BSI-Aufsicht

Definition

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale und zuständige Aufsichtsbehörde für die Umsetzung des NIS2UmsuCG in Deutschland. Das BSI führt ein Register der betroffenen Einrichtungen, nimmt Sicherheitsmeldungen entgegen, führt Audits und Kontrollen durch, erteilt verbindliche Anweisungen zur Behebung festgestellter Sicherheitsmängel und verhängt Bußgelder bei Gesetzesverstößen. Die Intensität der Aufsicht unterscheidet sich deutlich: besonders wichtige Einrichtungen unterliegen proaktiver anlassloser Aufsicht, wichtige Einrichtungen nur der reaktiven Aufsicht bei konkreten Anhaltspunkten. Das BSI ist zugleich als nationale Cybersicherheitsbehörde auf EU-Ebene in das ENISA-Netzwerk eingebunden.

Rechtsgrundlage

Die umfangreichen Befugnisse des BSI als Aufsichtsbehörde sind in §§ 63 bis 68 BSIG geregelt. Das BSI ist berechtigt, von Einrichtungen Nachweise über die Umsetzung von Sicherheitsmaßnahmen zu verlangen, externe Prüfungen anzuordnen und im Extremfall den Betrieb kritischer Dienste vorübergehend zu untersagen. Bei besonders wichtigen Einrichtungen kann das BSI nach § 64 Abs. 1 BSIG anlasslose Kontrollen durchführen; bei wichtigen Einrichtungen sind Kontrollen gemäß § 64 Abs. 2 BSIG an konkrete Anhaltspunkte für Verstöße gebunden.

Praktische Implikation

Betroffene Einrichtungen sollten das BSI als kooperativen Partner und nicht als reinen Kontrolleur betrachten. Das BSI bietet umfangreiche kostenlose Ressourcen an: IT-Grundschutz-Kompendium, Cyber-Sicherheitsnetzwerk, Warnmeldungen und CERT-Bund-Unterstützung. Für die Interaktion mit dem BSI empfiehlt sich eine klare interne Zuständigkeit durch CISO oder ISB und eine vollständige Dokumentation aller umgesetzten Maßnahmen. Reaktive Einrichtungen sollten sich proaktiv für BSI-Newsletter und das Early-Warning-System registrieren. Ein gutes Verhältnis zum BSI erleichtert die Compliance und reduziert Konflikte. Alle Kommunikationen mit dem BSI sollten intern dokumentiert und aufbewahrt werden, da sie im Kontext späterer Prüfungen relevant sein können.

Verwandte Begriffe

• Bußgeldhaftung
• Nachweispflicht
• Konformitätsprüfung
• BSI-Meldewesen