Pflichten im Überblick

Was die Geschäftsleitung jetzt wissen sollte.

NIS-2, das KRITIS-Dachgesetz und der EU AI Act gelten nebeneinander. Diese Seite fasst die wichtigsten Pflichten auf einer Seite zusammen, geprüft am Gesetzestext und in klarer Sprache.

Stand: Oktober 2026. Orientierung, keine Rechtsberatung.

Drei Pflichten, die bei der Geschäftsleitung bleiben.

Das BSI-Gesetz nimmt die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen in die Verantwortung. Die operative Arbeit lässt sich übertragen, die Verantwortung nicht.

  1. 01 · Umsetzen

    Maßnahmen umsetzen

    Die Risikomanagementmaßnahmen aus zehn Bereichen werden umgesetzt, und die Geschäftsleitung sorgt dafür. Zur Kenntnis nehmen reicht nicht.

    § 38 Abs. 1 BSIG (öffnet in neuem Fenster)§ 30 BSIG (öffnet in neuem Fenster)
  2. 02 · Überwachen

    Umsetzung überwachen

    Feste Berichtswege und messbare Kennzahlen zeigen, ob die Maßnahmen wirken. Ein fester Termin im Quartal ist ein guter Rhythmus.

    § 38 Abs. 1 BSIG (öffnet in neuem Fenster)
  3. 03 · Schulen

    Regelmäßig schulen lassen

    Die Geschäftsleitung nimmt regelmäßig an Schulungen teil, um Risiken selbst erkennen und bewerten zu können. Das BSI kann die Erfüllung prüfen lassen.

    § 38 Abs. 3 BSIG (öffnet in neuem Fenster)§ 61 BSIG (öffnet in neuem Fenster)

Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie der eigenen Einrichtung nach dem Gesellschaftsrecht ihrer Rechtsform. Gut dokumentierte Entscheidungen sind deshalb der wirksamste Schutz: Sie zeigen, dass auf angemessener Grundlage entschieden wurde.

§ 38 Abs. 2 BSIG (öffnet in neuem Fenster)

Wer betroffen ist.

Entscheidend sind Branche und Größe. Ob Ihr Unternehmen dazugehört, lässt sich meist in einem Gespräch klären.

Besonders wichtige Einrichtungen

Unternehmen aus den Sektoren der Anlage 1 des BSI-Gesetzes ab 250 Beschäftigten oder mit über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme, dazu alle Betreiber kritischer Anlagen.

§ 28 Abs. 1 BSIG (öffnet in neuem Fenster)Anlage 1 BSIG (öffnet in neuem Fenster)

Wichtige Einrichtungen

Unternehmen aus den Sektoren der Anlagen 1 und 2 ab 50 Beschäftigten oder mit über 10 Mio. Euro Umsatz und Bilanzsumme, darunter viele Hersteller in Chemie, Lebensmittel, Medizintechnik und Maschinenbau.

§ 28 Abs. 2 BSIG (öffnet in neuem Fenster)Anlage 2 BSIG (öffnet in neuem Fenster)

Betreiber kritischer Anlagen

Wer Anlagen oberhalb festgelegter Schwellenwerte betreibt, hat zusätzliche Pflichten aus dem BSI-Gesetz und dem KRITIS-Dachgesetz, etwa Angriffserkennung, Nachweise alle drei Jahre und einen Resilienzplan.

§ 31 BSIG (öffnet in neuem Fenster)§ 39 BSIG (öffnet in neuem Fenster)§ 8 KRITIS-Dachgesetz (öffnet in neuem Fenster)§§ 12, 13 KRITIS-Dachgesetz (öffnet in neuem Fenster)

Bei Unternehmensgruppen kann es auf die Gruppe ankommen. Das prüfen wir im Einzelfall.

Melden: Die Uhr läuft ab Kenntnis.

Ein erheblicher Sicherheitsvorfall wird in Stufen an die gemeinsame Meldestelle von BSI und BBK gemeldet. Die Frist beginnt, sobald jemand im Unternehmen davon erfährt, nicht erst mit der Bestätigung.

§ 32 BSIG (öffnet in neuem Fenster)BSI: NIS-2-Meldepflicht (öffnet in neuem Fenster)
  1. 24 Stunden

    Erstmeldung

    Verdacht auf einen Angriff, mögliche Auswirkungen in anderen EU-Staaten. Schnelligkeit geht vor Vollständigkeit.

  2. 72 Stunden

    Meldung

    Erste Bewertung von Schweregrad und Auswirkungen, soweit vorhanden Kompromittierungsindikatoren.

  3. Auf Ersuchen

    Zwischenmeldung

    Fragt das BSI nach, wird der Stand aktualisiert.

  4. Ein Monat

    Abschlussmeldung

    Ursache, Abhilfe und Auswirkungen. Dauert der Vorfall an, folgt eine Fortschrittsmeldung.

Datenschutz parallel

Sind personenbezogene Daten betroffen, geht binnen 72 Stunden eine eigene Meldung an die Datenschutzaufsicht.

Art. 33 DSGVO (öffnet in neuem Fenster)

KRITIS zusätzlich

Vorfälle mit Auswirkung auf eine kritische Anlage meldet der Betreiber auch nach dem KRITIS-Dachgesetz, ebenfalls binnen 24 Stunden.

§ 18 KRITIS-Dachgesetz (öffnet in neuem Fenster)

Vorbereitet sein

Meldeverantwortliche und Vertretung benennen, den Zugang zum BSI-Portal einrichten und den Ablauf einmal üben.

BSI: NIS-2-Meldepflicht (öffnet in neuem Fenster)

Was oft übersehen wird.

Technischer Grundschutz ist meist vorhanden. Die Lücken entstehen eher in Organisation, Nachweisen und Zusammenarbeit.

Was wann gilt.

  1. 02.02.2025EU AI Act: verbotene Praktiken und KI-KompetenzArt. 113 KI-Verordnung (öffnet in neuem Fenster)
  2. 06.12.2025BSI-Gesetz in der NIS-2-FassungBSI-Gesetz (öffnet in neuem Fenster)
  3. 17.03.2026KRITIS-DachgesetzKRITIS-Dachgesetz (öffnet in neuem Fenster)
  4. 02.08.2026EU AI Act: TransparenzpflichtenArt. 50, 113 KI-Verordnung (öffnet in neuem Fenster)
  5. 11.09.2026Cyber Resilience Act: Meldepflichten der HerstellerArt. 71 Cyber Resilience Act (öffnet in neuem Fenster)
  6. 02.12.2027EU AI Act: Hochrisiko-Pflichten nach Anhang III, etwa Personalauswahl und Sicherheitsbauteile kritischer InfrastrukturVerordnung (EU) 2026/1744 (öffnet in neuem Fenster)
  7. 02.08.2028EU AI Act: Hochrisiko-Pflichten für KI in regulierten Produkten (Anhang I)Verordnung (EU) 2026/1744 (öffnet in neuem Fenster)
  8. 06.12.2028BSI kann von allen besonders wichtigen Einrichtungen Nachweise anfordern§ 61 Abs. 3 BSIG (öffnet in neuem Fenster)

Nachweise, die Sie vorlegen können sollten.

Nicht für die Schublade, sondern als Grundlage für Entscheidungen. Vieles davon entsteht ohnehin, wenn ein Managementsystem gut läuft.

Grundlagen

  • Betroffenheitsfeststellung und Registrierung
  • Leitlinie, Risikoanalyse und Risikobehandlungsplan
  • Dokumentation der Maßnahmen zu den zehn Bereichen des § 30

Betrieb

  • Vorfall- und Meldeverfahren mit Erreichbarkeit
  • Notfall-, Backup- und Wiederherstellungskonzept, geübt
  • Bewertung der Lieferanten und Dienstleister

Geschäftsleitung

  • Beschlüsse und Berichte zur Überwachung
  • Schulungsnachweise
  • Jahresbericht als Grundlage für Entscheidungen

KRITIS

  • Konzept zur Angriffserkennung
  • Nachweis der Umsetzung alle drei Jahre
  • Risikoanalyse und Resilienzplan nach KRITIS-Dachgesetz

KI

  • KI-Inventar mit Einstufung
  • Maßnahmen zur KI-Kompetenz
  • Kennzeichnung von KI-Inhalten

Wo stehen Sie?

In 30 Minuten ordnen wir gemeinsam ein, welche Pflichten für Ihr Unternehmen wirklich gelten und was entfallen kann.

Passende Einstiege

Erstgespräch vereinbaren

Quellen

Alle Angaben verweisen auf die amtlichen Texte. Maßgeblich ist jeweils die aktuelle Fassung.

Diese Übersicht dient der Orientierung und ersetzt keine Rechtsberatung. Grundlage sind das BSI-Gesetz, das KRITIS-Dachgesetz und der EU AI Act in der Fassung von Oktober 2026.