Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist seit Inkrafttreten des NIS2-Umsetzungsgesetzes im Dezember 2025 in den aktiven Durchsetzungsmodus übergegangen. Bereits im vierten Quartal 2025 wurden 47 formale Anordnungen nach §§ 61/62 BSIG an Einrichtungen versandt – primär wegen unterlassener Registrierung und fehlender Benennung einer Kontaktstelle.
Wer erhielt die ersten Anordnungen?
Die ersten Anordnungen richteten sich vorrangig an Einrichtungen aus dem Energiesektor und der digitalen Infrastruktur – Sektoren, die das BSI aufgrund ihrer gesellschaftlichen Relevanz priorisiert. Weitere Sektoren werden im Jahresverlauf 2026 folgen. Bislang wurden keine großen Bußgelder öffentlich bekannt gemacht, doch der Eskalationspfad ist klar vorgezeichnet.
Was ist eine BSI-Anordnung?
Eine Anordnung nach §§ 61/62 BSIG ist eine verbindliche behördliche Verfügung. Sie verpflichtet die adressierte Einrichtung zu einer konkreten Handlung innerhalb einer gesetzten Frist. Werden Anordnungen nicht befolgt, drohen Bußgelder. Die Eskalationsstufen des BSI:
- Informationsschreiben und Anfrage
- Formale Anordnung (§§ 61/62 BSIG)
- Bußgeldbescheid (bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes)
- Öffentliche Bekanntmachung des Verstoßes
- Persönliche Haftung der Geschäftsführung
Registrierungsfrist abgelaufen – was tun?
Die Frist für besonders wichtige Einrichtungen zur Registrierung beim BSI ist am 6. März 2026 abgelaufen. Das BSI-Registrierungsportal ist weiterhin aktiv. Nicht registrierte Einrichtungen sollten die Registrierung unverzüglich nachholen – eine nachgeholte Registrierung mindert das Bußgeldrisiko erheblich. Für wichtige Einrichtungen gibt es keine kommunizierte Ausschlussfrist, eine Registrierung bleibt jedoch verpflichtend.
Was prüft das BSI als nächstes?
Laut BSI-Verlautbarungen wird die Behörde im weiteren Jahresverlauf 2026 folgende Bereiche in den Vordergrund stellen:
- Nachweis von Risikomanagementsystemen und deren Dokumentation
- Einhaltung der Vorfallsmeldepflichten (24h / 72h / 30 Tage)
- Sicherheitsmaßnahmen bei Lieferanten und IKT-Dienstleistern
- Management-Schulungen und Governance-Dokumentation
Handlungsempfehlungen
Einrichtungen, die noch keine Maßnahmen ergriffen haben, sollten unverzüglich:
- Registrierung im BSI-Portal nachholen und Kontaktstelle benennen.
- Risikoanalyse und Sicherheitsnachweise dokumentieren.
- Incident-Response-Verfahren testen und BSI-Meldepfad einrichten.
- Lieferantenverträge auf NIS2-konforme Sicherheitsklauseln prüfen.
Das BSI hat signalisiert, dass kooperatives Verhalten und nachweisliche Compliance-Bemühungen bei der Sanktionsbemessung berücksichtigt werden. Wer früh handelt, reduziert sein Risiko deutlich.