BSI als NIS2-Aufsichtsbehörde: Befugnisse, Prüfungen und die Sanktion, die das BSI nicht verhängt

Seit dem 6. Dezember 2025 ist das Bundesamt für Sicherheit in der Informationstechnik nach § 59 BSIG die zuständige Aufsichtsbehörde für alle in Deutschland niedergelassenen wichtigen und besonders wichtigen Einrichtungen. Das ist die einfache Hälfte der Antwort. Die schwierige: Das BSIG kennt zwei völlig unterschiedliche Aufsichtsregime — und die schärfste Sanktion, das vorübergehende Berufsverbot für die Geschäftsleitung, verhängt nicht das BSI. Wer das Verfahren nur als „das BSI kann prüfen und Bußgelder verhängen“ versteht, ist auf zwei Behörden und vier Eskalationsstufen nicht vorbereitet.

Dieser Beitrag liefert allgemeine Informationen und ist keine Rechts- oder Compliance-Beratung. Die Anforderungen unterscheiden sich je nach Sektor, Einrichtungsart und Fachrecht. Prüfen Sie Ihre konkreten Pflichten anhand des BSIG in der geltenden Fassung und der Hinweise Ihrer zuständigen Aufsichtsbehörde.

Wofür das BSI zuständig ist — und nach welchem Prinzip

§ 59 BSIG bindet die Zuständigkeit an drei Anknüpfungspunkte. Für wichtige und besonders wichtige Einrichtungen gilt nach der Gesetzesbegründung das Niederlassungsprinzip, für Betreiber kritischer Anlagen das Belegenheitsprinzip — es zählt, wo die Anlage physisch steht, nicht wo das Unternehmen seinen Sitz hat. Eine Ausnahme regelt § 60 BSIG: Für digitale Anbieter — DNS, TLD-Registries, Cloud, Rechenzentren, CDN, MSP und MSSP, Online-Marktplätze, Suchmaschinen und soziale Netzwerke — ist das BSI nur bei EU-Hauptniederlassung in Deutschland zuständig, dann aber EU-weit zentral. Hauptniederlassung ist nicht der Handelsregistersitz, sondern der Mitgliedstaat, „in dem die Entscheidungen der Einrichtung im Zusammenhang mit den Maßnahmen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden“. In welchem Regime Sie landen, legen Sie bei der Anmeldung selbst offen — den Ablauf beschreibt unsere Schritt-für-Schritt-Anleitung zur BSI-Registrierung.

Einrichtungsart	Anknüpfungspunkt	Folge für die Aufsicht
Wichtige und besonders wichtige Einrichtungen	Niederlassung in Deutschland (§ 59 Nr. 1)	BSI ist zuständig, parallel dazu die jeweilige Fachaufsicht
Betreiber kritischer Anlagen	Belegenheit der Anlage im Bundesgebiet (§ 59 Nr. 2)	Zusätzlich Nachweispflicht nach § 39 im Drei-Jahres-Zyklus
Einrichtungen der Bundesverwaltung	Direkt (§ 59 Nr. 3)	Eigenes Regime nach Teil 2 und Teil 3 BSIG
Digitale Anbieter nach § 60 Abs. 1	Hauptniederlassung in der EU (§ 60 Abs. 2)	Bei Sitz in Deutschland: EU-weit zentrale Zuständigkeit des BSI

Merken Sie sich einen Begriff, der im Folgenden immer wieder auftaucht: die „zuständige Aufsichtsbehörde“. Das ist im BSIG nicht das BSI, sondern die sektorale Fachaufsicht — Bundesnetzagentur, BaFin, eine Landesbehörde. Sie sitzt an mehreren Stellen des Verfahrens mit am Tisch, und an einer entscheidenden Stelle sitzt sie allein.

Proaktiv oder reaktiv: Der Unterschied steht nicht dort, wo ihn die meisten suchen

Fast jeder deutsche Beitrag zum Thema formuliert es gleich: besonders wichtige Einrichtungen werden proaktiv beaufsichtigt, wichtige nur reaktiv. Inhaltlich stimmt das. Die Quelle dieses Satzes ist allerdings Erwägungsgrund 122 der NIS-2-Richtlinie — und Erwägungsgründe sind Auslegungshilfen, keine Rechtsgrundlage; sie begründen keine Pflicht. Wörtlich sollen wesentliche Einrichtungen dort „einem umfassenden Ex-ante- und Ex-post-Aufsichtssystem unterliegen, während wichtige Einrichtungen einem einfachen, ausschließlich nachträglichen Aufsichtssystem unterliegen sollten“. Ein Zielbild des Unionsgesetzgebers, kein Tatbestand.

Verbindlich ist der Unterschied an zwei anderen Stellen. Erstens im Umfang der Befugniskataloge: Artikel 32 Absatz 2 NIS-2 zählt sieben Aufsichtsbefugnisse gegenüber wesentlichen Einrichtungen auf, Artikel 33 Absatz 2 für wichtige Einrichtungen nur sechs. Die fehlende Nummer sind die Ad-hoc-Prüfungen — und zwei weitere Befugnisse schrumpfen schon im Wortlaut: Aus „Vor-Ort-Kontrollen und externe Aufsichtsmaßnahmen, einschließlich … Stichprobenkontrollen“ werden Vor-Ort-Kontrollen ohne Stichproben, aus „regelmäßige und gezielte Sicherheitsprüfungen“ werden allein gezielte. Zweitens im Auslöser: Artikel 33 Absatz 1 lässt nachträgliche Aufsicht erst zu, wenn „Nachweise, Hinweise oder Informationen vorgelegt“ werden, wonach die Einrichtung mutmaßlich nicht nachkommt.

Im deutschen Recht ist derselbe Unterschied auf zwei Paragrafen verteilt, die kaum unterschiedlicher aussehen könnten. § 61 BSIG hat zwölf Absätze. § 62 BSIG hat einen Satz: „Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.“

Aus diesem einen Satz folgen drei selten ausgesprochene Dinge. Erstens ist der Prüfgegenstand enger: die Anforderungen an kritische Anlagen aus § 31 fehlen in § 62 folgerichtig. Zweitens ist „reaktiv“ kein Synonym für „milder“ — ist die Tatsachenschwelle überschritten, verweist § 62 auf den vollständigen Maßnahmenkatalog des § 61. Der Unterschied liegt im Zugang, nicht im Werkzeugkasten. Drittens nennt § 62 ausdrücklich § 32, die Meldepflichten: Die wahrscheinlichste Quelle für „Tatsachen“ über Ihre Sicherheitsmängel ist Ihre eigene Vorfallmeldung. Erwägungsgrund 122 nennt als weitere Quellen andere Behörden, Einrichtungen, Bürger und Medien.

Für besonders wichtige Einrichtungen gilt das Gegenteil, und die Gesetzesbegründung sagt es unmissverständlich: Es „ist bei der Ausübung dieser Aufsichtsmaßnahmen in Bezug auf besonders wichtige Einrichtungen nicht erforderlich, dass dem Bundesamt Hinweise oder Informationen vorliegen“. Kein Anlass nötig. Nach den Zahlen des BSI hatten sich bis zum 30. Juni 2026 17.729 Unternehmen registriert — 11.501 wichtige und 6.215 besonders wichtige Einrichtungen, davon 1.342 Betreiber kritischer Anlagen. Rund 4.900 besonders wichtige Einrichtungen unterliegen also der anlasslosen Aufsicht, ohne den festen Nachweiszyklus des § 39 zu haben.

Die Befugnisse im Einzelnen: § 61 BSIG Absatz für Absatz

§ 61 ist der Werkzeugkasten — nicht chronologisch aufgebaut, was das Lesen erschwert. Die folgende Aufstellung ordnet die zwölf Absätze nach dem, was sie praktisch bedeuten.

Absatz	Befugnis des BSI	Was das praktisch heißt
Abs. 1	Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen	Prüfgegenstand: § 30 Abs. 1 S. 1, auch i. V. m. § 31, § 32 Abs. 1–3 und § 38 Abs. 3 — Schulungspflicht der Geschäftsleitung eingeschlossen
Abs. 2	Anforderungen an die prüfenden Stellen festlegen	Per öffentlicher Mitteilung auf der BSI-Website, nicht per Rechtsverordnung
Abs. 3	Vorlage von Nachweisen anordnen; Mängelbeseitigungsplan und Beseitigungsnachweis verlangen	Frühestens drei Jahre nach Inkrafttreten, also ab Dezember 2028; Krankenhäuser nach § 108 SGB V fünf Jahre
Abs. 4	Auswahl der zu prüfenden Einrichtungen	Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle, gesellschaftliche und wirtschaftliche Auswirkungen
Abs. 5	Selbst überprüfen, auch vor Ort	Betretensrecht während der üblichen Betriebszeiten; das BSI kann einen qualifizierten unabhängigen Dritten hinzuziehen
Abs. 6	Maßnahmen zur Verhütung oder Behebung eines Vorfalls oder Mangels anordnen	Im Benehmen mit der Fachaufsicht; entfällt bei Gefahr im Verzug; Berichterstattung möglich
Abs. 7	Anordnungen zur Umsetzung der Pflichten erlassen	Auch konkrete Empfehlungen aus einer Sicherheitsprüfung im Einzelfall
Abs. 8	Kunden über Cyberbedrohungen unterrichten lassen; Verstöße öffentlich bekannt machen lassen	Der Reputationshebel — nach Vorgaben des BSI, nicht nach eigener Formulierung
Abs. 9	Der zuständigen Aufsichtsbehörde melden, dass Anordnungen nicht befolgt werden	Löst die Ultima-Ratio-Stufe aus, die das BSI selbst nicht verhängt
Abs. 10–12	Information der Fachaufsicht, Unterrichtung der Datenschutzaufsicht, grenzüberschreitende Amtshilfe	Abs. 11 ist die DSGVO-Brücke; laut Begründung nimmt das BSI „technische und keine datenschutzrechtlichen Kontrollen“ vor

Drei Punkte aus dieser Tabelle werden regelmäßig falsch wiedergegeben.

Die Drei-Jahres-Frist gilt nur für Absatz 3. Aus „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“ wird in vielen Beiträgen „vor 2028 kann nichts passieren“. Das ist falsch. Die Frist bindet ausschließlich die anlasslose Anordnung zur Vorlage von Nachweisen gegenüber besonders wichtigen Einrichtungen ohne kritische Anlage. Absatz 1 — die Anordnung eines externen Audits — und Absatz 5 — die Überprüfung durch das BSI selbst, einschließlich Vor-Ort-Termin — enthalten keine zeitliche Beschränkung. Sie gelten seit dem 6. Dezember 2025.

Die Auswahlkriterien in Absatz 4 sind kein Ausschlussgrund. Wer aus „Größe“ und „Eintrittswahrscheinlichkeit“ schließt, ein kleines Unternehmen mit niedrigem Risiko sei faktisch außen vor, liest das Gesetz gegen seine Begründung. Dort steht wörtlich, die Kriterien „eignen sich dagegen nicht zum Ausschluss … da sie zum Beispiel besonders klein sind“. Es geht um Priorisierung, nicht um Immunität.

„Einvernehmen“ und „Benehmen“ sind nicht dasselbe. Einvernehmen heißt: Die andere Behörde muss zustimmen. Benehmen heißt: Sie muss beteiligt werden, ihr Widerspruch hindert das BSI aber nicht. Den Mängelbeseitigungsplan nach Absatz 3 verlangt das BSI im Einvernehmen mit der zuständigen Aufsichtsbehörde; die Anordnungen nach Absatz 6 und 7 ergehen nur im Benehmen — und bei Gefahr im Verzug entfällt selbst das.

Eine Befugnis der Richtlinie fehlt im deutschen Text: Artikel 32 Absatz 4 Buchstabe g NIS-2 erlaubt, „einen mit genau festgelegten Aufgaben betrauten Überwachungsbeauftragten zu benennen“. Das Wort kommt im BSIG nicht vor. Am nächsten kommt § 61 Abs. 5 Satz 2, wonach sich das BSI bei der eigenen Überprüfung eines qualifizierten unabhängigen Dritten bedienen kann — ein Helfer der Behörde, kein in Ihr Unternehmen entsandter Aufpasser.

Die Vor-Ort-Prüfung: Was Sie dulden müssen — und wer sie bezahlt

§ 61 Absatz 5 Satz 3 bestimmt im Ernstfall Ihren Terminkalender. Die Einrichtung hat dem BSI und den in seinem Auftrag handelnden Personen „das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren“.

Vier Pflichten also: dulden, vorlegen, Auskunft geben, unterstützen. Und eine oft übersehene Grenze — während der üblichen Betriebszeiten. Das ist keine Durchsuchung. Wer die Mitwirkung verweigert, begeht nach § 65 Absatz 2 Nummer 17 BSIG eine Ordnungswidrigkeit, die mit einer Geldbuße bis zu 100.000 Euro geahndet werden kann.

Die Gebührenregelung in Satz 4 enthält ein Signal: Gebühren und Auslagen erhebt das BSI „nur, sofern das Bundesamt aufgrund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach § 30 Absatz 1 begründeten“. Eine anlasslose Kontrolle ist für Sie also kostenfrei. Kommt die Rechnung, war die Prüfung verdachtsgetragen — und Sie wissen, in welchem Regime Sie sich befinden.

Die Eskalationsleiter — und die Sanktion, die das BSI nicht verhängt

Zwischen der ersten Anordnung und dem Berufsverbot liegen vier Stufen, und sie werden von unterschiedlichen Instrumenten und teilweise von unterschiedlichen Behörden getragen.

Stufe	Rechtsgrundlage	Wer handelt	Charakter
1. Anordnung	§ 61 Abs. 6, 7 BSIG	BSI, im Benehmen mit der Fachaufsicht	Verwaltungsakt mit Frist und Berichtspflicht
2. Zwangsgeld	§ 63 BSIG i. V. m. VwVG	BSI	Beugemittel — bis zu 100.000 Euro, abweichend von § 11 Abs. 3 VwVG
3. Bußgeld	§ 65 BSIG	BSI als Verwaltungsbehörde	Ahndung — bis 10 Mio. Euro (bwE) bzw. 7 Mio. Euro (wE)
4. Aussetzung und Untersagung	§ 61 Abs. 9 BSIG	Die zuständige Aufsichtsbehörde — nicht das BSI	Letztes Mittel, zeitlich begrenzt

Die entscheidende Zeile ist die letzte. § 61 Absatz 9 verteilt die Rollen eindeutig: Befolgt eine besonders wichtige Einrichtung die Anordnungen des BSI trotz Fristsetzung nicht, „kann das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilen„. Erst diese Behörde kann dann „als letztes Mittel 1. die dieser Einrichtung erteilte Genehmigung nach dem jeweiligen Fachrecht vorübergehend ganz oder teilweise aussetzen und 2. unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind, vorübergehend untersagen.“

Das BSI meldet also — die Fachaufsicht entscheidet. Wer das Berufsverbot als BSI-Sanktion beschreibt, verwechselt die Behörde und unterschätzt, wie viel Fachrecht in dieser Stufe steckt: Ausgesetzt wird eine Genehmigung „nach dem jeweiligen Fachrecht“, also etwa eine energie-, bank- oder telekommunikationsrechtliche Erlaubnis. Deshalb verlangt das Gesetz einen Zusammenhang — die Begründung illustriert das mit einem Beispiel: Keine Aussetzung der Genehmigung zur allein physischen Lagerung von Gefahrstoffen, weil eine Einrichtung Kundendaten ohne IT-Sicherung speichert.

Drei Begrenzungen gehören zum Bild. Mildere, gleich wirksame Mittel sind laut Begründung „vorher erfolglos auszuschöpfen“, „insbesondere solche der Verwaltungsvollstreckung nach dem VwVG“ — das Zwangsgeld aus § 63 ist ausdrücklich als Vorstufe gedacht; nur bei bereits bekannter Unzuverlässigkeit der Geschäftsleitung kann dieser Schritt entfallen. Aussetzung und Untersagung gelten zudem nur so lange, bis die Einrichtung die Anordnungen befolgt — ein Beugemittel, keine dauerhafte Abberufung. Und nach Artikel 32 Absatz 5 Unterabsatz 2 NIS-2 finden sie auf Einrichtungen der öffentlichen Verwaltung überhaupt keine Anwendung; für Institutionen der sozialen Sicherung gilt der Sonderweg des § 64 BSIG. Eine Unschärfe sei offen benannt statt aufgelöst: Ob der pauschale Verweis in § 62 auch Absatz 9 für wichtige Einrichtungen eröffnet, sagt der Text nicht ausdrücklich.

Welche Verstöße die Eskalation beschleunigen, sagt die Richtlinie selbst. Artikel 32 Absatz 7 Buchstabe a stuft fünf Verhaltensweisen immer als schweren Verstoß ein: wiederholte Verstöße, die unterlassene Meldung oder Behebung erheblicher Sicherheitsvorfälle, die Nichtbehebung von Mängeln nach verbindlicher Anweisung, die Behinderung angeordneter Prüfungen sowie die Übermittlung falscher oder grob verfälschender Informationen. Drei dieser fünf betreffen nicht die Sicherheitslage, sondern das Verhalten im Verfahren. Wie sich die Bußgeldstufen des § 65 BSIG im Einzelnen staffeln, behandelt unser Beitrag zu den NIS2-Sanktionen und Bußgeldern.

Das Zusammenspiel mit dem BBK: Mitgestalter der Maschinerie, nicht Ihr Aufseher

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe taucht im BSIG an sechs Stellen auf — und keine davon steht in Teil 7, dem Aufsichtsteil. Das ist die kürzeste Antwort auf die Frage, welche Rolle das BBK in einem Prüfverfahren spielt: keine.

Vorschrift	Rolle des BBK	Kopplung
§ 32 Abs. 1 BSIG	Gemeinsame Meldestelle von BSI und BBK — dort gehen Ihre Vorfallmeldungen ein	Gemeinsam eingerichtet
§ 32 Abs. 4 BSIG	Ausgestaltung des Meldeverfahrens und der Meldeinhalte	Einvernehmen
§ 33 Abs. 1, 6 BSIG	Gemeinsame Registrierungsmöglichkeit und deren Ausgestaltung	Gemeinsam / Einvernehmen
§ 30 BSIG	Feststellung branchenspezifischer Sicherheitsstandards	Einvernehmen
§ 39 Abs. 1, 2 BSIG	Nachweiszeitpunkt für kritische Anlagen; Anforderungen an prüfende Stellen	Benehmen / Einvernehmen
§ 40 Abs. 2, 3 BSIG	Sektorübergreifende Zusammenarbeit mit BBK, Bundesnetzagentur und BaFin	Koordination
Teil 7 (§§ 59–64)	—	Keine Erwähnung

Das Muster ist konsistent: Das BBK gestaltet die Infrastruktur der NIS-2-Umsetzung mit — Melde- und Registrierungsportal, Standards, Nachweisrahmen für kritische Anlagen — meist im Einvernehmen, also mit echtem Vetorecht. Sobald es um Aufsicht und Durchsetzung gegenüber Ihrer Einrichtung geht, ist es nicht beteiligt. Ihre Gegenüber sind das BSI und die sektorale Fachaufsicht. Für die physische Resilienz kritischer Anlagen gilt eine eigene Spur; wie sie sich zur Cybersicherheitsaufsicht verhält, zeigt unser Beitrag zur Abgrenzung von NIS2 und der CER-Richtlinie.

Was das für Ihre Rolle bedeutet

Rolle	Die Norm, die Sie zuerst lesen sollten	Der nächste konkrete Schritt
Geschäftsleitung	§ 61 Abs. 9 Nr. 2 und § 38 Abs. 3 BSIG	Prüfen, ob die eigene Teilnahme an Schulungen dokumentiert ist — sie ist in § 61 und § 62 ausdrücklich Prüfgegenstand
CISO / IT-Sicherheit	§ 61 Abs. 5 S. 3 BSIG	Einen Ordner definieren, aus dem Aufzeichnungen, Schriftstücke und Netzpläne binnen Stunden vorlagefähig sind
Compliance und Recht	§ 61 Abs. 3 S. 3 und Abs. 6 BSIG	Klären, wer bei Ihnen die „zuständige Aufsichtsbehörde“ ist — ohne diese Antwort ist Stufe 4 der Eskalation nicht einschätzbar
KMU ohne eigene IT-Abteilung	§ 62 BSIG	Den Meldeprozess nach § 32 sauber aufsetzen: Ihre eigene Meldung ist der wahrscheinlichste Auslöser einer Prüfung

Der praktische Kern in einem Satz: Nicht „werden wir geprüft?“ entscheidet, sondern „können wir innerhalb der gesetzten Frist belegen, was wir behaupten?“. Wie ein solcher Nachweis konkret aussieht, zeigt unser Beitrag zur Vorbereitung auf ein NIS2-Audit; die Einordnung Ihrer Einrichtung klärt der Beitrag zu den Unterschieden zwischen wesentlichen und wichtigen Einrichtungen, den Gesamtrahmen des deutschen Umsetzungsgesetzes unser Überblick zum NIS2UmsuCG und den Pflichten in Deutschland.

Häufig gestellte Fragen

Ist das BSI die einzige NIS2-Aufsichtsbehörde in Deutschland?

Nein. Das BSI ist nach § 59 BSIG die zuständige Aufsichtsbehörde für die Pflichten aus Teil 3 des BSIG. Daneben steht durchgehend die „zuständige Aufsichtsbehörde“ des jeweiligen Fachrechts, die bei Anordnungen zu beteiligen ist und die Ultima-Ratio-Maßnahmen nach § 61 Abs. 9 allein verhängt.

Kann das BSI meiner Geschäftsführung die Tätigkeit untersagen?

Nach dem Wortlaut von § 61 Absatz 9 BSIG nicht selbst. Das BSI kann der zuständigen Aufsichtsbehörde mitteilen, dass Anordnungen trotz Fristsetzung nicht befolgt wurden; die vorübergehende Untersagung gegenüber unzuverlässigen Geschäftsleitungen spricht dann diese Behörde aus, als letztes Mittel und nur bis zur Befolgung der Anordnung.

Stimmt es, dass das BSI vor Dezember 2028 keine Nachweise verlangen kann?

Nur eingeschränkt. Die Frist „frühestens drei Jahre nach Inkrafttreten“ in § 61 Absatz 3 BSIG betrifft ausschließlich die anlasslose Anordnung zur Vorlage von Nachweisen gegenüber besonders wichtigen Einrichtungen ohne kritische Anlage. Die Anordnung eines externen Audits nach Absatz 1 und die eigene Überprüfung des BSI nach Absatz 5 unterliegen keiner solchen Frist.

Welche Rolle spielt das BBK bei einer BSI-Prüfung?

Keine. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe wirkt an der Melde- und Registrierungsinfrastruktur sowie an Standards und Nachweisanforderungen mit (§§ 30, 32, 33, 39, 40 BSIG), ist im Aufsichtsteil des Gesetzes — Teil 7, §§ 59 bis 64 — aber an keiner Stelle genannt.

Quellen

1. Bundesministerium der Justiz. § 61 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen. Gesetze im Internet
2. Bundesministerium der Justiz. § 62 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen. Gesetze im Internet
3. Bundesministerium der Justiz. § 63 BSIG — Verwaltungszwang. Gesetze im Internet
4. Bundesministerium der Justiz. § 64 BSIG — Zuwiderhandlungen durch Institutionen der sozialen Sicherung. Gesetze im Internet
5. Bundesministerium der Justiz. § 65 BSIG — Bußgeldvorschriften. Gesetze im Internet
6. Bundesministerium der Justiz. BSI-Gesetz (BSIG) — Volltext, Fassung seit 6. Dezember 2025. Gesetze im Internet
7. buzer.de. Teil 7 BSIG — Aufsicht (§§ 59 bis 64), konsolidierte Fassung. buzer.de Bundesrecht
8. Europäisches Parlament und Rat. Richtlinie (EU) 2022/2555 (NIS-2) — Artikel 32, 33 und Erwägungsgrund 122. EUR-Lex
9. Bundesamt für Sicherheit in der Informationstechnik. NIS-2 in Zahlen — Registrierungsstand zum 30. Juni 2026. BSI
10. Bundesamt für Sicherheit in der Informationstechnik. Fragen und Antworten zu NIS-2 — Nachweise und Aufsicht. BSI
11. Bundesregierung. Gesetzesbegründung zu § 61 BSIG. reuschlaw, bsi-gesetz.de
12. Bundesregierung. Gesetzesbegründung zu § 59 BSIG — Niederlassungs- und Belegenheitsprinzip. reuschlaw, bsi-gesetz.de