Krisenmanagement · Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555
4.2.1.
Die betreffenden Einrichtungen machen Sicherungskopien der Daten und stellen ausreichend verfügbare Ressourcen, einschließlich Betriebsstätten, Netz- und Informationssysteme sowie Personal, bereit, um ein angemessenes Maß an Redundanz zu gewährleisten.
1 Sollmaßnahme
N-4.2.012Erstellte Sicherungskopien und bereitgestellte Redundanz-Ressourcen
4.2.2.
Auf der Grundlage der Ergebnisse der gemäß Nummer 2.1 durchgeführten Risikobewertung und des Betriebskontinuitätsplans legen die betreffenden Einrichtungen Sicherungspläne fest, die Folgendes umfassen:
a)
Wiederherstellungszeiten;
1 Sollmaßnahme
N-4.2.002Wiederherstellungszeiten
b)
Gewährleistung, dass Sicherungskopien vollständig und genau sind, einschließlich Konfigurationsdaten und Daten, die in der Umgebung von Cloud-Computing-Diensten gespeichert sind;
1 Sollmaßnahme
N-4.2.003Vollständigkeit und Genauigkeit der Sicherungskopien
c)
Speicherung von Sicherungskopien (online oder offline) an einem oder mehreren sicheren Orten, die sich nicht im selben Netz wie das System sowie in ausreichend großer Entfernung befinden, um Schäden durch einen Notfall am Hauptstandort zu vermeiden;
1 Sollmaßnahme
N-4.2.004Speicherorte der Sicherungskopien
d)
geeignete physische und logische Zugangskontrollen zu Sicherungskopien entsprechend der Klassifizierungsstufe der Anlagen und Werte;
1 Sollmaßnahme
N-4.2.005Zugangskontrollen zu Sicherungskopien
e)
Wiederherstellung von Daten aus Sicherungskopien;
1 Sollmaßnahme
N-4.2.006Wiederherstellung aus Sicherungskopien
f)
Aufbewahrungsfristen entsprechend geschäftlichen und regulatorischen Anforderungen.
1 Sollmaßnahme
N-4.2.007Aufbewahrungsfristen für Sicherungskopien
1 Sollmaßnahme
N-4.2.001Sicherungspläne
4.2.3.
Die betreffenden Einrichtungen führen regelmäßige Integritätsprüfungen der Sicherungskopien durch.
1 Sollmaßnahme
N-4.2.013Geprüfte Integrität der Sicherungskopien
4.2.4.
Auf der Grundlage der Ergebnisse der gemäß Nummer 2.1 durchgeführten Risikobewertung und des Betriebskontinuitätsplans sorgen die betreffenden Einrichtungen für eine ausreichende Verfügbarkeit von Ressourcen durch eine zumindest teilweise Redundanz der folgenden Elemente:
a)
Netz- und Informationssysteme;
1 Sollmaßnahme
N-4.2.008Redundanz der IT-Systeme
b)
Anlagen und Werte, einschließlich Betriebsstätten, Ausrüstung und Verbrauchsmaterial;
1 Sollmaßnahme
N-4.2.009Redundanz von Assets und Betriebsstätten
c)
Personal mit der erforderlichen Verantwortlichkeit, Weisungsbefugnis und Kompetenz;
1 Sollmaßnahme
N-4.2.010Personelle Redundanz
d)
geeignete Kommunikationskanäle.
1 Sollmaßnahme
N-4.2.011Redundante Kommunikationskanäle
4.2.5.
Die betreffenden Einrichtungen stellen – soweit angemessen – sicher, dass sich die Überwachung und Anpassung der Ressourcen, einschließlich Betriebsstätten, Systeme und Personal, ordnungsgemäß auf die Anforderungen an die Sicherung und Redundanz stützen.
1 Sollmaßnahme
N-4.2.014Bedarfsgerechte Überwachung und Anpassung der Ressourcen
4.2.6.
Die betreffenden Einrichtungen führen regelmäßige Tests der Wiederherstellung von Sicherungskopien und Redundanzen durch, um sicherzustellen, dass sie bei der Wiederherstellung zuverlässig sind und alle Kopien, Verfahren und Kenntnisse abdecken, die nötig sind, um eine wirksame Wiederherstellung durchzuführen. Die betreffenden Einrichtungen dokumentieren die Testergebnisse und ergreifen erforderlichenfalls Korrekturmaßnahmen.
1 Sollmaßnahme
N-4.2.015Getestete Wiederherstellung von Sicherungen und Redundanzen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 4›Nr. 4.3
Nummer 4.3

Krisenmanagement

DVO (EU) 2024/2690 — Anhang, Nr. 4: Betriebskontinuitäts- und Krisenmanagement · Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555
4.3.1.
Die betreffenden Einrichtungen legen ein Verfahren für das Krisenmanagement fest.
1 Sollmaßnahme
N-4.3.001Verfahren für das Krisenmanagement
4.3.2.
Sie sorgen dafür, dass das Krisenmanagementverfahren mindestens die folgenden Elemente abdeckt:
a)
Rollen und Verantwortlichkeiten des Personals und – soweit angemessen – der Anbieter und Diensteanbieter, wobei die Zuweisung der Rollen in Krisensituationen, einschließlich spezifischer zu befolgender Schritte, festgelegt wird;
1 Sollmaßnahme
N-4.3.002Krisenrollen und Handlungsschritte
b)
geeignete Kommunikationsmittel zwischen den betreffenden Einrichtungen und den jeweils zuständigen Behörden;
1 Sollmaßnahme
N-4.3.003Kommunikation mit den Behörden in der Krise
c)
Anwendung angemessener Maßnahmen zur Gewährleistung der Aufrechterhaltung der Sicherheit von Netz- und Informationssystemen in Krisensituationen.
1 Sollmaßnahme
N-4.3.004IT-Sicherheit in Krisensituationen
Für die Zwecke von Buchstabe b umfasst der Informationsfluss zwischen den betreffenden Einrichtungen und den jeweils zuständigen Behörden sowohl obligatorische Mitteilungen wie Meldungen von Sicherheitsvorfällen und entsprechende Fristen als auch fakultative Mitteilungen.
4.3.3.
Die betreffenden Einrichtungen führen ein Verfahren für die Verwaltung und Nutzung der von den CSIRTs oder – soweit anwendbar – den zuständigen Behörden erhaltenen Informationen über Sicherheitsvorfälle, Schwachstellen, Bedrohungen oder mögliche Risikominderungsmaßnahmen ein.
2 Sollmaßnahmen
N-4.3.005Verfahren für erhaltene CSIRT- und Behördeninformationen
N-4.3.007Genutzte Behördeninformationen
4.3.4.
Die betreffenden Einrichtungen testen den Krisenmanagementplan in geplanten Zeitabständen oder nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren ihn – soweit angemessen.
2 Sollmaßnahmen
N-4.3.006Test des Krisenmanagementplans
N-4.3.008Durchgeführte Krisenmanagement-Tests
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 5›Nr. 5.1
Nummer 5.1

Konzept für die Sicherheit der Lieferkette

DVO (EU) 2024/2690 — Anhang, Nr. 5: Sicherheit der Lieferkette · Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555
5.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen ein Konzept für die Sicherheit der Lieferkette fest, das die Beziehungen zu ihren direkten Anbietern und Diensteanbietern regelt, setzen es um und wenden es an, um die ermittelten Risiken für die Sicherheit von Netz- und Informationssystemen zu mindern. Im Rahmen des Konzepts für die Sicherheit der Lieferkette legen die betreffenden Einrichtungen ihre Rolle in der Lieferkette fest und teilen sie ihren direkten Anbietern und Diensteanbietern mit.
2 Sollmaßnahmen
N-5.1.001Konzept für die Sicherheit der Lieferkette
N-5.1.021Gelebte Rollenklärung in der Lieferkette
5.1.2.
Im Rahmen des in Nummer 5.1.1 genannten Konzepts für die Sicherheit der Lieferkette legen die betreffenden Einrichtungen Kriterien für die Auswahl von Anbietern und Diensteanbietern und die Auftragsvergabe an sie fest. Diese Kriterien umfassen Folgendes:
a)
die Cybersicherheitsverfahren der Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse;
1 Sollmaßnahme
N-5.1.002Auswahlkriterium: Cybersicherheitsverfahren der Anbieter
b)
die Fähigkeit der Anbieter und Diensteanbieter, die von den betreffenden Einrichtungen festgelegten Cybersicherheitsspezifikationen zu erfüllen;
1 Sollmaßnahme
N-5.1.003Auswahlkriterium: Erfüllung der Sicherheitsspezifikationen
c)
die allgemeine Qualität und Resilienz der IKT-Produkte und -Dienste und die darin enthaltenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit, einschließlich der Risiken und der Klassifizierungsstufe der IKT-Produkte und -Dienste;
1 Sollmaßnahme
N-5.1.004Auswahlkriterium: Qualität und Resilienz der Produkte und Dienste
d)
die Fähigkeit der betreffenden Einrichtungen, ihre Versorgungsquellen zu diversifizieren und – soweit anwendbar – ihre Abhängigkeit von bestimmten Anbietern zu begrenzen.
1 Sollmaßnahme
N-5.1.005Auswahlkriterium: Diversifizierung und Abhängigkeiten
5.1.3.
Bei der Erstellung ihres Konzepts für die Sicherheit der Lieferkette berücksichtigen die betreffenden Einrichtungen – soweit anwendbar – die Ergebnisse koordinierter Sicherheitsrisikobewertungen kritischer Lieferketten gemäß Artikel 22 Absatz 1 der Richtlinie (EU) 2022/2555.
1 Sollmaßnahme
N-5.1.006Berücksichtigung koordinierter Lieferketten-Risikobewertungen
5.1.4.
Auf der Grundlage des Konzepts für die Sicherheit der Lieferkette und unter Berücksichtigung der Ergebnisse der gemäß Nummer 2.1 dieses Anhangs durchgeführten Risikobewertung stellen die betreffenden Einrichtungen sicher, dass in ihren Verträgen mit Anbietern und Diensteanbietern – soweit angemessen – im Rahmen von Leistungsvereinbarungen Folgendes festgelegt wird:
a)
Cybersicherheitsanforderungen an die Anbieter oder Diensteanbieter, einschließlich der Anforderungen an die Sicherheit beim Erwerb von IKT-Diensten oder -Produkten gemäß Nummer 6.1;
1 Sollmaßnahme
N-5.1.007Vertragsinhalt: Cybersicherheitsanforderungen an den Anbieter
b)
Sensibilisierungs-, Qualifikations- und Ausbildungsanforderungen sowie – soweit angemessen – Zertifizierungen, die von den Mitarbeitenden der Anbieter oder Diensteanbieter verlangt werden;
1 Sollmaßnahme
N-5.1.008Vertragsinhalt: Qualifikation des Anbieter-Personals
c)
Anforderungen an die Zuverlässigkeitsüberprüfungen der Mitarbeitenden der Anbieter und Diensteanbieter;
1 Sollmaßnahme
N-5.1.009Vertragsinhalt: Zuverlässigkeitsüberprüfungen
d)
eine Verpflichtung der Anbieter und Diensteanbieter, den betreffenden Einrichtungen Sicherheitsvorfälle, die ein Risiko für die Sicherheit der Netz- und Informationssysteme dieser Einrichtungen darstellen, unverzüglich zu melden;
1 Sollmaßnahme
N-5.1.010Vertragsinhalt: Vorfallmeldepflicht des Anbieters
e)
das Recht auf Prüfung oder das Recht auf Erhalt von Prüfberichten;
1 Sollmaßnahme
N-5.1.011Vertragsinhalt: Prüfrechte
f)
eine Verpflichtung der Anbieter und Diensteanbieter zur Behebung von Schwachstellen, die ein Risiko für die Sicherheit der Netz- und Informationssysteme der betreffenden Einrichtungen darstellen;
1 Sollmaßnahme
N-5.1.012Vertragsinhalt: Schwachstellenbehebung durch den Anbieter
g)
Anforderungen an die Unterauftragsvergabe und – sofern die betreffenden Einrichtungen die Vergabe von Unteraufträgen zulassen – Cybersicherheitsanforderungen an Unterauftragnehmer im Einklang mit den unter Buchstabe a genannten Cybersicherheitsanforderungen;
1 Sollmaßnahme
N-5.1.013Vertragsinhalt: Unterauftragsvergabe
h)
Pflichten der Anbieter und Diensteanbieter bei Vertragskündigung, z. B. Abruf und Entsorgung der Informationen, die die Anbieter und Diensteanbieter in Wahrnehmung ihrer Aufgaben erlangten.
1 Sollmaßnahme
N-5.1.014Vertragsinhalt: Pflichten bei Vertragsende
1 Sollmaßnahme
N-5.1.022Umgesetzte Vertragsinhalte
5.1.5.
Die betreffenden Einrichtungen berücksichtigen die in den Nummern 5.1.2 und 5.1.3 genannten Elemente im Rahmen des Auswahlverfahrens für neue Anbieter und Diensteanbieter sowie im Rahmen des Vergabeverfahrens gemäß Nummer 6.1.
2 Sollmaßnahmen
N-5.1.015Anwendung der Kriterien in Auswahl und Vergabe
N-5.1.023Kriteriengeleitete Anbieterauswahl
5.1.6.
Die betreffenden Einrichtungen überprüfen das Konzept für die Sicherheit der Lieferkette, überwachen und bewerten Änderungen der Cybersicherheitsverfahren von Anbietern und Diensteanbietern bei wesentlichen Änderungen der Betriebsabläufe oder der Risiken oder bei erheblichen Sicherheitsvorfällen im Zusammenhang mit der Bereitstellung von IKT-Diensten oder mit Auswirkungen auf die Sicherheit der IKT-Produkte von Anbietern und Diensteanbietern und werden erforderlichenfalls im Hinblick auf diese Änderungen tätig.
2 Sollmaßnahmen
N-5.1.016Anbieterüberwachung und Konzept-Review
N-5.1.024Laufende Anbieterüberwachung
5.1.7.
Für die Zwecke von Nummer 5.1.6 müssen die betreffenden Einrichtungen
a)
die Berichte über die Umsetzung der Leistungsvereinbarungen regelmäßig verfolgen – soweit anwendbar;
2 Sollmaßnahmen
N-5.1.017Verfolgung der Leistungsberichte
N-5.1.025Ausgewertete Leistungsberichte
b)
Sicherheitsvorfälle im Zusammenhang mit IKT-Produkten und -Diensten von Anbietern und Diensteanbietern überprüfen;
2 Sollmaßnahmen
N-5.1.018Überprüfung anbieterbezogener Sicherheitsvorfälle
N-5.1.026Geprüfte anbieterbezogene Vorfälle
c)
die Notwendigkeit außerplanmäßiger Überprüfungen prüfen und die Ergebnisse verständlich dokumentieren;
2 Sollmaßnahmen
N-5.1.019Außerplanmäßige Anbieterüberprüfungen
N-5.1.027Durchgeführte außerplanmäßige Überprüfungen
d)
die Risiken, die sich aus Änderungen im Zusammenhang mit IKT-Produkten und -Diensten von Anbietern und Diensteanbietern ergeben, analysieren und – soweit angemessen – rechtzeitig Risikominderungsmaßnahmen ergreifen.
2 Sollmaßnahmen
N-5.1.020Risiken aus Änderungen bei Anbietern
N-5.1.028Behandelte Risiken aus Anbieteränderungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 5›Nr. 5.2
Nummer 5.2

Verzeichnis der Anbieter und Diensteanbieter

DVO (EU) 2024/2690 — Anhang, Nr. 5: Sicherheit der Lieferkette · Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555
5.2.
Die betreffenden Einrichtungen führen ein Verzeichnis ihrer direkten Anbieter und Diensteanbieter, das Folgendes umfasst, und halten es auf dem neuesten Stand:
a)
Kontaktstellen für jeden direkten Anbieter und Diensteanbieter;
1 Sollmaßnahme
N-5.2.002Verzeichnisinhalt: Kontaktstellen
b)
eine Liste der IKT-Produkte, -Dienste und -Prozesse, die der direkte Anbieter oder Diensteanbieter für die betreffenden Einrichtungen bereitstellt.
1 Sollmaßnahme
N-5.2.003Verzeichnisinhalt: bezogene Produkte, Dienste und Prozesse
2 Sollmaßnahmen
N-5.2.001Verzeichnis der Anbieter und Diensteanbieter
N-5.2.004Gepflegtes Anbieterverzeichnis
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.1
Nummer 6.1

Sicherheitsmaßnahmen beim Erwerb von IKT-Diensten oder IKT-Produkten

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen auf der Grundlage der gemäß Nummer 2.1 durchgeführten Risikobewertung Verfahren für das Management der Risiken fest, die sich aus dem Erwerb von IKT-Diensten oder -Produkten für Komponenten ergeben, die für die Sicherheit der Netz- und Informationssysteme der betreffenden Einrichtungen unverzichtbar sind, und setzen sie um.
2 Sollmaßnahmen
N-6.1.001Verfahren für die sichere Beschaffung
N-6.1.009Risikogesteuerte Beschaffungspraxis
6.1.2.
Für die Zwecke von Nummer 6.1.1 umfassen die in Nummer 6.1.1 genannten Verfahren Folgendes:
a)
Sicherheitsanforderungen, die für die zu erwerbenden IKT-Dienste oder -Produkte gelten;
1 Sollmaßnahme
N-6.1.002Sicherheitsanforderungen an Beschaffungen
b)
Anforderungen an Sicherheitsaktualisierungen während der gesamten Lebensdauer der IKT-Dienste oder -Produkte oder deren Ersatz nach Ablauf des Unterstützungszeitraums;
1 Sollmaßnahme
N-6.1.003Sicherheitsaktualisierungen über die Lebensdauer
c)
Informationen zur Beschreibung der Hardware- und Softwarekomponenten, die in den IKT-Diensten oder -Produkten verwendet werden;
1 Sollmaßnahme
N-6.1.004Transparenz über Komponenten
d)
Informationen zur Beschreibung der umgesetzten Cybersicherheitsfunktionen der IKT-Dienste oder -Produkte und der Konfiguration, die für ihren sicheren Betrieb erforderlich ist;
1 Sollmaßnahme
N-6.1.005Transparenz über Sicherheitsfunktionen und sichere Konfiguration
e)
die Zusicherung, dass die IKT-Dienste oder -Produkte die Sicherheitsanforderungen gemäß Buchstabe a erfüllen;
1 Sollmaßnahme
N-6.1.006Zusicherung der Anforderungserfüllung
f)
Methoden zur Validierung, dass die bereitgestellten IKT-Dienste oder -Produkte die angegebenen Sicherheitsanforderungen erfüllen, sowie die Dokumentation der Ergebnisse der Validierung.
2 Sollmaßnahmen
N-6.1.007Validierung der Sicherheitsanforderungen
N-6.1.010Durchgeführte Validierung
6.1.3.
Die betreffenden Einrichtungen überprüfen die Verfahren in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen und aktualisieren sie – soweit angemessen.
1 Sollmaßnahme
N-6.1.008Review des Beschaffungsverfahrens
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.2
Nummer 6.2

Sicherer Entwicklungszyklus

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.2.1.
Vor der Entwicklung eines Netz- und Informationssystems, einschließlich Software, legen die betreffenden Einrichtungen Vorschriften für die Sicherheit der Entwicklung von Netz- und Informationssystemen fest und wenden diese bei der internen Entwicklung von Netz- und Informationssystemen und bei der Auslagerung der Entwicklung von Netz- und Informationssystemen an. Die Vorschriften gelten für alle Entwicklungsphasen, einschließlich Spezifikation, Konzeption, Entwicklung, Umsetzung und Tests.
2 Sollmaßnahmen
N-6.2.001Vorschriften für die sichere Entwicklung
N-6.2.010Angewendete Entwicklungsvorschriften
6.2.2.
Für die Zwecke von Nummer 6.2.1 müssen die betreffenden Einrichtungen
a)
eine Analyse der Sicherheitsanforderungen in der Spezifikations- und Entwurfsphase jedes Entwicklungs- oder Beschaffungsvorhabens vornehmen, das von den betreffenden Einrichtungen oder im Namen dieser Einrichtungen durchgeführt wird;
2 Sollmaßnahmen
N-6.2.002Sicherheitsanforderungsanalyse je Vorhaben
N-6.2.011Durchgeführte Sicherheitsanforderungsanalysen
b)
bei allen Tätigkeiten zur Entwicklung von Informationssystemen bestimmte Grundsätze für den Aufbau sicherer Systeme und für ein sicheres Programmieren wie etwa die Förderung von konzeptintegrierter Cybersicherheit und Null-Vertrauen-Architekturen anwenden;
1 Sollmaßnahme
N-6.2.003Grundsätze für sicheren Entwurf und sicheres Programmieren
c)
Sicherheitsanforderungen in Bezug auf Entwicklungsumgebungen festlegen;
1 Sollmaßnahme
N-6.2.004Sicherheit der Entwicklungsumgebungen
d)
Sicherheitstestverfahren im Entwicklungszyklus einführen und umsetzen;
2 Sollmaßnahmen
N-6.2.005Sicherheitstests im Entwicklungszyklus
N-6.2.012Durchgeführte Sicherheitstests in der Entwicklung
e)
Daten über Sicherheitstests angemessen auswählen, schützen und verwalten;
1 Sollmaßnahme
N-6.2.006Umgang mit Testdaten
f)
die Testdaten entsprechend der Risikobewertung gemäß Nummer 2.1 bereinigen und anonymisieren.
2 Sollmaßnahmen
N-6.2.007Bereinigung und Anonymisierung von Testdaten
N-6.2.013Bereinigte Testdaten in der Praxis
6.2.3.
Bei einer ausgelagerten Entwicklung von Netz- und Informationssystemen wenden die betreffenden Einrichtungen darüber hinaus die in den Nummern 5 und 6.1 genannten Grundsätze und Verfahren an.
1 Sollmaßnahme
N-6.2.008Ausgelagerte Entwicklung
6.2.4.
Die betreffenden Einrichtungen überprüfen ihre Vorschriften für die Sicherheit der Entwicklung in geplanten Zeitabständen und aktualisieren sie erforderlichenfalls.
1 Sollmaßnahme
N-6.2.009Review der Entwicklungsvorschriften
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.3
Nummer 6.3

Konfigurationsmanagement

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.3.1.
Die betreffenden Einrichtungen ergreifen geeignete Maßnahmen, um Konfigurationen, einschließlich Sicherheitskonfigurationen von Hardware, Software, Diensten und Netzen, festzulegen, zu dokumentieren, umzusetzen und zu überwachen.
2 Sollmaßnahmen
N-6.3.001Verfahren für das Konfigurationsmanagement
N-6.3.005Umgesetzte und überwachte Konfigurationen
6.3.2.
Für die Zwecke von Nummer 6.3.1 müssen die betreffenden Einrichtungen
a)
Konfigurationen für ihre Hardware, Software, Dienste und Netze festlegen und deren Sicherheit gewährleisten;
1 Sollmaßnahme
N-6.3.002Sichere Soll-Konfigurationen
b)
Verfahren und Instrumente zur Durchsetzung der festgelegten sicheren Konfigurationen für Hardware, Software, Dienste und Netze, für neu installierte Systeme sowie für Systeme, die über ihre gesamte Lebensdauer in Betrieb sind, festlegen und umsetzen.
2 Sollmaßnahmen
N-6.3.003Durchsetzung der Soll-Konfigurationen
N-6.3.006Durchgesetzte Soll-Konfigurationen
6.3.3.
Die betreffenden Einrichtungen überprüfen die Konfigurationen in geplanten Zeitabständen oder bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-6.3.004Überprüfung der Konfigurationen
N-6.3.007Turnusmäßig überprüfte Konfigurationen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.4
Nummer 6.4

Änderungsmanagement, Reparatur und Wartung

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.4.1.
Die betreffenden Einrichtungen wenden Verfahren für das Änderungsmanagement an, um Änderungen an Netz- und Informationssystemen zu kontrollieren. Die Verfahren müssen – soweit anwendbar – mit den allgemeinen Grundsätzen der betreffenden Einrichtungen in Bezug auf das Änderungsmanagement im Einklang stehen.
1 Sollmaßnahme
N-6.4.001Verfahren für das Änderungsmanagement
6.4.2.
Die in Nummer 6.4.1 genannten Verfahren gelten für Freigaben, Änderungen und Notfalländerungen an in Betrieb befindlicher Software und Hardware sowie für Änderungen der Konfiguration. Durch die Verfahren wird sichergestellt, dass diese Änderungen dokumentiert und auf der Grundlage der gemäß Nummer 2.1 durchgeführten Risikobewertung im Hinblick auf die möglichen Auswirkungen getestet und bewertet werden, bevor sie umgesetzt werden.
2 Sollmaßnahmen
N-6.4.002Geltungsbereich und Änderungsbewertung
N-6.4.005Kontrollierte Änderungen in der Praxis
6.4.3.
Konnten die regulären Änderungsmanagementverfahren aufgrund eines Notfalls nicht befolgt werden, dokumentieren die betreffenden Einrichtungen das Ergebnis der Änderung und die Begründung für die Nichteinhaltung der Verfahren.
2 Sollmaßnahmen
N-6.4.003Notfalländerungen
N-6.4.006Nachdokumentierte Notfalländerungen
6.4.4.
Die betreffenden Einrichtungen überprüfen die Verfahren in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
1 Sollmaßnahme
N-6.4.004Review des Änderungsmanagements
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.5
Nummer 6.5

Sicherheitsprüfung

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.5.1.
Die betreffenden Einrichtungen legen ein Konzept und Verfahren für Sicherheitsprüfungen fest, setzen sie um und wenden sie an.
1 Sollmaßnahme
N-6.5.001Konzept für Sicherheitsprüfungen
6.5.2.
Die betreffenden Einrichtungen
a)
legen auf der Grundlage der gemäß Nummer 2.1 durchgeführten Risikobewertung die Notwendigkeit, den Umfang, die Häufigkeit und die Art der Sicherheitsprüfungen fest;
1 Sollmaßnahme
N-6.5.002Risikobasierte Prüfplanung
b)
führen Sicherheitsprüfungen nach einer dokumentierten Prüfmethode durch, die sich auf die Komponenten erstrecken, die im Rahmen einer Risikoanalyse als für den sicheren Betrieb relevant eingestuft wurden;
2 Sollmaßnahmen
N-6.5.003Dokumentierte Prüfmethode und Prüfabdeckung
N-6.5.007Durchgeführte Sicherheitsprüfungen
c)
dokumentieren die Art, den Umfang, den Zeitraum und die Ergebnisse der Prüfungen, einschließlich der Bewertung der Kritikalität und der Risikominderungsmaßnahmen für jede Feststellung;
2 Sollmaßnahmen
N-6.5.004Dokumentation der Prüfergebnisse
N-6.5.008Dokumentierte und nachverfolgte Prüfergebnisse
d)
wenden im Falle kritischer Feststellungen Risikominderungsmaßnahmen an.
2 Sollmaßnahmen
N-6.5.005Behandlung kritischer Feststellungen
N-6.5.009Behandelte kritische Feststellungen
6.5.3.
Die betreffenden Einrichtungen überprüfen ihre Konzepte für die Sicherheitsprüfung in geplanten Zeitabständen und aktualisieren sie – soweit angemessen.
1 Sollmaßnahme
N-6.5.006Review des Prüfkonzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.6
Nummer 6.6

Sicherheitspatch-Management

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.6.1.
Die betreffenden Einrichtungen legen Verfahren, die mit den in Nummer 6.4.1 genannten Änderungsmanagementverfahren im Einklang stehen, und Änderungs-, Schwachstellen- und Risikomanagementverfahren sowie andere einschlägige Verfahren fest und wenden sie an, um sicherzustellen, dass
a)
Sicherheitspatches innerhalb einer angemessenen Frist nach ihrer Verfügbarmachung angewendet werden;
2 Sollmaßnahmen
N-6.6.002Fristgerechtes Patchen
N-6.6.007Fristgerecht eingespielte Patches
b)
Sicherheitspatches getestet werden, bevor sie in Produktionssystemen angewendet werden;
2 Sollmaßnahmen
N-6.6.003Patch-Tests vor Produktion
N-6.6.008Getestete Patches
c)
Sicherheitspatches aus vertrauenswürdigen Quellen stammen und auf ihre Integrität geprüft werden;
1 Sollmaßnahme
N-6.6.004Vertrauenswürdige Patch-Quellen
d)
zusätzliche Maßnahmen umgesetzt und Restrisiken akzeptiert werden, wenn ein Patch nicht verfügbar ist oder nicht gemäß Nummer 6.6.2 angewendet wird.
1 Sollmaßnahme
N-6.6.005Kompensierende Maßnahmen bei fehlendem Patch
1 Sollmaßnahme
N-6.6.001Verfahren für das Sicherheitspatch-Management
6.6.2.
Abweichend von Nummer 6.6.1 Buchstabe a können die betreffenden Einrichtungen verzichten, Sicherheitspatches anzuwenden, wenn die Nachteile der Anwendung der Sicherheitspatches die Vorteile für die Cybersicherheit überwiegen. Die betreffenden Einrichtungen dokumentieren und begründen dies ordnungsgemäß.
2 Sollmaßnahmen
N-6.6.006Begründeter Patch-Verzicht
N-6.6.009Dokumentierte Patch-Verzichte
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.7
Nummer 6.7

Netzsicherheit

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.7.1.
Die betreffenden Einrichtungen ergreifen geeignete Maßnahmen, um ihre Netz- und Informationssysteme vor Cyberbedrohungen zu schützen.
2 Sollmaßnahmen
N-6.7.001Konzept für die Netzsicherheit
N-6.7.015Betriebene Netzsicherheitskontrollen
6.7.2.
Für die Zwecke von Nummer 6.7.1 müssen die betreffenden Einrichtungen
a)
die Architektur des Netzes verständlich und aktuell dokumentieren;
2 Sollmaßnahmen
N-6.7.002Dokumentation der Netzarchitektur
N-6.7.016Aktuelle Netzdokumentation
b)
Kontrollen festlegen und durchführen, um die internen Netzdomänen der betreffenden Einrichtungen vor unbefugtem Zugriff zu schützen;
1 Sollmaßnahme
N-6.7.003Schutz interner Netzdomänen
c)
die Kontrollen so konfigurieren, dass Zugriffe und Netzkommunikation verhindert werden, wenn dies für den Betrieb der betreffenden Einrichtungen nicht erforderlich ist;
1 Sollmaßnahme
N-6.7.004Beschränkung auf betrieblich Erforderliches
d)
die Kontrollen für den Fernzugriff auf Netz- und Informationssysteme, einschließlich des Zugangs von Diensteanbietern, festlegen und durchführen;
1 Sollmaßnahme
N-6.7.005Kontrollen für den Fernzugriff
e)
keine Systeme verwenden, die für die Verwaltung der Umsetzung der Sicherheitskonzepte für andere Zwecke verwendet werden;
1 Sollmaßnahme
N-6.7.006Dedizierte Sicherheitsverwaltungssysteme
f)
nicht benötigte Verbindungen und Dienste ausdrücklich verbieten oder deaktivieren;
2 Sollmaßnahmen
N-6.7.007Deaktivierung nicht benötigter Verbindungen und Dienste
N-6.7.017Deaktivierte Dienste in der Praxis
g)
– soweit angemessen – den Zugang zu ihren Netz- und Informationssystemen ausschließlich mit von den betreffenden Einrichtungen genehmigten Geräten gewähren;
1 Sollmaßnahme
N-6.7.008Zugang nur mit genehmigten Geräten
h)
Verbindungen von Diensteanbietern nur nach einem Genehmigungsantrag und für einen bestimmten Zeitraum, z. B. für die Dauer von Wartungsarbeiten, zulassen;
2 Sollmaßnahmen
N-6.7.009Befristete Dienstleisterverbindungen
N-6.7.018Kontrollierte Dienstleisterzugänge
i)
die Kommunikation zwischen verschiedenen Systemen nur über vertrauenswürdige Kanäle herstellen, die durch logische, kryptografische oder physikalische Trennung von anderen Kommunikationskanälen isoliert sind, und eine sichere Identifizierung ihrer Endpunkte und den Schutz der Kanaldaten vor Änderung oder Offenlegung ermöglichen;
1 Sollmaßnahme
N-6.7.010Vertrauenswürdige Kommunikationskanäle
j)
einen Durchführungsplan für den sicheren, angemessenen und schrittweisen vollständigen Übergang zur neuesten Generation der Kommunikationsprotokolle für die Netzwerkschicht annehmen und Maßnahmen zur Beschleunigung dieses Übergangs festlegen;
1 Sollmaßnahme
N-6.7.011Durchführungsplan Netzwerkschicht-Protokolle
k)
einen Durchführungsplan für die Einführung international vereinbarter und interoperabler moderner E-Mail-Kommunikationsnormen annehmen, um die E-Mail-Kommunikation zur Minderung von Schwachstellen im Zusammenhang mit E-Mail-Bedrohungen zu sichern, und Maßnahmen zur Beschleunigung dieser Einführung festlegen;
1 Sollmaßnahme
N-6.7.012Durchführungsplan sichere E-Mail-Standards
l)
bewährte Verfahren für die Sicherheit des DNS sowie für die Sicherheit und Hygiene des Internet-Routings bei Verkehr, der aus dem Netz stammt und für das Netz bestimmt ist, anwenden.
1 Sollmaßnahme
N-6.7.013DNS-Sicherheit und Routing-Hygiene
6.7.3.
Die betreffenden Einrichtungen überprüfen diese Maßnahmen in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-6.7.014Überprüfung der Netzsicherheitsmaßnahmen
N-6.7.019Überprüfte Netzsicherheitsmaßnahmen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.8
Nummer 6.8

Netzsegmentierung

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.8.1.
Die betreffenden Einrichtungen segmentieren ihre Systeme entsprechend den Ergebnissen der Risikobewertung gemäß Nummer 2.1 in Netze oder Zonen. Sie segmentieren ihre eigenen Systeme und Netze von Systemen und Netzen Dritter.
2 Sollmaßnahmen
N-6.8.001Risikobasierte Netzsegmentierung
N-6.8.011Umgesetzte Segmentierung
6.8.2.
Für diese Zwecke müssen die betreffenden Einrichtungen
a)
die funktionale, logische und physische Beziehung, einschließlich des Standorts, zwischen vertrauenswürdigen Systemen und Diensten berücksichtigen;
1 Sollmaßnahme
N-6.8.002Zonenzuschnitt nach Beziehungen und Standort
b)
den Zugang zu einem Netz oder einer Zone auf der Grundlage einer Bewertung seiner/ihrer Sicherheitsanforderungen gewähren;
1 Sollmaßnahme
N-6.8.003Zonenzugang nach Sicherheitsanforderungen
c)
Systeme, die für den Betrieb der betreffenden Einrichtungen oder für die Sicherheit unverzichtbar sind, in gesicherten Zonen unterbringen;
1 Sollmaßnahme
N-6.8.004Gesicherte Zonen für kritische Systeme
d)
eine demilitarisierte Zone innerhalb ihrer Kommunikationsnetze aufbauen, um die Sicherheit der Kommunikation, die aus ihren Netzen stammt oder für ihr Netz bestimmt ist, zu gewährleisten;
1 Sollmaßnahme
N-6.8.005Demilitarisierte Zone
e)
den Zugang zu und die Kommunikation zwischen und innerhalb von Zonen auf diejenigen beschränken, die für den Betrieb der betreffenden Einrichtungen oder für die Sicherheit erforderlich sind;
1 Sollmaßnahme
N-6.8.006Minimale Zonenkommunikation
f)
das spezielle Netz für die Verwaltung von Netz- und Informationssystemen vom operativen Netz der betreffenden Einrichtungen trennen;
1 Sollmaßnahme
N-6.8.007Getrenntes Managementnetz
g)
Netzverwaltungskanäle von anderem Netzverkehr trennen;
1 Sollmaßnahme
N-6.8.008Getrennte Netzverwaltungskanäle
h)
die Produktionssysteme für die Dienste der betreffenden Einrichtungen von den Systemen trennen, die bei der Entwicklung und beim Testen, einschließlich der Sicherung, verwendet werden.
1 Sollmaßnahme
N-6.8.009Trennung von Produktion und Entwicklung/Test
6.8.3.
Die betreffenden Einrichtungen überprüfen die Netzsegmentierung in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-6.8.010Überprüfung der Segmentierung
N-6.8.012Überprüfte Segmentierung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.9
Nummer 6.9

Schutz gegen Schadsoftware und nicht genehmigte Software

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.9.1.
Die betreffenden Einrichtungen schützen ihre Netz- und Informationssysteme vor Schadsoftware und nicht genehmigter Software.
2 Sollmaßnahmen
N-6.9.001Konzept zum Schutz vor Schadsoftware
N-6.9.003Wirksamer Schadsoftware-Schutz
6.9.2.
Zu diesem Zweck führen die betreffenden Einrichtungen insbesondere Maßnahmen durch, um die Verwendung von Schadsoftware oder nicht genehmigter Software aufzudecken oder zu verhindern. Die betreffenden Einrichtungen stellen – soweit angemessen – sicher, dass ihre Netz- und Informationssysteme mit einer Erkennungs- und Reaktionssoftware ausgestattet sind, die regelmäßig im Einklang mit der gemäß Nummer 2.1 durchgeführten Risikobewertung und den vertraglichen Vereinbarungen mit den Anbietern aktualisiert wird.
2 Sollmaßnahmen
N-6.9.002Erkennungs- und Reaktionssoftware
N-6.9.004Eingesetzte und aktuelle Schutzsoftware
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 6›Nr. 6.10
Nummer 6.10

Behandlung und Offenlegung von Schwachstellen

DVO (EU) 2024/2690 — Anhang, Nr. 6: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen · Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555
6.10.1.
Die betreffenden Einrichtungen erlangen Informationen über technische Schwachstellen in ihren Netz- und Informationssystemen, bewerten ihre Exposition gegenüber solchen Schwachstellen und ergreifen geeignete Maßnahmen zum Umgang mit diesen Schwachstellen.
2 Sollmaßnahmen
N-6.10.001Verfahren für das Schwachstellenmanagement
N-6.10.009Identifikation und Behandlung von Schwachstellen
6.10.2.
Für die Zwecke von Nummer 6.10.1 müssen die betreffenden Einrichtungen
a)
Informationen über Schwachstellen über geeignete Kanäle, wie z. B. Ankündigungen von CSIRTs oder zuständigen Behörden oder von Anbietern oder Diensteanbietern bereitgestellte Informationen, verfolgen;
2 Sollmaßnahmen
N-6.10.002Informationsquellen zur Schwachstellenidentifikation
N-6.10.010Auswertung der Informationsquellen
b)
– soweit angemessen – Schwachstellen-Scans durchführen und die Ergebnisse der Scans in geplanten Zeitabständen aufzeichnen;
2 Sollmaßnahmen
N-6.10.003Schwachstellenscans
N-6.10.011Durchführung und Nachverfolgung von Scans
c)
Schwachstellen, die von den betreffenden Einrichtungen als für ihren Betrieb kritisch eingestuft wurden, unverzüglich beheben;
2 Sollmaßnahmen
N-6.10.004Behebung kritischer Schwachstellen
N-6.10.012Behebung betriebskritischer Schwachstellen
d)
sicherstellen, dass die Behandlung von Schwachstellen mit den Verfahren für das Änderungsmanagement, das Sicherheitspatch-Management, das Risikomanagement und das Management von Sicherheitsvorfällen vereinbar ist;
1 Sollmaßnahme
N-6.10.005Schnittstellen zu angrenzenden Verfahren
e)
ein Verfahren für die Offenlegung von Schwachstellen im Einklang mit den geltenden nationalen Konzepten für die koordinierte Offenlegung von Schwachstellen festlegen.
2 Sollmaßnahmen
N-6.10.006Offenlegung von Schwachstellen (CVD)
N-6.10.013Gelebte Offenlegungspraxis
6.10.3.
Wenn dies wegen der möglichen Auswirkungen der Schwachstelle gerechtfertigt ist, erstellen die betreffenden Einrichtungen einen Plan zur Minderung der Schwachstelle und setzen ihn um. Ansonsten dokumentieren und begründen die betreffenden Einrichtungen, warum die Schwachstelle keine Abhilfemaßnahmen erfordert.
2 Sollmaßnahmen
N-6.10.007Behebungsplan oder dokumentierte Risikoakzeptanz
N-6.10.014Umsetzung von Behebungsplänen und Risikoakzeptanzen
6.10.4.
Die betreffenden Einrichtungen überprüfen in geplanten Abständen die Kanäle, die sie für die Überwachung von Informationen über Schwachstellen nutzen, und aktualisieren sie – soweit angemessen.
1 Sollmaßnahme
N-6.10.008Review der Informationsquellen
ENISA-TIG-Themen ohne N-Atom-Zuordnung — Kandidaten für eigene Guidance-Atome
Umsetzungshinweise
Einen zentralen Ansprechpunkt und feste Kommunikationskanäle für Sicherheitsthemen mit Anbietern und Diensteanbietern benennen.über DVO hinaus
Nachweisbeispiele
Interview mit dem zentralen Ansprechpunkt zu den Kommunikationskanälen mit Anbietern und Diensteanbietern in Sicherheitsfragen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 7›Nr. 7
Nummer 7

Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit

DVO (EU) 2024/2690 — Anhang, Nr. 7: Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit · Artikel 21 Absatz 2 Buchstabe f der Richtlinie (EU) 2022/2555
7.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe f der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen ein Konzept und Verfahren fest, setzen sie um und wenden sie an, um zu bewerten, ob die ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit wirksam umgesetzt und aufrechterhalten werden.
2 Sollmaßnahmen
N-7.001Konzept für die Wirksamkeitsbewertung
N-7.010Durchgeführte Wirksamkeitsbewertung
7.2.
Das in Nummer 7.1 genannte Konzept und die entsprechenden Verfahren tragen den Ergebnissen der Risikobewertung gemäß Nummer 2.1 und früheren erheblichen Sicherheitsvorfällen Rechnung. Die betreffenden Einrichtungen müssen Folgendes bestimmen:
a)
welche Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu überwachen und zu messen sind, einschließlich Verfahren und Kontrollen;
1 Sollmaßnahme
N-7.003Auswahl der zu messenden Maßnahmen
b)
die Methoden zur Überwachung, Messung, Analyse und Bewertung, sofern zutreffend, um gültige Ergebnisse sicherzustellen;
1 Sollmaßnahme
N-7.004Mess- und Bewertungsmethoden
c)
wann die Überwachung und Messung durchzuführen ist;
1 Sollmaßnahme
N-7.005Zeitpunkte der Überwachung und Messung
d)
wer für die Überwachung und die Messung der Wirksamkeit der Risikomanagementmaßnahmen im Bereich der Cybersicherheit zuständig ist;
1 Sollmaßnahme
N-7.006Zuständigkeit für Überwachung und Messung
e)
wann die Ergebnisse der Überwachung und der Messung zu analysieren und zu bewerten sind;
2 Sollmaßnahmen
N-7.007Zeitpunkte der Analyse und Bewertung
N-7.011Analysierte Messergebnisse
f)
wer diese Ergebnisse analysieren und bewerten muss.
1 Sollmaßnahme
N-7.008Zuständigkeit für Analyse und Bewertung
1 Sollmaßnahme
N-7.002Risiko- und Vorfallbezug der Wirksamkeitsbewertung
7.3.
Die betreffenden Einrichtungen überprüfen das Konzept und die Verfahren in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
1 Sollmaßnahme
N-7.009Review des Bewertungskonzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 8›Nr. 8.1
Nummer 8.1

Sensibilisierungsmaßnahmen und grundlegende Verfahren im Bereich der Cyberhygiene

DVO (EU) 2024/2690 — Anhang, Nr. 8: Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit · Artikel 21 Absatz 2 Buchstabe g der Richtlinie (EU) 2022/2555
8.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe g der Richtlinie (EU) 2022/2555 stellen die betreffenden Einrichtungen sicher, dass sich ihre Mitarbeitenden, einschließlich der Mitglieder von Leitungsorganen, sowie direkte Anbieter und Diensteanbieter der Risiken bewusst sind, über die Bedeutung der Cybersicherheit informiert werden und Verfahren im Bereich der Cyberhygiene anwenden.
1 Sollmaßnahme
N-8.1.006Gelebtes Sicherheitsbewusstsein
8.1.2.
Für die Zwecke von Nummer 8.1.1 bieten die betreffenden Einrichtungen ihren Mitarbeitenden, den Mitgliedern ihrer Leitungsorgane sowie – soweit angemessen – direkten Anbietern und Diensteanbietern gemäß Nummer 5.1.4 ein Sensibilisierungsprogramm an, das
a)
zeitlich so geplant ist, dass die Maßnahmen wiederholt werden und neue Mitarbeitende erreichen;
2 Sollmaßnahmen
N-8.1.002Wiederkehrende Sensibilisierung
N-8.1.007Durchgeführte Sensibilisierungsmaßnahmen
b)
mit dem Konzept für die Sicherheit von Netz- und Informationssystemen, den themenspezifischen Konzepten und den einschlägigen Verfahren für die Sicherheit von Netz- und Informationssystemen im Einklang steht;
1 Sollmaßnahme
N-8.1.003Konsistenz mit dem Sicherheitskonzept
c)
einschlägige Cyberbedrohungen, bestehende Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Kontaktstellen und Ressourcen für zusätzliche Informationen und Beratung zu Cybersicherheitsfragen sowie Verfahren im Bereich der Cyberhygiene für Nutzer abdeckt.
1 Sollmaßnahme
N-8.1.004Inhalte der Sensibilisierung
1 Sollmaßnahme
N-8.1.001Sensibilisierungsprogramm
8.1.3.
Das Sensibilisierungsprogramm wird – soweit angemessen – in geplanten Zeitabständen im Hinblick auf seine Wirksamkeit getestet. Das Sensibilisierungsprogramm wird in geplanten Zeitabständen aktualisiert und angeboten, wobei Änderungen der Verfahren im Bereich der Cyberhygiene sowie die aktuelle Bedrohungslage und die Risiken für die betreffenden Einrichtungen zu berücksichtigen sind.
2 Sollmaßnahmen
N-8.1.005Test und Aktualisierung des Programms
N-8.1.008Getestete Wirksamkeit der Sensibilisierung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 8›Nr. 8.2
Nummer 8.2

Sicherheitsschulungen

DVO (EU) 2024/2690 — Anhang, Nr. 8: Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit · Artikel 21 Absatz 2 Buchstabe g der Richtlinie (EU) 2022/2555
8.2.1.
Die betreffenden Einrichtungen ermittelt Mitarbeitende, deren Rollen sicherheitsrelevante Fähigkeiten und Fachkenntnisse erfordern, und stellt sicher, dass sie in Bezug auf die Sicherheit von Netz- und Informationssystemen regelmäßig geschult werden.
2 Sollmaßnahmen
N-8.2.002Identifikation sicherheitsrelevanter Rollen
N-8.2.009Geschulte sicherheitsrelevante Rollen
8.2.2.
Die betreffenden Einrichtungen führen ein Schulungsprogramm im Einklang mit dem Konzept für die Sicherheit von Netz- und Informationssystemen, den themenspezifischen Konzepten und anderen einschlägigen Verfahren für die Sicherheit von Netz- und Informationssystemen ein, in dem der Schulungsbedarf für bestimmte Rollen und Positionen auf der Grundlage von Kriterien festgelegt wird, setzen es um und wenden es an.
1 Sollmaßnahme
N-8.2.001Schulungsprogramm für die Cybersicherheit
8.2.3.
Die Schulung gemäß Nummer 8.2.1 muss für die Funktion des Mitarbeitenden relevant sein, und ihre Wirksamkeit ist zu bewerten. Die Schulung muss den bestehenden Sicherheitsmaßnahmen Rechnung tragen und Folgendes umfassen:
a)
Anweisungen für die sichere Konfiguration und den sicheren Betrieb der Netz- und Informationssysteme, einschließlich mobiler Geräte;
1 Sollmaßnahme
N-8.2.004Schulungsinhalt: sichere Konfiguration und Betrieb
b)
Unterrichtung über bekannte Cyberbedrohungen;
1 Sollmaßnahme
N-8.2.005Schulungsinhalt: Bedrohungslage
c)
Schulung in Bezug auf das Verhalten bei sicherheitsrelevanten Ereignissen.
1 Sollmaßnahme
N-8.2.006Schulungsinhalt: Verhalten bei Sicherheitsereignissen
2 Sollmaßnahmen
N-8.2.003Funktionsbezug und Wirksamkeitsbewertung der Schulungen
N-8.2.010Bewertete Schulungswirksamkeit
8.2.4.
Die betreffenden Einrichtungen führen Schulungen für Mitglieder des Personals durch, die in neue Positionen oder Rollen wechseln, die sicherheitsrelevante Fähigkeiten und Fachkenntnisse erfordern.
2 Sollmaßnahmen
N-8.2.007Schulung bei Rollenwechsel
N-8.2.011Durchgeführte Schulungen bei Rollenwechsel
8.2.5.
Das Programm wird regelmäßig aktualisiert und durchgeführt, wobei geltende Konzepte und Vorschriften, zugewiesene Rollen und Verantwortlichkeiten sowie bekannte Cyberbedrohungen und technische Entwicklungen berücksichtigt werden.
1 Sollmaßnahme
N-8.2.008Aktualisierung des Schulungsprogramms
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 9›Nr. 9
Nummer 9

Kryptografie

DVO (EU) 2024/2690 — Anhang, Nr. 9: Kryptografie · Artikel 21 Absatz 2 Buchstabe h der Richtlinie (EU) 2022/2555
9.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe h der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen ein Konzept und Verfahren in Bezug auf Kryptografie fest, setzen sie um und wenden sie an, um eine angemessene und wirksame Nutzung von Kryptografie sicherzustellen, damit die Vertraulichkeit, Authentizität und Integrität der Daten im Einklang mit der Anlagen- und Werteklassifizierung der betreffenden Einrichtungen und den Ergebnissen der gemäß Nummer 2.1 durchgeführten Risikobewertung geschützt sind.
2 Sollmaßnahmen
N-9.001Kryptografie-Konzept
N-9.006Umgesetzter kryptografischer Schutz
9.2.
In dem Konzept und den Verfahren gemäß Nummer 9.1 wird Folgendes festgelegt:
a)
im Einklang mit der Einstufung der Anlagen und Werte der betreffenden Einrichtungen die Art, Stärke und Qualität der kryptografischen Maßnahmen, die zum Schutz der Anlagen und Werte der betreffenden Einrichtungen erforderlich sind, einschließlich der Daten, die gespeichert sind oder gerade übermittelt werden;
1 Sollmaßnahme
N-9.002Kryptografische Maßnahmen nach Schutzbedarf
b)
die auf der Grundlage von Buchstabe a anzunehmenden Protokolle oder Protokollfamilien sowie kryptografische Algorithmen, Kryptierungsstärke, kryptografische Lösungen und Nutzungsverfahren, die zu genehmigen und für die Verwendung in den betreffenden Einrichtungen erforderlich sind, – soweit angemessen – nach einem Krypto-Agilitätsansatz;
1 Sollmaßnahme
N-9.003Zugelassene Protokolle und Algorithmen
c)
der Ansatz der betreffenden Einrichtungen in Bezug auf das Schlüsselmanagement, – soweit angemessen – einschließlich der Methoden für
i) die Generierung verschiedener Schlüssel für kryptografische Systeme und Anwendungen;
ii) die Ausstellung und Erlangung von Public-Key-Zertifikaten;
iii) die Verteilung von Schlüsseln an die vorgesehenen Einrichtungen, einschließlich wie der Schlüssel nach Erhalt zu aktivieren ist;
iv) die Speicherung von Schlüsseln, einschließlich wie autorisierte Nutzer Zugang zu Schlüsseln erhalten;
v) die Änderung oder Aktualisierung von Schlüsseln, einschließlich Vorschriften darüber, wann und wie Schlüssel geändert werden können;
vi) den Umgang mit beeinträchtigten Schlüsseln;
vii) den Widerruf von Schlüsseln, einschließlich wie Schlüssel zurückzuziehen oder zu deaktivieren sind;
viii) die Wiederherstellung verlorener oder beschädigter Schlüssel;
ix) die Sicherung oder Archivierung von Schlüsseln;
x) die Vernichtung von Schlüsseln;
xi) die Protokollierung und Prüfung von Managementtätigkeiten im Zusammenhang mit Schlüsseln;
xii) die Festlegung von Aktivierungs- und Deaktivierungsfristen für Schlüssel, damit die Schlüssel nur für den angegebenen Zeitraum gemäß den Vorschriften der Organisation für das Schlüsselmanagement verwendet werden können.
2 Sollmaßnahmen
N-9.004Schlüsselmanagement über den Lebenszyklus
N-9.007Gelebtes Schlüsselmanagement
9.3.
Die betreffenden Einrichtungen überprüfen ihr Konzept und ihre Verfahren in geplanten Zeitabständen und aktualisieren sie – soweit angemessen –, wobei sie dem Stand der Technik im Bereich der Kryptografie Rechnung tragen.
1 Sollmaßnahme
N-9.005Review des Kryptografie-Konzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 10›Nr. 10.1
Nummer 10.1

Sicherheit des Personals

DVO (EU) 2024/2690 — Anhang, Nr. 10: Sicherheit des Personals · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
10.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 stellen die betreffenden Einrichtungen sicher, dass ihre Mitarbeitenden und gegebenenfalls ihre direkten Anbieter und Diensteanbieter ihre Verantwortlichkeiten im Bereich der Sicherheit verstehen und sich zu ihrer Einhaltung verpflichten, soweit dies für die angebotenen Dienste und den Arbeitsplatz angemessen ist und mit dem Konzept der betreffenden Einrichtungen für die Sicherheit von Netz- und Informationssystemen im Einklang steht.
2 Sollmaßnahmen
N-10.1.001Verfahren für die Sicherheit des Personals
N-10.1.007Gelebte Sicherheitsverantwortung des Personals
10.1.2.
Die unter Nummer 10.1.1 genannte Anforderung umfasst Folgendes:
a)
Mechanismen, mit denen sichergestellt wird, dass alle Mitarbeitenden, direkten Anbieter und Diensteanbieter gegebenenfalls die von den betreffenden Einrichtungen gemäß Nummer 8.1 angewandten Standardverfahren im Bereich der Cyberhygiene verstehen und befolgen;
1 Sollmaßnahme
N-10.1.002Kenntnis und Befolgung der Cyberhygiene-Praktiken
b)
Mechanismen, mit denen sichergestellt wird, dass sich alle Nutzer mit administrativem oder privilegiertem Zugang ihrer Rollen, Verantwortlichkeiten und Weisungsbefugnisse bewusst sind und entsprechend handeln;
1 Sollmaßnahme
N-10.1.003Rollenbewusstsein privilegierter Nutzer
c)
Mechanismen, mit denen sichergestellt wird, dass die Mitglieder der Leitungsorgane ihre Rollen, Verantwortlichkeiten und Weisungsbefugnisse in Bezug auf die Sicherheit von Netz- und Informationssystemen verstehen und entsprechend handeln;
1 Sollmaßnahme
N-10.1.004Rollenbewusstsein der Leitungsorgane
d)
Mechanismen für die Einstellung von Personal, das für die jeweiligen Rollen qualifiziert ist, wie z. B. Überprüfung der Referenzen, Überprüfungsverfahren, Validierung von Zeugnissen oder schriftliche Prüfungen.
2 Sollmaßnahmen
N-10.1.005Einstellung qualifizierten Personals
N-10.1.008Durchgeführte Qualifikationsprüfung bei Einstellung
10.1.3.
Die betreffenden Einrichtungen überprüfen die Zuweisung von Personal zu bestimmten Rollen gemäß Nummer 1.2 sowie ihre Mittel für Personal in geplanten Zeitabständen und mindestens einmal jährlich. Sie aktualisieren die Zuweisung der Rollen erforderlichenfalls.
2 Sollmaßnahmen
N-10.1.006Review der Rollenzuweisung und Personalmittel
N-10.1.009Durchgeführter Review der Rollenzuweisung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 10›Nr. 10.2
Nummer 10.2

Zuverlässigkeitsüberprüfung

DVO (EU) 2024/2690 — Anhang, Nr. 10: Sicherheit des Personals · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
10.2.1.
Die betreffenden Einrichtungen stellen – soweit durchführbar – sicher, dass Zuverlässigkeitsüberprüfungen ihrer Mitarbeitenden und – soweit anwendbar – der direkten Anbieter und Diensteanbieter gemäß Nummer 5.1.4 durchgeführt werden, wenn dies für deren Rollen, Verantwortlichkeiten und Weisungsbefugnisse erforderlich ist.
2 Sollmaßnahmen
N-10.2.001Verfahren zur Zuverlässigkeitsüberprüfung
N-10.2.005Durchgeführte Zuverlässigkeitsüberprüfungen
10.2.2.
Für die Zwecke von Nummer 10.2.1 müssen die betreffenden Einrichtungen
a)
Kriterien festlegen, in denen aufgeführt ist, welche Rollen, Verantwortlichkeiten und Weisungsbefugnisse nur von Personen wahrgenommen werden dürfen, deren Zuverlässigkeit überprüft wurde;
1 Sollmaßnahme
N-10.2.002Kriterien für überprüfungspflichtige Rollen
b)
sicherstellen, dass bei diesen Personen Überprüfungen gemäß Nummer 10.2.1 durchgeführt werden, bevor sie mit der Wahrnehmung dieser Rollen, Verantwortlichkeiten und Weisungsbefugnisse beginnen, wobei die geltenden Gesetze, Vorschriften und ethischen Normen im Verhältnis zu den geschäftlichen Anforderungen, der Klassifizierung der Anlagen und Werte gemäß Nummer 12.1 und den Netz- und Informationssystemen, auf die zugegriffen werden soll, sowie den wahrgenommenen Risiken zu berücksichtigen sind.
2 Sollmaßnahmen
N-10.2.003Überprüfung vor Rollenübernahme
N-10.2.006Rollenübernahme erst nach Überprüfung
10.2.3.
Die betreffenden Einrichtungen überprüfen ihr Konzept in geplanten Zeitabständen und aktualisieren es – soweit angemessen.
1 Sollmaßnahme
N-10.2.004Review des Überprüfungskonzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 10›Nr. 10.3
Nummer 10.3

Verfahren zur Beendigung oder Änderung des Beschäftigungsverhältnisses

DVO (EU) 2024/2690 — Anhang, Nr. 10: Sicherheit des Personals · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
10.3.1.
Die betreffenden Einrichtungen stellen sicher, dass die Verantwortlichkeiten und Pflichten in Bezug auf die Sicherheit von Netz- und Informationssystemen, die auch nach der Beendigung oder der Änderung des Beschäftigungsverhältnisses ihrer Mitarbeitenden gültig bleiben, vertraglich festgelegt und durchgesetzt werden.
2 Sollmaßnahmen
N-10.3.001Verfahren zur Beendigung oder Änderung des Beschäftigungsverhältnisses
N-10.3.003Durchgesetzte fortgeltende Sicherheitspflichten
10.3.2.
Für die Zwecke von Nummer 10.3.1 nehmen die betreffenden Einrichtungen in die Arbeits- und Beschäftigungsbedingungen, den Vertrag oder die Vereinbarung der betreffenden Person die Verantwortlichkeiten und Pflichten auf, die auch nach Beendigung des Beschäftigungsverhältnisses oder des Vertrags gültig bleiben, wie z. B. Vertraulichkeitsklauseln.
1 Sollmaßnahme
N-10.3.002Fortgeltende Pflichten in Verträgen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 10›Nr. 10.4
Nummer 10.4

Disziplinarverfahren

DVO (EU) 2024/2690 — Anhang, Nr. 10: Sicherheit des Personals · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
10.4.1.
Die betreffenden Einrichtungen führen ein Disziplinarverfahren für den Umgang mit Verstößen gegen die Konzepte für die Sicherheit von Netz- und Informationssystemen ein, machen es bekannt und erhalten es aufrecht. In dem Verfahren sind die einschlägigen rechtlichen, gesetzlichen, vertraglichen und geschäftlichen Anforderungen zu berücksichtigen.
2 Sollmaßnahmen
N-10.4.001Disziplinarverfahren bei Sicherheitsverstößen
N-10.4.003Angewandtes Disziplinarverfahren
10.4.2.
Die betreffenden Einrichtungen überprüfen das Disziplinarverfahren in geplanten Zeitabständen sowie – soweit angemessen – bei rechtlichen Änderungen oder bei wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren es gegebenenfalls.
1 Sollmaßnahme
N-10.4.002Review des Disziplinarverfahrens
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.1
Nummer 11.1

Konzept für die Zugriffskontrolle

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen auf der Grundlage von geschäftlichen Anforderungen sowie Anforderungen an die Sicherheit von Netz- und Informationssystemen Konzepte für die logische und physische Kontrolle des Zugangs zu ihren Netz- und Informationssystemen fest, dokumentieren sie und setzen sie um.
2 Sollmaßnahmen
N-11.1.001Konzept für die Zugriffskontrolle
N-11.1.006Gelebte Zugriffskontrolle
11.1.2.
Die in Nummer 11.1.1. genannten Konzepte müssen
a)
für den Zugang von Personen, einschließlich Personal, Besuchern und externen Einrichtungen wie Anbietern und Diensteanbietern, gelten;
1 Sollmaßnahme
N-11.1.002Geltung für den Zugang von Personen
b)
für den Zugang von Netz- und Informationssystemen gelten;
1 Sollmaßnahme
N-11.1.003Geltung für Systemzugriffe
c)
sicherstellen, dass der Zugang nur Nutzern gewährt wird, die angemessen authentifiziert wurden.
2 Sollmaßnahmen
N-11.1.004Zugang nur nach Authentifizierung
N-11.1.007Authentifizierung vor Zugang
11.1.3.
Die betreffenden Einrichtungen überprüfen die Konzepte in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
1 Sollmaßnahme
N-11.1.005Review des Zugriffskontroll-Konzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.2
Nummer 11.2

Management von Zugangs- und Zugriffsrechten

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.2.1.
Die betreffenden Einrichtungen gewähren, ändern, löschen und dokumentieren Zugangs- und Zugriffsrechte für die Netz- und Informationssysteme im Einklang mit dem in Nummer 11.1 genannten Konzept für die Zugriffskontrolle.
2 Sollmaßnahmen
N-11.2.001Verfahren für das Management von Zugangs- und Zugriffsrechten
N-11.2.009Gelebter Rechte-Lebenszyklus
11.2.2.
Die betreffenden Einrichtungen
a)
gewähren und entziehen Zugangs- und Zugriffsrechte auf der Grundlage des Grundsatzes „Kenntnis nur, wenn nötig“ (Need-to-know), des Grundsatzes der Nutzungsnotwendigkeit (Need-to-use) und des Grundsatzes der Aufgabentrennung;
1 Sollmaßnahme
N-11.2.002Least Privilege und Aufgabentrennung
b)
stellen sicher, dass die Zugangs- und Zugriffsrechte bei Beendigung oder Änderung des Beschäftigungsverhältnisses entsprechend geändert werden;
2 Sollmaßnahmen
N-11.2.003Rechteanpassung bei Austritt und Wechsel
N-11.2.010Zeitnaher Rechteentzug bei Austritt und Wechsel
c)
stellen sicher, dass der Zugang zu Netz- und Informationssystemen von den einschlägigen Personen genehmigt wird;
2 Sollmaßnahmen
N-11.2.004Genehmigung von Zugängen
N-11.2.011Dokumentierte Zugangsgenehmigungen
d)
stellen sicher, dass die Zugangs- und Zugriffsrechte dem Zugang bzw. Zugriff Dritter, wie Besucher, Anbieter und Diensteanbieter, angemessen Rechnung tragen, insbesondere durch Beschränkung der Zugangs- und Zugriffsrechte in Bezug auf Umfang und Dauer;
1 Sollmaßnahme
N-11.2.005Beschränkte Rechte für Dritte
e)
führen ein Register der gewährten Zugangs- und Zugriffsrechte;
1 Sollmaßnahme
N-11.2.006Register der Zugangs- und Zugriffsrechte
f)
protokollieren das Management von Zugangs- und Zugriffsrechten.
1 Sollmaßnahme
N-11.2.007Protokollierung des Rechtemanagements
11.2.3.
Die betreffenden Einrichtungen überprüfen die Zugangs- und Zugriffsrechte in geplanten Zeitabständen und ändern sie bei organisatorischen Änderungen. Die betreffenden Einrichtungen dokumentieren die Ergebnisse der Überprüfung, einschließlich der erforderlichen Änderungen der Zugangs- und Zugriffsrechte.
2 Sollmaßnahmen
N-11.2.008Berechtigungsreview
N-11.2.012Durchgeführte Berechtigungsreviews
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.3
Nummer 11.3

Privilegierte Konten und Systemverwaltungskonten

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.3.1.
Die betreffenden Einrichtungen halten sich an Grundsätze für das Management von privilegierten Konten und Systemverwaltungskonten als Teil des in Nummer 11.1 genannten Konzepts für die Zugriffskontrolle.
1 Sollmaßnahme
N-11.3.001Richtlinie für privilegierte Zugänge (PAM)
11.3.2.
Mit den in Nummer 11.3.1 genannten Konzepten
a)
müssen starke Verfahren zur Identifizierung, Authentifizierung (z. B. Multifaktor-Authentifizierung) und Genehmigung für privilegierte Konten und Systemverwaltungskonten eingerichtet werden;
2 Sollmaßnahmen
N-11.3.002Starke Authentifizierung und Genehmigung privilegierter Konten
N-11.3.007Starke Authentifizierung privilegierter Konten im Einsatz
b)
müssen spezielle Konten eingerichtet werden, die ausschließlich für Systemverwaltungsvorgänge, wie Installation, Konfiguration, Verwaltung oder Wartung, zu verwenden sind;
2 Sollmaßnahmen
N-11.3.003Dedizierte Administrationskonten
N-11.3.008Getrennte Administrationskonten im Einsatz
c)
müssen die Systemverwaltungsrechte so weit wie möglich individuell zugeschnitten und einschränkt werden;
1 Sollmaßnahme
N-11.3.004Minimal zugeschnittene Administrationsrechte
d)
muss festgelegt werden, dass Systemverwaltungskonten ausschließlich zur Verbindung mit Systemverwaltungssystemen verwendet werden.
1 Sollmaßnahme
N-11.3.005Administrationskonten nur zu Verwaltungssystemen
11.3.3.
Die betreffenden Einrichtungen überprüfen die Zugangs- und Zugriffsrechte für privilegierte Konten und Systemverwaltungskonten in geplanten Zeitabständen, ändern diese bei organisatorischen Änderungen und dokumentieren die Ergebnisse der Überprüfung, einschließlich der erforderlichen Änderungen der Zugriffsrechte.
2 Sollmaßnahmen
N-11.3.006Review privilegierter Rechte
N-11.3.009Durchgeführter Review privilegierter Rechte
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.4
Nummer 11.4

Systemverwaltungssysteme

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.4.1.
Die betreffenden Einrichtungen beschränken und kontrollieren die Nutzung von Systemverwaltungskonten im Einklang mit dem in Nummer 11.1 genannten Konzept für die Zugriffskontrolle.
1 Sollmaßnahme
N-11.4.001Beschränkte Nutzung von Systemverwaltungskonten
11.4.2.
Für diese Zwecke müssen die betreffenden Einrichtungen
a)
Systemverwaltungssysteme ausschließlich für die Zwecke der Systemverwaltung und nicht für andere Vorgänge verwenden;
2 Sollmaßnahmen
N-11.4.002Zweckbindung der Systemverwaltungssysteme
N-11.4.005Zweckgebundene Verwaltungssysteme im Betrieb
b)
solche Systeme logisch von Anwendungssoftware, die nicht für Systemverwaltungszwecke verwendet wird, trennen;
2 Sollmaßnahmen
N-11.4.003Logische Trennung der Verwaltungssysteme
N-11.4.006Umgesetzte logische Trennung
c)
den Zugang zu Systemverwaltungssystemen durch Authentifizierung und Verschlüsselung schützen.
2 Sollmaßnahmen
N-11.4.004Geschützter Zugang zu Verwaltungssystemen
N-11.4.007Geschützter Zugang im Betrieb
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.5
Nummer 11.5

Identifizierung

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.5.1.
Die betreffenden Einrichtungen verwalten den gesamten Lebenszyklus der Identitäten (Kennungen) der Netz- und Informationssysteme und ihrer Nutzer.
1 Sollmaßnahme
N-11.5.001Verfahren für das Identitätsmanagement
11.5.2.
Für diese Zwecke müssen die betreffenden Einrichtungen
a)
eindeutige Kennungen für die Netz- und Informationssysteme und deren Nutzer einrichten;
1 Sollmaßnahme
N-11.5.002Eindeutige Kennungen
b)
die Nutzerkennung mit einer einzigen Person verknüpfen;
2 Sollmaßnahmen
N-11.5.003Personenbindung der Nutzerkennungen
N-11.5.008Nachvollziehbare Personenzuordnung
c)
die Überwachung der Kennungen der Netz- und Informationssysteme sicherstellen;
1 Sollmaßnahme
N-11.5.004Überwachung technischer Kennungen
d)
das Management von Identitäten (Kennungen) protokollieren.
1 Sollmaßnahme
N-11.5.005Protokollierung des Identitätsmanagements
11.5.3.
Die betreffenden Einrichtungen genehmigen Kennungen, die mehreren Personen zugewiesen wurden, wie z. B. gemeinsame Kennungen, nur dann, wenn sie aus geschäftlichen oder operativen Gründen erforderlich sind, einem ausdrücklichen Genehmigungsverfahren unterliegen und dokumentiert werden. Die betreffenden Einrichtungen berücksichtigen Kennungen, die mehreren Personen im Rahmen des in Nummer 2.1 genannten Rahmens für das Risikomanagement im Bereich der Cybersicherheit zugewiesen wurden.
2 Sollmaßnahmen
N-11.5.006Sammel-Kennungen nur mit Genehmigung
N-11.5.009Kontrollierte Sammel-Kennungen
11.5.4.
Die betreffenden Einrichtungen überprüfen regelmäßig die Kennungen der Netz- und Informationssysteme und ihrer Nutzer und deaktivieren sie unverzüglich, falls sie nicht mehr benötigt werden.
2 Sollmaßnahmen
N-11.5.007Deaktivierung nicht mehr benötigter Kennungen
N-11.5.010Durchgeführte Kennungs-Reviews und Deaktivierungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.6
Nummer 11.6

Authentifizierung

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.6.1.
Die betreffenden Einrichtungen verwenden sichere Authentifizierungsverfahren und -techniken auf der Grundlage von Zugangsbeschränkungen und des Konzepts für die Zugriffskontrolle.
2 Sollmaßnahmen
N-11.6.001Sichere Authentifizierungsverfahren
N-11.6.010Eingesetzte sichere Authentifizierung
11.6.2.
Für diese Zwecke müssen die betreffenden Einrichtungen
a)
sicherstellen, dass die Stärke der Authentifizierung für die Klassifizierung der Anlage bzw. des Werts, auf die zugegriffen werden soll, angemessen ist;
1 Sollmaßnahme
N-11.6.002Authentifizierungsstärke nach Klassifizierung
b)
die Verwaltung geheimer Authentifizierungsinformationen und deren Zuweisung an die Nutzer durch ein Verfahren kontrollieren, das die Vertraulichkeit der Informationen gewährleistet, einschließlich Anweisungen an das Personal in Bezug auf den angemessenen Umgang mit Authentifizierungsinformationen;
1 Sollmaßnahme
N-11.6.003Verwaltung geheimer Authentifizierungsinformationen
c)
die Änderung von Authentifizierungsdaten zu Beginn, sodann in vorab festgelegten Zeitabständen und immer dann verlangen, wenn der Verdacht besteht, dass die Authentifizierungsdaten beeinträchtigt wurden;
2 Sollmaßnahmen
N-11.6.004Wechsel von Authentifizierungsdaten
N-11.6.011Erzwungener Wechsel von Authentifizierungsdaten
d)
das Zurücksetzen der Authentifizierungsdaten und die Sperrung von Nutzern nach einer vorab festgelegten Anzahl erfolgloser Anmeldeversuche verlangen;
2 Sollmaßnahmen
N-11.6.005Zurücksetzen und Sperrung nach Fehlversuchen
N-11.6.012Wirksame Sperrung nach Fehlversuchen
e)
inaktive Sitzungen nach einem im Voraus festgelegten Zeitraum der Inaktivität beenden und
2 Sollmaßnahmen
N-11.6.006Beendigung inaktiver Sitzungen
N-11.6.013Wirksame Sitzungsbeendigung
f)
für den Zugriff auf privilegierte Konten oder Verwaltungskonten gesonderte Authentifizierungsdaten verlangen.
1 Sollmaßnahme
N-11.6.007Gesonderte Authentifizierungsdaten für privilegierte Konten
11.6.3.
Die betreffenden Einrichtungen verwenden – soweit durchführbar – modernste Authentifizierungsmethoden, die dem damit verbundenen bewerteten Risiko und der Klassifizierung der Anlage bzw. des Werts, auf die zugegriffen werden soll, entsprechen, sowie eindeutige Authentifizierungsinformationen.
1 Sollmaßnahme
N-11.6.008Authentifizierung nach Stand der Technik
11.6.4.
Die betreffenden Einrichtungen überprüfen die Authentifizierungsverfahren und -techniken in geplanten Zeitabständen.
1 Sollmaßnahme
N-11.6.009Review der Authentifizierungsverfahren
ENISA-TIG-Themen ohne N-Atom-Zuordnung — Kandidaten für eigene Guidance-Atome
Nachweisbeispiele
Dokumentation, die zeigt, dass die Identitäten regelmäßig überprüft und bei Bedarf aktualisiert werden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 11›Nr. 11.7
Nummer 11.7

Multifaktor-Authentifizierung

DVO (EU) 2024/2690 — Anhang, Nr. 11: Zugriffskontrolle · Artikel 21 Absatz 2 Buchstaben i und j der Richtlinie (EU) 2022/2555
11.7.1.
Die betreffenden Einrichtungen stellen sicher, dass die Nutzer – soweit angemessen – durch mehrere Authentifizierungsfaktoren oder kontinuierliche Authentifizierungsmechanismen für den Zugang zu den Netz- und Informationssystemen der betreffenden Einrichtungen im Einklang mit der Klassifizierung der Anlage bzw. des Werts, auf die zugegriffen werden soll, authentifiziert werden.
2 Sollmaßnahmen
N-11.7.001Einsatzregeln für Multifaktor-Authentifizierung
N-11.7.002Eingesetzte Multifaktor-Authentifizierung
11.7.2.
Die betreffenden Einrichtungen stellen sicher, dass die Stärke der Authentifizierung für die Klassifizierung der Anlage bzw. des Werts, auf die zugegriffen werden soll, angemessen ist.
1 Sollmaßnahme
N-11.7.003Angemessene Authentifizierungsstärke
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 12›Nr. 12.1
Nummer 12.1

Anlagen- und Werteklassifizierung

DVO (EU) 2024/2690 — Anhang, Nr. 12: Anlagen- und Wertemanagement · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
12.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen für alle Anlagen und Werte (einschließlich Informationen), die in den Anwendungsbereich ihrer Netz- und Informationssysteme fallen, Klassifizierungsstufen für das erforderliche Schutzniveau fest.
1 Sollmaßnahme
N-12.1.001Verfahren für die Klassifizierung von Anlagen und Werten
12.1.2.
Für die Zwecke von Nummer 12.1.1 müssen die betreffenden Einrichtungen
a)
ein System von Klassifizierungsstufen für Anlagen und Werte festlegen;
1 Sollmaßnahme
N-12.1.002Stufensystem der Klassifizierung
b)
allen Anlagen und Werte eine Klassifizierungsstufe zuordnen, die auf Vertraulichkeits-, Integritäts-, Authentizitäts- und Verfügbarkeitsanforderungen beruht, um den entsprechend ihrer Sensibilität, ihrer Kritikalität, ihres Risikos und ihres Geschäftswerts erforderlichen Schutz anzugeben;
2 Sollmaßnahmen
N-12.1.003Zuordnung der Klassifizierungsstufen
N-12.1.006Durchgeführte Klassifizierung
c)
die Verfügbarkeitsanforderungen in Bezug auf die Anlagen und Werte an die in ihrem Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs festgelegten Ziele für die Bereitstellung und Wiederherstellung anpassen.
1 Sollmaßnahme
N-12.1.004Abgleich mit den Wiederanlaufzielen
12.1.3.
Die betreffenden Einrichtungen überprüfen regelmäßig die Klassifizierungsstufen der Anlagen und Werte und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-12.1.005Review der Klassifizierungen
N-12.1.007Aktuell gehaltene Klassifizierungen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 12›Nr. 12.2
Nummer 12.2

Behandlung von Anlagen und Werten

DVO (EU) 2024/2690 — Anhang, Nr. 12: Anlagen- und Wertemanagement · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
12.2.1.
Die betreffenden Einrichtungen legen ein Konzept für die ordnungsgemäße Behandlung von Anlagen und Werten (einschließlich Informationen) im Einklang mit ihrem Konzept für die Sicherheit ihrer Netz- und Informationssysteme fest, setzen es um und wenden es an und teilen dieses Konzept für die ordnungsgemäße Behandlung von Anlagen und Werten allen Personen mit, die Anlagen und Werte nutzen oder damit umgehen.
2 Sollmaßnahmen
N-12.2.001Konzept für die Behandlung von Anlagen und Werten
N-12.2.006Bekanntes und angewandtes Behandlungskonzept
12.2.2.
Das Konzept muss
a)
den gesamten Lebenszyklus der Anlagen und Werte abdecken, einschließlich Erwerb, Verwendung, Speicherung, Transport und Entsorgung;
1 Sollmaßnahme
N-12.2.002Abdeckung des gesamten Lebenszyklus
b)
Vorschriften für die sichere Verwendung, die sichere Speicherung, den sicheren Transport und die unwiederbringliche Löschung und Vernichtung der Anlagen und Werte;
2 Sollmaßnahmen
N-12.2.003Vorgaben für Verwendung, Speicherung, Transport und Vernichtung
N-12.2.007Nachweisbare Löschung und Vernichtung
c)
vorsehen, dass die Übertragung unter Berücksichtigung der Art der zu übertragenden Anlage bzw. des zu übertragenden Werts sicher erfolgt.
1 Sollmaßnahme
N-12.2.004Sichere Übertragung
12.2.3.
Die betreffenden Einrichtungen überprüfen das Konzept in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren dieses – soweit angemessen.
1 Sollmaßnahme
N-12.2.005Review des Behandlungskonzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 12›Nr. 12.3
Nummer 12.3

Konzept für Wechseldatenträger

DVO (EU) 2024/2690 — Anhang, Nr. 12: Anlagen- und Wertemanagement · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
12.3.1.
Die betreffenden Einrichtungen legen ein Konzept für das Management von Wechseldatenträgern fest, setzen es um und wenden es an und teilen es ihren Mitarbeitenden und Dritten mit, die Wechseldatenträger in den Räumlichkeiten der betreffenden Einrichtungen oder an anderen Orten, an denen die Wechseldatenträger mit den Netz- und Informationssystemen der betreffenden Einrichtungen verbunden sind, benutzen.
1 Sollmaßnahme
N-12.3.001Konzept für Wechseldatenträger
12.3.2.
Das Konzept muss
a)
eine technische Sperrung von Verbindungen mit Wechseldatenträgern vorsehen, es sei denn, es liegen organisatorische Gründe für deren Nutzung vor;
2 Sollmaßnahmen
N-12.3.002Technische Sperrung von Wechseldatenträgern
N-12.3.007Wirksame Sperrung von Wechseldatenträgern
b)
vorsehen, dass die Selbstausführung von Dateien von solchen Datenträgern verhindert wird und die Datenträger auf Schadcodes gescannt werden, bevor sie in den Systemen der betreffenden Einrichtungen verwendet werden können;
2 Sollmaßnahmen
N-12.3.003Autostart-Verhinderung und Schadsoftware-Scan
N-12.3.008Wirksamer Schutz vor Schadsoftware von Datenträgern
c)
Maßnahmen zur Kontrolle und zum Schutz von tragbaren Speichergeräten, die gespeicherte und gerade übermittelte Daten enthalten, vorsehen;
1 Sollmaßnahme
N-12.3.004Schutz tragbarer Speichergeräte
d)
gegebenenfalls Maßnahmen für den Einsatz kryptografischer Verfahren zum Schutz von Daten auf Wechseldatenträgern vorsehen.
1 Sollmaßnahme
N-12.3.005Verschlüsselung von Wechseldatenträgern
12.3.3.
Die betreffenden Einrichtungen überprüfen das Konzept in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren dieses – soweit angemessen.
1 Sollmaßnahme
N-12.3.006Review des Wechseldatenträger-Konzepts
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 12›Nr. 12.4
Nummer 12.4

Anlagen- und Werteinventar

DVO (EU) 2024/2690 — Anhang, Nr. 12: Anlagen- und Wertemanagement · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
12.4.1.
Die betreffenden Einrichtungen erstellen und pflegen ein vollständiges, genaues, aktuelles und kohärentes Inventar ihrer Anlagen und Werte. Sie erfassen Änderungen der Einträge im Anlagen- und Werteinventar auf nachvollziehbare Weise.
2 Sollmaßnahmen
N-12.4.001Anlagen- und Werteinventar
N-12.4.006Gepflegtes Inventar
12.4.2.
Die Granularität des Anlagen- und Werteinventars liegt auf einem Niveau, dass den Bedürfnissen der betreffenden Einrichtungen entspricht. Das Inventar umfasst Folgendes:
a)
die Liste der Betriebsabläufe und Dienste und ihre Beschreibung,
1 Sollmaßnahme
N-12.4.003Inventar-Inhalt: Betriebsabläufe und Dienste
b)
die Liste der Netz- und Informationssysteme und anderer zugehöriger Anlagen und Werte, die die Abläufe und die Dienste der betreffenden Einrichtungen unterstützen.
1 Sollmaßnahme
N-12.4.004Inventar-Inhalt: IT-Systeme und zugehörige Anlagen
1 Sollmaßnahme
N-12.4.002Granularität des Inventars
12.4.3.
Die betreffenden Einrichtungen überprüfen und aktualisieren regelmäßig das Inventar und ihre Anlagen und Werte und dokumentieren den Verlauf der Änderungen.
1 Sollmaßnahme
N-12.4.005Pflege und Änderungsverlauf des Inventars
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 12›Nr. 12.5
Nummer 12.5

Abgabe, Rückgabe oder Löschung von Anlagen und Werten bei Beendigung des Beschäftigungsverhältnisses

DVO (EU) 2024/2690 — Anhang, Nr. 12: Anlagen- und Wertemanagement · Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555
12.5.
Die betreffenden Einrichtungen legen Verfahren fest, setzen sie um und wenden sie an, um sicherzustellen, dass ihre Anlagen und Werte, die sich in der Verwahrung des Personals befinden, bei Beendigung des Beschäftigungsverhältnisses abgegeben, zurückgegeben oder gelöscht werden, und dokumentieren die Abgabe, Rückgabe und Löschung dieser Anlagen und Werte. Ist die Abgabe, Rückgabe oder Löschung von Anlagen und Werten nicht möglich, so stellen die betreffenden Einrichtungen sicher, dass die Anlagen und Werte gemäß Nummer 12.2.2 nicht mehr auf die Netz- und Informationssysteme der betreffenden Einrichtungen zugreifen können.
3 Sollmaßnahmen
N-12.5.001Verfahren zur Rückgabe und Löschung bei Austritt
N-12.5.002Rückgabe, Löschung und Rückfalllösung Zugriffsentzug
N-12.5.003Nachweisbare Rückgabe- und Löschpraxis
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 13›Nr. 13.1
Nummer 13.1

Unterstützende Versorgungsleistungen

DVO (EU) 2024/2690 — Anhang, Nr. 13: Sicherheit des Umfelds und physische Sicherheit · Artikel 21 Absatz 2 Buchstaben c, e und i der Richtlinie (EU) 2022/2555
13.1.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555 verhindern die betreffenden Einrichtungen Verluste, Schäden oder Beeinträchtigungen von Netz- und Informationssystemen oder Unterbrechungen ihres Betriebs aufgrund des Ausfalls und der Störung unterstützender Versorgungsleistungen.
1 Sollmaßnahme
N-13.1.001Konzept für unterstützende Versorgungsleistungen
13.1.2.
Für diese Zwecke müssen die betreffenden Einrichtungen – soweit angemessen –
a)
ihre Betriebsstätten vor Stromausfällen und anderen Störungen schützen, die durch Ausfälle bei unterstützenden Versorgungsunternehmen z. B. für Strom, Telekommunikation, Wasser, Gas, Abwasser, Lüftung und Klimatisierung verursacht werden;
2 Sollmaßnahmen
N-13.1.002Schutz vor Versorgungsstörungen
N-13.1.009Abgesicherter Betrieb bei Versorgungsstörungen
b)
die Nutzung von Redundanzsystemen für Versorgungsleistungen in Erwägung ziehen;
1 Sollmaßnahme
N-13.1.003Redundante Versorgungsleistungen
c)
Versorgungsleistungen, die Strom und Telekommunikationsdienste für den Transport von Daten oder für den Betrieb von Netz- und Informationssystemen bereitstellen, vor Abhörung und Beschädigung schützen;
1 Sollmaßnahme
N-13.1.004Schutz von Strom- und Telekommunikationsleitungen
d)
die unter Buchstabe c genannten Versorgungsleistungen überwachen und dem zuständigen internen oder externen Personal die Ereignisse melden, die außerhalb der in Nummer 13.2.2 Buchstabe b genannten Mindest- und Höchstkontrollwerteliegen und Auswirkungen auf die Versorgungsleistungen haben;
2 Sollmaßnahmen
N-13.1.005Überwachung der Versorgungsleistungen
N-13.1.010Gelebte Versorgungs-Überwachung
e)
Verträge über die Notversorgung mit entsprechenden Leistungen abschließen, z. B. für Brennstoff für die Notstromversorgung;
1 Sollmaßnahme
N-13.1.006Verträge zur Notversorgung
f)
die kontinuierliche Wirksamkeit, Überwachung, Wartung und Erprobung der Netz- und Informationssysteme, die für den Betrieb des angebotenen Dienstes erforderlich sind, gewährleisten, insbesondere Strom, Temperatur- und Feuchtigkeitsregelung, Telekommunikation und Internetverbindung.
1 Sollmaßnahme
N-13.1.007Wirksamkeit versorgungskritischer Systeme
13.1.3.
Die betreffenden Einrichtungen testen die Schutzmaßnahmen in geplanten Zeitabständen oder nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-13.1.008Test der Versorgungs-Schutzmaßnahmen
N-13.1.011Durchgeführte Tests der Versorgungs-Schutzmaßnahmen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 13›Nr. 13.2
Nummer 13.2

Schutz vor physischen Bedrohungen und Bedrohungen des Umfelds

DVO (EU) 2024/2690 — Anhang, Nr. 13: Sicherheit des Umfelds und physische Sicherheit · Artikel 21 Absatz 2 Buchstaben c, e und i der Richtlinie (EU) 2022/2555
13.2.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe e der Richtlinie (EU) 2022/2555 verhindern oder verringern die betreffenden Einrichtungen die Folgen von Ereignissen, die von physischen Bedrohungen und Bedrohungen des Umfelds wie Naturkatastrophen und anderen vorsätzlichen oder unbeabsichtigten Bedrohungen ausgehen, auf der Grundlage der Ergebnisse der gemäß Nummer 2.1 durchgeführten Risikobewertung.
1 Sollmaßnahme
N-13.2.001Konzept zum Schutz vor physischen und Umfeldbedrohungen
13.2.2.
Für diese Zwecke müssen die betreffenden Einrichtungen – soweit angemessen –
a)
Schutzmaßnahmen gegen physische Bedrohungen und Bedrohungen des Umfelds konzipieren und umsetzen;
1 Sollmaßnahme
N-13.2.002Schutzmaßnahmen gegen physische und Umfeldbedrohungen
b)
Mindest- und Höchstkontrollwerte für physische Bedrohungen und Bedrohungen des Umfelds bestimmen;
1 Sollmaßnahme
N-13.2.003Kontrollwerte für Umgebungsparameter
c)
die Umgebungsparameter überwachen und dem zuständigen internen oder externen Personal Ereignisse melden, die außerhalb der in Buchstabe b genannten Mindest- und Höchstkontrollwerte liegen.
2 Sollmaßnahmen
N-13.2.004Überwachung der Umgebungsparameter
N-13.2.006Gelebte Umgebungsüberwachung
13.2.3.
Die betreffenden Einrichtungen testen die Schutzmaßnahmen gegen physische Bedrohungen und Bedrohungen des Umfelds in geplanten Zeitabständen oder nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-13.2.005Test der physischen Schutzmaßnahmen
N-13.2.007Durchgeführte Tests der physischen Schutzmaßnahmen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DVO 2024/2690›Anhang Nr. 13›Nr. 13.3
Nummer 13.3

Perimeter und physische Zutrittskontrolle

DVO (EU) 2024/2690 — Anhang, Nr. 13: Sicherheit des Umfelds und physische Sicherheit · Artikel 21 Absatz 2 Buchstaben c, e und i der Richtlinie (EU) 2022/2555
13.3.1.
Für die Zwecke von Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 verhindern und überwachen die betreffenden Einrichtungen unbefugten physischen Zutritt zu, Beschädigungen von und Eingriffe in ihre Netz- und Informationssysteme.
2 Sollmaßnahmen
N-13.3.001Konzept für Perimeterschutz und Zutrittskontrolle
N-13.3.007Wirksam verhinderter unbefugter Zutritt
13.3.2.
Für diese Zwecke müssen die betreffenden Einrichtungen
a)
auf der Grundlage der gemäß Nummer 2.1 durchgeführten Risikobewertung Sicherheitsperimeter festlegen und nutzen, um Bereiche zu schützen, in denen sich Netz- und Informationssysteme und andere zugehörige Anlagen befinden;
1 Sollmaßnahme
N-13.3.002Festgelegte Sicherheitsperimeter
b)
die unter Buchstabe a genannten Bereiche durch geeignete Zutrittskontrollen und Zugangspunkte schützen;
1 Sollmaßnahme
N-13.3.003Zutrittskontrollen und Zugangspunkte
c)
Maßnahmen für die physische Sicherheit von Büros, Räumen und Betriebsstätten konzipieren und umsetzen;
1 Sollmaßnahme
N-13.3.004Physische Sicherheit von Büros und Betriebsstätten
d)
ihrer Räumlichkeiten kontinuierlich in Bezug auf unbefugten physischen Zutritt überwachen.
2 Sollmaßnahmen
N-13.3.005Kontinuierliche Zutrittsüberwachung
N-13.3.008Gelebte Überwachung der Räumlichkeiten
13.3.3.
Die betreffenden Einrichtungen testen die Maßnahmen zur physischen Zutrittskontrolle in geplanten Zeitabständen oder nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.
2 Sollmaßnahmen
N-13.3.006Test der Zutrittskontrollen
N-13.3.009Durchgeführte Tests der Zutrittskontrollen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.5 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
NIS-2-Navigator›Fachbeiträge und Material

Fachbeiträge und Material

marlen-hofmann.de/nis2/

Meine Fachbeiträge, Cheatsheets und Materialien stehen auf meiner Website — dort nach Themen geordnet, durchsuchbar und auf dem jeweils aktuellen Stand.

Zu den Fachbeiträgen auf marlen-hofmann.de

Maßgeblich für die Umsetzung sind die Rechtstexte und die Sollmaßnahmen in diesem Handbuch, nicht die Beiträge. Der Link öffnet in einem neuen Tab.