NIS2 für die öffentliche Verwaltung: Pflichten für Behörden und Kommunen

Die NIS2-Richtlinie gilt nicht nur für Unternehmen. Auch die öffentliche Verwaltung ist erfasst – allerdings je nach Ebene auf ganz unterschiedlicher Rechtsgrundlage: Für die Bundesverwaltung gilt das BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, in Kraft seit 6. Dezember 2025), für die Landesverwaltungen das jeweilige Landesrecht. Die kommunale Kernverwaltung ist vom BSIG grundsätzlich nicht erfasst. Wer in der öffentlichen Verwaltung für IT-Sicherheit zuständig ist, sollte diese Systematik und die Besonderheiten des deutschen Föderalismus kennen.

Welche Behörden fallen unter NIS2 in Deutschland?

Das NIS2UmsuCG setzt die EU-NIS2-Richtlinie im Bundesrecht um; die Pflichten stehen im neu gefassten BSIG. Die Richtlinie selbst verlangt die Einbeziehung von Einrichtungen der öffentlichen Verwaltung der Zentralregierung sowie – nach einer risikobasierten Bewertung – von Einrichtungen auf regionaler Ebene (Art. 2 Abs. 2 Buchst. f NIS2). Die lokale Ebene können die Mitgliedstaaten einbeziehen, müssen es aber nicht (Art. 2 Abs. 5 Buchst. a NIS2). Gerade dieser Punkt wird häufig missverstanden.

Einrichtungen der Bundesverwaltung sind in § 29 BSIG geregelt – unabhängig von Sektor, Größe oder Umsatz. Erfasst sind, mit Ausnahme der Institutionen der Sozialen Sicherung und der Deutschen Bundesbank:

• Bundesbehörden (z. B. Bundesministerien, Bundesnetzagentur, Kraftfahrt-Bundesamt)
• öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung (z. B. das ITZBund)
• weitere Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts auf Bundesebene, soweit das BSI dies im Einvernehmen mit dem zuständigen Ressort anordnet

Für diese Einrichtungen gelten nach § 29 Abs. 2 BSIG die Regelungen für besonders wichtige Einrichtungen – ausgenommen jedoch § 38 (Geschäftsleitungspflichten), § 40 Abs. 3, § 61 (Aufsichtsmaßnahmen) und § 65 (Bußgelder). Der Geschäftsbereich des Auswärtigen Amts und des Bundesministeriums der Verteidigung sowie BND und Bundesamt für Verfassungsschutz sind zusätzlich u. a. von §§ 30, 33 und 35 BSIG ausgenommen (§ 29 Abs. 3). Aus dem Kreis der besonders wichtigen und wichtigen Einrichtungen nach § 28 BSIG ist die Bundesverwaltung ausdrücklich herausgenommen, sofern sie nicht zugleich Betreiber kritischer Anlagen ist.

Ergänzend regelt Teil 3 Kapitel 3 BSIG (§§ 43–48) das Informationssicherheitsmanagement der Bundesverwaltung: Verantwortung der Behördenleitung und Schulungspflicht (§ 43), verbindliche Mindestanforderungen aus IT-Grundschutz und Mindeststandards des BSI (§ 44), Informationssicherheitsbeauftragte der Einrichtungen und der Ressorts (§§ 45, 46) sowie die Rolle der BSI-Leitung als Koordinatorin bzw. Koordinator der Bundesregierung für Informationssicherheit (§ 48). Das BSI ist damit zugleich zentrale Meldestelle der Bundesverwaltung (§ 4 BSIG) und selbst eine Bundesbehörde, die diese Vorgaben einhalten muss.

Eine gute Einführung in den allgemeinen Anwendungsbereich bietet unser Artikel Wer ist betroffen? Der NIS2-Anwendungsbereich im Überblick.

Länder- und Kommunalebene: Wo steht die Umsetzung?

Hier liegt die eigentliche Komplexität für Deutschland. Die Gesetzgebungskompetenz für die Cybersicherheit der Verwaltung von Ländern, Landkreisen und Kommunen liegt bei den Ländern und Kommunen selbst (Art. 70 Abs. 1, Art. 28 Abs. 2 GG). Für die Landesverwaltungen entfaltet das BSIG nach Auffassung des BSI keine unmittelbare normative Wirkung, sondern dient als Orientierung.

Die Föderalismusproblematik

Die EU-NIS2-Richtlinie verpflichtet die Mitgliedstaaten, Einrichtungen der öffentlichen Verwaltung einzubeziehen. In Deutschland erfolgt die Umsetzung getrennt nach Gesetzgebungszuständigkeiten:

• Bundesebene: BSIG (§ 29 und §§ 43–48), Kontrolle der Kommunikationstechnik des Bundes durch das BSI (§ 7 BSIG)
• Länderebene: Umsetzung für die kritischen Teile der Landesverwaltungen durch Landesrecht bzw. landesinterne Regelungen (Gesetze, Verordnungen oder Verwaltungsvorschriften)
• Kommunalebene: Der IT-Planungsrat hat Bund und Länder mit Beschluss 2023/39 vom 3. November 2023 gebeten, von der Option zur Einbeziehung der lokalen Ebene keinen Gebrauch zu machen. Ob ein Land seine Umsetzung dennoch auf Landkreise oder Kommunen erstreckt, entscheidet es selbst.

Dies kann dazu führen, dass eine Kreisbehörde in einem Land anderen Vorgaben unterliegt als eine vergleichbare Behörde in einem anderen Land. Für Landkreise und Gemeinden, die eigene Betriebe in der Wasserversorgung, der Abwasserbeseitigung oder im Energiebereich führen, kommt zusätzlich das BSIG ins Spiel (siehe unten) – die Rechtslage ist dann besonders vielschichtig.

Stand der Landesgesetze (Beispiele)

Mehrere Länder haben ihr Landesrecht bereits an NIS2 angepasst. Zwei Beispiele, die sich in den amtlichen Verkündungsblättern nachvollziehen lassen:

• Sachsen: Das Sächsische Informationssicherheitsgesetz (SächsISichG) wurde durch Gesetz vom 5. Juli 2024 (SächsGVBl. S. 590) mit Bezug auf die NIS-2-Richtlinie geändert; die Änderung ist am 1. Oktober 2024 in Kraft getreten.
• Nordrhein-Westfalen: Das Informationssicherheitsgesetz Nordrhein-Westfalen (InfoSiG NRW) vom 18. Dezember 2025 (GV. NRW. 2026 S. 6) setzt NIS2 um, „soweit hierfür die Zuständigkeit im Land Nordrhein-Westfalen liegt“. Es gilt für Landesbehörden, Landesbetriebe, den Landtag und weitere Landeseinrichtungen – nicht für die Kommunen.

Für die übrigen Länder sollten Behörden den aktuellen Stand direkt im jeweiligen Landesrecht bzw. bei der zuständigen Landesstelle für Informationssicherheit prüfen. Das BSI bittet Kommunen, sich bei NIS-2-Fragen primär an die zuständige Aufsichtsbehörde ihrer Landesverwaltung zu wenden.

Unabhängig vom Landesrecht müssen Kommunen prüfen, ob einzelne ihrer Einheiten als besonders wichtige oder wichtige Einrichtungen direkt unter das BSIG fallen: § 28 BSIG erfasst ausdrücklich auch rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft (z. B. Eigen- oder Regiebetriebe), die entgeltlich Waren oder Dienstleistungen anbieten und einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sind – ebenso kommunale Unternehmen in privater Rechtsform wie Stadtwerke-GmbHs.

Unterschiede zur Privatwirtschaft

Wer die NIS2-Anforderungen aus der Unternehmensperspektive kennt, wird in der öffentlichen Verwaltung auf wesentliche Unterschiede stoßen. Diese betreffen nicht nur die rechtliche Struktur, sondern auch die praktische Umsetzung.

1. Kein Schwellenwertmodell für Bundesbehörden

In der Privatwirtschaft knüpfen die Pflichten an Schwellenwerte an: wichtige Einrichtung ab 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro, besonders wichtige Einrichtung (nur Anlage-1-Sektoren) ab 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Jahresbilanzsumme (§ 28 BSIG). Für Einrichtungen der Bundesverwaltung nach § 29 BSIG gibt es dieses Schwellenwertmodell nicht – sie sind unabhängig von Größe und Sektor erfasst. Für rechtlich unselbstständige kommunale Einheiten gelten die Schwellenwerte dagegen, allerdings ohne Zusammenrechnung mit der übrigen Verwaltung (§ 28 Abs. 4 BSIG).

Details zu den Anforderungen finden Sie in unserem Artikel über die NIS2-Anforderungen und Cybersicherheitsmaßnahmen.

2. Unterschiedliche Haftungsstrukturen

Merkmal	Privatwirtschaft	Öffentliche Verwaltung
Haftung	Geschäftsleitungspflichten nach § 38 BSIG; Haftung gegenüber der Einrichtung nach dem jeweiligen Gesellschaftsrecht	Bundesverwaltung: § 38 BSIG gilt nicht (§ 29 Abs. 2); Behördenleitung verantwortlich und schulungspflichtig nach § 43 BSIG. NIS2 lässt nationale Haftungsregeln für öffentliche Bedienstete und Amtsträger unberührt (Art. 20 Abs. 1).
Bußgelder	Bis zu 10 Mio. EUR (besonders wichtige) bzw. 7 Mio. EUR (wichtige Einrichtungen); umsatzbezogene Obergrenzen von 2 % bzw. 1,4 % nur bei mehr als 500 Mio. EUR Jahresumsatz (§ 65 BSIG)	Bundesverwaltung: § 65 BSIG nicht anwendbar (§ 29 Abs. 2). NIS2 überlässt den Mitgliedstaaten, ob Geldbußen gegen öffentliche Stellen verhängt werden (Art. 34 Abs. 7). Landesverwaltung: nach Landesrecht
Aufsichtsbehörde	BSI	BSI für die Bundesverwaltung (u. a. Kontrollbefugnisse nach § 7 BSIG; § 61 gilt nicht); von den Ländern bestimmte Landesbehörden für die Landesverwaltung
Registrierung	Registrierung beim BSI über das BSI-Portal (§ 33 BSIG)	Bundesverwaltung: ebenfalls § 33 BSIG; zuständig ist die Behördenleitung (§ 43 Abs. 4). Landesverwaltung: nach Landesrecht
Meldepflichten	24-Stunden-Frühwarnung / 72-Stunden-Meldung / Abschlussmeldung binnen eines Monats (§ 32 BSIG)	Bundesverwaltung: gleiche Fristen nach § 32 BSIG, zusätzlich Unterrichtungspflicht nach § 43 Abs. 5 BSIG (mit Ausnahmen z. B. für Geheimschutz). Landesverwaltung: nach Landesrecht

3. Beschaffung und Vergabe

Öffentliche Einrichtungen sind beim Einkauf von IT-Sicherheitsdienstleistungen an das Vergaberecht gebunden. Schnelle Reaktionen auf Sicherheitsvorfälle, die in der Privatwirtschaft durch direkten Lieferantenwechsel oder Notfallbeauftragungen möglich sind, können in Behörden durch Vergabeverfahren verzögert werden. Das BSIG enthält keine Ausnahmen vom Vergaberecht; § 44 Abs. 4 BSIG stellt ausdrücklich klar, dass die Vorschriften des Vergaberechts unberührt bleiben. Für Vergabeverfahren der Bundesverwaltung stellt das BSI technische Richtlinien und Referenzarchitekturen bereit, die bei Eignungs- und Produktanforderungen zu berücksichtigen sind.

4. Personalstruktur und Ausbildung

Während Unternehmen auf dem Markt IT-Sicherheitspersonal rekrutieren können, unterliegt die öffentliche Verwaltung dem öffentlichen Tarifrecht (TVöD/TV-L) und dem Beamtenrecht. Der Gehaltsspielraum im Wettbewerb um IT-Sicherheitsexperten ist strukturell eingeschränkt. Viele Behörden setzen daher auf:

• Aufbau eigener Nachwuchs- und Ausbildungsprogramme
• Nutzung zentraler IT-Dienstleister von Bund und Ländern (z. B. ITZBund, Dataport, ITDZ Berlin)
• Kooperationen mit Hochschulen und Forschungseinrichtungen

OZG und IT-Konsolidierung: Die NIS2-Verbindung

Zwei große Reformvorhaben der deutschen Verwaltungsmodernisierung sind eng mit NIS2 verknüpft:

Onlinezugangsgesetz (OZG)

Das OZG verpflichtet Bund und Länder – einschließlich der Gemeinden und Gemeindeverbände (§ 1 Abs. 1 OZG) –, ihre Verwaltungsleistungen auch elektronisch über Verwaltungsportale anzubieten (§ 1a Abs. 1 OZG). Die OZG-Umsetzung schafft neue IT-Systeme und Datenflüsse – und damit neue Angriffsflächen. NIS2 und OZG sollten daher nicht als voneinander unabhängige Themen behandelt werden:

• Neue OZG-Anwendungen sollten von Beginn an in das Risikomanagement der jeweiligen Einrichtung einbezogen werden; für Bundeseinrichtungen gelten dabei die Mindestanforderungen nach § 44 BSIG
• Interoperabilitätsvorhaben wie das Nationale Once-Only-Technical-System (NOOTS) vernetzen Register und Behörden und vergrößern damit die Angriffsfläche
• Zentrale Basiskomponenten (z. B. BundID, FIT-Connect) sind für viele Verwaltungsleistungen gleichzeitig relevant und damit sicherheitskritisch

Behörden, die OZG-Leistungen über das Verwaltungsportal des Bundes oder Portale der Länder anbieten, sollten ihre Risikoanalysen explizit auf diese Dienste ausrichten.

IT-Konsolidierung des Bundes

Die IT-Konsolidierung Bund hat das Ziel, die dezentrale IT-Infrastruktur der Bundesbehörden zu bündeln und über den Dienstleister ITZBund zu zentralisieren. Für NIS2 bedeutet das:

• Verantwortungsklarheit: Öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung wie das ITZBund sind nach § 29 Abs. 1 Nr. 2 BSIG selbst Einrichtungen der Bundesverwaltung. Die Verantwortung der beauftragenden Behördenleitung nach § 43 Abs. 1 BSIG bleibt davon unberührt (§ 43 Abs. 3 Satz 3).
• Lieferkettenrisiken: Ein zentraler Dienstleister ist ein attraktives Angriffsziel. Werden Stellen mit IT-Leistungen für den Bund beauftragt, ist vertraglich sicherzustellen, dass sie die Voraussetzungen der Informationssicherheit einhalten (§ 43 Abs. 3 BSIG).
• Incident-Response: Sicherheitsvorfälle beim zentralen Dienstleister betreffen potenziell viele Bundesbehörden gleichzeitig – Meldewege und Eskalationsprozesse sollten klar definiert sein.

Als Grundlage dienen der IT-Grundschutz und die Mindeststandards des BSI: Für Einrichtungen der Bundesverwaltung sind sie nach § 44 Abs. 1 BSIG verbindliche Mindestanforderungen. Ihre Umsetzung gewährleistet nach § 44 Abs. 2 BSIG zugleich die Erfüllung der Risikomanagementpflichten nach § 30 BSIG – soweit nicht ein EU-Durchführungsrechtsakt darüber hinausgehende Anforderungen stellt.

Die 10 NIS2-Maßnahmen in der Verwaltungspraxis

Die in Artikel 21 NIS2 und den entsprechenden NIS2UmsuCG-Regelungen (§ 30 BSIG) genannten zehn Maßnahmenbereiche gelten für die Bundesverwaltung über § 29 Abs. 2 BSIG; für Landesverwaltungen ergeben sie sich aus dem jeweiligen Landesrecht. In der Verwaltungspraxis zeigen sich einige Besonderheiten:

Risikoanalyse und -management

Behörden benötigen ein ISMS (Information Security Management System). Ein praxiserprobtes Rahmenwerk ist der IT-Grundschutz mit den BSI-Standards 200-1 bis 200-4; für Einrichtungen der Bundesverwaltung ist er nach § 44 BSIG verbindlich. Auch in vielen Landesverwaltungen ist der IT-Grundschutz bereits vorgeschrieben – in Nordrhein-Westfalen nach der Gesetzesbegründung zum InfoSiG NRW seit 1998.

Vorfallsmanagement und Meldepflichten

Für Einrichtungen der Bundesverwaltung gelten die Fristen des § 32 BSIG: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Das BSI ist zugleich zentrale Meldestelle für die Zusammenarbeit der Bundesverwaltung (§ 4 BSIG); darüber hinaus müssen Bundeseinrichtungen das BSI unverzüglich über weitere sicherheitsrelevante Informationen unterrichten (§ 43 Abs. 5 BSIG). Für Landes- und Kommunalverwaltungen richten sich Meldewege nach Landesrecht; kommunale Einheiten, die unter § 28 BSIG fallen, melden für diese Tätigkeit an das BSI.

Supply-Chain-Sicherheit

Gerade in der öffentlichen Verwaltung ist die Lieferkettensicherheit besonders relevant. Viele Behörden nutzen Software weniger großer Anbieter (etwa für ERP-Systeme oder Kollaboration). Ein Sicherheitsvorfall beim Lieferanten kann viele Behörden gleichzeitig treffen. Das BSIG zählt die Sicherheit der Lieferkette zu den Risikomanagementmaßnahmen (§ 30 Abs. 2 BSIG); für die Bundesverwaltung verlangt § 43 Abs. 3 BSIG zusätzlich ausdrücklich vertragliche Sicherheitsverpflichtungen der beauftragten Stellen – ein Punkt, der die Vergabe- und Vertragspraxis beeinflusst.

Kryptographie und Verschlüsselung

Orientierung für zulässige Algorithmen und Schlüssellängen bietet die Technische Richtlinie BSI TR-02102 („Kryptographische Verfahren: Empfehlungen und Schlüssellängen“). Sie wird in der Praxis häufig als Maßstab für den Stand der Technik herangezogen. Für Einrichtungen der Bundesverwaltung sind darüber hinaus die Mindeststandards des BSI verbindlich (§ 44 Abs. 1 BSIG).

Besondere Sektoren: Kommunale Kritische Infrastrukturen

Viele kommunale Betriebe und Eigenbetriebe betreiben Anlagen, die dem BSIG und gegebenenfalls zusätzlich dem KRITIS-Dachgesetz unterfallen können:

• Stadtwerke und kommunale Energieversorger: Der Sektor Energie gehört zu Anlage 1 BSIG. Ob eine Anlage als kritische Anlage gilt, richtet sich bis zum Inkrafttreten der neuen Verordnung weiterhin nach den Schwellenwerten der BSI-Kritisverordnung, die in der Regel von 500.000 versorgten Personen ausgeht. Für Energieversorgungsnetze und Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen, gelten zentrale BSIG-Pflichten nicht, weil das EnWG eigene Vorgaben macht (§ 28 Abs. 5 BSIG).
• Wasserversorgung und Abwasser: Trinkwasserversorgung und Abwasserbeseitigung sind eigene Sektoren in Anhang I NIS2 bzw. Anlage 1 BSIG. Kommunale Wasserbetriebe sollten unabhängig von der Trägerstruktur (Eigenbetrieb, GmbH, Zweckverband) prüfen, ob sie in den Anwendungsbereich fallen; der KRITIS-Schwellenwert für die Trinkwasserversorgung liegt bei 22 Mio. m³ pro Jahr.
• Öffentlicher Nahverkehr: Anlage 1 BSIG nennt im Sektor Verkehr u. a. Eisenbahnverkehrsunternehmen und Betreiber von Verkehrsbeeinflussungsanlagen im Straßenverkehr, nicht aber den Bus- und Straßenbahnverkehr als solchen. Kommunale ÖPNV-Betreiber können jedoch als Betreiber kritischer Anlagen erfasst sein, wenn sie die KRITIS-Schwellenwerte erreichen.
• Kommunale IT-Dienstleister: Zweckverbände und kommunale IT-Dienstleister (z. B. Dataport, AKDB) können als Anbieter digitaler Dienste oder verwalteter IT-Dienste betroffen sein. Nach § 28 Abs. 8 BSIG gilt das BSIG jedoch nicht für Einrichtungen, an denen ausschließlich Gebietskörperschaften (ohne den Bund) beteiligt sind, wenn sie zur Erbringung von Leistungen für Verwaltungen errichtet wurden und durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diese Vorschrift reguliert werden.

Die Einordnung nach den Kriterien des NIS2-Anwendungsbereichs ist für kommunale Einrichtungen besonders komplex und sollte im Zweifel mit dem BSI oder der zuständigen Landesbehörde geklärt werden.

Umsetzungsstrategie für Behörden: Wo anfangen?

Angesichts der beschriebenen Komplexitäten bieten sich für öffentliche Einrichtungen folgende Schritte an:

1. Betroffenheitsanalyse: Zunächst klären, ob und in welcher Eigenschaft die Einrichtung erfasst ist (Einrichtung der Bundesverwaltung nach § 29 BSIG? Besonders wichtige oder wichtige Einrichtung bzw. Betreiber kritischer Anlagen nach § 28 BSIG? Im Landesrecht geregelt?)
2. Bestandsaufnahme IT-Grundschutz: Überprüfen, ob bereits eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz besteht. Diese ist ein guter Ausgangspunkt, ersetzt aber nicht Registrierung und Meldeprozesse.
3. Lückenanalyse gegen die 10 Maßnahmen: Systematisches Durcharbeiten der zehn Anforderungsfelder aus Artikel 21 NIS2 bzw. § 30 BSIG und Identifikation von Implementierungslücken
4. Koordination mit IT-Konsolidierungspartnern: Abstimmung mit ITZBund, Dataport oder anderen zentralen Dienstleistern über Verantwortlichkeiten und Meldewege
5. Abstimmung mit den Aufsichtsstellen: Bundeseinrichtungen mit dem BSI, Landes- und Kommunalverwaltungen primär mit der zuständigen Landesstelle – insbesondere bei der Frage der Registrierungspflicht

Mehr zur allgemeinen Umsetzungssituation in Deutschland erfahren Sie in unserem Überblicksartikel NIS2 in Deutschland: Zeitplan, BSIG und Umsetzungsstand.

Häufig gestellte Fragen (FAQ)

Gilt NIS2 auch für kleine Gemeinden?

Die kommunale Kernverwaltung fällt grundsätzlich nicht in den Anwendungsbereich des BSIG. Kleine Gemeinden können jedoch durch Landesrecht verpflichtet sein, sofern ein Land die kommunale Ebene einbezieht. Zudem können einzelne Einheiten – etwa ein Eigenbetrieb für Wasser oder Abwasser, der entgeltlich Leistungen anbietet und die Schwellenwerte erreicht – direkt unter § 28 BSIG fallen. Eine Prüfung im Einzelfall ist daher sinnvoll.

Wer ist die zuständige Aufsichtsbehörde für eine Kreisbehörde?

Für Landesbehörden und kommunale Einrichtungen sind primär die von den Ländern bestimmten Landesbehörden zuständig. Soweit eine kommunale Einheit zugleich als besonders wichtige oder wichtige Einrichtung bzw. als Betreiber einer kritischen Anlage nach § 28 BSIG erfasst ist, ist für diese Tätigkeit das BSI zuständig. Die Abgrenzung kann im Einzelfall komplex sein.

Sind Bußgelder gegen öffentliche Einrichtungen möglich?

Gegen Einrichtungen der Bundesverwaltung nicht: § 29 Abs. 2 BSIG schließt die Bußgeldvorschriften des § 65 ebenso aus wie die Aufsichts- und Durchsetzungsmaßnahmen des § 61. Die NIS2-Richtlinie überlässt den Mitgliedstaaten, ob und in welchem Umfang Geldbußen gegen Einrichtungen der öffentlichen Verwaltung verhängt werden können (Art. 34 Abs. 7). Für Landesverwaltungen richtet sich dies nach Landesrecht. Kommunale Einheiten, die unter § 28 BSIG fallen, sind von § 65 BSIG nicht ausdrücklich ausgenommen.

Wie verhält sich NIS2 zur ISO 27001-Zertifizierung in Behörden?

ISO 27001 und BSI-IT-Grundschutz sind die wichtigsten ISMS-Rahmenwerke in deutschen Behörden. Für Einrichtungen der Bundesverwaltung gilt nach § 44 Abs. 2 BSIG: Wer die Mindestanforderungen aus IT-Grundschutz und Mindeststandards umsetzt, erfüllt die Vorgaben des § 30 BSIG. Registrierung, Meldepflichten und vertragliche Anforderungen an Dienstleister müssen dennoch gesondert organisiert werden.

Was bedeutet NIS2 für IT-Outsourcing an externe Rechenzentren?

Auch wenn eine Behörde IT-Dienste vollständig ausgelagert hat, bleibt sie für die Informationssicherheit verantwortlich. Das Outsourcing entbindet nicht von der Pflicht – es verschiebt sie in Richtung Lieferkettenmanagement. Für die Bundesverwaltung schreibt § 43 Abs. 3 BSIG vor, dass beauftragte Stellen vertraglich zur Einhaltung der Informationssicherheitsvoraussetzungen verpflichtet werden; die Pflichten der Behördenleitung bleiben unberührt. Für Landes- und Kommunalverwaltungen empfiehlt sich eine entsprechende Vertragsgestaltung.

Quellen

• BSIG (BSI-Gesetz) – Gesetze im Internet
• BSI: NIS-2 für die Landes- und Kommunalverwaltung (FAQ)
• IT-Planungsrat: Beschluss 2023/39 – Umsetzung NIS-2-Richtlinie
• Informationssicherheitsgesetz Nordrhein-Westfalen (InfoSiG NRW), GV. NRW. 2026 S. 6
• Sächsisches Informationssicherheitsgesetz (SächsISichG) – REVOSax
• BSI: NIS-2-Richtlinie
• NIS2-Richtlinie 2022/2555 – EUR-Lex
• BSI IT-Grundschutz-Kompendium