BSIG 2025: Welche neuen Paragraphen lösen die alten §8a und §8b für KRITIS-Betreiber ab?

Warum sich die Paragraphen-Nummern geändert haben

Die Richtlinie (EU) 2022/2555 („NIS-2-Richtlinie") verpflichtet die Mitgliedstaaten, einheitliche Cybersicherheitsanforderungen für eine deutlich erweiterte Gruppe von Einrichtungen einzuführen. Deutschland hat diese Vorgaben mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Im Zuge dieser Umsetzung wurde das BSI-Gesetz so umfangreich überarbeitet und neu strukturiert, dass die Fassung üblicherweise als „BSIG 2025" bezeichnet wird.

Für Verantwortliche in der IT bedeutet das vor allem eines: Die vertrauten Verweise auf § 8a und § 8b BSIG laufen ins Leere. Wer ein bestehendes Informationssicherheits-Managementsystem dokumentiert hat, in dem sich Pflichten noch auf die alten Paragraphen stützen, sollte die Verweise auf die neue Systematik überführen. Inhaltlich knüpfen die neuen Vorschriften an die bisherige Logik an, sie verteilen die Pflichten aber auf mehr Einzelparagraphen und erweitern den Kreis der Adressaten erheblich.

Die folgende Übersicht ordnet die alten Vorschriften den neuen Paragraphen zu. Sie ist als Orientierung gedacht; im konkreten Einzelfall kommt es auf den genauen Wortlaut der Norm und die jeweilige Einstufung der Einrichtung an.

Wer ist überhaupt betroffen? Die Einstufung nach § 28 BSIG

Die NIS-2-Systematik unterscheidet zwei Klassen von Adressaten. § 28 Absatz 1 BSIG definiert die „besonders wichtigen Einrichtungen", § 28 Absatz 2 BSIG die „wichtigen Einrichtungen". Betreiber kritischer Anlagen werden in § 28 Absatz 1 BSIG als erste Kategorie der besonders wichtigen Einrichtungen geführt. Ein KRITIS-Betreiber ist damit immer zugleich eine besonders wichtige Einrichtung, unterliegt aber zusätzlich den Sonderpflichten, die das Gesetz speziell an Betreiber kritischer Anlagen knüpft.

Ob eine Einrichtung betroffen ist, richtet sich nach Sektorzugehörigkeit und Größenschwellen. Die NIS-2-Sektoren sind in den Anlagen zum Gesetz aufgeführt: Anlage 1 enthält die Sektoren mit hoher Kritikalität, aus denen sich je nach Größe besonders wichtige oder wichtige Einrichtungen ergeben; Anlage 2 enthält die sonstigen Sektoren, aus denen sich ausschließlich wichtige Einrichtungen ableiten (§ 28 Absatz 1 Nummer 4 und Absatz 2 Nummer 3 BSIG). Hinzu kommen die Größenschwellen, an denen sich die grundsätzliche Anwendbarkeit bemisst. Unterschieden wird zwischen mittleren Unternehmen (mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro) und großen Unternehmen (mindestens 250 Beschäftigte oder Jahresumsatz über 50 Millionen Euro und zugleich Jahresbilanzsumme über 43 Millionen Euro), jeweils nach § 28 BSIG.

Der Begriff „kritische Anlage" selbst wird mit dem KRITIS-Dachgesetz verzahnt: § 2 Nummer 22 BSIG verweist für die Definition auf § 2 Nummer 3 des KRITIS-Dachgesetzes; wer als Betreiber einer kritischen Anlage gilt, bestimmt sich dann über die dortigen Schwellenwerte und die zugehörige Rechtsverordnung. Nach § 66 BSIG ist diese Verweisung aber erst anzuwenden, wenn die Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 KRITISDachG in Kraft ist. Bis dahin gilt § 2 Nummer 22 BSIG in der bis 16. März 2026 geltenden Fassung weiter: Welche Anlagen kritisch sind, bestimmt sich nach den Anlagenkategorien und Schwellenwerten der BSI-Kritisverordnung. Das ist eine wichtige Unschärfe in der Praxis: Die konkrete Einstufung hängt von Versorgungsgraden und Schwellenwerten ab, die fortlaufend angepasst werden können. An dieser Stelle empfiehlt sich eine sorgfältige Einzelfallprüfung statt einer pauschalen Selbsteinordnung.

§ 30 BSIG: Die zehn Mindestmaßnahmen des Risikomanagements

Der zentrale materielle Paragraph ist § 30 BSIG mit dem Titel „Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen". Er verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen und sollen den Stand der Technik einhalten sowie einschlägige europäische und internationale Normen berücksichtigen (§ 30 Abs. 2 BSIG). Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG).

§ 30 BSIG benennt zehn Maßnahmenbereiche, die jede besonders wichtige und jede wichtige Einrichtung abdecken muss. Sie bilden den gemeinsamen Kern für alle Adressaten und gelten unabhängig davon, ob eine Einrichtung zugleich Betreiber einer kritischen Anlage ist:

1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
7. Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9. Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

Wichtig für die Governance: Die Geschäftsleitung steht für die Umsetzung dieser Maßnahmen in der Pflicht. Nach § 38 BSIG sind Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die Verantwortung lässt sich nicht vollständig an eine IT-Abteilung delegieren.

§ 31 BSIG: Verschärfte Anforderungen für Betreiber kritischer Anlagen

Für Betreiber kritischer Anlagen genügt der Maßnahmenkatalog des § 30 BSIG nicht. § 31 BSIG trägt den Titel „Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen" und enthält zwei Regeln. Nach Absatz 1 gelten für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlage maßgeblich sind, auch Maßnahmen über das Schutzniveau besonders wichtiger Einrichtungen hinaus als verhältnismäßig, solange der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht. Nach Absatz 2 müssen Betreiber für diese Systeme Systeme zur Angriffserkennung einsetzen, die geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten.

Damit setzt § 31 BSIG die schon aus der Vergangenheit bekannte Pflicht zum Einsatz von Systemen zur Angriffserkennung fort, die für KRITIS-Betreiber bereits vor der Neunummerierung galt. Wer als Betreiber einer kritischen Anlage bereits ein entsprechendes System nach dem bisherigen Recht betrieben hat, erfüllt damit grundsätzlich die fortgeführte Grundpflicht; die konkrete Ausgestaltung sollte jedoch am neuen Wortlaut und an den Orientierungshilfen des BSI gespiegelt werden.

§ 32 BSIG: Meldepflichten mit gestuften Fristen

Die Meldewege sind in § 32 BSIG („Meldepflichten") neu geregelt. Erhebliche Sicherheitsvorfälle sind an eine vom BSI und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden. Die Fristen sind gestuft aufgebaut (§ 32 Abs. 1 BSIG); zusätzlich kann das BSI eine Zwischenmeldung über relevante Statusaktualisierungen verlangen:

Dauert ein Vorfall zum Zeitpunkt der Abschlussmeldung noch an, ist stattdessen eine Fortschrittsmeldung vorzulegen; die Abschlussmeldung folgt nach abschließender Bearbeitung (§ 32 Abs. 2 BSIG). Betreiber kritischer Anlagen müssen zusätzlich Angaben zur Art der betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen auf diese übermitteln (§ 32 Abs. 3 BSIG). Die kurze 24-Stunden-Erstfrist ist in der Praxis der größte organisatorische Hebel: Sie zwingt dazu, Meldewege, Zuständigkeiten und Erreichbarkeiten vorab festzulegen, weil im Ernstfall keine Zeit bleibt, Prozesse erst zu definieren.

§ 33 BSIG: Registrierungspflicht

§ 33 BSIG regelt die „Registrierungspflicht". Betroffene Einrichtungen müssen sich beim BSI registrieren und die geforderten Angaben übermitteln. Das BSI weist darauf hin, dass die Registrierung über sein Meldeportal erfolgt und dabei ein ELSTER-Organisationszertifikat genutzt wird. Die ursprüngliche gesetzliche Registrierungsfrist ist nach Angaben des BSI bereits abgelaufen; das entbindet betroffene Einrichtungen nicht von der Pflicht, sondern bedeutet, dass eine noch nicht erfolgte Registrierung zeitnah nachzuholen ist.

Für Betreiber kritischer Anlagen gilt eine Übergangsregel (§ 66 BSIG). Bis eine Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 KRITISDachG in Kraft ist, ist § 33 Absatz 2 BSIG in der bis 16. März 2026 geltenden Fassung anzuwenden: Betreiber kritischer Anlagen übermitteln dem BSI mit den Angaben nach Absatz 1 zusätzlich die kritische Dienstleistung, die Typen kritischer Komponenten, die öffentlichen IP-Adressbereiche, die Anlagenkategorie und Versorgungskennzahlen nach der BSI-Kritisverordnung, den Standort der Anlagen und eine jederzeit erreichbare Kontaktstelle. Erst danach erfolgt die Registrierung kritischer Anlagen nach § 33 Absatz 2 BSIG gemäß § 8 des KRITIS-Dachgesetzes: Der Betreiber übermittelt die Angaben dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) über eine gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit, spätestens drei Monate, nachdem die Anlage als kritische Anlage gilt (§ 8 Absatz 1 KRITISDachG). Das BBK leitet die Registrierungsdaten an das BSI weiter (§ 8 Absatz 5 KRITISDachG). Ab diesem Zeitpunkt ist für die kritische Anlage selbst der Weg über § 8 KRITISDachG maßgeblich.

§ 39 BSIG: Nachweispflicht alle drei Jahre

Die frühere Nachweispflicht des § 8a Absatz 3 BSIG a.F. findet ihre Fortsetzung in § 39 BSIG mit dem Titel „Nachweispflichten für Betreiber kritischer Anlagen". Nach dieser Vorschrift haben Betreiber kritischer Anlagen die Umsetzung der Maßnahmen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 gegenüber dem BSI nachzuweisen.

Der Nachweis erfolgt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Der erste Nachweis ist zu einem vom BSI bestimmten Zeitpunkt zu erbringen, frühestens drei Jahre, nachdem eine Einrichtung erstmals als Betreiber einer kritischen Anlage gilt; danach ist der Nachweis alle drei Jahre zu wiederholen. Für Betreiber, die schon nach altem Recht KRITIS-Betreiber waren, richtet sich der erste Termin nach § 39 Absatz 3 BSIG nach dem letzten Nachweis gemäß § 8a Absatz 3 BSIG a.F.: Das BSI legt ihn auf frühestens drei Jahre nach diesem Nachweis fest. Wäre die alte Nachweisfrist innerhalb von zwölf Monaten nach Inkrafttreten des Gesetzes abgelaufen, kann in diesem Zeitraum ein Nachweis nach den bisherigen Vorgaben erbracht werden. Der Drei-Jahres-Zyklus bleibt damit erhalten.

Für die Planung heißt das: Der Nachweis ist kein einmaliges Projekt, sondern ein wiederkehrender Pflichttermin. Üblicherweise wird empfohlen, die internen Audit- und Dokumentationszyklen so zu takten, dass die externen Prüfungen ohne Zeitdruck vorbereitet werden können. Welche konkrete Form von Audit, Prüfung oder Zertifizierung im Einzelfall ausreicht, sollte mit Blick auf die jeweils geltenden Orientierungshilfen und prüfenden Stellen geklärt werden.

Der kostenlose Check ordnet die Betroffenheit im Einzelfall ein.

Abgrenzung zum KRITIS-Dachgesetz: Cyber ist nicht gleich physisch

Ein häufiges Missverständnis betrifft das Verhältnis zwischen BSIG und KRITIS-Dachgesetz. Beide Gesetze adressieren kritische Infrastrukturen, regeln aber unterschiedliche Schutzdimensionen. Das BSIG 2025 regelt die Cybersicherheit, also den Schutz der informationstechnischen Systeme. Das KRITIS-Dachgesetz (KRITISDachG) regelt die physische Resilienz, also den Schutz der Anlagen gegen physische Gefahren wie Naturereignisse, technisches Versagen oder vorsätzliche Eingriffe.

Das KRITIS-Dachgesetz setzt die Richtlinie (EU) 2022/2557 („CER-Richtlinie") um. Der Bundestag hat das Gesetz am 29. Januar 2026 beschlossen, in Kraft getreten ist es am 17. März 2026. Es schafft erstmals einen bundeseinheitlichen, sektorübergreifenden Rechtsrahmen für den physischen Schutz kritischer Anlagen. Betreiber kritischer Anlagen müssen sich nach § 8 Absatz 1 KRITISDachG spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, registrieren. Die Einzelheiten des Verfahrens legt das BBK nach Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 KRITISDachG fest (§ 8 Absatz 8 KRITISDachG). Zu den Kernpflichten zählen eine Risikoanalyse und Risikobewertung im Bedarfsfall, mindestens aber alle vier Jahre (§ 12 Abs. 1 KRITISDachG), sowie Resilienzmaßnahmen, die in einem Resilienzplan darzustellen sind (§ 13 KRITISDachG).

Für die Praxis bedeutet diese Zweiteilung, dass ein KRITIS-Betreiber regelmäßig beide Regelungswelten im Blick haben muss: die Cyberpflichten aus dem BSIG (§§ 30, 31, 32, 33, 39) und die physischen Resilienzpflichten aus dem KRITIS-Dachgesetz. Die Zuständigkeiten liegen bei unterschiedlichen Behörden, und die Fristen laufen nicht synchron. Für Betreiber von Energieversorgungsnetzen und Energieanlagen sowie von öffentlichen Telekommunikationsnetzen und -diensten treten nach § 28 Absatz 5 BSIG an die Stelle der BSIG-Pflichten weitgehend die Vorgaben des EnWG (§§ 5c bis 5e) bzw. des Telekommunikationsrechts, soweit sie keine weiteren kritischen Anlagen betreiben.

Sonderfall Finanzsektor: DORA als sektorale lex specialis

Einrichtungen des Finanzsektors unterliegen mit der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) einem eigenen, unmittelbar geltenden Rechtsrahmen. DORA gilt seit dem 17. Januar 2025. Für Finanzunternehmen nach Art. 2 Abs. 2 DORA gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 1 BSIG); die übrigen Vorschriften, etwa die Registrierungspflicht nach § 33 BSIG, sind davon nicht erfasst.

DORA wird durch technische Regulierungs- und Durchführungsstandards (RTS und ITS) konkretisiert. Der genaue Adoptionsstand der einzelnen Standards entwickelt sich fortlaufend weiter; zentrale Standards sind im Amtsblatt der EU veröffentlicht, einzelne befinden sich gegebenenfalls noch im Verfahren. An dieser Stelle wird ausdrücklich auf eine niedrigere Aussagesicherheit hingewiesen: Vor einer produktiven Umsetzung sollte der aktuelle Veröffentlichungsstand der jeweiligen RTS/ITS bei den europäischen Aufsichtsbehörden geprüft werden. Stand: 18.09.2026.

Was sich für die Praxis konkret ändert

Auch wenn viele Inhalte aus dem alten Recht fortgeführt werden, gibt es drei spürbare Verschiebungen. Erstens wächst der Adressatenkreis: Während die alten §§ 8a und 8b nur KRITIS-Betreiber trafen, gelten § 30 und § 32 BSIG nun für alle besonders wichtigen und wichtigen Einrichtungen. Viele Unternehmen, die bislang nicht reguliert waren, fallen erstmals unter die Pflichten.

Zweitens rückt die Geschäftsleitung stärker in die Verantwortung. Die Umsetzungs- und Überwachungspflicht ist ausdrücklich bei der Leitungsebene verankert. Drittens bleibt der Nachweis- und Meldeapparat erhalten, wird aber präziser ausgestaltet: gestufte Meldefristen in § 32 BSIG, ein klar definierter Drei-Jahres-Zyklus in § 39 BSIG und eine separate Registrierung in § 33 BSIG.

Für IT-Verantwortliche in mittelständischen Einrichtungen empfiehlt sich üblicherweise ein strukturiertes Vorgehen: zunächst die eigene Einstufung nach § 28 BSIG klären, dann die Lücken gegenüber den zehn Maßnahmen des § 30 BSIG erheben, anschließend für Betreiber kritischer Anlagen die Zusatzpflichten nach §§ 31 und 39 BSIG sowie die physischen Pflichten aus dem KRITIS-Dachgesetz ergänzen. Wo Einstufung oder Schwellenwerte unklar sind, sollte fachkundiger Rat eingeholt werden.

Häufige Fragen

Gibt es die §§ 8a und 8b BSIG noch?

Nein. Mit dem NIS2-Umsetzungsgesetz wurde das BSI-Gesetz neu nummeriert. Die Pflichten des früheren § 8a sind in die §§ 30, 31 und 39 BSIG übergegangen, die des früheren § 8b in die §§ 32 und 33 BSIG. Verweise auf die alten Paragraphen sollten in internen Dokumenten aktualisiert werden.

Welcher Paragraph regelt den Nachweis gegenüber dem BSI?

Die Nachweispflicht für Betreiber kritischer Anlagen steht in § 39 BSIG. Der Nachweis erfolgt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, erstmals frühestens drei Jahre nach erstmaliger Einstufung und danach alle drei Jahre. Der bekannte Drei-Jahres-Zyklus bleibt damit erhalten.

Sind alle besonders wichtigen Einrichtungen automatisch KRITIS-Betreiber?

Nein. KRITIS-Betreiber sind nur eine Teilmenge der besonders wichtigen Einrichtungen nach § 28 Absatz 1 BSIG. Jeder Betreiber einer kritischen Anlage ist eine besonders wichtige Einrichtung, aber nicht jede besonders wichtige Einrichtung ist ein KRITIS-Betreiber. Nur Betreiber kritischer Anlagen unterliegen zusätzlich den §§ 31 und 39 BSIG.

Brauche ich eine Registrierung nach dem BSIG und nach dem KRITIS-Dachgesetz?

Für die kritische Anlage nicht doppelt. Bis die Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 KRITISDachG in Kraft ist, übermitteln Betreiber kritischer Anlagen im Sinne der BSI-Kritisverordnung ihre Anlagenangaben nach § 33 Absatz 2 BSIG in der bis 16. März 2026 geltenden Fassung an das BSI (§ 66 BSIG). Danach erfolgt nach § 33 Absatz 2 BSIG die Registrierung kritischer Anlagen gemäß § 8 KRITISDachG: beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über die gemeinsam mit dem BSI eingerichtete Registrierungsmöglichkeit, spätestens drei Monate, nachdem die Anlage als kritische Anlage gilt. Das BBK übermittelt die Daten an das BSI. Die Registrierung nach § 33 Absatz 1 BSIG betrifft besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister. Wer neben der kritischen Anlage weitere Tätigkeiten ausübt, die unter Anlage 1 oder 2 fallen, sollte prüfen, ob dafür zusätzlich Angaben nach § 33 Absatz 1 BSIG nötig sind.