Welche NIS2-Aufsichtsbehörde ist für mein Unternehmen zuständig?

Architektur der NIS2-Aufsicht in Deutschland

NIS2 lässt den Mitgliedsstaaten Spielraum bei der Behördenarchitektur. Deutschland hat sich im NIS2UmsuCG (in Kraft seit 6.12.2025, BGBl. 2025 I Nr. 301) für das BSI als zentrale Aufsichtsbehörde entschieden, mit Sonderregeln für Telekommunikation, Energie und den Finanzsektor. Die Rolle des BSI ist dabei:

• Zentrale Registrierungsstelle: Erfasste Einrichtungen registrieren sich beim BSI (§ 33 BSIG)
• Nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle (§ 40 Abs. 1 BSIG)
• Aufsicht über besonders wichtige und wichtige Einrichtungen, Betreiber kritischer Anlagen und Einrichtungen der Bundesverwaltung (§ 59 BSIG)
• Mitwirkung auf EU-Ebene in der Kooperationsgruppe und im CSIRTs-Netzwerk (§ 3 BSIG)

Abweichungen gibt es dort, wo das Gesetz die Pflichten in Fachrecht verlagert: Telekommunikation (TKG, § 28 Abs. 5 Nr. 1 BSIG), Energie (EnWG, § 28 Abs. 5 Nr. 2 BSIG) und Finanzsektor (DORA, § 28 Abs. 6 Nr. 1 BSIG). Die Zusammenarbeit mit Bundesnetzagentur, BaFin, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und den Länderbehörden koordiniert das BSI als nationale Verbindungsstelle (§ 40 Abs. 2 BSIG).

Sektor-Map: Welche Behörde für welchen Sektor

Die folgende Tabelle nennt nur Zuständigkeiten, die sich aus BSIG, TKG und EnWG ergeben. Grundregel ist § 59 BSIG: Zuständig ist das BSI, soweit keine Sonderregel greift.

Die BSI-Seite zu NIS-2-regulierten Unternehmen bündelt die Informationen zur Einordnung. Bleibt die Zuordnung unklar, sollte die zuständige Stelle direkt um Klärung gebeten werden.

BSI als zentrale Drehscheibe

Das Bundesamt für Sicherheit in der Informationstechnik ist die operativ wichtigste NIS2-Behörde für die meisten Unternehmen. Konkret bedeutet das:

• Registrierung über die gemeinsam von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit, spätestens drei Monate nach Eintritt der Einstufung (§ 33 Abs. 1 BSIG)
• Meldepfad für erhebliche Sicherheitsvorfälle: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (bei andauerndem Vorfall stattdessen Fortschrittsmeldung) an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (§ 32 Abs. 1 und 2 BSIG)
• Aufsichtsmaßnahmen nach § 61 BSIG (besonders wichtige Einrichtungen) und § 62 BSIG (wichtige Einrichtungen, nur bei Anlass) trifft das BSI
• Zentrale Meldestelle: Das BSI sammelt und wertet sicherheitsrelevante Informationen aus und führt das Lagebild (§ 40 Abs. 3 BSIG)

Die sektorübergreifende Zusammenarbeit mit Bundesnetzagentur, BaFin, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und den zuständigen Länderbehörden koordiniert das BSI als nationale Verbindungsstelle (§ 40 Abs. 2 Nr. 2 BSIG).

BNetzA: Telekommunikation und Energie

Die Bundesnetzagentur ist klassisch für netzgebundene Wirtschaftsbereiche zuständig. Im NIS2-Kontext heißt das:

• Energie: Betreiber von Energieversorgungsnetzen (unabhängig von einer Einstufung nach § 28 BSIG) sowie Betreiber von Energieanlagen und digitalen Energiediensten, die besonders wichtige oder wichtige Einrichtungen sind (§ 5c Abs. 1 Satz 1 EnWG). Die §§ 5c bis 5e EnWG sind für sie die NIS2-Umsetzung und treten an die Stelle der BSIG-Pflichten (§ 28 Abs. 5 BSIG): IT-Sicherheitskatalog der BNetzA, Dokumentation, Meldepflichten und Pflichten der Geschäftsleitung.
• Telekommunikation: Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste. Ihre Sicherheitspflichten stehen in §§ 165 ff. TKG; für besonders wichtige und wichtige Einrichtungen enthält § 165 Abs. 2a TKG die NIS2-Mindestmaßnahmen. Die Einzelheiten legt die BNetzA im Katalog von Sicherheitsanforderungen fest (§ 167 TKG).
• Post: Post- und Kurierdienste fallen nicht unter die Sonderregel des § 28 Abs. 5 BSIG; zuständig ist das BSI.

Die Meldewege unterscheiden sich: TK-Anbieter melden erhebliche Sicherheitsvorfälle an die BNetzA und an das BSI (§ 168 Abs. 1 TKG). Energiebetreiber nach § 5c EnWG melden an die Meldestelle nach § 32 BSIG (§ 5d Abs. 3 EnWG); das BSI leitet Meldungen mit Relevanz für die Energieversorgungssicherheit unverzüglich an die BNetzA weiter (§ 5d Abs. 5 EnWG).

Gesundheitssektor: BSI-Aufsicht mit Sonderregeln

Für Einrichtungen des Gesundheitssektors, etwa Krankenhäuser, ist das BSI die zuständige Aufsichtsbehörde nach § 59 BSIG. Das BSIG enthält zwei Sonderregeln:

• Zugelassene Krankenhäuser nach § 108 SGB V: Nachweise über die Erfüllung der Pflichten kann das BSI frühestens fünf Jahre nach Inkrafttreten des Gesetzes anordnen, soweit keine Rechtsverordnung einen früheren Zeitpunkt bestimmt (§ 61 Abs. 3 BSIG).
• Telematikinfrastruktur: Für die gematik und bestimmte Betreiber von TI-Diensten gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 2 BSIG).

Fachaufsichten nach anderen Gesetzen bleiben davon unberührt; sie sind aber keine NIS2-Aufsicht im Sinne des BSIG.

Finanzsektor und öffentliche Verwaltung

Finanzunternehmen nach Art. 2 Abs. 2 DORA sowie Unternehmen, für die DORA über § 1a KWG oder § 293 VAG gilt, sind von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgenommen (§ 28 Abs. 6 Nr. 1 BSIG). Für sie gelten Risikomanagement- und Meldepflichten nach DORA; zuständig ist die nach Art. 46 DORA bestimmte Behörde, in Deutschland in der Regel die BaFin, bei bedeutenden Kreditinstituten die EZB.

Einrichtungen der Bundesverwaltung beaufsichtigt das BSI (§ 59 Nr. 3 BSIG). Für die öffentliche Verwaltung der Länder bestimmen die Länder eigene Aufsichtsbehörden; das BSI koordiniert deren grenzüberschreitende Zusammenarbeit (§ 40 Abs. 2 Nr. 1 BSIG).

Praxis: Wie finde ich die richtige Behörde

Konkretes Vorgehen:

1. Eigene Sektor-Zuordnung klären, anhand der Einrichtungsarten in Anlage 1 und 2 BSIG
2. BSI als Default annehmen, sofern keine Spezialaufsicht ersichtlich ist
3. Sonderregeln prüfen: BNetzA (TK nach TKG, Energie nach §§ 5c–5e EnWG), BaFin (DORA), Länderbehörden (öffentliche Verwaltung der Länder)
4. Klärungsanfrage an das BSI, wenn die Zuordnung unklar bleibt; die Antwort zur Compliance-Dokumentation nehmen
5. Pfade dokumentieren, wer meldet, wer fragt, wer berichtet an wen?

FAQ

Müssen wir uns bei mehreren Behörden registrieren?

Im Regelfall nein. Die Registrierung erfolgt beim BSI (§ 33 BSIG), auch für Energiebetreiber nach § 5c EnWG (§ 5d Abs. 4 EnWG); das BSI übermittelt deren Registrierungsdaten an die BNetzA. Für kritische Anlagen übermitteln Betreiber zusätzliche Anlagenangaben: bis zum Inkrafttreten der Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz nach § 33 Abs. 2 BSIG in der bis 16. März 2026 geltenden Fassung an das BSI (§ 66 BSIG), danach über die Registrierung nach § 8 KRITIS-Dachgesetz (§ 33 Abs. 2 BSIG). Pflichten aus anderen Gesetzen, etwa die Meldepflichten der TK-Anbieter nach § 168 TKG, bleiben unberührt.

Was passiert, wenn zwei Behörden gleichzeitig Audits durchführen wollen?

Das BSIG setzt auf Abstimmung: Anordnungen nach § 61 Abs. 6 und 7 BSIG ergehen im Benehmen mit der zuständigen Aufsichtsbehörde, und das BSI koordiniert als nationale Verbindungsstelle die sektorübergreifende Zusammenarbeit mit BNetzA, BaFin, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und Länderbehörden (§ 40 Abs. 2 BSIG). Die Ausnahmen in § 28 Abs. 5 und 6 BSIG begrenzen außerdem Überschneidungen zwischen BSIG und Fachrecht.

Sind die Bußgeld-Zuständigkeiten dieselben?

Für Verstöße gegen das BSIG ist grundsätzlich das BSI Bußgeldbehörde (§ 65 Abs. 10 BSIG; in den Fällen des § 65 Abs. 2 Nr. 11 das Bundesministerium des Innern). Für TK-Anbieter und Energiebetreiber, die nach § 28 Abs. 5 BSIG ausgenommen sind, gelten die Bußgeldvorschriften des TKG (§ 228) bzw. des EnWG (§ 95). Ausdrücklich geregelt ist das Verhältnis zur DSGVO: Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten eine Geldbuße verhängt, darf dafür keine weitere Geldbuße nach dem BSIG verhängt werden (§ 65 Abs. 11 BSIG).

Ändert sich das durch die EU-Aufsichtsstruktur?

Auf EU-Ebene koordinieren die nationalen NIS2-Aufsichten in der Cooperation Group und im CSIRTs-Network. Das BSI vertritt Deutschland in beiden Gremien. Für deutsche Unternehmen hat das vor allem indirekten Effekt, über harmonisierte Auslegung der Mindestmaßnahmen und gegenseitige Amtshilfe bei grenzüberschreitenden Vorfällen.

Wer ist für Cloud-Anbieter zuständig?

Für Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, CDN, Managed (Security) Services, DNS- und TLD-Dienste sowie Online-Marktplätze, Suchmaschinen und soziale Netzwerke ist das BSI nur zuständig, wenn die Hauptniederlassung in der EU in Deutschland liegt; dann ist es EU-weit zentral zuständig (§ 60 Abs. 1 BSIG, Art. 26 NIS2). Liegt die Hauptniederlassung in einem anderen Mitgliedstaat, ist dessen Behörde zuständig; das BSI kann auf ein Amtshilfeersuchen hin innerhalb der Grenzen dieses Ersuchens Maßnahmen gegenüber in Deutschland tätigen Einrichtungen ergreifen (§ 60 Abs. 5 BSIG).