Was ist das BSI?

Das BSI einfach erklärt

Für die Sicherheit im Straßenverkehr gibt es Verkehrsregeln, Prüfstellen für Fahrzeuge und Warnmeldungen im Radio. Für die Sicherheit in der digitalen Welt übernimmt in Deutschland das BSI viele dieser Aufgaben unter einem Dach. Es formuliert Empfehlungen und Standards, prüft und zertifiziert IT-Produkte, warnt vor akuten Gefahren und hilft in besonders schweren Fällen bei der Bewältigung von Sicherheitsvorfällen.

Das BSI wurde 1991 gegründet und hat seinen Sitz in Bonn. Als Bundesbehörde richtet es sich an die Bundesverwaltung, an Unternehmen sowie an Bürgerinnen und Bürger.

Für Unternehmen besonders praktisch: Viele Veröffentlichungen des BSI sind kostenlos und frei verfügbar – vom umfangreichen Regelwerk bis zu kompakten Empfehlungen für kleine und mittlere Unternehmen.

Die Aufgaben des BSI

1. Standards und Empfehlungen: Vom BSI stammt der IT-Grundschutz – eine Methode für den systematischen Aufbau von Informationssicherheit – mit den BSI-Standards 200-1 bis 200-4 und dem IT-Grundschutz-Kompendium. Derzeit überführt das BSI den IT-Grundschutz schrittweise in „Grundschutz++“, ein digitales Regelwerk, das das Kompendium ablösen soll; der bisherige IT-Grundschutz bleibt während einer mehrjährigen Übergangszeit nutzbar. Hinzu kommen Technische Richtlinien, etwa zu kryptografischen Verfahren, sowie Mindeststandards für die Bundesverwaltung. Mit dem Leitfaden „Durchführungskonzept für Penetrationstests“ hat das BSI zudem einen Rahmen für Planung und Ablauf von Pentests beschrieben.
2. Warnungen und Lagebild: Mit dem CERT-Bund, dem Computer-Notfallteam des Bundes, und dem Nationalen IT-Lagezentrum beobachtet das BSI die Bedrohungslage und warnt vor kritischen Schwachstellen. Einmal im Jahr erscheint der Bericht „Die Lage der IT-Sicherheit in Deutschland“.
3. Aufsicht über regulierte Unternehmen: Das BSI-Gesetz (BSIG) setzt die EU-Richtlinie NIS2 in deutsches Recht um. Sie nimmt deutlich mehr Branchen und Unternehmen in die Pflicht als die bisherigen Regeln. Betreiber Kritischer Infrastrukturen (KRITIS) wie Energie- oder Wasserversorger und Unternehmen, die unter diese Regeln fallen, müssen sich beim BSI registrieren und erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) melden. Betreiber kritischer Anlagen müssen ihre Schutzmaßnahmen zudem regelmäßig gegenüber dem BSI nachweisen.
4. Prüfung und Zertifizierung: Das BSI zertifiziert IT-Produkte und Managementsysteme, etwa nach ISO 27001 auf der Basis von IT-Grundschutz.
5. Austausch mit der Wirtschaft: Mit der Allianz für Cyber-Sicherheit hat das BSI eine Initiative für den Erfahrungsaustausch zwischen Staat und Wirtschaft ins Leben gerufen.

Ein Beispiel aus der Praxis

Ein Maschinenbauer mit 120 Beschäftigten prüft anhand der Informationen des BSI, ob er unter die NIS2-Regeln fällt. Die Einschätzung: Als mittleres Unternehmen des Maschinenbaus gehört er zu den „wichtigen Einrichtungen“.

Die Geschäftsführung registriert das Unternehmen beim BSI und legt fest, wer erhebliche Sicherheitsvorfälle erkennt, bewertet und fristgerecht meldet. Für den Aufbau der nötigen Sicherheitsmaßnahmen nutzt die IT-Leitung den IT-Grundschutz als Leitfaden. Um zu überprüfen, ob die Maßnahmen wirken, beauftragt sie einen Penetrationstest, dessen Ablauf sich am Durchführungskonzept des BSI orientiert.

Warum ist das für Unternehmen wichtig?

Für viele Unternehmen ist das BSI inzwischen mehr als eine Informationsquelle. Mit der deutschen Umsetzung der NIS2-Richtlinie im BSI-Gesetz ist der Kreis der Unternehmen deutlich gewachsen, die gesetzliche Sicherheitspflichten erfüllen, sich beim BSI registrieren und erhebliche Vorfälle melden müssen. Die Verantwortung für die Umsetzung trägt die Geschäftsleitung.

Doch auch Unternehmen ohne gesetzliche Pflichten profitieren: Die Standards und Empfehlungen des BSI sind herstellerunabhängig, praxisnah und kostenlos. Sie bieten eine solide Grundlage, um Sicherheitsmaßnahmen zu planen – und um Kunden, Versicherern oder Auditoren zu zeigen, dass Sie sich an anerkannten Maßstäben orientieren.

Was Unternehmen jetzt tun sollten

• Betroffenheit prüfen: Klären Sie, ob Ihr Unternehmen unter KRITIS- oder NIS2-Pflichten fällt. Maßgeblich sind vor allem Branche und Unternehmensgröße, bei kritischen Anlagen bestimmte Schwellenwerte. Eine erste, unverbindliche Orientierung bietet die anonyme Online-Betroffenheitsprüfung des BSI.
• Meldewege festlegen: Falls Sie betroffen sind, registrieren Sie sich beim BSI und bestimmen Sie, wer erhebliche Sicherheitsvorfälle erkennt, bewertet und meldet.
• Warnungen nutzen: Abonnieren Sie die Warn- und Informationsangebote des BSI, um früh von kritischen Schwachstellen zu erfahren.
• Standards als Leitplanke nutzen: Orientieren Sie sich am IT-Grundschutz oder an ISO/IEC 27001, um Ihre Sicherheitsmaßnahmen systematisch aufzubauen.
• Wirksamkeit belegen: Lassen Sie Ihre Schutzmaßnahmen regelmäßig durch Penetrationstests überprüfen und dokumentieren Sie die Ergebnisse.
• Austausch suchen: Initiativen wie die Allianz für Cyber-Sicherheit bieten Zugang zu Informationen und Erfahrungen anderer Unternehmen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.

Wie Rootsektor unterstützt

Bei unseren Penetrationstests orientieren wir uns unter anderem am Durchführungskonzept des BSI. So erhalten Sie nachvollziehbare Ergebnisse für Ihr Sicherheitsmanagement und nach Abschluss eine Prüfbescheinigung zur Vorlage bei Kunden, Partnern, Versicherern und Auditoren. Rootsektor ist zudem Teilnehmer der Allianz für Cyber-Sicherheit – mehr dazu unter Partner & Netzwerk. Einen Überblick über unsere Leistungen finden Sie unter Penetration Testing, ein Festpreisangebot nach dem Scoping über die Seite Pentest-Angebot.