Bundesamt für Sicherheit in der Informationstechnik

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die nationale Cybersicherheitsbehörde des Bundes und gestaltet Informationssicherheit in Deutschland für Staat, Wirtschaft und Gesellschaft. Rechtsgrundlage seiner Tätigkeit ist das BSI-Gesetz (BSIG). Das BSI entwickelt unter anderem den IT-Grundschutz als anerkannte Methodik für Informationssicherheits-Managementsysteme, gibt technische Richtlinien und Mindeststandards heraus, betreibt das nationale IT-Lagezentrum und das CERT-Bund als zentrales Computer-Notfallteam des Bundes und warnt vor akuten Bedrohungen, Schwachstellen und Schadsoftware.

Mit der Umsetzung der EU-Richtlinie 2022/2555 (NIS2) wird die Rolle des BSI als Aufsichts- und Vollzugsbehörde deutlich ausgeweitet. Das BSI fungiert als zuständige nationale Behörde und als zentrale Anlaufstelle (Single Point of Contact) gegenüber den europäischen Institutionen sowie als nationales CSIRT. Betroffene Unternehmen der Kategorien besonders wichtige und wichtige Einrichtungen müssen sich beim BSI registrieren (§ 33 BSIG), Sicherheitsvorfälle innerhalb der gesetzlichen Fristen melden (§ 32 BSIG, Art. 23 NIS2-Richtlinie) und geeignete Risikomanagementmaßnahmen nachweisen (§ 30 BSIG, Art. 21 NIS2-Richtlinie). Das BSI erhält hierfür Aufsichts-, Prüf- und Anordnungsbefugnisse einschließlich der Möglichkeit, Bußgelder zu verhängen.

Für Compliance-Verantwortliche ist das BSI damit gleich in mehrfacher Hinsicht relevant: als normgebende Instanz, deren IT-Grundschutz und Mindeststandards praktische Umsetzungshilfen liefern, als Meldestelle für Sicherheitsvorfälle und als Aufsichtsbehörde, die die Einhaltung der NIS2-Pflichten kontrolliert. Wer ein Informationssicherheits-Managementsystem aufbaut, orientiert sich in der Praxis häufig an den BSI-Standards (200-1 bis 200-4) oder an der ISO/IEC 27001, die das BSI als gleichwertig anerkennt. Quelle dafür ist das BSI selbst: BSI-Standard 200-1 ist ausdrücklich mit ISO/IEC 27001 kompatibel, und das BSI zertifiziert Managementsysteme als „ISO 27001 auf der Basis von IT-Grundschutz“. Eine frühzeitige Auseinandersetzung mit den BSI-Vorgaben erleichtert sowohl die NIS2-Betroffenheitsprüfung als auch den späteren Nachweis gegenüber der Behörde, denn der IT-Grundschutz ist eine vom BSI bereitgestellte Methodik, um die Risikomanagementmaßnahmen nach § 30 BSIG strukturiert umzusetzen.

Informationssicherheit nachweisen mit BSI IT-Grundschutz

Der Nachweis gegenüber dem BSI oder einer Zertifizierungsstelle verlangt, dass Anforderungen, Maßnahmen und Belege nachvollziehbar zusammenhängen. In preeco | informationssicherheit werden Anforderungskataloge nach ISO/IEC 27001 und BSI IT-Grundschutz je Organisation aktiviert. Bei Katalogen nach BSI IT-Grundschutz wird das angestrebte Schutzniveau gewählt (Basis-Absicherung, Standard-Absicherung oder erhöhter Schutzbedarf), und jede Anforderung wird mit Umsetzungsstatus, Reifegrad und zuständigen Personen bewertet. Die Umsetzungsplanung nach BSI-Standard 200-2 erfolgt an der Anforderung eines Assets mit offenen Maßnahmen, verantwortlicher Person und Frist.

Die Schutzbedarfsfeststellung für Vertraulichkeit, Integrität und Verfügbarkeit läuft über eine Schadensszenarien-Matrix nach dem Maximumprinzip; der Schutzbedarf vererbt sich nach BSI-Standard 200-2 über den Asset-Baum. Für ein Audit erzeugt die Software die Auditdokumente nach BSI IT-Grundschutz (Strukturanalyse, Modellierung und Ergebnis des IT-Grundschutz-Checks) sowie die Erklärung zur Anwendbarkeit als PDF und DOCX, deren Stand sich als unveränderliche, datierte Fassung ablegen lässt. Nachweise zählen erst, wenn die verantwortliche Person sie bestätigt hat, und auslaufende Nachweise lösen automatisch eine Überprüfung aus. Das Cockpit zeigt den Erfüllungsgrad je Kategorie als Heatmap und seine Entwicklung über die Zeit.

Für die Meldepflichten gegenüber dem BSI enthält das Modul Vorfälle einsatzbereite Meldevorlagen für Frühwarnung, Meldung und Abschlussmeldung nach § 32 BSIG. Je Meldung zeigt die Software, ob die Frist noch läuft, fristgerecht oder verspätet gemeldet wurde. Für die Schulungspflicht der Geschäftsleitung nach § 38 BSIG ist eine NIS2-Schulungsvorlage für Leitungsorgane enthalten.