Rechtsstand und Zuständigkeit
Die deutsche Umsetzung gilt grundsätzlich seit dem 6. Dezember 2025. Das Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet. Maßgeblich für die hier erläuterten Pflichten ist das geltende BSI-Gesetz (BSIG), nicht allein der Wortlaut der EU-Richtlinie. BGBl. 2025 I Nr. 301, Art. 30; BSIG.
Ein deutscher Kunde oder eine .de-Domain begründet nicht automatisch deutsche Aufsicht. Für die in § 60 Abs. 1 genannten digitalen Anbieter ist insbesondere die EU-Hauptniederlassung maßgeblich; ohne EU-Niederlassung sind Vertreterregeln zu prüfen. Allgemeine Zuständigkeit, Sonderzuständigkeiten und sektorale Ausnahmen müssen zur Einrichtung passen. § 59, § 60 BSIG.
Welche Einrichtungen sind erfasst?
§ 28 unterscheidet besonders wichtige und wichtige Einrichtungen. Für die allgemeinen Größenregeln braucht es die passende Einrichtungsart aus Anlage 1 oder 2 und ein entgeltliches Angebot. Die kleine Merkhilfe „ab 50 Beschäftigten“ reicht nicht: Umsatz und Bilanzsumme bilden einen zusätzlichen kombinierten Weg; für besonders wichtige Einrichtungen gelten andere Schwellen.
Größenunabhängige Fälle, Unternehmensverbindungen, vernachlässigbare Tätigkeiten und sektorale Ausnahmen können die Einordnung verändern. Kritische Anlagen, DNS- und Vertrauensdienste sowie Telekommunikation brauchen einen eigenen Blick. Öffentliche Verwaltung ist ebenfalls nicht pauschal ein gewöhnliches Unternehmen. § 28 BSIG, Anlage 1, Anlage 2.
Pflichten und Fristen unterscheiden
- Registrierung: § 33 Abs. 1 sieht spätestens drei Monate ab erstmaliger oder erneuter Betroffenheit vor. Für schon am 6. Dezember 2025 erfasste Einrichtungen war dies der 6. März 2026. Für bestimmte digitale Anbieter, kritische Anlagen und Übergänge gelten zusätzliche Regeln (§§ 34 und 66).
- Maßnahmen und Leitung: § 30 verlangt angemessene, verhältnismäßige und wirksame Maßnahmen sowie Dokumentation. § 38 regelt Umsetzung, Überwachung und regelmäßige Schulung der Geschäftsleitung.
- Vorfälle: Für erhebliche Sicherheitsvorfälle verlangt § 32 grundsätzlich eine frühe Erstmeldung binnen 24 Stunden und eine Meldung binnen 72 Stunden ab Kenntnis desselben Vorfalls. Folge- und Abschlussberichte haben eigene Anforderungen. Vertrauensdienste und andere Meldegesetze gesondert prüfen.
§ 30, § 32, § 33, § 38 BSIG. Ein noch laufendes Sicherheitsprojekt verschiebt bereits geltende Pflichten nicht.
Passende nächste Schritte
Zum Schnellcheck für Deutschland und Österreich. Wählen Sie dort den Rechtsraum bewusst. Die Einordnung beruht auf Ihren Angaben; offene Voraussetzungen bleiben offen. Sie ist keine behördliche Entscheidung.
- Checkliste: Maßnahmen und Nachweise
- Meldepflicht: Auslöser, Fristen und Meldewege
- Geschäftsleitung: Verantwortung und Haftung
- ISO 27001: Nutzen und Grenzen eines Zertifikats
- Readiness-Check: sieben Selbstauskünfte zu deutschen Pflichten
Unsere kostenlosen technischen Checks liefern ausgewählte externe Befunde. Sie prüfen weder die gesamte Organisation noch die Erfüllung nationaler Pflichten. Ein ISO-Zertifikat, eine Selbstauskunft und ein technischer Report haben jeweils einen eigenen Prüfumfang. Technische Checks ansehen.