Synopse aller Änderungen des BSIG am 29.07.2026

BSIG a.F. (alte Fassung)
in der vor dem 29.07.2026 geltenden Fassung

BSIG n.F. (neue Fassung)
in der am 29.07.2026 geltenden Fassung
durch Artikel 9 G. v. 21.07.2026 BGBl. 2026 I Nr. 221

(Textabschnitt unverändert)

Gliederung

Teil 1 Allgemeine Vorschriften
    § 1 Bundesamt für Sicherheit in der Informationstechnik
    § 2 Begriffsbestimmungen
Teil 2 Das Bundesamt
    Kapitel 1 Aufgaben und Befugnisse
       § 3 Aufgaben des Bundesamtes
       § 4 Zentrale Meldestelle für die Sicherheit in der Informationstechnik des Bundes
       § 5 Allgemeine Meldestelle für die Sicherheit in der Informationstechnik
       § 6 Informationsaustausch
       § 7 Kontrolle der Kommunikationstechnik des Bundes, Betretensrechte
       § 8 Abwehr von Schadprogrammen und Gefahren für die Kommunikationstechnik des Bundes
       § 9 Verarbeitung von Protokollierungsdaten der Kommunikationstechnik des Bundes
       § 10 Anordnungen von Maßnahmen zur Abwendung oder Behebung von Sicherheitsvorfällen
       § 11 Wiederherstellung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme in herausgehobenen Fällen
       § 12 Bestandsdatenauskunft
       § 13 Warnungen
       § 14 Untersuchung der Sicherheit in der Informationstechnik, Auskunftsverlangen
       § 15 Detektion von Angriffsmethoden und von Sicherheitsrisiken für die Netz- und IT-Sicherheit
       § 16 Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von Telekommunikationsdiensten
       § 17 Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von digitalen Diensten
       § 18 Anordnungen von Maßnahmen des Bundesamtes gegenüber Herstellern von IKT-Produkten
       § 19 Bereitstellung von IT-Sicherheitsprodukten
    Kapitel 2 Datenverarbeitung
       § 20 Verarbeitung personenbezogener Daten
       § 21 Beschränkungen der Rechte der betroffenen Person
       § 22 Informationspflicht bei Erhebung von personenbezogenen Daten
       § 23 Auskunftsrecht der betroffenen Person
       § 24 Recht auf Berichtigung
       § 25 Recht auf Löschung
       § 26 Recht auf Einschränkung der Verarbeitung
       § 27 Widerspruchsrecht
Teil 3 Sicherheit in der Informationstechnik von Einrichtungen
    Kapitel 1 Anwendungsbereich
       § 28 Besonders wichtige Einrichtungen und wichtige Einrichtungen
       § 29 Einrichtungen der Bundesverwaltung
    Kapitel 2 Risikomanagement, Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten
       § 30 Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen
       § 31 Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen
       § 32 Meldepflichten
       § 33 Registrierungspflicht
       § 34 Besondere Registrierungspflicht für bestimmte Einrichtungsarten
       § 35 Unterrichtungspflichten
       § 36 Rückmeldungen des Bundesamtes gegenüber meldenden Einrichtungen
       § 37 Ausnahmebescheid
       § 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen
       § 39 Nachweispflichten für Betreiber kritischer Anlagen
       § 40 Nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle für besonders wichtige und wichtige Einrichtungen
       § 41 Untersagung des Einsatzes kritischer Komponenten
       § 42 Auskunftsverlangen
    Kapitel 3 Informationssicherheit der Einrichtungen der Bundesverwaltung
       § 43 Informationssicherheitsmanagement
       § 44 Vorgaben des Bundesamtes
       § 45 Informationssicherheitsbeauftragte der Einrichtungen der Bundesverwaltung
       § 46 Informationssicherheitsbeauftragte der Ressorts
       § 47 Wesentliche Digitalisierungsvorhaben und Kommunikationsinfrastrukturen des Bundes
       § 48 Amt des Koordinators für Informationssicherheit
Teil 4 Datenbanken der Domain-Name-Registrierungsdaten
    § 49 Pflicht zum Führen einer Datenbank
    § 50 Verpflichtung zur Zugangsgewährung
    § 51 Kooperationspflicht
Teil 5 Zertifizierung, Konformitätserklärung und Kennzeichen
    § 52 Zertifizierung
    § 53 Konformitätsbewertung und Konformitätserklärung
    § 54 Nationale Behörde für die Cybersicherheitszertifizierung
    § 55 Freiwilliges IT-Sicherheitskennzeichen
Teil 6 Verordnungsermächtigungen, Grundrechtseinschränkungen und Berichtspflichten
    § 56 Ermächtigung zum Erlass von Rechtsverordnungen
    § 57 Einschränkung von Grundrechten
    § 58 Berichtspflichten des Bundesamtes
Teil 7 Aufsicht
    § 59 Zuständigkeit des Bundesamtes
    § 60 Zentrale Zuständigkeit in der Europäischen Union für bestimmte Einrichtungsarten
    § 61 Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen
    § 62 Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen
    § 63 Verwaltungszwang
    § 64 Zuwiderhandlungen durch Institutionen der sozialen Sicherung
Teil 8 Bußgeldvorschriften
    § 65 Bußgeldvorschriften
Teil 9 Anwendungsbestimmungen; Übergangsregelungen

(Text alte Fassung)

    § 66 Anwendungsbestimmungen und Übergangsregelungen

(Text neue Fassung)

    § 66 Anwendungsbestimmungen und Übergangsregelung

(Textabschnitt unverändert)

    Anlage 1 Sektoren besonders wichtiger und wichtiger Einrichtungen
    Anlage 2 Sektoren wichtiger Einrichtungen

§ 2 Begriffsbestimmungen

Im Sinne dieses Gesetzes ist oder sind

1. 'Beinahevorfall' ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt haben könnte, dessen Eintritt jedoch erfolgreich verhindert worden ist oder aus anderen Gründen nicht erfolgt ist;

2. 'berechtigte Zugangsnachfrager'

a) das Bundesamt,

b) die Landesbehörden, die die Länder als zuständige Behörden für die Aufsicht von Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene nach Artikel 2 Absatz 2 Buchstabe f Ziffer ii der NIS-2-Richtlinie bestimmt haben,

c) Strafverfolgungsbehörden,

d) die Polizeien des Bundes und der Länder und

e) die Verfassungsschutzbehörden des Bundes und der Länder;

3. 'Bodeninfrastruktur' den Sektor Weltraum betreffende Einrichtungen, die der Kontrolle des Startes, Fluges oder der eventuellen Landung von Weltraumgegenständen dienen;

4. 'Cloud-Computing-Dienst' ein digitaler Dienst, der auf Abruf die Verwaltung eines skalierbaren und elastischen Pools gemeinsam nutzbarer Rechenressourcen sowie den umfassenden Fernzugang zu diesem Pool ermöglicht, auch wenn die Rechenressourcen auf mehrere Standorte verteilt sind;

5. 'Content Delivery Network' oder 'CDN' eine Gruppe geographisch verteilter, zusammengeschalteter Server, mitsamt der hierfür erforderlichen Infrastruktur, die mit dem Internet verbunden sind, und der Bereitstellung digitaler Inhalte und Dienste für Internetnutzer im Auftrag von Inhalte- und Diensteanbietern dienen, mit dem Ziel der Gewährleistung einer hohen Verfügbarkeit, Zugänglichkeit oder Zustellung mit möglichst niedriger Latenz;

6. 'Cyberbedrohung' eine Cyberbedrohung nach Artikel 2 Nummer 8 der Verordnung (EU) 2019/881;

7. 'Datenverkehr' die mittels technischer Protokolle übertragenen Daten; es können Telekommunikationsinhalte nach § 3 Absatz 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes und Nutzungsdaten nach § 2 Absatz 2 Nummer 3 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes enthalten sein;

8. 'DNS-Diensteanbieter' eine natürliche oder juristische Person, die

a) für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domain-Namen anbietet oder

b) autoritative Dienste zur Auflösung von Domain-Namen zur Nutzung durch Dritte, mit Ausnahme von Root-Namenservern, anbietet;

9. 'Domain-Name-Registry-Dienstleister' ein Registrar oder eine Stelle, die im Namen von Registraren tätig ist, insbesondere Anbieter oder Wiederverkäufer von Datenschutz- oder Proxy-Registrierungsdiensten;

10. 'erhebliche Cyberbedrohung' eine Cyberbedrohung, die das Potenzial besitzt, die informationstechnischen Systeme, Komponenten und Prozesse aufgrund der besonderen technischen Merkmale der Cyberbedrohung erheblich zu beeinträchtigen; eine Beeinträchtigung ist erheblich, wenn sie erheblichen materiellen oder immateriellen Schaden verursachen kann;

11. 'erheblicher Sicherheitsvorfall' ein Sicherheitsvorfall, der

a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder

b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann,

sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt;

12. 'Forschungseinrichtung' eine Einrichtung, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen; Bildungseinrichtungen gelten nicht als Forschungseinrichtungen;

13. 'Geschäftsleitung' eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung;

14. 'IKT-Dienst' ein IKT-Dienst nach Artikel 2 Nummer 13 der Verordnung (EU) 2019/881;

15. 'IKT-Produkt' ein IKT-Produkt nach Artikel 2 Nummer 12 der Verordnung (EU) 2019/881;

16. 'IKT-Prozess' ein IKT-Prozess nach Artikel 2 Nummer 14 der Verordnung (EU) 2019/881;

17. 'Informationssicherheit' der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen;

18. 'Informationstechnik' ein technisches Mittel zur Verarbeitung von Informationen;

19. 'Institutionen der Sozialen Sicherung' Körperschaften gemäß § 29 des Vierten Buches Sozialgesetzbuch, Arbeitsgemeinschaften gemäß § 94 des Zehnten Buches Sozialgesetzbuch, die Deutsche Gesetzliche Unfallversicherung e. V. sowie die Deutsche Post AG, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist;

20. 'Internet Exchange Point' oder 'IXP' eine Infrastruktur, die

a) die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen ermöglicht, die in erster Linie zum Austausch von Internet-Datenverkehr genutzt wird,

b) nur der Zusammenschaltung autonomer Systeme dient und

c) nicht voraussetzt, dass

aa) der Internet-Datenverkehr zwischen zwei beliebigen teilnehmenden autonomen Systemen über ein drittes autonomes System läuft oder

bb) den betreffenden Datenverkehr verändert oder diesen anderweitig beeinträchtigt;

21. 'Kommunikationstechnik des Bundes' Informationstechnik, die von einer oder mehreren Einrichtungen der Bundesverwaltung oder im Auftrag einer oder mehrerer Einrichtungen der Bundesverwaltung betrieben wird und der Kommunikation oder dem Datenaustausch innerhalb einer Einrichtung der Bundesverwaltung, der Einrichtungen der Bundesverwaltung untereinander oder der Einrichtungen der Bundesverwaltung mit Dritten dient; nicht als 'Kommunikationstechnik des Bundes' gelten die Kommunikationstechnik des Bundesverfassungsgerichts, der Bundesgerichte, soweit sie nicht öffentlich-rechtliche Verwaltungsaufgaben wahrnehmen, des Bundestages, des Bundesrates, des Bundespräsidenten und des Bundesrechnungshofes, soweit sie ausschließlich in deren eigener Zuständigkeit betrieben wird;

22. 'kritische Anlage' eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes;

(Text alte Fassung)

23. 'kritische Komponenten' IKT-Produkte, die in einer Rechtsverordnung aufgrund von § 56 Absatz 7 und 8 als kritische Komponenten bestimmt werden.

(Text neue Fassung)

23. 'kritische Komponenten' IKT-Produkte, die in einer Rechtsverordnung aufgrund von § 56 Absatz 6 als kritische Komponenten bestimmt werden;

(Textabschnitt unverändert)

24. 'kritische Dienstleistung' eine Dienstleistung im Sinne des § 2 Nummer 4 des KRITIS-Dachgesetzes;

25. 'Managed Security Service Provider' oder 'MSSP' ein Managed Service Provider, der Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich der Cybersicherheit durchführt oder erbringt;

26. 'Managed Service Provider' oder 'MSP' ein Anbieter von Diensten im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, -Netzen, -Infrastruktur, -Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung in den Räumlichkeiten der Kunden oder aus der Ferne;

27. 'NIS-2-Richtlinie' die Richtlinie (EU) 2022/2555 in der jeweils geltenden Fassung;

28. 'Online-Marktplatz' ein Dienst nach § 312l Absatz 3 des Bürgerlichen Gesetzbuchs;

29. 'Online-Suchmaschine' ein digitaler Dienst nach Artikel 2 Nummer 5 der Verordnung (EU) 2019/1150;

30. 'Plattform für Dienste sozialer Netzwerke' eine Plattform, auf der Endnutzer mit unterschiedlichen Geräten insbesondere durch Chats, Posts, Videos und Empfehlungen miteinander in Kontakt treten und kommunizieren sowie Inhalte teilen und entdecken können;

31. 'Protokolldaten' Steuerdaten eines informationstechnischen Protokolls zur Datenübertragung, die

a) zur Gewährleistung der Kommunikation zwischen Empfänger und Sender notwendig sind und

b) unabhängig vom Inhalt des Kommunikationsvorgangs übertragen oder auf den am Kommunikationsvorgang beteiligten Servern gespeichert werden;

Protokolldaten können Verkehrsdaten nach § 3 Nummer 70 des Telekommunikationsgesetzes und Nutzungsdaten nach § 2 Absatz 2 Nummer 3 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes enthalten;

32. 'Protokollierungsdaten' Aufzeichnungen über technische Ereignisse oder Zustände innerhalb informationstechnischer Systeme;

33. 'qualifizierter Vertrauensdienst' ein qualifizierter Vertrauensdienst nach Artikel 3 Nummer 17 der Verordnung (EU) Nr. 910/2014

34. 'qualifizierter Vertrauensdiensteanbieter' ein qualifizierter Vertrauensdiensteanbieter nach Artikel 3 Nummer 20 der Verordnung (EU) Nr. 910/2014;

35. 'Rechenzentrumsdienst' ein Dienst, der Strukturen umfasst, die dem vorrangigen Zweck der zentralen Unterbringung, der Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstungen dienen, und die Datenverarbeitungsdienste erbringen, mitsamt allen benötigten Anlagen und Infrastrukturen, insbesondere für die Stromverteilung und die Umgebungskontrolle;

36. 'Schadprogramme' Programme und sonstige informationstechnische Routinen und Verfahren, die dazu dienen, unbefugt Daten zu nutzen oder zu löschen oder unbefugt auf sonstige informationstechnische Abläufe einzuwirken;

37. 'Schnittstellen der Kommunikationstechnik des Bundes' sicherheitsrelevante Netzwerkübergänge innerhalb der Kommunikationstechnik des Bundes sowie zwischen dieser und der Informationstechnik der einzelnen Einrichtungen der Bundesverwaltung, der Informationstechnik von Gruppen von Einrichtungen der Bundesverwaltung oder der Informationstechnik Dritter; nicht als 'Schnittstellen der Kommunikationstechnik des Bundes' gelten die Komponenten an den Netzwerkübergängen, die in eigener Zuständigkeit der in Nummer 21 genannten Gerichte und Verfassungsorgane betrieben werden;

38. 'Schwachstelle' eine Eigenschaft von IKT-Produkten oder IKT-Diensten, die von Dritten ausgenutzt werden kann, um sich gegen den Willen des Berechtigten Zugang zu den IKT-Produkten oder IKT-Diensten zu verschaffen oder die Funktion der IKT-Produkte oder IKT-Dienste zu beeinflussen;

39. 'Sicherheit in der Informationstechnik' die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen

a) in informationstechnischen Systemen, Komponenten oder Prozessen oder

b) bei der Anwendung informationstechnischer Systeme, Komponenten oder Prozesse;

40. 'Sicherheitsvorfall' ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt;

41. 'Systeme zur Angriffserkennung' durch technische Werkzeuge und organisatorische Einbindung unterstützte Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme; wobei die Angriffserkennung durch Abgleich der in einem informationstechnischen System verarbeiteten Daten mit Informationen und technischen Mustern, die auf Angriffe hindeuten, erfolgt;

42. 'Top Level Domain Name Registry' eine natürliche oder juristische Person, die die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top Level Domain (TLD) verwaltet und betreibt, einschließlich des Betriebs ihrer Namenserver, der Pflege ihrer Datenbanken und der Verteilung von TLD-Zonendateien über die Namenserver, unabhängig davon, ob der Betrieb durch die natürliche oder juristische Person selbst erfolgt oder ausgelagert wird; keine 'Top Level Domain Name Registry' sind Register, die TLD-Namen nur für eigene Zwecke verwenden;

43. 'Vertrauensdienst' ein Vertrauensdienst nach Artikel 3 Nummer 16 der Verordnung (EU) Nr. 910/2014;

44. 'Vertrauensdiensteanbieter' ein Vertrauensdiensteanbieter nach Artikel 3 Nummer 19 der Verordnung (EU) Nr. 910/2014;

45. 'weltraumgestützte Dienste' Dienste, die den Sektor Weltraum betreffen, die auf Daten und Informationen beruhen, die entweder von Weltraumgegenständen erzeugt oder über diese weitergegeben werden und deren Störung zu breiteren Kaskadeneffekten, die weitreichende und langanhaltende negative Auswirkungen auf die Erbringung von Diensten im gesamten Binnenmarkt haben können, führen kann;

46. 'Zertifizierung' die Feststellung einer Zertifizierungsstelle, dass ein Produkt, ein Prozess, ein System, ein Schutzprofil (Sicherheitszertifizierung), eine Person (Personenzertifizierung) oder ein IT-Sicherheitsdienstleister bestimmte Anforderungen erfüllt.

§ 33 Registrierungspflicht

(Text alte Fassung)

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:

(Text neue Fassung)

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:

(Textabschnitt unverändert)

1. Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer,

2. Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern,

3. relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche,

4. Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und

5. die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder.

(Text alte Fassung)

(2) Die Registrierung von Betreibern kritischer Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.

(Text neue Fassung)

(2) Die Registrierung von kritischen Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.

(Textabschnitt unverändert)

(3) Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbietern kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird.

(4) Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Pflicht zur Registrierung nach Absatz 1 oder 2 nicht erfüllt, so hat diese Einrichtung dem Bundesamt auf Verlangen die aus Sicht des Bundesamtes für die Bewertung erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu erteilen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen entgegenstehen.

(Text alte Fassung)

(5) Bei Änderungen der nach Absatz 1 oder 2 zu übermittelnden Angaben sind dem Bundesamt geänderte Versorgungskennzahlen sowie Änderungen der bei Betreibern kritischer Anlagen zum Einsatz kommenden Typen von kritischen Komponenten einmal jährlich zu übermitteln und alle anderen Angaben unverzüglich, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln.

(Text neue Fassung)

(5) Wenn sich nach Absatz 1 zu übermittelnde Angaben ändern, sind diese Änderungen dem Bundesamt unverzüglich, spätestens jedoch binnen zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln.

(Textabschnitt unverändert)

(6) ¹ Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest. ² Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.

§ 35 Unterrichtungspflichten

(1) ¹ Im Fall eines erheblichen Sicherheitsvorfalls kann das Bundesamt besonders wichtigen Einrichtungen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte. ² Das Bundesamt setzt die für die Einrichtung zuständige Aufsichtsbehörde des Bundes über Anweisungen nach Satz 1 in Kenntnis. ³ Die Unterrichtung nach Satz 1 kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen.

(Text alte Fassung)

(2) ¹ Einrichtungen nach Absatz 1 Satz 1 aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste teilen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mit, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. ² Die Einrichtungen informieren zugleich diese Empfänger auch über die erhebliche Cyberbedrohung selbst. ³ Die Pflichten nach Satz 1 oder 2 gelten nur dann, wenn in Abwägung der Interessen der Einrichtung und des Empfängers die Interessen des Empfängers überwiegen.

§ 66 Anwendungsbestimmungen und Übergangsregelungen

¹ § 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. ² Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.

(Text neue Fassung)

(2) ¹ Besonders wichtige Einrichtungen und wichtige Einrichtungen aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste teilen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mit, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. ² Die Einrichtungen informieren zugleich diese Empfänger auch über die erhebliche Cyberbedrohung selbst. ³ Die Pflichten nach Satz 1 oder 2 gelten nur dann, wenn in Abwägung der Interessen der Einrichtung und des Empfängers die Interessen des Empfängers überwiegen.

§ 66 Anwendungsbestimmungen und Übergangsregelung

¹ § 2 Nummer 22 und 24 sowie § 33 Absatz 2 und 5 sind erst anzuwenden, wenn eine Rechtsverordnung auf der Grundlage des § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes in Kraft getreten ist. ² Bis zum Inkrafttreten dieser Rechtsverordnung sind § 2 Nummer 22 und 24 sowie § 33 Absatz 2 in der bis einschließlich 16. März 2026 geltenden Fassung sowie § 33 Absatz 5 in der bis einschließlich 28. Juli 2026 geltenden Fassung weiter anzuwenden.