Suchen
Sie sind aktuell nicht angemeldet:
Login
Registrierung
Nach § 33 Absatz 1 BSIG müssen betroffene Einrichtungen sich über eine gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren. Davon zu unterscheiden sind die Meldepflichten bei Sicherheitsvorfällen nach § 32 BSIG.
Registrierungspflicht nach dem BSI-Gesetz: drei Monate bleiben, sobald die gesetzlichen Kriterien erstmals oder erneut erfüllt sind
Bietigheim-Bissingen, 24.08.2026 (PresseBox) - Für mittelständische Betriebe, die einer der in Anlage 1 oder 2 des BSI-Gesetzes (BSIG) genannten Einrichtungsarten zuzuordnen sind, hat sich die IT-Sicherheit von einer freiwilligen Übung zu einer dokumentierten Aufgabe entwickelt. Laut § 28 Absatz 2 Nummer 3 BSIG gilt ein solcher Betrieb als wichtige Einrichtung, wenn er mindestens 50 Mitarbeiter beschäftigt. Dasselbe gilt bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Die Berechnung richtet sich nach § 28 Absatz 4 BSIG und der Empfehlung 2003/361/EG ohne Artikel 3 Absatz 4 des Anhangs; Daten von Partner- und verbundenen Unternehmen zählen mit, außer bei IT-bezogener Unabhängigkeit. Besonders wichtige Einrichtung nach § 28 Absatz 1 Nummer 4 BSIG ist nur ein Anlage-1-Betrieb mit mindestens 250 Mitarbeitern oder mit über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme. Wichtige Einrichtung ist ein Betrieb aber nur, solange er nicht schon besonders wichtige Einrichtung ist; § 28 Absatz 2 Satz 2 BSIG nimmt diese ausdrücklich aus. Betriebe, die nur einer Einrichtungsart der Anlage 2 zuzuordnen sind, können nach dieser Vorschrift nicht besonders wichtige Einrichtung sein. Größenunabhängig erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter.
Grundlage der Registrierung ist § 33 Absatz 1 BSIG. Der amtliche Titel lautet Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen. Es datiert vom 2. Dezember 2025, wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und zuletzt am 23. Juli 2026 geändert. Nach Angaben des Gesetzestextes sind besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister zur Registrierung verpflichtet. Die Frist beträgt drei Monate ab dem Tag, an dem sie erstmals oder erneut als solche Einrichtung gelten oder Domain-Name-Registry-Dienste anbieten. Registriert wird über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit. Zu übermitteln sind unter anderem Name, Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche und der betroffene Sektor.
Die Registrierung ist der kleinere Teil
Eine Meldung ist schnell abgesetzt. Der Aufwand entsteht an anderer Stelle, nämlich bei den Maßnahmen, die dahinterstehen müssen.
Besonders wichtige und wichtige Einrichtungen haben nach § 30 Absatz 1 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen. § 28 Absatz 5 BSIG erklärt unter anderem die §§ 30, 31 und 32 BSIG für nicht anwendbar, soweit eine Einrichtung ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt. Dasselbe gilt, soweit sie Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreibt und zugleich den §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegt. Ist der Betrieb der Energieanlage nur eine Nebentätigkeit gemessen an der gesamten Geschäftstätigkeit, greift die Ausnahme des § 28 Absatz 5 BSIG nach dessen Satz 4 überhaupt nicht. Die Registrierungspflicht nach § 33 BSIG steht nicht in dieser Ausnahmeliste und bleibt bestehen. Das BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten. Die Pflicht aus § 30 BSIG gilt seit diesem Tag; eine Übergangsregelung für § 30 BSIG enthält § 66 BSIG nicht. Für § 33 Absatz 2 und 5 BSIG enthält § 66 BSIG dagegen eine Anwendungsbestimmung: Sie gelten erst mit Inkrafttreten der Rechtsverordnung nach dem KRITIS-Dachgesetz. Ausdrücklich verlangt die Vorschrift zudem, dass die Einhaltung dokumentiert wird ? womit ein Managementsystem für Informationssicherheit vom Kürwerk zum Nachweisinstrument wird.
Was die Vorschriften verlangen
30 Absatz 2 Satz 2 BSIG zählt zehn Punkte auf, die die Maßnahmen zumindest umfassen müssen. Fünf davon im Überblick:
Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik.
Die Bewältigung von Sicherheitsvorfällen.
Die Aufrechterhaltung des Betriebs, etwa Sicherungskopien, Wiederherstellung und Krisenmanagement.
Die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen einschließlich Management und Offenlegung von Schwachstellen.
Die Nummern 6 bis 10 nennen fünf weitere Punkte. Verlangt sind Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik sowie grundlegende Schulungen und Sensibilisierungsmaßnahmen in diesem Bereich. Hinzu kommen Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren. Weiter gefordert sind Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Den Abschluss bilden Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Nach § 30 Absatz 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen; zudem müssen sie auf einem gefahrenübergreifenden Ansatz beruhen.
Verhältnismäßigkeit ist kein Freibrief
Die Vorschrift nennt ausdrücklich Maßstäbe für den Umfang. Berücksichtigt werden das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.
Das schafft Spielraum bei der Ausgestaltung, nicht bei der Frage, ob etwas geschieht. Innerhalb des erfassten Kreises darf eine kleinere Einrichtung einfacher vorgehen als eine große ? aber sie muss belegen können, dass sie überhaupt vorgegangen ist. Betriebe, die weder eine Größenschwelle des § 28 BSIG erreichen noch unter eine der größenunabhängigen Kategorien fallen, sind von § 30 BSIG nicht erfasst. Von § 33 BSIG sind sie nur dann nicht erfasst, wenn sie auch keine Domain-Name-Registry-Dienste anbieten; für bestimmte Einrichtungsarten gilt zusätzlich § 34 BSIG.
?Der Satz, der die meiste Arbeit macht, steht am Ende von Absatz eins: Die Einhaltung ist zu dokumentieren. Wer nichts aufschreibt, hat im Zweifel nichts getan?, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.
Die Lieferkette ist ausdrücklich erfasst
Bemerkenswert ist die Nennung der unmittelbaren Anbieter und Diensteanbieter. Damit reicht die Anforderung über die eigenen Systeme hinaus in die Beziehungen zu Dienstleistern.
Das Gesetz erfasst ausdrücklich die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Wie weit die Vertragsgestaltung dabei einzubeziehen ist, sagt der Wortlaut nicht; das ist eine Frage der Auslegung im Einzelfall. Für IT-Dienstleister bedeutet das eine doppelte Rolle: Sie sind je nach Zuschnitt selbst betroffen und werden zugleich von ihren Kunden nach Nachweisen gefragt. Unter anderem für Managed Service Provider, Managed Security Service Provider und Anbieter von Cloud-Computing- oder Rechenzentrumsdiensten gilt zusätzlich die besondere Registrierungspflicht nach § 34 BSIG. Sie knüpft nach dem Wortlaut an die Einrichtungsart nach § 60 Absatz 1 Satz 1 an und nicht an die Einstufung als besonders wichtige oder wichtige Einrichtung. Auch sie ist binnen drei Monaten zu erfüllen und sieht einen eigenen Angabenkatalog vor. Was dabei technisch zu leisten ist, reicht bis zur Aufklärung nach einem Vorfall.
Einordnung und offene Punkte
Die vorstehenden Ausführungen geben eine allgemeine Einordnung zum Stand August 2026 und sind keine Rechtsberatung. Ob eine bestimmte Einrichtung unter die Regelungen fällt, klärt eine rechtliche Beratung im Einzelfall.
Offen bleibt für viele Betriebe die Einstufung selbst. Sie hängt an Sektor, Größe und Tätigkeit ? und damit an Kriterien, die sich mit dem Geschäft verändern können, ohne dass jemand die Registrierung neu prüft.
Grundlage der Registrierung ist § 33 Absatz 1 BSIG. Der amtliche Titel lautet Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen. Es datiert vom 2. Dezember 2025, wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und zuletzt am 23. Juli 2026 geändert. Nach Angaben des Gesetzestextes sind besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister zur Registrierung verpflichtet. Die Frist beträgt drei Monate ab dem Tag, an dem sie erstmals oder erneut als solche Einrichtung gelten oder Domain-Name-Registry-Dienste anbieten. Registriert wird über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit. Zu übermitteln sind unter anderem Name, Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche und der betroffene Sektor.
Die Registrierung ist der kleinere Teil
Eine Meldung ist schnell abgesetzt. Der Aufwand entsteht an anderer Stelle, nämlich bei den Maßnahmen, die dahinterstehen müssen.
Besonders wichtige und wichtige Einrichtungen haben nach § 30 Absatz 1 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen. § 28 Absatz 5 BSIG erklärt unter anderem die §§ 30, 31 und 32 BSIG für nicht anwendbar, soweit eine Einrichtung ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt. Dasselbe gilt, soweit sie Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreibt und zugleich den §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegt. Ist der Betrieb der Energieanlage nur eine Nebentätigkeit gemessen an der gesamten Geschäftstätigkeit, greift die Ausnahme des § 28 Absatz 5 BSIG nach dessen Satz 4 überhaupt nicht. Die Registrierungspflicht nach § 33 BSIG steht nicht in dieser Ausnahmeliste und bleibt bestehen. Das BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten. Die Pflicht aus § 30 BSIG gilt seit diesem Tag; eine Übergangsregelung für § 30 BSIG enthält § 66 BSIG nicht. Für § 33 Absatz 2 und 5 BSIG enthält § 66 BSIG dagegen eine Anwendungsbestimmung: Sie gelten erst mit Inkrafttreten der Rechtsverordnung nach dem KRITIS-Dachgesetz. Ausdrücklich verlangt die Vorschrift zudem, dass die Einhaltung dokumentiert wird ? womit ein Managementsystem für Informationssicherheit vom Kürwerk zum Nachweisinstrument wird.
Was die Vorschriften verlangen
30 Absatz 2 Satz 2 BSIG zählt zehn Punkte auf, die die Maßnahmen zumindest umfassen müssen. Fünf davon im Überblick:
Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik.
Die Bewältigung von Sicherheitsvorfällen.
Die Aufrechterhaltung des Betriebs, etwa Sicherungskopien, Wiederherstellung und Krisenmanagement.
Die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen einschließlich Management und Offenlegung von Schwachstellen.
Die Nummern 6 bis 10 nennen fünf weitere Punkte. Verlangt sind Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik sowie grundlegende Schulungen und Sensibilisierungsmaßnahmen in diesem Bereich. Hinzu kommen Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren. Weiter gefordert sind Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Den Abschluss bilden Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Nach § 30 Absatz 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen; zudem müssen sie auf einem gefahrenübergreifenden Ansatz beruhen.
Verhältnismäßigkeit ist kein Freibrief
Die Vorschrift nennt ausdrücklich Maßstäbe für den Umfang. Berücksichtigt werden das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.
Das schafft Spielraum bei der Ausgestaltung, nicht bei der Frage, ob etwas geschieht. Innerhalb des erfassten Kreises darf eine kleinere Einrichtung einfacher vorgehen als eine große ? aber sie muss belegen können, dass sie überhaupt vorgegangen ist. Betriebe, die weder eine Größenschwelle des § 28 BSIG erreichen noch unter eine der größenunabhängigen Kategorien fallen, sind von § 30 BSIG nicht erfasst. Von § 33 BSIG sind sie nur dann nicht erfasst, wenn sie auch keine Domain-Name-Registry-Dienste anbieten; für bestimmte Einrichtungsarten gilt zusätzlich § 34 BSIG.
?Der Satz, der die meiste Arbeit macht, steht am Ende von Absatz eins: Die Einhaltung ist zu dokumentieren. Wer nichts aufschreibt, hat im Zweifel nichts getan?, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.
Die Lieferkette ist ausdrücklich erfasst
Bemerkenswert ist die Nennung der unmittelbaren Anbieter und Diensteanbieter. Damit reicht die Anforderung über die eigenen Systeme hinaus in die Beziehungen zu Dienstleistern.
Das Gesetz erfasst ausdrücklich die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Wie weit die Vertragsgestaltung dabei einzubeziehen ist, sagt der Wortlaut nicht; das ist eine Frage der Auslegung im Einzelfall. Für IT-Dienstleister bedeutet das eine doppelte Rolle: Sie sind je nach Zuschnitt selbst betroffen und werden zugleich von ihren Kunden nach Nachweisen gefragt. Unter anderem für Managed Service Provider, Managed Security Service Provider und Anbieter von Cloud-Computing- oder Rechenzentrumsdiensten gilt zusätzlich die besondere Registrierungspflicht nach § 34 BSIG. Sie knüpft nach dem Wortlaut an die Einrichtungsart nach § 60 Absatz 1 Satz 1 an und nicht an die Einstufung als besonders wichtige oder wichtige Einrichtung. Auch sie ist binnen drei Monaten zu erfüllen und sieht einen eigenen Angabenkatalog vor. Was dabei technisch zu leisten ist, reicht bis zur Aufklärung nach einem Vorfall.
Einordnung und offene Punkte
Die vorstehenden Ausführungen geben eine allgemeine Einordnung zum Stand August 2026 und sind keine Rechtsberatung. Ob eine bestimmte Einrichtung unter die Regelungen fällt, klärt eine rechtliche Beratung im Einzelfall.
Offen bleibt für viele Betriebe die Einstufung selbst. Sie hängt an Sektor, Größe und Tätigkeit ? und damit an Kriterien, die sich mit dem Geschäft verändern können, ohne dass jemand die Registrierung neu prüft.
Über "Provimedia GmbH":
Die Provimedia GmbH ist ein Online-Verlag mit Sitz in der Region Stuttgart. Wir schaffen wertvolle Informationen in unterschiedlichen Branchen um Wissen schnell und einfach zugänglich zu machen. Wir haben uns auf übersichtliche Webseiten und Auffindbarkeit von Informationen spezialisiert.