BSIG — Bundesgesetz über die Sicherheit der Informationstechnik
Das BSIG ist ein deutsches Gesetz, das Betreiber kritischer Infrastrukturen (Energie, Wasser, Verkehr, Telekommunikation, Gesundheit) zur Sicherung ihrer IT-Systeme verpflichtet. Es verlangt einen IT-Sicherheitsbeauftragten, kontinuierliche Sicherheitsmaßnahmen nach Stand der Technik und die Meldung von erheblichen Störungen an das BSI. Das Gesetz ist älter als NIS2 und wird von der kommenden NIS2-Umsetzung partiell modernisiert.
Aktualisiert am: 25.08.2026
Konkrete Pflichten aus dem BSIG
- Benennung eines IT-Sicherheitsbeauftragten oder einer Sicherheitsorganisation
- Umsetzung eines Informationssicherheitsmanagementsystems nach BSI-Grundschutz oder äquivalent
- Meldung erheblicher Sicherheitsvorfälle an das BSI in drei Stufen: Erstmeldung binnen 24 Stunden, aktualisierte Meldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats
- Dokumentation und regelmäßige Überprüfung der Maßnahmen
- Kooperation mit dem BSI bei Sicherheitsüberprüfungen
- Information der Geschäftsleitung über Sicherheitsrisiken
BSIG vs. NIS2 — was sich ändert
Das BSIG gilt heute für etwa 2700 Betreiber kritischer Infrastrukturen. NIS2 wird diese Zahl auf etwa 31.000 erweitern und strengere Meldepflichten einführen. Beide Gesetze verlangen ISMS, Incident Response und Schwachstellenmanagement. Unternehmen, die heute BSIG-konform sind, sind aber noch nicht automatisch NIS2-konform — die neuen Anforderungen sind teilweise höher.
Typische Anforderungen im Audit
Das BSI prüft bei BSIG-Audits, ob Sicherheitsmaßnahmen nach dem BSI-Grundschutz oder ISO 27001 dokumentiert sind. Ein häufiger Mangel ist die unzureichende Dokumentation bereits durchgeführter Maßnahmen. Auch die Kommunikation zwischen IT und Geschäftsleitung wird oft kritisch bewertet — die Leitung muss Sicherheitsrisiken verstehen und gegenüber dem BSI vertreten können.
Wo das im Mandat vorkommt
Viele meiner Mandanten betreiben kritische Infrastrukturen und sind bereits BSIG-pflichtig. Ich helfe ihnen, ihre Systeme auf den aktuellen Stand zu bringen und die parallel laufende NIS2-Umsetzung zu planen, um Doppelarbeit zu vermeiden.
Häufige Frage
Muss jedes Unternehmen BSIG-konform sein?
Nein, nur Betreiber kritischer Infrastrukturen in Deutschland. Das sind typischerweise größere Unternehmen in Energie, Telekommunikation, Wasser, Verkehr und Gesundheit. Kleine Betriebe und andere Branchen unterliegen dem BSIG nicht, sind aber möglicherweise von NIS2 erfasst. Die BSI-Prüfung erfolgt regelmäßig und ist nicht optional für betroffene Unternehmen.