B3S — Branchenspezifischer Sicherheitsstandard

Definition

Ein branchenspezifischer Sicherheitsstandard, kurz B3S, ist ein von einem Branchenverband erarbeiteter und vom BSI auf Eignung geprüfter Maßstab dafür, was in einer bestimmten Branche als Stand der Technik gilt. Er übersetzt die allgemein gehaltenen gesetzlichen Anforderungen in konkrete Maßnahmen für die tatsächlich vorhandenen Anlagen, Prozesse und Bedrohungslagen — für ein Krankenhaus sind das andere als für ein Umspannwerk. Ein B3S ist keine Pflicht: Betreiber kritischer Anlagen können ihre Maßnahmen auch gegen einen selbst hergeleiteten Maßstab prüfen lassen. Der praktische Vorteil eines anerkannten B3S liegt darin, dass die Angemessenheit der Maßnahmen nicht mehr einzeln begründet werden muss, weil das BSI die Eignung des Maßstabs bereits bestätigt hat.

Rechtsgrundlage

Die Möglichkeit, branchenspezifische Sicherheitsstandards vorzuschlagen und vom BSI auf Eignung prüfen zu lassen, ist in § 39 BSIG geregelt — der Vorschrift, die auch die Nachweispflicht für Betreiber kritischer Anlagen enthält. In der bis Dezember 2025 geltenden Fassung stand diese Regelung in § 8a Abs. 2 BSIG a. F.; wer noch die alte Zitierweise verwendet, meint dieselbe Sache. Die Feststellung der Eignung erfolgt nach Angabe des BSI in der Regel für drei Jahre und muss danach erneuert werden, weil sich der Stand der Technik fortentwickelt. Geeignete B3S liegen derzeit unter anderem für Fernwärmenetze, Wasser und Abwasser, Lebensmittelhandel und Ernährungsindustrie, Housing, Hosting und CDN, Krankenhaus, Pharma, Teile der Finanz- und Versicherungswirtschaft, den Straßenverkehr sowie die Siedlungsabfallentsorgung vor. Die maßgebliche und laufend aktualisierte Übersicht führt das BSI selbst; sie ist die einzige verlässliche Quelle für den aktuellen Stand.

Praktische Implikation

Prüfen Sie früh, ob es für Ihre Branche einen vom BSI als geeignet festgestellten B3S gibt und ob er Ihren Anlagentyp tatsächlich abdeckt — die Geltungsbereiche sind teils enger gefasst, als der Branchenname vermuten lässt. Existiert ein passender B3S, sollte er die Grundlage der Prüfung bilden: Prüfstellen kennen ihn, die Erwartungshaltung ist geklärt, und die Angemessenheitsdiskussion entfällt weitgehend. Existiert keiner, müssen Sie Ihren Prüfmaßstab selbst nachvollziehbar herleiten und dokumentieren, warum die gewählten Maßnahmen angemessen sind. Der am häufigsten übersehene Punkt ist die Befristung: In der BSI-Übersicht stehen regelmäßig auch Standards, deren Eignungsfeststellung bereits abgelaufen ist. Prüfen Sie deshalb nicht nur, ob ein B3S für Ihre Branche existiert, sondern ob er zum Zeitpunkt Ihrer Nachweisführung noch gilt — und was gilt, wenn er zwischenzeitlich ausläuft. Wichtig ist außerdem die Abgrenzung zu NIS2 allgemein: Ein B3S betrifft Betreiber kritischer Anlagen. Wichtige und besonders wichtige Einrichtungen ohne kritische Anlage unterliegen der Nachweispflicht nach § 39 BSIG nicht, können sich an einem B3S aber freiwillig orientieren.

Verwandte Begriffe

• Betreiber kritischer Anlagen
• Nachweispflicht
• Konformitätsprüfung
• ISO 27001