Was es ist

§ 39 BSIG in der Fassung des NIS2UmsuCG (in Kraft seit 06.12.2025), Überschrift „Nachweispflichten für Betreiber kritischer Anlagen“. Nachfolger des Nachweises nach § 8a Abs. 3 BSIG alter Fassung.

Herausgeber

Gesetzgeber; Aufsicht und Empfänger der Nachweise ist das BSI, das den Zeitpunkt im Benehmen mit dem BBK festlegt.

Inhalt

• Abs. 1: Nachweis der Maßnahmen nach § 30 Abs. 1 Satz 1 in Verbindung mit § 31 Abs. 1 und 2 Satz 1 zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach erstmaliger oder spätestens drei Jahre nach erneuter Einstufung als Betreiber, danach alle drei Jahre, durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Ergebnisse samt aufgedeckter Sicherheitsmängel gehen an das BSI; das BSI kann die zugrunde liegende Dokumentation, einen Mängelbeseitigungsplan und einen Nachweis der Beseitigung verlangen.
• Abs. 2: Das BSI kann Art der Durchführung, Eignung der Nachweise und Anforderungen an die prüfenden Stellen festlegen, per öffentlicher Mitteilung auf seiner Internetseite.
• Abs. 3: Übergang für bisherige KRITIS-Betreiber: nächster Nachweis frühestens drei Jahre nach dem letzten Nachweis nach § 8a Abs. 3 BSIG alt; lief die alte Frist binnen zwölf Monaten nach Inkrafttreten ab, ist in diesem Zeitraum ein Nachweis nach den bisherigen Vorgaben möglich.
• Abs. 4: gilt nicht für Betreiber, die nach § 5 Abs. 7 KRITIS-Dachgesetz als Betreiber kritischer Anlagen bestimmt wurden.

Bezug zum Rechenzentrum

Betreiber kritischer Anlagen sind nach § 28 BSIG stets besonders wichtige Einrichtungen. Für Rechenzentren gelten die Schwellenwerte der BSI-Kritisverordnung.

Abgrenzung

• NIS2: Pflichtenrahmen für alle besonders wichtigen und wichtigen Einrichtungen; die Drei-Jahres-Nachweispflicht trifft nur Betreiber kritischer Anlagen.
• ISO/IEC 27001, ISO 27001 auf Basis von IT-Grundschutz: mögliche Formen eines Nachweises, soweit das BSI sie als geeignet festlegt.