Registrierung beim BSI
Anmeldung als Einrichtung
Einrichtungen und Betreiber müssen sich selbst identifizieren und anschließend beim BSI über das BSI-Portal registrieren. §33 (1)
Registrierungen müssen pro betroffener Legaleinheit (Einrichtung) vorgenommen werden. Es gibt, außer bei bestimmten Einrichtungen im IT- und Internetsektor, keine Registrierung von Verbundunternehmen oder Konzernen.
Einrichtungen
Besonders wichtige und wichtige Einrichtungen müssen sich als Legaleinheit nach §33 (1) innerhalb von drei Monaten beim BSI registrieren. Dabei müssen folgende Angaben gemacht werden:
- Name inkl. Rechtsform und ggf. Handelsregisternummer
- Anschrift und aktuelle Kontaktdaten inkl. Mail-Adresse und Telefonnummern, öffentliche IP-Adressbereiche
- Sektor und ggf. Branche (registrierte Einrichtungsart)
- Auflistung aller EU-Staaten mit Geschäftstätigkeiten (der registrierten Einrichtungsart)
- zuständige Aufsichtsbehörden für die Geschäftstätigkeit (der registrierten Einrichtungsart)
Änderungen bei den Registrierungsangaben müssen unverzüglich, zwei Wochen nach Kenntnis der Änderung, mitgeteilt werden. §33 (5)
Betreiber kritischer Anlagen
Betreiber kritischer Anlagen (KRITIS) müssen sich wie Einrichtungen registrieren, und zusätzliche Informationen zu möglichen kritischen Anlagen angeben: §33 (2)
- Erbrachte kritische Dienstleistung
- Zum Einsatz kommende Typen von kritischen Komponenten
- Öffentlichen IP-Adressbereiche der von ihnen betriebenen Anlagen
- Anlagenkategorie und Versorgungskennzahlen
- Standort der Anlagen
- Kontaktstelle, über die der Betreiber jederzeit erreichbar ist
Änderungen der Angaben müssen unverzüglich, spätestens jedoch zwei Wochen nach Kenntnis der Änderung, mitgeteilt werden. Geänderte Versorgungskennzahlen sowie Änderungen der eingesetzten Typen von kritischen Komponenten müssen jährlich übermittelt werden. §33 (5) BSIG
IT, Internet und Cloud
Bestimmte Einrichtungen im Sektor Digitale Infrastruktur, die in der EU tätig sind und ihren Hauptsitz in Deutschland haben, müssen sich nach §34 innerhalb von drei Monaten beim BSI registrieren:
- DNS-Dienste, Romain Registries und TLD Registries
- Cloud Computing (Provider), Anbieter von Rechenzentren und COntent Delivery Networks
- Managed Services und Managed Security Services Provider
- Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke
BSI-Portal
Die Registrierung als NIS2-regulierte Einrichtung geschieht ab 2026 im neuen BSI-Portal, einer Cloud-basierten Informations- und Austauschplattform,
die auch zur Meldung von Sicherheitsvorfällen und Kommunikation zwischen BSI und Einrichtungen dient.
Der erste Schritt nach eigener Betroffenheit ist die Registrierung im BSI-Portal (portal.bsi.bund.de) als regulierte Einrichtung mit den o.g. Informationen. Die Anmeldung für Unternehmen ist mehrstufig:
- Registrierung bei Mein Unternehmenskonto (MUK), einem Dienst der Bundesverwaltung zur Kommunikation mit Behörden – dabei werden ELSTER-Zertifikate genutzt
- Registrierung beim BSI-Portal, dabei erhalten nur durch MUK authentifizierte Organisationen Zugriff
- Organisationen sind für die Verwaltung ihrer ELSTER-Zertifikate und Registrierung von Personen (MUK) selbst verantwortlich. Der erste Benutzer im BSI-Portal kann dort Nutzer und Rollen verwalten.
Die Anmeldung beim BSI-Portal basiert auf einer Zertifikatsdatei, einem ELSTER-Organisationszertifikat, wofür eine deutsche Steuernummer notwendig ist. Pro ELSTER-Organisationszertifikat ist ein Benutzerkonto für das BSI-Portal zugeordnet, es sollten also alle Personen, die Vorfälle melden, ein Zertifikat besitzen.
Da die Ausstellung und Registrierung der Zertifikate und Dateien Zeit in Anspruch nimmt, inkl. E-Mail und Post, ist eine frühzeitige Klärung der Formalitäten im eigenen Unternehmen ratsam (wer hat eigentlich ein ELSTER-Zertifikat bei uns?
).
Registrierung durch das BSI
Das BSI kann besonders wichtige und wichtige Einrichtung sowie DNS-Registries auch von sich aus registrieren. Dazu kann das BSI Unterlagen und Einzelheiten von den Unternehmen anfordern, und das Verfahren noch genauer definieren. §33 (3)(4)
Das ist der Fall, wenn Tatsachen es rechtfertigen, dass eine Registrierungspflicht nach seiner [d.h. BSI] Überzeugung besteht
.
Es besteht dabei keine umfassende Ermittlungspflicht
, aber das BSI [ist] gehalten, dem Betreiber Gelegenheit zur Stellungnahme zu geben.
Das BSI kann auch bislang schon bei bestimmten Sachverhalten Einblick in Unterlagen von Betreibern verlangen, falls diese ihrer Registrierungspflicht nicht nachkommen
(in alle für die Bewertung aus Sicht des BSI erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen
).