Umfang und Ausübung des Informationsrechts richten sich einzelfallbezogen nach der Einschätzung des BSI. Betreiber haben dem BSI auf dessen Verlangen alle für die Bewertung aus Sicht des BSI erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu erteilen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen entgegenstehen. Dies umfasst insbesondere auch Informationen, die zur Zuordnung von Anlagenkategorien oder der Ermittlung von Versorgungswerten der Anlagen notwendig sind.

Nach § 8b Absatz 3 Satz 2 BSIG kann das BSI einen Betreiber mit den zugehörigen Anlagen registrieren, wenn der Betreiber seine Pflicht zur Registrierung selbst nicht erfüllt. Das BSI hat im Einzelfall vorher nachzuprüfen, ob die Tatsachen es rechtfertigen, dass eine Registrierungspflicht nach seiner Überzeugung besteht. Eine umfassende Ermittlungspflicht besteht nicht, jedoch ist das BSI gehalten, dem Betreiber Gelegenheit zur Stellungnahme zu geben, wenn er sich zu den Umständen der Nichtregistrierung noch nicht geäußert hat. An die vom BSI ersetzend durchgeführte Registrierung kann auch ein Bußgeldverfahren nach § 14 Absatz 2 Nummer 5 BSIG anschließen, die Registrierung gilt insoweit als durch das BSI vorgenommen.

Für einen durch das BSI registrierten Betreiber Kritischer Infrastrukturen gelten dieselben Rechte und Pflichten wie für Betreiber, die sich selbstständig registriert haben. Dies betrifft insbesondere die Umsetzung angemessener Maßnahmen sowie deren Nachweis, die Meldung von IT-Störungen und die Erreichbarkeit der durch das BSI festgelegten Kontaktstelle. Betreiber werden daher vom BSI mit Erhalt der Information, dass sie durch das BSI registriert wurden, aufgefordert, auch die dafür von dem BSI verwendeten Daten zu prüfen und ggf. gegenüber dem BSI zu korrigieren.