BSI-Gesetz

Das BSI-Gesetz regelt die Aufgaben und Befugnisse des Bundesamts für Sicherheit in der Informationstechnik (BSI). Außerdem enthält es Pflichten für „Besonders wichtige Einrichtungen und wichtige Einrichtungen“ wie Betreiber kritischer Anlagen und öffentlicher Telekommunikationsnetze, aber auch für Vertrauensdiensteanbieter und die Bundesverwaltung. Die Rechtsform der Betreiberschaft ist dabei unbeachtlich. Die BSI-Kritisverordnung bestimmt, nach Sektoren wie Energie oder Gesundheit getrennt, welche Anlagearten vom BSI-Gesetz betroffen sind. Diese Verordnung soll durch die Kritisverordnung nach dem KRITIS-Dachgesetz ersetzt werden.

Zu den Pflichten der betroffenen Einrichtungen gehören u.a. ein umfassendes Risikomanagement sowie Registrierungs- und Meldepflichten. Für die Geschäftsleitungen gelten zudem explizite Schulungsverpflichtungen zu Kenntnissen und Fähigkeiten im Risikomanagement und Haftungsbestimmungen bezüglich der Sicherheit in der Informationstechnik.

Schließlich erlaubt das BSI-Gesetz dem Bundesamt auch die Unterstützung der Länder und besonders wichtiger Einrichtungen bei der „Sicherung der Informationstechnik“.

Das Gesetz wird in regelmäßigen Abständen aufgrund der sich stetig verändernden Lage im Bereich der IT-Sicherheit aktualisiert.