Am 23. Juni 2025 legte ein simpler Wartungsfehler am Bahnfunk den gesamten deutschen Zugverkehr lahm, und innerhalb weniger Stunden stand eine ganz andere Forderung im Raum: ein Verbot chinesischer Komponenten in kritischer Infrastruktur. Dabei zeigt der Vorfall vor allem eines, nämlich dass es keinen nachgewiesenen Angriff und keinen Bezug zum Herkunftsland einer Komponente braucht, damit ein Betreiber plötzlich vor einer Untersagungsverfügung nach § 41 BSIG und Millionenkosten für den erzwungenen Ausbau steht.
Wer in kritischen Infrastrukturen tätig ist, kennt das Thema schon aus dem IT-Sicherheitsgesetz 2.0 von 2021: Bestimmte IKT-Produkte können vom Bundesministerium des Innern (BMI) verboten werden, wenn ihr Einsatz die öffentliche Sicherheit oder Ordnung der Bundesrepublik gefährdet. Früher war das in § 9b BSIG a.F. geregelt, nun – nach dem NIS-2-Umsetzungsgesetz vom 2. Dezember 2025 – findet es sich in § 41 BSIG n.F. Kommentarliteratur zur neuen Fassung ist noch kaum vorhanden.
Das bedeutet aber nicht, dass die inhaltliche Behandlung von vorn beginnen müss: Die zur Vorgängernorm § 9b BSIG a.F. erschienene Kommentarliteratur dürfte in wesentlichen Teilen ihre Relevanz behalten, weil der neue § 41 BSIG strukturell und inhaltlich stark an die Vorgängernorm anknüpft.
Hinweis: Ich kommentiere im BeckOK-StPO zum Thema kritische Komponenten im Bereich der Telekommunikation.
Warum das Thema »kritische Komponenten« immer wichtiger wird
Der Gesetzentwurf der Bundesregierung (BT-Drs. 21/1501) beginnt mit einer eindeutigen Lagebeschreibung: Supply-Chain-Angriffe gehören zu den größten Bedrohungen für die IT-Sicherheit. Mit dem russischen Angriffskrieg gegen die Ukraine und der damit einhergehenden „Zeitenwende“ haben sich die Risikoeinschätzungen grundlegend verändert. Hacktivismus, DDoS-Angriffe und Cyber-Sabotage-Schäden mit Kollateralwirkung in Deutschland sind keine Ausnahme mehr, sondern „Teil des unternehmerischen Alltags“. Der Bitkom schätzt den durch Cyberangriffe verursachten Gesamtschaden für die deutsche Wirtschaft im Jahr 2024 auf rund 266,6 Milliarden Euro.
Vor diesem Hintergrund sieht der Gesetzgeber die geopolitische Kontrolle über Hersteller kritischer IKT-Produkte als zentrales Sicherheitsproblem. Wenn ein Staat über eine Herstellerfirma Zugriff auf lebenswichtige Infrastruktur erlangen kann, genügen technische Schutzmaßnahmen allein nicht und es braucht ein staatliches Untersagungsinstrument.
Was ist eine „kritische Komponente“?
Definition im neuen BSIG
§ 2 Nr. 23 BSIG n.F. definiert kritische Komponenten als IKT-Produkte, die in einer Rechtsverordnung aufgrund von § 56 Abs. 7 und 8 als kritische Komponenten bestimmt werden. Die Definition ist damit bewusst zweistufig: Der Begriff ist nicht im Gesetz selbst abschließend ausgefüllt, sondern verweist auf eine sektorspezifische Rechtsverordnung. Die Ausschussbegründung (BT-Drs. 21/2782) erläutert, dass diese Neuformulierung das Verfahren zur Bestimmung kritischer Komponenten „vereinheitlicht und vereinfacht“ und damit „die Anwendung der Regelung in der Praxis erleichtert“.
Voraussetzungen der Rechtsverordnung
Nach § 56 Abs. 7 Satz 2 BSIG n.F. kann ein IKT-Produkt in der Rechtsverordnung als kritische Komponente bestimmt werden, wenn kumulativ vier Voraussetzungen erfüllt sind:
- Es handelt sich um ein IKT-Produkt im Sinne von § 2 Nr. 15 (i.V.m. Art. 2 Nr. 12 der EU-Cybersecurity-Act-Verordnung EU 2019/881).
- Die Komponente wird in kritischen Anlagen im Sinne von § 2 Nr. 22 BSIG eingesetzt.
- Die Komponente realisiert eine kritische Funktion.
- Eine Störung der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der Komponente könnte zu einer Beeinträchtigung der Funktionsfähigkeit kritischer Anlagen oder zu anderen Beeinträchtigungen der öffentlichen Ordnung oder Sicherheit führen.
Die Ausschussbegründung stellt dabei klar: Das Bundesministerium des Innern erlässt die Rechtsverordnungen sektorweise im jeweiligen Einvernehmen mit dem für den betreffenden Sektor in § 41 Abs. 1 BSIG genannten Bundesministerium – sodass die Fachkompetenz der Ressorts bei der Bestimmung kritischer Komponenten angemessen berücksichtigt wird.
Was sind keine kritischen Komponenten?
Kritische Komponenten sind keine allgemeinen IT-Produkte. Weder jede Firewall eines Unternehmens noch jeder Server einer Behörde ist automatisch erfasst. Voraussetzung ist der tatsächliche Einsatz in einer kritischen Anlage – also in einer Anlage, die zur Kategorie der nach § 56 Abs. 4 BSIG bestimmten besonders versorgungsrelevanten Einrichtungen gehört. Erst wenn alle vier Merkmale des § 56 Abs. 7 Satz 2 erfüllt sind und das BMI eine entsprechende Rechtsverordnung erlassen hat, greift der Regelungsmechanismus des § 41 BSIG.
§ 41 BSIG n.F.: Das Untersagungsinstrument
Die Grundbefugnis (Abs. 1)
Das Bundesministerium des Innern kann gegenüber dem Betreiber kritischer Anlagen den Einsatz von kritischen Komponenten eines Herstellers untersagen oder Anordnungen dazu erlassen, wenn der Einsatz die öffentliche Ordnung oder Sicherheit der Bundesrepublik Deutschland voraussichtlich beeinträchtigt.
Die Entscheidung ergeht im Benehmen mit den sektorspezifischen Bundesministerien (Energie: BMWK; Telekommunikation/IT: BMDM; Verkehr: BMV; Gesundheit: BMG; Ernährung: BMEL; Finanzen: BMF; Arbeit: BMAS; Wasser/Abfall: BMUV) sowie dem Auswärtigen Amt. Das „Benehmen“ ist bewusst schwächer als ein „Einvernehmen“: Das BMI kann seine Entscheidung auch gegen den Widerspruch eines Ressorts durchsetzen, muss sich aber mit den Fachperspektiven auseinandersetzen. Die Ausschussbegründung empfiehlt einen fortlaufenden interministeriellen „Jour fixe“, um Entscheidungen dieser Tragweite vorzubereiten.
Die Begründung differenziert zwischen zwei Arten staatlicher Maßnahmen:
- Untersagung: Das absolute Verbot des weiteren Einsatzes der betreffenden kritischen Komponente – ggf. mit einer Umsetzungsfrist.
- Anordnungen: Weitergehende oder mildere Maßnahmen, z.B. die Verpflichtung zur Herstellerdiversifizierung durch Vorgabe prozentualer Anteile, oder die Beschränkung des Einsatzes auf bestimmte Bereiche.
Die erweiterte Untersagungsbefugnis (Abs. 2)
Hat das BMI gegenüber einem Betreiber eine Untersagung ausgesprochen, kann es darüber hinaus auch:
- Dem Betreiber auch den zukünftigen Einsatz weiterer kritischer Komponenten desselben Herstellers und desselben Komponententyps untersagen.
- Allen Betreibern kritischer Anlagen den Einsatz derselben Komponente und weiterer Komponenten desselben Typs desselben Herstellers untersagen oder Anordnungen erlassen.
Die Entscheidung nach Nr. 2 ergeht als Allgemeinverfügung und kann im Bundesanzeiger bekannt gemacht werden. Die Ausschussbegründung betont, dass dies „praxisgerecht“ sei, weil von einer solchen Entscheidung eine Vielzahl von Betreibern kritischer Anlagen betroffen sein kann.
Prüfkriterien (Abs. 4)
§ 41 Abs. 4 BSIG n.F. konkretisiert, welche Aspekte bei der Prüfung einer voraussichtlichen Beeinträchtigung der öffentlichen Ordnung oder Sicherheit berücksichtigt werden können. Der Begriff „insbesondere“ macht deutlich, dass die Aufzählung nicht abschließend ist:
| Kriterium | Inhalt |
|---|---|
| Nr. 1: Staatliche Kontrolle | Wird der Hersteller unmittelbar oder mittelbar von der Regierung, staatlichen Stellen oder Streitkräften eines Drittstaates kontrolliert? Ist er zur Zusammenarbeit mit staatlichen Stellen eines Drittstaates verpflichtet oder kann er dazu verpflichtet werden? |
| Nr. 2: Nachteilige Aktivitäten | War oder ist der Hersteller an Aktivitäten beteiligt, die nachteilige Auswirkungen auf die öffentliche Ordnung oder Sicherheit der BRD oder eines EU/EFTA/NATO-Mitgliedstaates hatten oder haben könnten? |
| Nr. 3: Sonstige Vertrauensunwürdigkeit | Bestehen hinreichende Anhaltspunkte dafür, dass der Hersteller aus sonstigen Gründen nicht vertrauenswürdig ist? |
| Nr. 4: Sicherheitspolitische Interessen | Steht der Einsatz im Einklang mit den sicherheitspolitischen Interessen der BRD, der EU oder der NATO? |
Zur Vertrauensunwürdigkeit nach Nr. 3 führt die Begründung aus, dass darunter insbesondere Fälle fallen können, in denen der Hersteller Schwachstellen oder Manipulationen nicht unverzüglich nach Kenntniserlangung beseitigt und dem Betreiber gemeldet hat, oder in denen der Hersteller versucht hat, missbräuchlich auf Sicherheit, Vertraulichkeit, Integrität, Verfügbarkeit oder Funktionsfähigkeit der kritischen Anlage einzuwirken.
Mitwirkungspflicht und Bußgeld (Abs. 5)
§ 41 Abs. 5 BSIG n.F. verpflichtet den Betreiber kritischer Anlagen ausdrücklich zur Mitwirkung bei der Ermittlung des Sachverhalts: Er hat alle für das Verfahren erheblichen Tatsachen vollständig und wahrheitsgemäß mitzuteilen und die ihm bekannten Beweismittel anzugeben. Ein Verstoß ist nach § 65 Abs. 2 Nr. 11 BSIG n.F. bußgeldbewehrt – der Bußgeldrahmen beträgt bis zu 5 Millionen Euro.
Die Hintergrundbegründung ist aufschlussreich: Der alte § 9b BSIG a.F. sah keine Mitwirkungspflichten vor. Das hat in der Praxis zu erheblichen Schwierigkeiten geführt, weil für die Prüfung gerade solche Informationen entscheidend sind, die typischerweise nur oder vor allem beim Betreiber vorliegen. Die neue Mitwirkungspflicht schließt diese Lücke.
Suspensiveffekt ausgeschlossen (Abs. 3)
Widerspruch und Klage gegen eine Untersagung oder Anordnung nach § 41 Abs. 1 und 2 BSIG n.F. haben keine aufschiebende Wirkung. Der Gesetzgeber hat damit dem Sicherheitsinteresse gegenüber Rechtsschutzinteressen des Betreibers Vorrang eingeräumt. Einstweiliger Rechtsschutz ist nach § 80 Abs. 5 VwGO möglich, jedoch angesichts des öffentlichen Interesses an der Gefahrenabwehr regelmäßig schwer durchzusetzen.
Die zentrale Reform: Was hat sich gegenüber § 9b BSIG a.F. geändert?
Die Ausschussbegründung (BT-Drs. 21/2782) legt mE die wichtigsten strukturellen Änderungen dar:
Wegfall der Anzeigepflicht
Nach § 9b Abs. 2 BSIG a.F. waren Betreiber verpflichtet, den beabsichtigten Einsatz einer kritischen Komponente beim BMI anzuzeigen. Vor Ablauf einer Zweimonatsfrist nach der Anzeige war der Einsatz nicht gestattet. Diese Anzeigepflicht entfällt ersatzlos, was einerseits eine erhebliche Entlastung der Betreiber bedeutet und andererseits für das BMI die Flexibilität, unabhängig von einer Anzeige auf ihm vorliegende Erkenntnisse zu reagieren und eigeninitiativ ein Prüfverfahren einzuleiten.
Wegfall der Garantieerklärung
§ 9b Abs. 3 BSIG a.F. verpflichtete Hersteller kritischer Komponenten zur Abgabe einer Garantieerklärung über ihre Vertrauenswürdigkeit gegenüber dem Betreiber. Diese Erklärung war Grundlage für die behördliche Vertrauenswürdigkeitsprüfung. Auch dieses Instrument entfällt ersatzlos.
Der Regierungsentwurf (BT-Drs. 21/1501) hatte die Garantieerklärung noch vorgesehen: Ein Hersteller sollte insbesondere dann nicht vertrauenswürdig sein, wenn er gegen in der Garantieerklärung eingegangene Verpflichtungen verstoßen hat, wenn Tatsachenbehauptungen in der Erklärung unwahr sind, wenn er Sicherheitsüberprüfungen und Penetrationsanalysen nicht im erforderlichen Umfang unterstützt, oder wenn die kritische Komponente über technische Eigenschaften verfügt, die spezifisch geeignet waren, missbräuchlich auf die Funktionsfähigkeit kritischer Anlagen einzuwirken. Der Innenausschuss hat dieses gesamte Konstrukt gestrichen – ein klares Bekenntnis zur vereinfachten, behördeninitiativ arbeitenden Prüfung.
Neue Meldepflicht als Ausgleich
Als Ersatz für die weggefallene Anzeigepflicht wurde in § 33 Abs. 2 BSIG n.F. eine Meldepflicht im Rahmen der ohnehin bestehenden Registrierung eingeführt: Betreiber kritischer Anlagen müssen bei der Registrierung auch Angaben zu den bei ihnen zum Einsatz kommenden Typen von kritischen Komponenten (Produkt unter Angabe der entsprechenden Versionsnummer) an das BSI übermitteln. Änderungen sind einmal jährlich zu melden (§ 33 Abs. 5 BSIG n.F.). Der zusätzliche Aufwand für Betreiber ist gering, weil die Übermittlung im Rahmen der sowieso bestehenden Registrierungspflicht erfolgt.
Neues zweistufiges Bestimmungsverfahren für die Komponentenliste
Der systematisch vielleicht wichtigste Unterschied: Nach altem Recht wurde in einer einheitlichen Rechtsverordnung sowohl die Liste der kritischen Komponenten festgelegt als auch das Untersagungsverfahren geregelt. Das neue Recht trennt diese Fragen strikt:
- Stufe 1 (§ 56 Abs. 7 BSIG n.F.): Das BMI bestimmt durch Rechtsverordnung (ohne Bundesratszustimmung) sektorweise, welche IKT-Produkte kritische Komponenten sind – im Einvernehmen mit dem jeweiligen Fachressort.
- Stufe 2 (§ 41 BSIG n.F.): Das BMI entscheidet über die Untersagung oder Anordnung im konkreten Fall – im Benehmen (nicht Einvernehmen) mit dem jeweiligen Fachressort.
Die Ausschussbegründung erklärt ausdrücklich, dass die stärkere Einbindung der Fachressorts in Stufe 1 (Einvernehmen) deren Expertise bei der Listenerstellung sichern soll, während in Stufe 2 das BMI als federführendes Ministerium die letzte Entscheidungshoheit behält. Vorschlagsrechte für die Rechtsverordnung haben die sektorspezifischen Fachministerien nach § 56 Abs. 8 BSIG n.F.
Verhältnis zur NIS-2-Richtlinie
Ein häufiges Missverständnis ist, dass § 41 BSIG n.F. der Umsetzung der NIS-2-Richtlinie diene. Das ist aber ausdrücklich nicht der Fall: Die Ausschussbegründung hält fest: „Die Neuregelung beruht auf Erkenntnissen, die im Rahmen der Verwaltungspraxis mit Prüfungen nach § 9b des BSI-Gesetzes (alt) gewonnen wurden und dient nicht der Umsetzung der NIS-2-Richtlinie; § 9b des BSI-Gesetzes (alt) war bereits Gegenstand des IT-Sicherheitsgesetzes 2.0″
Das erklärt dann auch, warum § 41 strukturell den NIS-2-Kategorien (wichtige/besonders wichtige Einrichtungen) fernsteht: Er gilt ausschließlich für Betreiber kritischer Anlagen, also den engsten Kreis der höchst versorgungsrelevanten Betreiber und eben nicht für alle besonders wichtigen Einrichtungen.
Praktische Bedeutung: Huawei als Referenzfall
Auch wenn der Gesetzgeber in keiner der vorliegenden Quellen explizit den Namen Huawei nennt, ist der politische Kontext zum Lex huawei offenkundig. Die CDU/CSU-Fraktion betonte in der Ausschussdebatte, dass „massive Bedrohungen im Cyberraum durch Akteure wie China“ der Grund seien, weshalb die Bundesregierung die Möglichkeit haben müsse, kritische Komponenten zu untersagen. Das Verfahren mit der zweigeteilten Listenerstellung (Einvernehmen) einerseits und der konkreten Untersagungsentscheidung (Benehmen) andererseits sei eine „abgewogene Lösung“.
Das Prüfkriterium der staatlichen Kontrolle in § 41 Abs. 4 Nr. 1 BSIG n.F. (ob ein Hersteller von der Regierung eines Drittstaates kontrolliert wird oder zur Zusammenarbeit mit staatlichen Stellen verpflichtet werden kann) zielt erkennbar auf Unternehmen aus Staaten ab, deren Rechtsordnungen (wie das chinesische Nationalsicherheitsgesetz) umfassende Kooperationspflichten gegenüber Geheimdiensten kennen.
Ausblick: Rechtsverordnungen noch ausstehend
§ 41 BSIG n.F. ist eine Ermächtigungsnorm – er entfaltet seine volle Wirkung erst, wenn das BMI die Rechtsverordnungen nach § 56 Abs. 7 BSIG erlassen hat, die konkrete IKT-Produkte als kritische Komponenten bestimmen. Diese Verordnungen stehen noch aus. Bis dahin besteht eine Übergangsphase: Die Ausschussbegründung stellt klar, dass die Befugnis der Bundesnetzagentur nach § 5c Abs. 6 EnWG und § 167 TKG (jeweils n.F.) für die Sektoren Energie und Telekommunikation bis zum Erlass der neuen Rechtsverordnungen fortbesteht. Eine von der BNetzA auf der bisherigen Rechtsgrundlage erlassene Allgemeinverfügung wird aufgehoben, sobald die neue Verordnung in Kraft tritt.
Betreiber kritischer Anlagen sollten deshalb jetzt bereits ihre Lieferketten und eingesetzten IKT-Produkte systematisch auf eine mögliche Einordnung als kritische Komponente prüfen, sobald die ersten Rechtsverordnungen erscheinen. Für Unternehmen, die KRITIS-relevante Infrastruktur betreiben und dabei auf Technologie aus geopolitisch sensiblen Märkten setzen, empfiehlt sich eine proaktive rechtliche und technische Risikobewertung.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026