Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist seit Mai 2026 in der operativen Prüfphase. Am 19. Mai 2026 führt das BSI das Online-Webinar „#nis2know: Der Weg zur Umsetzung" durch – ein deutliches Signal, dass die Behörde verstärkte Sektor-Dialoge und Prüfaktivitäten plant. Mehrere Quellen berichten, dass das BSI ab Mai mit der gezielten Überprüfung der Phishing-Resistenz bei Authentifizierungsverfahren beginnt.
Was prüft das BSI konkret?
In der aktuellen Prüfphase konzentriert sich das BSI auf drei Kernbereiche:
- Registrierungsstatus: Sind wesentliche und wichtige Einrichtungen im BSI-Portal registriert und haben sie eine erreichbare Kontaktstelle benannt?
- Risikomanagementmaßnahmen nach Art. 21 NIS2: Liegen dokumentierte Risikoanalysen, technische und organisatorische Maßnahmen vor?
- Incident-Meldeprozesse: Sind Prozesse für die 24-Stunden-Frühwarnung und die 72-Stunden-Vollmeldung etabliert und intern erprobt?
Phishing-Resistenz als Mindestsicherheitsanforderung
Ab Mai 2026 bewertet das BSI explizit die Phishing-Resistenz der eingesetzten Authentifizierungsverfahren. Unternehmen, die noch mit einfachen Passwörtern oder SMS-OTP-Verfahren arbeiten, werden aufgefordert, auf phishing-resistente MFA-Lösungen umzustellen: FIDO2 (Passkeys), Hardware-Token oder PKI-basierte Zertifikate. Das BSI sieht dies als Teil der verhältnismäßigen Sicherheitsmaßnahmen nach § 30 BSIG.
Sektoren-Umsetzungsfahrpläne bis Mitte 2026
Das BSI hat angekündigt, bis Mitte 2026 sektorspezifische Umsetzungsfahrpläne zu veröffentlichen. Besonders kritische Sektoren – Energie, Gesundheit, Trinkwasser und digitale Infrastruktur – werden dabei früher vollständige Compliance nachweisen müssen. Für den Energiesektor plant die Bundesnetzagentur ergänzende sektorspezifische Anforderungen.
Was bedeutet die Prüfphase praktisch?
Einrichtungen müssen damit rechnen, BSI-Informationsschreiben zu erhalten. Diese haben zunächst informativen Charakter, aber wer nicht reagiert, riskiert eine formale Anordnung nach §§ 61/62 BSIG. Das BSI hat signalisiert, dass kooperative Einrichtungen mit mehr Vorlaufzeit bei der Umsetzung rechnen können – und dass nachweisliche Compliance-Bemühungen bei der Sanktionsbemessung berücksichtigt werden.
Handlungsempfehlungen
- Registrierung und Kontaktstelle im BSI-Portal prüfen und aktualisieren.
- Risikoanalyse und Sicherheitsdokumentation auf aktuellen Stand bringen.
- Incident-Response-Prozess intern testen: Kann Ihr Team eine BSI-Meldung in 24 Stunden absetzen?
- Authentifizierungsverfahren auf phishing-resistente MFA umstellen (FIDO2/Hardware-Token).
- BSI-Webinar am 19. Mai nutzen: kostenlos, online, mit direktem BSI-Kontakt zu sektorspezifischen Fragen.