Kann das BSI ein NIS2-Audit ohne konkreten Anlass anordnen?

Bei besonders wichtigen Einrichtungen ja. § 61 Abs. 1 BSIG erlaubt es dem BSI, gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anzuordnen, ohne dass ein Verdacht vorliegen muss. Bei wichtigen Einrichtungen ist das anders: Nach § 62 BSIG greift das BSI nur ein, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten aus § 30, § 32 oder § 38 Abs. 3 nicht oder nicht richtig umgesetzt werden.

Was prüft ein vom BSI angeordnetes Audit?

Das Gesetz legt den Prüfgegenstand fest: die Risikomanagementmaßnahmen nach § 30 Abs. 1 Satz 1 BSIG, bei Betreibern kritischer Anlagen auch die Angriffserkennung nach § 31, die Meldepflichten nach § 32 Abs. 1 bis 3 und die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3. Nach Angaben des BSI sollen die ersten Audits jeweils einen Themenfokus haben. Welche Themen das sein werden, hat das Amt bislang nicht veröffentlicht.

Ist es bußgeldbewehrt, eine Audit-Anordnung zu ignorieren?

Die Anordnung nach § 61 Abs. 1 BSIG selbst steht nicht im Bußgeldkatalog des § 65. Folgenlos ist das trotzdem nicht: Bußgeldbewehrt mit bis zu 500.000 Euro sind die Nachweisanordnung nach § 61 Abs. 3 Satz 1 und die Anordnungen nach Abs. 6, 7 und 8. Wer eine Prüfung durch das BSI nach Abs. 5 nicht duldet oder keine Auskunft gibt, riskiert bis zu 100.000 Euro. Als letztes Mittel kann die Fachaufsicht Genehmigungen aussetzen und der Geschäftsleitung die Tätigkeit vorübergehend untersagen.

Ab wann muss jede besonders wichtige Einrichtung Nachweise vorlegen?

Eine Nachweisanordnung gegenüber besonders wichtigen Einrichtungen, die nicht zuvor zu einem Audit verpflichtet wurden, ist nach § 61 Abs. 3 BSIG frühestens drei Jahre nach Inkrafttreten des Gesetzes möglich, also ab dem 6. Dezember 2028. Für zugelassene Krankenhäuser gilt eine Frist von fünf Jahren. Das ist eine Untergrenze, kein Stichtag für alle: Das BSI wählt nach Risikoexposition, Größe sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle aus (§ 61 Abs. 4). Für Betreiber kritischer Anlagen gilt daneben der Nachweis nach § 39 BSIG.

Was passiert bei einer fehlenden NIS2-Registrierung?

Nach Ankündigung des BSI beginnt im vierten Quartal 2026 eine Durchsetzungsinitiative: Einrichtungen, die sich offensichtlich hätten registrieren müssen, werden angeschrieben. Es folgt eine Anhörung, an deren Ende ein Bußgeld von bis zu 500.000 Euro stehen kann (§ 65 Abs. 2 Nr. 6 BSIG). Unabhängig davon kann das BSI die Einrichtung selbst registrieren (§ 33 Abs. 3). Wer betroffen ist, sollte die Registrierung deshalb jetzt nachholen und die Betroffenheitsprüfung dokumentieren.

Wie hoch sind die Bußgelder für Verstöße gegen § 30 oder § 32 BSIG?

Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro, für wichtige Einrichtungen bis zu 7 Millionen Euro (§ 65 Abs. 5 BSIG). Bei einem weltweiten Vorjahresumsatz von mehr als 500 Millionen Euro steigt die Obergrenze auf 2 Prozent beziehungsweise 1,4 Prozent dieses Umsatzes (§ 65 Abs. 6 bis 8). Die Prozentgrenze gilt also nur für große Unternehmen, nicht für jede Einrichtung.

Ersetzt ein ISO-27001-Zertifikat das BSI-Audit?

Nicht automatisch. § 61 Abs. 1 nennt Zertifizierungen ausdrücklich als mögliche Form der Prüfung, maßgeblich ist aber, was die Anordnung verlangt und ob der Geltungsbereich die geprüften Pflichten abdeckt. Eine ISO 27001 deckt Registrierung, die Meldefristen nach § 32 und die Schulungspflicht nach § 38 Abs. 3 nicht von sich aus ab. Sie ist ein starkes Fundament, aus dem sich viele Nachweise ableiten lassen, aber kein Freibrief.

§§ 61–65 BSIG

NIS2-Aufsicht durch das BSI

Von der Anhörung bis zum angeordneten Audit: welche Befugnisse das BSI hat, wen sie treffen und was das Amt ab Q4 2026 angekündigt hat.

Die kurze Antwort

Das BSI kann besonders wichtige Einrichtungen ohne Anlass zu Audits durch unabhängige Stellen verpflichten und deren Ergebnisse samt Mängeln einfordern (§ 61 BSIG). Wichtige Einrichtungen prüft es nur, wenn Tatsachen auf Verstöße hindeuten (§ 62). Wer sich nicht registriert, durchläuft Anhörung und Bußgeldverfahren mit bis zu 500.000 Euro (§ 65).

Angekündigt ist der Vollzug in zwei Stufen: ab dem vierten Quartal 2026 bei der Registrierung, ab dem ersten Quartal 2027 mit angeordneten Audits. Spätestens dann zählt nicht das Konzept, sondern der Nachweis.

NIS2-Durchsetzung in Zahlen

Registrierungsstand laut BSI zum 30.09.2026 und die Eckdaten der angekündigten Durchsetzung.

Handlungsbedarf

Differenz zur Schätzung
≈ 9.400Einrichtungen
So viele fehlen rechnerisch zu den rund 29.500 erwarteten. Ob alle tatsächlich registrierungspflichtig sind, ist offen.
Was fehlenden Registrierungen droht →
Bußgeld bei fehlender Registrierung
500.000Euro
Obergrenze nach § 65 Abs. 2 Nr. 6 BSIG. Vor dem Bescheid steht eine Anhörung.
§ 65 BSIG →
Erste angeordnete Audits
Q1 2027
Für besonders wichtige Einrichtungen, angekündigt von BSI-Abteilungsleiter Timo Hauschild.
Zum Zeitplan →

Registrierungsstand beim BSI

Registrierte Einrichtungen
20.141
Stand 30.09.2026. Mit Nebenniederlassungen sind es 20.373 Registrierungen.
BSI: NIS-2 in Zahlen →
Besonders wichtige Einrichtungen
6.837
Nur sie kann das BSI ohne Anlass zu einem Audit verpflichten (§ 61 BSIG).
§ 61 und § 62 im Vergleich →
Wichtige Einrichtungen
13.252
Aufsicht nur, wenn Tatsachen auf Verstöße hindeuten (§ 62 BSIG).
§ 61 und § 62 im Vergleich →

Zwei Aufsichtsregime: § 61 und § 62

Welches Regime gilt, entscheidet die Einstufung. Deshalb ist die Abgrenzung zwischen besonders wichtiger und wichtiger Einrichtung keine Formalie.

Zwei Aufsichtsregime nach BSIG — Die Einstufung entscheidet, ob das BSI ohne Anlass prüfen darf.

Aufsicht über besonders wichtige und wichtige Einrichtungen
Merkmal	Besonders wichtige Einrichtung	Wichtige Einrichtung
Wer	Besonders wichtige Einrichtungen, darunter alle Betreiber kritischer Anlagen	Wichtige Einrichtungen
Grundlage	§ 61 BSIG	§ 62 BSIG
Auslöser	Keiner nötig. Das BSI kann einzelne Einrichtungen ohne Verdacht auswählen.	Nur wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden
Werkzeuge	Audit-Anordnung, eigene Prüfung vor Ort, Nachweisanordnung, Mängelbeseitigungsplan, Umsetzungsanordnungen	Dieselben Maßnahmen nach § 61 — aber erst nachträglich, wenn der Anlass vorliegt
Praktische Folge	Auch eine Einrichtung ohne Vorfall kann geprüft werden.	Der typische Auslöser ist ein gemeldeter Vorfall, ein Hinweis oder eine auffällige Registrierung.

Was das BSI anordnen kann — und was davon bußgeldbewehrt ist

Bei wichtigen Einrichtungen stehen dieselben Maßnahmen zur Verfügung, sobald der Anlass nach § 62 vorliegt.

Befugnisse nach § 61 BSIG und Bußgeldrahmen nach § 65 BSIG
Norm	Befugnis	Bei Nichtbefolgung
§ 61 Abs. 1	Anordnung, Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen durchführen zu lassen. Prüfgegenstand: Risikomanagement (§ 30 Abs. 1 S. 1), Meldepflichten (§ 32 Abs. 1–3), Schulung der Geschäftsleitung (§ 38 Abs. 3).	Die Audit-Anordnung selbst steht nicht im Bußgeldkatalog. Bewehrt sind die Folgeanordnungen.
§ 61 Abs. 3	Vorlage von Nachweisen. Nach einem Audit nach Abs. 1 auch die Ergebnisse samt aufgedeckter Mängel und Dokumentation, dazu ein Mängelbeseitigungsplan und der Nachweis der Beseitigung. Gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten des Gesetzes, für zugelassene Krankenhäuser frühestens nach fünf Jahren.	Bis 500.000 € (§ 65 Abs. 2 Nr. 1 c)
§ 61 Abs. 5	Eigene Überprüfung durch das BSI oder beauftragte Dritte, mit Betretensrecht während der Betriebszeiten sowie Vorlage-, Auskunfts- und Unterstützungspflicht. Gebühren nur, wenn berechtigte Zweifel an der Einhaltung von § 30 Abs. 1 der Anlass waren.	Verweigerte Mitwirkung: bis 100.000 €
§ 61 Abs. 6 und 7	Anordnung konkreter Maßnahmen nach § 30, eines Mängelbeseitigungsplans und der Umsetzung von Prüfempfehlungen innerhalb einer Frist.	Bis 500.000 € (§ 65 Abs. 2 Nr. 1 c)
§ 61 Abs. 8	Anordnung, Kunden über erhebliche Cyberbedrohungen zu unterrichten oder Verstöße öffentlich bekannt zu machen.	Bis 500.000 € (§ 65 Abs. 2 Nr. 1 c)
§ 61 Abs. 9	Als letztes Mittel über die Fachaufsicht: Genehmigung vorübergehend aussetzen, unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen.	Kein Bußgeld, sondern Eingriff in Betrieb und Leitung

Was auf eine Audit-Anordnung folgt — Ab der Ergebnisvorlage sind die Anordnungen bußgeldbewehrt.

Fehlende Registrierung: vom Anschreiben zum Bußgeld

Anschreiben

Das BSI schreibt Einrichtungen an, bei denen es eine Pflicht für offensichtlich hält — bei der Registrierung etwa, weil Sektor und Größe öffentlich erkennbar sind. Bei Tatsachen, die eine fehlende Registrierung vermuten lassen, kann es Unterlagen und Auskünfte verlangen (§ 33 Abs. 4 BSIG).

Anhörung

Vor einem Bußgeldbescheid erhält die Einrichtung Gelegenheit, sich zu äußern. Das ist der Moment, in dem eine dokumentierte Betroffenheitsprüfung und eine bereits nachgeholte Registrierung zählen.

Registrierung von Amts wegen

Kommt die Einrichtung ihrer Pflicht nicht nach, kann das BSI sie im Einvernehmen mit der zuständigen Aufsichtsbehörde selbst registrieren (§ 33 Abs. 3 BSIG). Abwarten führt also nicht aus der Aufsicht heraus.

Bußgeld

Die unterlassene oder verspätete Registrierung ist eine Ordnungswidrigkeit nach § 65 Abs. 2 Nr. 6 BSIG, bewehrt mit bis zu 500.000 Euro.

Wie die Registrierung abläuft, steht auf der Seite zur NIS2-Registrierung beim BSI. Wer die Frist bereits verpasst hat, findet das Vorgehen in NIS2-Registrierung nachholen.

Zeitplan: was gilt, was angekündigt ist

Die Termine für Q4 2026 und Q1 2027 stammen aus einem Interview, nicht aus einer Veröffentlichung des BSI. Rechtlich möglich ist eine Audit-Anordnung nach § 61 Abs. 1 bereits seit Inkrafttreten des Gesetzes.

Durchsetzung in Stufen — Gesetzliche Fristen und angekündigte Termine bis zur Nachweisanordnung.

6. März 2026
Gesetzliche Registrierungsfrist für die mit Inkrafttreten am 6. Dezember 2025 betroffenen Einrichtungen abgelaufen.
Quelle: § 33 Abs. 1 BSIG
31. Juli 2026
Zielmarke aus einem BSI-Schreiben an Wirtschaftsverbände vom 12. Juni 2026: Das Amt erwartete bis dahin alle ausstehenden Registrierungen. Weder Nachfrist noch Sanktionsverzicht.
Quelle: unveröffentlicht, wiedergegeben u. a. von BDO
30. September 2026
20.141 registrierte Einrichtungen (20.373 Registrierungen einschließlich Nebenniederlassungen), davon 6.837 besonders wichtige. Die Bundesregierung hatte mit rund 29.500 betroffenen Einrichtungen gerechnet.
Quelle: BSI, NIS-2 in Zahlen
Q4 2026
Durchsetzungsinitiative: Anschreiben an Einrichtungen, die sich offensichtlich hätten registrieren müssen. Der Prozess beginnt mit einer Anhörung und kann mit einem Bußgeld enden.
Quelle: BSI-Abteilungsleiter Timo Hauschild, Tagesspiegel Background
ab Q1 2027
Erste Audit-Anordnungen gegenüber besonders wichtigen Einrichtungen, jeweils mit Themenfokus; im KRITIS-Bereich zuerst in Sektoren mit dem größten Bedarf.
Quelle: ebenda
ab 6. Dezember 2028
Nachweisanordnungen nach § 61 Abs. 3 S. 1 auch gegenüber besonders wichtigen Einrichtungen, die nicht zuvor zum Audit verpflichtet wurden. Krankenhäuser: frühestens ab Dezember 2030.
Quelle: § 61 Abs. 3 BSIG, drei bzw. fünf Jahre nach Inkrafttreten

Was ein angeordnetes Audit prüft — und welche Nachweise tragen

Den Prüfgegenstand legt § 61 Abs. 1 BSIG fest. Welche Themen das BSI für die ersten Audits wählt, ist nicht veröffentlicht. Die Nachweise in der rechten Spalte sind unsere Einschätzung aus Auditorensicht: das, was ein Prüfer in diesen Feldern erfahrungsgemäß sehen will.

§ 30 Abs. 1 S. 1

Risikomanagement

Risikoanalyse mit Datum und Freigabe, Maßnahmen je Bereich aus § 30 Abs. 2, die geforderte Dokumentation (§ 30 Abs. 1 S. 3) und Belege, dass Maßnahmen wirken: Wiederherstellungstests, Schwachstellenberichte, MFA-Abdeckung, Lieferantenbewertungen.

§ 32 Abs. 1–3

Meldewesen

Ein Prozess, der die Fristen tatsächlich hält: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Belegt durch Bewertungskriterien für Erheblichkeit, Bereitschaft, getesteten Portalzugang und Übungsprotokolle.

§ 38 Abs. 3

Geschäftsleitung

Teilnahmenachweise der Mitglieder der Geschäftsleitung an regelmäßigen Schulungen, mit Inhalt und Datum. Dazu sinnvoll, aber nicht Prüfgegenstand nach Abs. 1: Beschlüsse zur Billigung und Überwachung der Maßnahmen nach § 38 Abs. 1.

Die zehn Maßnahmenbereiche im Einzelnen stehen unter NIS2-Anforderungen nach § 30 BSIG, die Fristen unter NIS2-Meldepflicht und die Leitungspflichten unter Pflichten der Geschäftsleitung. Mit welchem Aufwand eine Prüfung auf Audit-Reife verbunden ist, zeigt Was kostet ein NIS2-Audit?

Was jetzt zu tun ist

Einstufung schriftlich festhalten. Sektor, Größe, Sonderfälle und das Ergebnis — wichtig oder besonders wichtig — mit Datum und Freigabe der Geschäftsleitung. Der Betroffenheitscheck ist der Einstieg.
Registrierung abschließen. Wer betroffen und noch nicht registriert ist, holt das vor einem Anschreiben des BSI nach. In der Anhörung wiegt eigenes Handeln schwerer als eine Reaktion auf die Aufsicht.
Nachweise für die drei Prüffelder ordnen. Risikomanagement, Meldewesen, Schulung der Geschäftsleitung. Was fehlt, zeigt eine Gap-Analyse.
Zuständigkeit für Behördenpost benennen. Eine Funktionsadresse und eine Person, die Fristen aus einer Anordnung oder Anhörung überwacht und die Geschäftsleitung einbindet.

Häufige Fragen zur NIS2-Aufsicht

Kann das BSI ein NIS2-Audit ohne konkreten Anlass anordnen?: Bei besonders wichtigen Einrichtungen ja. § 61 Abs. 1 BSIG erlaubt es dem BSI, gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anzuordnen, ohne dass ein Verdacht vorliegen muss. Bei wichtigen Einrichtungen ist das anders: Nach § 62 BSIG greift das BSI nur ein, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten aus § 30, § 32 oder § 38 Abs. 3 nicht oder nicht richtig umgesetzt werden.
Was prüft ein vom BSI angeordnetes Audit?: Das Gesetz legt den Prüfgegenstand fest: die Risikomanagementmaßnahmen nach § 30 Abs. 1 Satz 1 BSIG, bei Betreibern kritischer Anlagen auch die Angriffserkennung nach § 31, die Meldepflichten nach § 32 Abs. 1 bis 3 und die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3. Nach Angaben des BSI sollen die ersten Audits jeweils einen Themenfokus haben. Welche Themen das sein werden, hat das Amt bislang nicht veröffentlicht.
Ist es bußgeldbewehrt, eine Audit-Anordnung zu ignorieren?: Die Anordnung nach § 61 Abs. 1 BSIG selbst steht nicht im Bußgeldkatalog des § 65. Folgenlos ist das trotzdem nicht: Bußgeldbewehrt mit bis zu 500.000 Euro sind die Nachweisanordnung nach § 61 Abs. 3 Satz 1 und die Anordnungen nach Abs. 6, 7 und 8. Wer eine Prüfung durch das BSI nach Abs. 5 nicht duldet oder keine Auskunft gibt, riskiert bis zu 100.000 Euro. Als letztes Mittel kann die Fachaufsicht Genehmigungen aussetzen und der Geschäftsleitung die Tätigkeit vorübergehend untersagen.
Ab wann muss jede besonders wichtige Einrichtung Nachweise vorlegen?: Eine Nachweisanordnung gegenüber besonders wichtigen Einrichtungen, die nicht zuvor zu einem Audit verpflichtet wurden, ist nach § 61 Abs. 3 BSIG frühestens drei Jahre nach Inkrafttreten des Gesetzes möglich, also ab dem 6. Dezember 2028. Für zugelassene Krankenhäuser gilt eine Frist von fünf Jahren. Das ist eine Untergrenze, kein Stichtag für alle: Das BSI wählt nach Risikoexposition, Größe sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle aus (§ 61 Abs. 4). Für Betreiber kritischer Anlagen gilt daneben der Nachweis nach § 39 BSIG.
Was passiert bei einer fehlenden NIS2-Registrierung?: Nach Ankündigung des BSI beginnt im vierten Quartal 2026 eine Durchsetzungsinitiative: Einrichtungen, die sich offensichtlich hätten registrieren müssen, werden angeschrieben. Es folgt eine Anhörung, an deren Ende ein Bußgeld von bis zu 500.000 Euro stehen kann (§ 65 Abs. 2 Nr. 6 BSIG). Unabhängig davon kann das BSI die Einrichtung selbst registrieren (§ 33 Abs. 3). Wer betroffen ist, sollte die Registrierung deshalb jetzt nachholen und die Betroffenheitsprüfung dokumentieren.
Wie hoch sind die Bußgelder für Verstöße gegen § 30 oder § 32 BSIG?: Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro, für wichtige Einrichtungen bis zu 7 Millionen Euro (§ 65 Abs. 5 BSIG). Bei einem weltweiten Vorjahresumsatz von mehr als 500 Millionen Euro steigt die Obergrenze auf 2 Prozent beziehungsweise 1,4 Prozent dieses Umsatzes (§ 65 Abs. 6 bis 8). Die Prozentgrenze gilt also nur für große Unternehmen, nicht für jede Einrichtung.
Ersetzt ein ISO-27001-Zertifikat das BSI-Audit?: Nicht automatisch. § 61 Abs. 1 nennt Zertifizierungen ausdrücklich als mögliche Form der Prüfung, maßgeblich ist aber, was die Anordnung verlangt und ob der Geltungsbereich die geprüften Pflichten abdeckt. Eine ISO 27001 deckt Registrierung, die Meldefristen nach § 32 und die Schulungspflicht nach § 38 Abs. 3 nicht von sich aus ab. Sie ist ein starkes Fundament, aus dem sich viele Nachweise ableiten lassen, aber kein Freibrief.

Stand: 19.10.2026 · Zuletzt geprüft: 19.10.2026. Befugnisse nach § 61 und § 62 BSIG, Bußgelder nach § 65 BSIG, Registrierung nach § 33 BSIG. Zahlen: BSI, NIS-2 in Zahlen (Stichtag 30.09.2026). Zeitplan: Timo Hauschild im Tagesspiegel Background, wiedergegeben von ChannelPartner am 08.10.2026. Fachliche Einordnung, keine Rechtsberatung.

Vorbereitet sein, bevor die Anordnung kommt

Wir prüfen Ihre Einstufung, ordnen die Nachweise für Risikomanagement, Meldewesen und Geschäftsleitung und sagen Ihnen, wo ein Prüfer heute ansetzen würde.

Audit-Reife klären