BSIG – BSI-Gesetz und NIS-2 in Deutschland einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/bsig

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Das BSI-Gesetz setzt NIS-2 in Deutschland um: wer verpflichtet ist, welche Maßnahmen gelten und wie Vorfälle zu melden sind. Wer hierzulande „NIS-2“ sagt, meint im Alltag meist das BSIG. Catenis hilft bei Dokumentation und Lieferantennachweisen, die Behördenmeldung bleibt extern.

Die Richtlinie allein vollstreckt in Deutschland nichts. Das BSIG nennt Einrichtungen, Maßnahmenkatalog, Meldeweg, Registrierung und die Rolle der Geschäftsleitung. Paragrafen zu Risikoanalyse, Vorfallbewältigung, Lieferkette, Zugriff und Schulung sind der Alltagstext, nicht der englische Richtlinientitel.

Im Betrieb landet das bei IT, Geschäftsleitung und oft Einkauf, sobald Dienstleister mit Systemzugang betroffen sind. Die Aufsicht spricht mit der Einrichtung. Operativ braucht jemand eine Liste: welche Maßnahme ist offen, welche Leitlinie unfreigegeben, welcher Vorfall hat keinen Status. Catenis hält diese Liste. Die Meldung an die Behörde geht weiter über das BSI-Portal.

„Besonders wichtige Einrichtung“ im BSIG entspricht grob der wesentlichen Einrichtung der Richtlinie; „wichtige Einrichtung“ bleibt wichtige Einrichtung. Die Labels in Folien und im Gesetz weichen ab. Die Akte muss die gewählte Einordnung und das Datum tragen, sonst redet intern jeder über einen anderen Kreis.

Für den Mittelstand ist das Gesetz der kürzere Weg als die Richtlinie. Zehn Mindestmaßnahmen, Registrierung, Meldeweg, Schulung der Leitung: das ist der Katalog, den jemand mit Owner und Datum führen muss. Catenis bildet genau diesen Katalog ab. Die Auslegung, wer darunterfällt, bleibt außerhalb.

Geltungsbereich

Pflichtig sind die im Gesetz genannten Einrichtungen nach Anlagen und Schwellen. Konzernzurechnung, Schwellenwerte und Ausnahmen stehen dort, nicht in diesem Artikel. Unter der Schwelle besteht keine unmittelbare BSIG-Pflicht aus NIS-2. Kundenverträge und Ausschreibungen erreichen denselben Mittelstand trotzdem.

Das Maßnahmenminimum gilt für die erfasste Einrichtung. Es ist verhältnismäßig zur Größe und zum Risiko gedacht, kein ISO-Zertifizierungspfad. Wer 27001 hat, kann Nachweise wiederverwenden. Wer nur das Zertifikat hochlädt und den Vorfallprozess nie geübt hat, hat den Katalog nicht erfüllt.

DORA gilt parallel für Finanzunternehmen und ihre kritischen IKT-Dritten. Der CRA gilt für Hersteller und Inverkehrbringer bestimmter Produkte. Das BSIG bleibt der deutsche Vollzug von NIS-2. Catenis führt ein NIS-2-Modul und Cyber-Fragebögen, kein DORA-Aufsichtsmodul.

Fachaufsichten und Landesbehörden können daneben stehen, je nach Sektor. Das ändert den äußeren Adressaten, nicht die innere Pflicht zur Dokumentation. Wer intern eine Spur hat, kann mehrere Portale bedienen. Wer nur E-Mails hat, kann keins.

Was zu tun ist

Den eigenen Status gegen das BSIG halten: Tätigkeit, Größe, ob die Pflicht greift. Das Ergebnis datiert ablegen. Die Plattform speichert die Selbsteinschätzung und die Maßnahmen; sie ersetzt die rechtliche Prüfung nicht.

Den Maßnahmenkatalog mit Owner und Nachweis führen. Leitlinien brauchen GF-Freigabe mit Datum. Vorfälle brauchen Status, Kontakt und eine Eskalation, die jemand schon einmal durchgespielt hat. Lieferanten mit IKT- oder Zugangsrelevanz brauchen Bewertung, nicht nur einen Kodex.

Registrierung und Pflichtangaben gehören zur Vorbereitung, die Eingabe läuft im BSI-Portal. Änderungen an Kontakten oder IP-Bereichen müssen nachgezogen werden; eine einmalige Anmeldung veraltet. Catenis hält die Checkliste, nicht das Register.

In Catenis liegen Maßnahmen, Dokumente, Vorfallstatus und Lieferantenampel an einem Ort. Der Evidence-Pack ist die Arbeitsakte für Audit oder Auskunft. Behördenmeldung, Portal und Einordnung bleiben außerhalb.

Reviews nicht vergessen. Viele Zeilen haben eine Wiedervorlage. Eine im ersten Jahr grüne Liste ohne erneute Freigabe und ohne neuen Restore-Test ist im zweiten Jahr eine offene Liste. Die Ampel muss das zeigen, sonst merkt es erst die Aufsicht.

Den Evidence-Pack vor der ersten Auskunft einmal öffnen: welche Maßnahme fehlt, welche Leitlinie ist Entwurf, welcher Vorfall hat keinen Status. Besser die eigene Lücke sehen als sie vor der Behörde zu entdecken. Die Plattform ersetzt das Gespräch mit der Aufsicht nicht.

Typischer Fehler

Der häufigste Fehler: NIS-2 und BSIG als zwei getrennte Projekte zu fahren. Dann entstehen eine EU-Folie und eine deutsche Checkliste, die nicht zusammenpassen. Im Zweifel gilt hier das BSIG; die Richtlinie erklärt, woher die Pflicht kommt.

Der zweite: die Behördenmeldung mit der internen Vorfallakte zu verwechseln. Wer nur das Portal bedient und intern nichts führt, kann den Ablauf nicht wiederholen. Wer nur intern dokumentiert und nie meldet, verfehlt die äußere Pflicht. Catenis macht den inneren Teil sichtbar; das Portal bleibt der äußere.

Der dritte: das Gesetz als IT-Projekt ohne Einkauf und ohne Leitung zu führen. Sobald Dienstleister Rechte haben, sitzt die Lieferkette im Katalog. Sobald eine Leitlinie gelten soll, sitzt die Geschäftsleitung in der Freigabe. Eine Abteilung allein trägt beides nicht.

Grenze

Das Lexikon sagt nicht, welcher Paragraph auf ein konkretes Unternehmen zutrifft, wie Bußen bemessen werden oder ob eine Ausnahme greift. Das bleibt Beratung und Aufsicht.

Catenis dokumentiert Maßnahmen, Fragebögen und Vorfallstatus. BSI-Portal und Behördenmeldung bleiben extern. Eine dokumentierte Zeile ist kein Bescheid des BSI. Wer die Akte in der Plattform führt, kann sie einem Prüfer zeigen; wer sie nur in persönlichen Postfächern hat, kann das meist nicht. Die Einordnung wesentliche oder wichtige Einrichtung bleibt Rechtsfrage.