BSI-Gesetz

Basisdaten
Titel:	Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen
Kurztitel:	BSI-Gesetz
Früherer Titel:	Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik (bis 19. August 2008); Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (bis 5. Dezember 2025)
Abkürzung:	BSIG
Art:	Bundesgesetz
Geltungsbereich:	Bundesrepublik Deutschland
Rechtsmaterie:	Polizei- und Ordnungsrecht
Fundstellennachweis:	206-9
Ursprüngliche Fassung vom:	17. Dezember 1990; (BGBl. 1990 I S. 2834)
Inkrafttreten am:	1. Januar 1991
Letzte Neufassung vom:	2. Dezember 2025; (BGBl. 2025 I Nr. 301)
Inkrafttreten der; Neufassung am:	6. Dezember 2025
Letzte Änderung durch:	2. Dezember 2025; (BGBl. 2025 I Nr. 301)
Inkrafttreten der; letzten Änderung:	6. Dezember 2025; (Art. 30 G vom 2. Dezember 2025)
GESTA:	B012
Weblink:	Konsolidierte Fassung
	Bitte den Hinweis zur geltenden Gesetzesfassung beachten.

Das deutsche BSI-Gesetz (BSIG) enthält Regelungen in Bezug auf das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Geschichte

Die erste Fassung, damals noch BSI-Errichtungsgesetz, trat am 1. Januar 1991 in Kraft.^[1] Es schuf das BSI als neue Bundesoberbehörde unterhalb des Bundesministeriums des Innern. Die Aufgaben umfassten die Förderung der Sicherheit in der Informationstechnik, insbesondere für Bundesbehörden, und die Erteilung von Sicherheitszertifikaten.

Mit der Neufassung 2009, nunmehr als BSI-Gesetz bezeichnet, wurde der Aufgabenkatalog des BSI erheblich erweitert und dem BSI eigene Befugnisse eingeräumt, ohne auf Amtshilfeersuchen angewiesen zu sein.^[2] Das BSI wurde dadurch zur zentralen Meldestelle für IT-Sicherheit in der Bundesverwaltung. Bezogen auf die Kommunikationstechnik des Bundes erhielt das BSI die Befugnis, Protokolldaten und Nutzdaten zwecks Abwehr von Schadprogrammen automatisiert auszuwerten. Daneben wurde es ermächtigt, Warnungen vor Sicherheitslücken in IT-Produkten zu veröffentlichen.

Mit dem IT-Sicherheitsgesetz wurde das BSI-Gesetz zwei Mal novelliert: zunächst 2015^[3] sowie erneut 2021.^[4] Hierdurch wurde das BSI Aufsichtsbehörde für die Informationssicherheit von Betreibern kritischer Infrastrukturen (KRITIS). Mit der zweiten Novellierung wurde der Umfang auch auf Unternehmen im besonderen öffentlichen Interesse (UBI) ausgeweitet. Zu letzteren zählen Rüstungsunternehmen, Hersteller von Produkten für Verschlusssachenverarbeitung, die nach Wertschöpfung größten Unternehmen Deutschlands, sowie Unternehmen, die der oberen Klasse der Störfall-Verordnung unterliegen.^[5]

Zur Umsetzung der NIS-2-Richtlinie wurde das BSI-Gesetz im Dezember 2025 komplett neu gefasst.^[6]^[7] Der Anwendungsbereich umfasst neben Betreibern kritischer Infrastrukturen auch besonders wichtige und wichtige Einrichtungen. Das Gesetz enthält unter anderem Vorgaben zu Risikomanagementmaßnahmen, Meldepflichten bei Sicherheitsvorfällen sowie zu Aufsichtsbefugnissen und Bußgeldtatbeständen.

Inhalt

Gemäß § 1 unterhält der Bund ein Bundesamt für Sicherheit in der Informationstechnik als Bundesoberbehörde. Es ist zuständig für die Informationssicherheit auf nationaler Ebene. Es untersteht dem Bundesministerium des Innern, für Bau und Heimat (BMI).

Vorrangige Aufgabe des BSI ist die Förderung der Sicherheit in der Informationstechnik (§ 3 Abs. 1 BSIG), wobei letzteres alle technischen Mittel zur Verarbeitung und Übertragung von Informationen sind (§ 2 Abs. 1 BSIG).

Zu den Aufgaben zählen im Einzelnen z. B.

Abwehr von Gefahren für die Sicherheit der Informationstechnik des Bundes
Sammlung und Auswertung von Informationen über Sicherheitsrisiken und Sicherheitsvorkehrungen
Untersuchung von Sicherheitsrisiken bei Anwendung der Informationstechnik sowie Entwicklung von Sicherheitsvorkehrungen
Entwicklung von Kriterien, Verfahren und Werkzeugen für die Prüfung und Bewertung der Sicherheit von informationstechnischen Systemen
Prüfung und Bewertung der Sicherheit von informationstechnischen Systemen
Herstellung von Schlüsseldaten und Betrieb von kryptographischen und Sicherheitsmanagementsystemen für informationssichernde Systeme des Bundes

Das BSI kann die Länder auf Ersuchen bei der Sicherung ihrer Informationstechnik unterstützen (§ 3 Abs. 2 BSIG). Soweit es personenbezogene Daten erhoben hat, sind diese unverzüglich zu löschen, wenn diese nicht mehr benötigt werden (§ 6 Abs. 1 BSIG). Das BSI kann vor Sicherheitslücken und Schadprogrammen warnen und den Einsatz bestimmter Sicherheitsprodukte empfehlen (§ 7 Abs. 1 BSIG). Es erarbeitet ferner Mindeststandards für die Sicherheit der Informationstechnik des Bundes (§ 8 Abs. 1 BSIG). Das BSI ist die nationale Zertifizierungsstelle der Bundesverwaltung für IT-Sicherheit. Das Bundesamt unterrichtet das BMI über seine Tätigkeit (§ 13 Abs. 1 BSIG).

Schutz kritischer Infrastrukturen

Das BMI bestimmt durch Rechtsverordnung, welche Einrichtungen, Anlagen oder Teile davon als Kritische Infrastrukturen gelten (§ 10 Abs. 1 Satz 1 BSIG). Deren Betreiber sind verpflichtet, unter Berücksichtigung des Standes der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen (§ 8 Abs. 1 Satz 1, 2 BSIG). Wer vorsätzlich oder fahrlässig solche Vorkehrungen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig trifft, handelt ordnungswidrig. Die Geldbuße kann bis zu 50.000 Euro betragen (§ 14 BSIG).

Einschränkung von Grundrechten

Nach dem Zitiergebot legt § 11 BSIG fest, dass durch die §§ 5 und 5a BSIG das Fernmeldegeheimnis (Artikel 10 des Grundgesetzes) eingeschränkt wird.

Abwehr von Schadprogrammen und Gefahren für die Kommunikationstechnik

Das Bundesamt darf zur Abwehr von Gefahren für die Kommunikationstechnik des Bundes Protokolldaten, die beim Betrieb von Kommunikationstechnik des Bundes anfallen, erheben und automatisiert auswerten (§ 5 Abs. 1 Satz 1 BSIG). Handelt es sich bei einer Beeinträchtigung der Sicherheit oder Funktionsfähigkeit eines informationstechnischen Systems einer Stelle des Bundes oder eines Betreibers einer Kritischen Infrastruktur um einen herausgehobenen Fall, so kann das Bundesamt die Maßnahmen treffen, die zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit des betroffenen informationstechnischen Systems erforderlich sind (§ 5a Abs. 1 Satz 1 BSIG). Dazu darf es personenbezogene oder dem Fernmeldegeheimnis unterliegende Daten erheben und verarbeiten (§ 5a Abs. 3 Satz 1 BSIG).

Zusammenarbeit mit Sicherheitsbehörden

Das BSI unterstützt Polizeien und Strafverfolgungsbehörden bei der Wahrnehmung ihrer gesetzlichen Aufgaben. Es unterstützt ferner das Bundesamt für Verfassungsschutz (BfV), den Militärischen Abschirmdienst (MAD) und die Landesbehörden für Verfassungsschutz bei der Auswertung und Bewertung von Informationen, die bei der Beobachtung terroristischer Bestrebungen oder nachrichtendienstlicher Tätigkeiten anfallen, sowie den Bundesnachrichtendienst bei der Wahrnehmung seiner gesetzlichen Aufgaben. Die Unterstützung darf nur gewährt werden, soweit sie erforderlich ist, um Tätigkeiten zu verhindern oder zu erforschen, die gegen die Sicherheit in der Informationstechnik gerichtet sind oder unter Nutzung der Informationstechnik erfolgen (§ 3 Abs. 1 Satz 2 Nr. 13 BSIG). Es darf personenbezogene Daten unter den Voraussetzungen des § 5 BSIG an diese Behörden übermitteln.

Literatur

Wolf-Rüdiger Schenke, Kurt Graulich, Josef Ruthig: Sicherheitsrecht des Bundes – BPolG, BKAG, ATDG, BVerfSchG, BNDG, VereinsG. 2. Auflage. C.H. Beck, München 2019, ISBN 978-3-406-71602-7, S. 1733–1788.

Weblinks

Text und Historie des BSI-Gesetz

Einzelnachweise

↑ Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik (BGBl. 1990 I S. 2834)
↑ Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes (BGBl. 2009 I S. 2821)
↑ Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) (BGBl. 2015 I S. 1324)
↑ Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (BGBl. 2021 I S. 1122)
↑ UBI-Unternehmen in KRITIS. Abgerufen am 5. April 2026.
↑ Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025 (BGBl. I 2025 Nr. 301).
↑ BSI-Gesetz (BSIG) – Neufassung 2025. In: Gesetze im Internet. Abgerufen am 9. Februar 2026.

[1] Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik (BGBl. 1990 I S. 2834)

[2] Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes (BGBl. 2009 I S. 2821)

[3] Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) (BGBl. 2015 I S. 1324)

[4] Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (BGBl. 2021 I S. 1122)

[5] UBI-Unternehmen in KRITIS. Abgerufen am 5. April 2026.

[6] Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025 (BGBl. I 2025 Nr. 301).

[7] BSI-Gesetz (BSIG) – Neufassung 2025. In: Gesetze im Internet. Abgerufen am 9. Februar 2026.

[1]