NIS-2: Die Rolle des BSI

Die Rolle des BSI bei der Umsetzung der NIS2-Richtlinie

Die Umsetzung der NIS-2-Richtlinie brachte für die betroffenen Unternehmen eine Vielzahl von Neuerungen und Herausforderungen mit sich. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist maßgeblich an der Umsetzung beteiligt und somit mitverantwortlich für einen reibungslosen Ablauf. Durch die von der Richtlinie neu betroffenen Betriebe erweitert sich der Kreis der vom BSI zu beaufsichtigenden Unternehmen. 

NIS-2-Richtlinie

Ziel der Richtlinie ist es, die Informationssicherheit in sensiblen Anlagen durch Mindeststandards zu erhöhen. Dazu werden Anforderungen an den Betrieb bestimmter Einrichtungen gestellt, insbesondere Registrierungs-, Nachweis- und Meldepflichten. Seit dem 06.12.2025 gilt das NIS-2-Umsetzungsgesetz ohne Umsetzungsfrist für die regulierten Unternehmen. Diese mussten sich bis 06.03.2026 im Portal des BSI registrieren, um künftig Meldungen von IT-Sicherheitsvorfällen über dieses Portal abzugeben. 

Das BSI als zentraler Akteur

Das BSI ist ein zentraler Akteur bei der Umsetzung der NIS-2-Richtlinie. Es sammelt und bewertet Informationen über Sicherheitsrisiken, Schwachstellen, Schadprogramme und Cyberangriffe (§ 3 BSIG). Als zentrale Meldestelle für die Bundesverwaltung sammelt und analysiert es Informationen über Gefahren der Informationstechnik und informiert die Bundesbehörden und gibt Handlungsempfehlungen (§ 4 BSIG). Als allgemeine Meldestelle nimmt es Meldungen über Sicherheitsrisiken und Schwachstellen von Dritten entgegen, wertet diese aus und fungiert als nationaler Koordinator für die koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure) (§ 5 BSIG). Darüber hinaus darf das BSI unter bestimmten Voraussetzungen aktiv nach bekannten Schwachstellen und Sicherheitsrisiken in öffentlich erreichbaren IT-Systemen suchen (§ 15 BSIG).

Neue Aufgabenfelder für das BSI

Das BSI war bereits vor der Gesetzesänderung für CERT-Bund, IT-Grundschutz, Warnungen und die Unterstützung der Bundesverwaltung zuständig. Neu sind vor allem die gesetzliche Ausweitung dieser Aufgaben, die Aufsicht über einen wesentlich größeren Adressatenkreis, die aktive Schwachstellenerkennung, die Rolle als nationale Meldestelle für Vulnerability Disclosure sowie zusätzliche Befugnisse zur Kontrolle und Durchsetzung von Cybersicherheitsanforderungen. Damit wandelt sich das BSI stärker von einer überwiegend beratenden und unterstützenden Behörde zu einer Aufsichts-, Koordinierungs- und Incident-Management-Behörde mit erweiterten operativen und regulatorischen Aufgaben.

Diana Nadeborn