Die Richtlinie legt einen gemeinsamen Rechtsrahmen für die Cybersicherheit fest, um das Sicherheitsniveau in der EU auszubauen, die Kapazitäten der Mitgliedstaaten zu stärken und Risikomanagementmaßnahmen bei wesentlichen und wichtigen Einrichtungen durchzusetzen.
Gut zu wissen
Gilt nicht direkt für Sie.
Als Richtlinie richtet sie sich an die Mitgliedstaaten (Art. 288 Abs. 3 AEUV): Die EU gibt das Ziel vor, den Weg wählt jeder Staat. Ihre Pflichten stehen deshalb im BSIG →
Umsetzung
Wo stehen Ihre Pflichten?
1EU gibt das Ziel vor2Deutschland setzt um3Hier stehen Ihre Pflichten
Sie sind hierNIS-2-Richtliniegibt nur das Ziel vor
Bedeutung, Pflichten, Verantwortung, Materialien und Sanktionen passen sich an Ihre Auswahl an.
Sichtweise
Branche
Stand —ca. — Lesezeit
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Vertrauensdiensteanbieter gelten als wichtige Einrichtungen und unterliegen den allgemeinen NIS2-Anforderungen.
Für Vertrauensdiensteanbieter gelten ab sofort alle Pflichten für wichtige Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 6
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
§ 62 BSIG
Unterrichtungspflicht
Das BSI kann bei erheblichen Sicherheitsvorfällen die Unterrichtung von Empfängern des betroffenen Dienstes anordnen.
Hinweis: Die Materialien sind eine Praxis-Hilfe und ersetzen keine Rechtsberatung im Einzelfall. Externe Links vor dem Einsatz auf Aktualität prüfen.
Sanktionen
Was bei Verstößen droht
bei unzureichenden Maßnahmen oder Verstößen gegen die Unterrichtungs-, Melde- oder Dokumentationspflicht
Höchstes Bußgeld
bis zu7 Mio. €
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
bei Verstößen gegen Anordnungen zur Aufsicht oder Durchsetzung durch das BSI
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Sie unterliegen den allgemeinen NIS2-Anforderungen.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
Wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Zusätzlich zu den Anforderungen an wichtige Einrichtungen unterliegen Sie einer besonders strengen Aufsicht.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Aufsicht
Nachweise per Audit, Prüfung oder Zertifizierung auf Wunsch des BSI.
§ 61 BSIG
Maßstab: Nachweise können jederzeit angefragt werden, nicht nur bei Verdacht auf Verstoß.
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG
Besonders wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Besonders wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Besonders wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Besonders wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Besonders wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Sie unterliegen den allgemeinen NIS2-Anforderungen.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
Wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Zusätzlich zu den Anforderungen an wichtige Einrichtungen unterliegen Sie einer besonders strengen Aufsicht.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Aufsicht
Nachweise per Audit, Prüfung oder Zertifizierung auf Wunsch des BSI.
§ 61 BSIG
Maßstab: Nachweise können jederzeit angefragt werden, nicht nur bei Verdacht auf Verstoß.
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG
Besonders wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Besonders wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Besonders wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Besonders wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Besonders wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Sie unterliegen den allgemeinen NIS2-Anforderungen.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
Wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Wichtige Einrichtung
Betrag offen
§ 65 Absatz 5 Nr. 2 BSIG
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Zusätzlich zu den Anforderungen an wichtige Einrichtungen unterliegen Sie einer besonders strengen Aufsicht.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Aufsicht
Nachweise per Audit, Prüfung oder Zertifizierung auf Wunsch des BSI.
§ 61 BSIG
Maßstab: Nachweise können jederzeit angefragt werden, nicht nur bei Verdacht auf Verstoß.
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG
Besonders wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Besonders wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Besonders wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Besonders wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Besonders wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Zusätzlich zu den Anforderungen an wichtige Einrichtungen unterliegen Sie einer besonders strengen Aufsicht.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Aufsicht
Nachweise per Audit, Prüfung oder Zertifizierung auf Wunsch des BSI.
§ 61 BSIG
Maßstab: Nachweise können jederzeit angefragt werden, nicht nur bei Verdacht auf Verstoß.
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG
Besonders wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Besonders wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Besonders wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Besonders wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Besonders wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Sie unterliegen den allgemeinen NIS2-Anforderungen.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 6
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung. Besondere Registrierungspflicht nach § 34 BSIG für Einrichtungen nach § 60 Absatz 1 BSIG.
§§ 33, 34 BSIG
Einrichtungen nach § 60 Absatz 1 BSIG müssen Angaben ab 6. beachten.
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
6.Name der Einrichtung
7.einschlägiger Sektor, Branche und Einrichtungsart wie in Anlage 1 bestimmt
8.Anschrift der Hauptniederlassung in der Europäischen Union nach § 60 Absatz 2 und ihrer sonstigen Niederlassungen in der Europäischen Union oder, falls sie nicht in der Europäischen Union niedergelassen ist, Anschrift ihres nach § 60 Absatz 3 benannten Vertreters
9.aktuelle Kontaktdaten, einschließlich E-Mail-Adressen und Telefonnummern der Einrichtung und soweit erforderlich, ihres nach § 60 Absatz 3 benannten Vertreters
10.die Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste erbringt
11.die öffentlichen IP-Adressbereiche der Einrichtung
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
§ 62 BSIG
Unterrichtungspflicht
Das BSI kann bei erheblichen Sicherheitsvorfällen die Unterrichtung von Empfängern des betroffenen Dienstes anordnen.
Hinweis: Die Materialien sind eine Praxis-Hilfe und ersetzen keine Rechtsberatung im Einzelfall. Externe Links vor dem Einsatz auf Aktualität prüfen.
Sanktionen
Was bei Verstößen droht
bei unzureichenden Maßnahmen oder Verstößen gegen die Unterrichtungs-, Melde- oder Dokumentationspflicht
Höchstes Bußgeld
bis zu7 Mio. €
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
bei Verstößen gegen die Kooperationspflicht für Hersteller von IT-Systemen oder gegen Anordnungen des BSI für IT-Systeme eines digitalen Dienstes
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
bei Verstößen gegen Anordnungen zur Aufsicht oder Durchsetzung durch das BSI
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
bei Verstößen gegen Auskunftsverlangen des BSI gegen Hersteller von IT-Systemen
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Manche Anforderungen für besonders wichtige Einrichtungen sind durch Anforderungen des Energiewirtschaftsgesetzes ersetzt.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort. Zusätzlich gelten die Anforderungen für Energiebetreiber nach § 5c EnWG ab sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen. Zusätzlich müssen die Anforderungen des EnWG beachtet werden.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 5d Absatz 3 EnWG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG, § 5d EnWG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Maßstab: Energiebetreiber, die keine besonders wichtige Einrichtung sind, müssen sich nur mit den Angaben 1 bis 4 registrieren.
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 5e EnWG
Schutz gegen Bedrohungen
Treffen von Schutzmaßnahmen nach IT-Sicherheitskatalog
§ 5c EnWG
Maßstab: Genauere Vorgaben an IT-Sicherheitskatalog in § 5c Absatz 3-5 EnWG.
Dokumentationspflicht
Dokumentation der Umsetzung des IT-Sicherheitskatalogs und unverzügliche Übermittlung der Dokumentation an BNetzA.
§ 5d EnWG
Maßstab: Weitere mögliche Anforderungen in § 5d Absatz 1&2 EnWG
ENWG 2005EnergiewirtschaftsgesetzFaktische Rechtsgrundlage für Anforderungen an Energiebetreiber
Sanktionen
Was bei Verstößen droht
Besonders wichtige Einrichtung
Höchstes Bußgeld
bis zu10 Mio. €
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG, § 95 Absatz 2 Nr. 1 a), Absatz 3 EnWG
Besonders wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG, § 96 Absatz 2 Nr. 2 EnWG
Besonders wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Besonders wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG, § 95 Absatz 2 Nr. 3 EnWG
Besonders wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Besonders wichtige Einrichtung
bis zu0,3 Mio. €
§ 95 Absatz 2 Nr. 4 EnWG
Besonders wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG, § 95 Absatz 2 Nr. 5 EnWG
Besonders wichtige Einrichtung
bis zu0,05 Mio. €
§ 95 Absatz 2 Nr. 6 EnWG
Besonders wichtige Einrichtung
bis zu0,01 Mio. €
§ 95 Absatz 2 Nr. 7 EnW
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Manche Anforderungen für wichtige Einrichtungen sind durch Anforderungen des Energiewirtschaftsgesetzes ersetzt.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen. Zusätzlich gelten die Anforderungen für Energiebetreiber nach § 5c EnWG ab sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren. Zusätzlich müssen die Anforderungen des EnWG beachtet werden.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 5d Absatz 3 EnWG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG, § 5d EnWG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Maßstab: Energiebetreiber, die keine wichtige Einrichtung sind, müssen sich nur mit den Angaben 1 bis 4 registrieren.
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 5e EnWG
Schutz gegen Bedrohungen
Treffen von Schutzmaßnahmen nach IT-Sicherheitskatalog
§ 5c EnWG
Maßstab: Genauere Vorgaben an IT-Sicherheitskatalog in § 5c Absatz 3-5 EnWG.
Dokumentationspflicht
Dokumentation der Umsetzung des IT-Sicherheitskatalogs und unverzügliche Übermittlung der Dokumentation an BNetzA.
§ 5d EnWG
Maßstab: Weitere mögliche Anforderungen in § 5d Absatz 1&2 EnWG
Hinweis: Die Materialien sind eine Praxis-Hilfe und ersetzen keine Rechtsberatung im Einzelfall. Externe Links vor dem Einsatz auf Aktualität prüfen.
Sanktionen
Was bei Verstößen droht
Wichtige Einrichtung
Höchstes Bußgeld
bis zu7 Mio. €
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG, § 95 Absatz 2 Nr. 1 b), Absatz 3 EnWG
Wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG, § 96 Absatz 2 Nr. 2 EnWG
Wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG, § 95 Absatz 2 Nr. 3 EnWG
Wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Wichtige Einrichtung
bis zu0,3 Mio. €
§ 95 Absatz 2 Nr. 4 EnWG
Wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG, § 95 Absatz 2 Nr. 5 EnWG
Wichtige Einrichtung
bis zu0,05 Mio. €
§ 95 Absatz 2 Nr. 6 EnWG
Wichtige Einrichtung
bis zu0,01 Mio. €
§ 95 Absatz 2 Nr. 7 EnWG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Lieferanten und Zulieferer können direkt betroffen sein, wenn sie in einer der in den Anlagen 1 und 2 des BSIG benannten Branchen tätig sind.
Lieferanten und Zulieferer mit mindestens 250 Mitarbeitern oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Jahresbilanz gelten als wesentliche Einrichtung (siehe Zielgruppe "Wesentliche Einrichtung" für weitere Informationen). Lieferanten und Zulieferer mit mindestens 50 Mitarbeitern oder über 10 Millionen Euro Jahresumsatz und Jahresbilanz gelten als wichtige Einrichtung (siehe Zielgruppe "Wichtige Einrichtung" für weitere Informationen). Zusätzlich sind Lieferanten und Zulieferer mittelbar betroffen, um die Sicherheit der Lieferkette einer wichtigen oder wesentlichen Einrichtung zu gewährleisten.
Wichtig: Lieferanten und Zulieferer können von wesentlichen oder wichtigen Einrichtungen vertraglich zur Kooperation verpflichtet werden, um die Sicherheit der Lieferkette zu gewährleisten. Konkrete gesetzliche Vorgaben gibt es dafür nicht, allerdings ergeben sich generelle vertragliche Vorgaben aus der Ausgestaltung der gesetzlichen Vorgaben für wichtige und wesentliche Einrichtungen.
Ihre Pflichten · 4
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen nach dem Stand der Technik für die Sicherheit der Lieferkette in Abstimmung mit beteiligten Einrichtungen
Vereinbarte Maßnahmen können enthalten:
a)Festlegung eines Mindeststandards für Sicherheitsmaßnahmen
b)Vorgaben für Beschaffung von Produkten oder Komponenten
Audit- und Nachweispflichten
Ausführliche Dokumentation über getroffene Maßnahmen, um betroffene Einrichtung bei Audits und Nachweisen zu unterstützen
Meldepflicht
Mögliche Einbeziehung in Meldeketten der betroffenen Einrichtung bei Sicherheitsvorfällen
Untersagung bestimmter Komponenten
Lieferanten/Zulieferer einer kritischen Anlage können von der Untersagung der Verwendung bestimmter Komponenten indirekt betroffen sein, wenn sie diese Komponenten ebenfalls verwenden oder liefern.
Hinweis: Die Materialien sind eine Praxis-Hilfe und ersetzen keine Rechtsberatung im Einzelfall. Externe Links vor dem Einsatz auf Aktualität prüfen.
Sanktionen
Was bei Verstößen droht
Lieferanten und Zulieferer, die selbst keine betroffene Einrichtung sind, können bei Verstößen gegen vertragliche Pflichten von Vertragsstrafen betroffen sein.
Betrag offen
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Zusätzlich zu den Anforderungen an wichtige Einrichtungen unterliegen Sie einer besonders strengen Aufsicht.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen.
Ihre Pflichten · 6
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Aufsicht
Nachweise per Audit, Prüfung oder Zertifizierung auf Wunsch des BSI.
§ 61 BSIG
Maßstab: Nachweise können jederzeit angefragt werden, nicht nur bei Verdacht auf Verstoß.
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung. Besondere Registrierungspflicht nach § 34 BSIG für Einrichtungen nach § 60 Absatz 1 BSIG.
§§ 33, 34 BSIG
Einrichtungen nach § 60 Absatz 1 BSIG müssen Angaben ab 6. beachten.
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
6.Name der Einrichtung
7.einschlägiger Sektor, Branche und Einrichtungsart wie in Anlage 1 bestimmt
8.Anschrift der Hauptniederlassung in der Europäischen Union nach § 60 Absatz 2 und ihrer sonstigen Niederlassungen in der Europäischen Union oder, falls sie nicht in der Europäischen Union niedergelassen ist, Anschrift ihres nach § 60 Absatz 3 benannten Vertreters
9.aktuelle Kontaktdaten, einschließlich E-Mail-Adressen und Telefonnummern der Einrichtung und soweit erforderlich, ihres nach § 60 Absatz 3 benannten Vertreters
10.die Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste erbringt
11.die öffentlichen IP-Adressbereiche der Einrichtung
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Unterrichtungspflicht
Das BSI kann bei erheblichen Sicherheitsvorfällen die Unterrichtung von Empfängern des betroffenen Dienstes anordnen.
Hinweis: Die Materialien sind eine Praxis-Hilfe und ersetzen keine Rechtsberatung im Einzelfall. Externe Links vor dem Einsatz auf Aktualität prüfen.
Sanktionen
Was bei Verstößen droht
bei unzureichenden Maßnahmen oder Verstößen gegen die Unterrichtungs-, Melde- oder Dokumentationspflicht
Höchstes Bußgeld
bis zu10 Mio. €
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG
bei Verstößen gegen die Kooperationspflicht für Hersteller von IT-Systemen oder gegen Anordnungen des BSI für IT-Systeme eines digitalen Dienstes
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
bei Verstößen gegen Anordnungen zur Aufsicht oder Durchsetzung durch das BSI
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
bei Verstößen gegen Auskunftsverlangen des BSI gegen Hersteller von IT-Systemen oder bei mangelnder Unterstützung bei der Überprüfung von Maßnahmen durch das BSI
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Sie unterliegen den allgemeinen NIS2-Anforderungen.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
Wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Mittlere Relevanz
Sie unterliegen den allgemeinen NIS2-Anforderungen.
Die Pflichten gelten ab sofort für alle wichtigen Einrichtungen.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
§ 38 BSIG
Aufsicht bei Vermutung
Wichtige Einrichtungen müssen die Umsetzung der vorgeschriebenen Maßnahmen durch Audits, Prüfungen und Zertifizierungen auf Aufforderung des BSI nachweisen, sofern das BSI die begründete Annahme hat, dass die Umsetzung unvollständig oder fehlerhaft ist.
oder bis zu 1,4% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 b), Absatz 6 BSIG
Wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Zusätzlich zu den Anforderungen an wichtige Einrichtungen unterliegen Sie einer besonders strengen Aufsicht.
Die Pflichten betreffen alle besonders wichtige Einrichtungen und gelten sofort.
Wichtig: Sie müssen sich binnen 3 Monate beim BSI registrieren und jederzeit mit Prüfungen durch das BSI rechnen.
Ihre Pflichten · 5
Was Sie konkret tun müssen
Risikomanagement
Geeignete technische und organisatorische Maßnahmen für die Sicherheit von informationstechnischen Systemen und Komponenten.
§ 30 BSIG
Maßnahmen müssen mindestens folgendes umfassen:
1.Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2.Bewältigung von Sicherheitsvorfällen
3.Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4.Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5.Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6.Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
7.grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8.Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9.Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT- Systemen, -Produkten und -Prozessen
10.Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Aufsicht
Nachweise per Audit, Prüfung oder Zertifizierung auf Wunsch des BSI.
§ 61 BSIG
Maßstab: Nachweise können jederzeit angefragt werden, nicht nur bei Verdacht auf Verstoß.
Meldepflicht
Sicherheitsvorfälle erstmals binnen 24 Stunden und ausführlich binnen 72 Stunden an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe melden. Weitere Einzelheiten für Meldeverfahren durch BSI möglich.
§ 32 BSIG
Folgende Informationen müssen gemeldet werden:
1.unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
2.unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden
3.auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen
4.spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen, und gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls, enthält.
Registrierungspflicht
Registrierung bis spätestens drei Monate nach ihrer Einstufung bei gemeinsamer Meldestelle des BSI und Bundesamts für Katastrophenschutz und Bevölkerungshilfe mit Angaben zur Einrichtung.
§ 33 BSIG
Folgende Angaben müssen bei der Registrierung gemacht werden:
1.Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
2.Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
3.relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
4.Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
5.die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder
Schulungen & Verantwortung
Geschäftsleitungen verantwortlich für die Einhaltung der gesetzlichen Vorgaben. Regelmäßige Schulungen verpflichtend, um Risiken angemessen einordnen und entsprechende Maßnahmen beurteilen zu können.
oder bis zu 2% des Gesamtumsatzes ab einem Gesamtumsatz von 500 Mio. Euro
§ 65 Absatz 5 Nr. 1 a), Absatz 6 BSIG
Besonders wichtige Einrichtung
bis zu5 Mio. €
§ 65 Absatz 5 Nr. 2 BSIG
Besonders wichtige Einrichtung
bis zu2 Mio. €
§ 65 Absatz 5 Nr. 3 BSIG
Besonders wichtige Einrichtung
bis zu1 Mio. €
§ 65 Absatz 5 Nr. 4 BSIG
Besonders wichtige Einrichtung
bis zu0,5 Mio. €
§ 65 Absatz 5 Nr. 5 BSIG
Besonders wichtige Einrichtung
bis zu0,1 Mio. €
§ 65 Absatz 5 Nr. 6 BSIG
Ihre Meinung
Wie hilfreich war diese Zusammenfassung?
Danke — die Bewertung liegt bei der Redaktion.
Bedeutung
Was das für Sie bedeutet
Hohe Relevanz
Sie sind unmittelbar betroffen.
Unternehmen in Ihrer Rolle müssen ihre internen Abläufe an die neuen Anforderungen anpassen, Zuständigkeiten festlegen und die Umsetzung nachvollziehbar dokumentieren.
Die wichtigsten Pflichten betreffen Risikomanagement, Meldewege und die Schulung der Beschäftigten.
Ihre Pflichten · 4
Was Sie konkret tun müssen
Risikomanagement einführen
Risiken systematisch erfassen, bewerten und regelmäßig überprüfen.
§ Art. 21
Vorfälle melden
Erhebliche Sicherheitsvorfälle fristgerecht an die zuständige Behörde melden.
§ Art. 23
Leitung schulen
Die Geschäftsleitung regelmäßig zu Pflichten und Risiken schulen.
§ Art. 20
Lieferkette absichern
Sicherheitsanforderungen an Dienstleister und Zulieferer vertraglich festhalten.
§ Art. 21
Sanktionen
Was bei Verstößen droht
Wesentliche Einrichtungen
Höchstes Bußgeld
bis zu10 Mio. €
Wichtige Einrichtungen
bis zu7 Mio. €
In VorbereitungNIS-2-Richtlinie02.11.2026
Zusammenfassung in Vorbereitung
Für diesen Rechtsakt sind Zusammenfassungen in Vorbereitung, aber noch nicht veröffentlicht.
