IT-Sicherheitsgesetz: Das IT-Sicherheitsgesetz ist ein deutsches Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, das insbesondere Betreiber Kritischer Infrastrukturen (KRITIS) zu Mindeststandards und Meldepflichten nach §8a BSIG verpflichtet.
Das IT-Sicherheitsgesetz (IT-SiG) trat in einer ersten Fassung 2015 in Kraft und wurde 2021 durch das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) erweitert. Beide Fassungen ändern vor allem das BSI-Gesetz (BSIG) und erweitern Aufgaben und Befugnisse des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Zentrale Regelung ist §8a BSIG: Betreiber Kritischer Infrastrukturen (KRITIS), etwa aus den Sektoren Energie, Wasser, Gesundheit oder Finanzwesen, müssen angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik treffen und diese alle zwei Jahre gegenüber dem BSI nachweisen. Zusätzlich besteht eine Meldepflicht für erhebliche IT-Sicherheitsvorfälle nach §8b BSIG.
Mit IT-SiG 2.0 wurden unter anderem die Kategorie „Unternehmen im besonderen öffentlichen Interesse“ eingeführt, die Befugnisse des BSI zur Marktbeobachtung ausgeweitet und Bußgeldrahmen verschärft.
Stand September 2026 befindet sich die weitere Entwicklung im Umbruch: Die EU-NIS2-Richtlinie erweitert den Kreis betroffener Unternehmen erheblich über die bisherigen KRITIS-Sektoren hinaus und wird in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht überführt. Bestehende IT-SiG-Regelungen werden dabei in weiten Teilen abgelöst beziehungsweise durch die neuen, umfassenderen NIS2-Anforderungen ergänzt. Unternehmen sollten den aktuellen Stand des Gesetzgebungsverfahrens im Blick behalten, da sich Zuständigkeiten und Schwellenwerte ändern können.
Ergänzend zum IT-Sicherheitsgesetz verpflichtet die EU-Verordnung DORA seit 2025 den Finanzsektor zu vergleichbaren, aber eigenständigen Anforderungen an die digitale Betriebsstabilität.
Relevanz für die Zertifizierung
Für zertifizierte Managementsysteme ist das IT-Sicherheitsgesetz vor allem als rechtlicher Rahmen relevant, an dem sich ein ISMS nach ISO 27001 orientiert: Die im Gesetz geforderten technischen und organisatorischen Maßnahmen decken sich inhaltlich häufig mit Anforderungen aus Anhang A der ISO 27001. Unternehmen, die aktuell prüfen, ob sie unter das IT-Sicherheitsgesetz, KRITIS-Regelungen oder die kommende NIS2-Umsetzung fallen, profitieren von einem bereits vorhandenen ISMS, da sich viele geforderte Nachweise, etwa zu Risikomanagement, Vorfallmeldung und technischen Schutzmaßnahmen, direkt aus dem bestehenden Managementsystem ableiten lassen.
Häufige Fragen zu IT-Sicherheitsgesetz
Nein. Die zentralen Pflichten nach §8a und §8b BSIG richten sich vorrangig an Betreiber Kritischer Infrastrukturen (KRITIS) aus Sektoren wie Energie, Wasser, Gesundheit oder Finanzwesen, sowie seit IT-SiG 2.0 an Unternehmen im besonderen öffentlichen Interesse. Kleinere Unternehmen außerhalb dieser Kategorien sind nicht direkt erfasst.
Die EU-NIS2-Richtlinie erweitert den betroffenen Unternehmenskreis deutlich über die bisherigen KRITIS-Sektoren hinaus. Stand September 2026 wird die nationale Umsetzung über das NIS2-Umsetzungsgesetz vorbereitet, das bestehende IT-SiG-Regelungen in weiten Teilen ablösen oder ergänzen soll, Details hängen vom weiteren Gesetzgebungsverfahren ab.
Ein ISMS nach ISO 27001 deckt inhaltlich viele der im IT-Sicherheitsgesetz geforderten technischen und organisatorischen Maßnahmen ab, etwa Risikomanagement, Vorfallbehandlung und Zugriffskontrollen. Unternehmen mit bestehendem ISMS können viele erforderliche Nachweise für KRITIS- oder künftige NIS2-Pflichten direkt aus ihrem Managementsystem ableiten, statt sie neu aufzubauen.