mini|Sitz des BSI in Bonn, Godesberger Allee 185–189 mini|Bonn, Bundesamt für Sicherheit in der Informationstechnik
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist eine deutsche Bundesoberbehörde, die für IT-Sicherheit zuständig ist. Der Leitsatz des BSI lautet: „Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.“ Die Stellenzahl des BSI hat sich zwischen 2016 und 2019 auf knapp 1.290 Stellen verdoppelt. Für das Jahr 2024 gibt das BSI die Anzahl seiner Stellen mit 1.733 an.
Geschichte Das BSI wurde 1991 mit dem Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik (BSI-Errichtungsgesetz) gegründet. Das BSI ging aus der Zentralstelle für Sicherheit in der Informationstechnik (ZSI) hervor, die bis 30. Mai 1989 als Zentralstelle für das Chiffrierwesen (ZfCh) firmierte. Bei dieser Vorgängerdienststelle handelte es sich um eine Organisationseinheit des Bundesnachrichtendienstes (BND). Der Mathematiker Otto Leiberich, seit 1957 beim Bundesnachrichtendienst und dort zuletzt Leiter der ZfCh bzw. ZSI, war erster Präsident des BSI.Historie. In: BSI-Jahresbericht, 2003;
Nach dem Ausscheiden von Otto Leiberich wurde Dirk Henze mit Wirkung zum 1. Januar 1993 zum neuen BSI-Präsidenten bestellt. Ihm folgte im März 2003 Udo Helmbrecht. Danach trat Michael Hange am 16. Oktober 2009 sein Amt als Präsident an und wurde am 11. Dezember 2015 in den Ruhestand entlassen. bsi.bund.de, 11. Dezember 2015.
Vom 18. Februar 2016 bis zum 18. Oktober 2022 führte Arne Schönbohm die Behörde. Im Vorfeld seiner Ernennung wurde Kritik an seiner Berufung laut.IT-Sicherheit: Arne Schönbohms BSI-Antritt verzögert sich. In: Welt Online, 15. Februar 2016.Bundesregierung ernennt Cyberclown Arne Schönbohm zum BSI-Präsidenten. Netzpolitik.org, 17. Februar 2016. Seit 1. Juli 2023 ist Claudia Plattner Präsidentin des BSI. Das Amt ist in Besoldungsgruppe B 8 der Bundesbesoldungsordnung B eingruppiert. BMI, Pressemitteilung, 17. Dezember 2015.
Mitte 2017 hat das BSI ein Kompetenzzentrum eingerichtet, um die Aktivitäten des BSI im Bereich der Künstlichen Intelligenz und des maschinellen Lernens zu bündeln.
Nach dem Koalitionsvertrag der Parteien der Bundesregierung von Februar 2018 wurde der Aufgabenbereich des Bundesamtes erweitert. Es übernahm die Beratung für kleine und mittlere Unternehmen und wurde als nationale Cybersicherheitsbehörde ausgebaut. Darin eingeschlossen ist die zentrale Zertifizierung und Standardisierung für IT- und Cyber-Sicherheit. Zudem erhält das BSI zusätzliche Aufgaben im Bereich des digitalen Verbraucherschutzes.Ein neuer Aufbruch für Europa – Eine neue Dynamik für Deutschland – Ein neuer Zusammenhalt für unser Land. (PDF) Handelsblatt, 7. Februar 2018, Zeilen 1907 ff. und 1974 ff.; abgerufen am 8. Februar 2018.
Für die Kooperation mit den Ländern hat das BSI ein nationales Verbindungswesen mit Ansprechpartnern in den Städten Hamburg, Wiesbaden, Bonn, Stuttgart, Berlin und Dresden etabliert. 2017 hat das BSI ein Verbindungsbüro in Wiesbaden eingerichtet. Am 5. Februar 2019 hat das BSI ein Verbindungsbüro für die Region Nord in Hamburg eröffnet. Durch die Präsenz am Standort Hamburg weitet die Cyber-Sicherheitsbehörde ihr Informations- und Unterstützungsangebot für Unternehmen, Behörden, Kommunen und andere Institutionen in Norddeutschland aus. Das Verbindungsbüro dient Behörden, Unternehmen und anderen Institutionen in den Bundesländern Bremen, Hamburg, Mecklenburg-Vorpommern, Niedersachsen, Sachsen-Anhalt und Schleswig-Holstein als Ansprechstelle für Fragen rund um das BSI und das Thema Cyber-Sicherheit.
Seit Dezember 2019 gibt es den zweiten Dienstsitz für 200 Mitarbeiter in Freital bei Dresden. Dies soll die Erreichbarkeit des BSI verbessern. Im selben Jahr beschloss der Haushaltsausschuss des Deutschen Bundestages auch eine weitere Außenstelle in Saarbrücken mit 30 Stellen einzurichten.
Im September 2022 gab das BSI die Einführung eines IT-Sicherheitskennzeichens für die meisten IoT- und Smart-Home-Produkte bekannt. Dieses kann seitdem von Unternehmen beim BSI beantragt werden und stelle Sicherheitseigenschaften von Produkten einfach verständlich für Verbraucher dar.
Im Jahr 2023 wurde am Standort Freital ein Sicherheitslabor für die Mobilfunkstandards 4G und 5G sowie für den zukünftigen 6G-Standard eingerichtet. Damit verfügt das BSI über eine für Telekommunikationsbetreiber typische Testumgebung mit mehreren Funkzellen im eigenen Campus-Netz.
Im Februar 2024 wurde das neue Nationale IT-Lagezentrum des BSI in neuen Räumlichkeiten in Betrieb genommen. Das Ziel ist die Cybersicherheitslage Deutschlands zu jeder Tages- und Nachtzeit bewerten zu können und schnell auf aufkommende Cyberbedrohungen zu reagieren. Das Nationale IT-Lagezentrum bildet die zentrale Meldestelle des BSI und arbeitet mit den BSI-Experten für die Kritischen Infrastrukturen (KRITIS) und des Computer Emergency Response Teams des Bundes (CERT-Bund) sowie den Informationssicherheitsoffizieren des Kommandos Cyber- und Informationsraum (KdoCIR) zusammen. So sollen Angriffe auf unterschiedliche Zielgruppen schnell identifiziert und Gemeinsamkeiten sowie ähnlich gelagerte Bedrohungen schneller erkannt und bearbeitet werden. Das Nationale Cyber-Abwehrzentrum (Cyber-AZ), eine Kooperationsplattform, an der neben dem BSI auch Kriminalbehörden, Nachrichtendienste und die BaFin beteiligt sind, unterstützt weiterhin die staatlichen Institutionen wie den Bund und die Länder.
Aufgaben und Abteilungen
Grundsätzliche Aufgaben Der Aufgabenbereich des BSI wird durch das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz) festgelegt. Ziel des BSI ist die präventive Förderung der Informations- und Cyber-Sicherheit, um den sicheren Einsatz von Informations- und Kommunikationstechnik in Staat, Wirtschaft und Gesellschaft zu ermöglichen und voranzutreiben. So erarbeitet das BSI beispielsweise praxisorientierte Mindeststandards und zielgruppengerechte Handlungsempfehlungen zur IT- und Internet-Sicherheit, um Anwender bei der Vermeidung von Risiken zu unterstützen.
Das BSI ist auch für den Schutz der IT-Systeme des Bundes verantwortlich. Hierbei geht es um die Abwehr von Cyber-Angriffen und anderen technischen Bedrohungen gegen die IT-Systeme und Netze der Bundesverwaltung. Das BSI berichtet dem Innenausschuss des Deutschen Bundestages hierzu einmal jährlich.
Zu den Aufgaben des BSI gehören weiterhin: Schutz der Netze des Bundes, Erkennung und Abwehr von Angriffen auf die Regierungsnetze Prüfung, Zertifizierung und Akkreditierung von IT-Produkten und -Dienstleistungen Warnung vor Schadprogrammen oder Sicherheitslücken in IT-Produkten und -Dienstleistungen IT-Sicherheitsberatung für die Bundesverwaltung und andere Zielgruppen Information und Sensibilisierung der Bürger für das Thema IT- und Internet-Sicherheit (Digitaler Verbraucherschutz) Information und Sensibilisierung der Wirtschaft für das Thema IT- und Internet-Sicherheit Entwicklung einheitlicher und verbindlicher IT-Sicherheitsstandards Entwicklung von Kryptosystemen für die IT des Bundes Zum 1. Juli 2024 ist eine neue Organisationsstruktur des BSI in Kraft getreten, die den wachsenden Anforderungen an das BSI Rechnung trägt. Mit der neuen Organisationsstruktur wächst das BSI von acht auf neun Abteilungen, davon acht Fachabteilungen und eine Abteilung für Verwaltungsaufgaben. Die Abteilungen sind jeweils in zwei oder drei Fachbereiche unterteilt, die Fachbereiche wiederum in 4 bis 8 Referate.
Die Ziele der Umorganisation sind eine Reduktion von Schnittstellen zwischen den BSI-internen Organisationseinheiten, eine eindeutige Zuordnung von Verantwortlichkeiten und eine stärkere Bündelung operativer, technischer und methodischer Kompetenzen. Die neue Abteilung I „Sichere Infrastrukturen der Verwaltung“ berät nun Bund, Länder und Kommunen. Der IT-Grundschutz ist Teil der Abteilung S „Standardisierung, Zertifizierung und Prüfung“. Der erst auf Grundlage des IT-Sicherheitsgesetzes 2.0 eingeführte Fachbereich „Digitaler Verbraucherschutz“ ist aus der Wirtschaftsschutzabteilung in die neue Abteilung K „Kooperation mit Staat und Gesellschaft, Digitaler Verbraucherschutz“ gewandert. In der Abteilung W „Cybersicherheit in der Wirtschaft“ wurden die Referate bereits dem Neuzuschnitt von kritischen Sektoren nach der NIS-2-Richtlinie angepasst.
Der Präsidentin und dem Vizepräsidenten ist ein Leitungsstab zugeordnet:
Leitungsstab:
Stab L1: Strategie, Strategische Kommunikation, Leitungsunterstützung Stab L2: Presse, Social Media, Kommunikation Stab L3: Öffentlichkeitsarbeit Stab L4: Compliance PG PMO: Projektmanagementorganisation
In der Linienorganisation gibt es nun 9 Abteilungen:
Abteilung Z: Zentrale Aufgaben Abteilung K: Kooperation mit Staat und Gesellschaft, Digitaler Verbraucherschutz Abteilung T: Technologiestrategie und Informationstechnik Abteilung V: Verschlusssachensicherheit und Kryptographie Abteilung I: Sichere Infrastrukturen der Verwaltung Abteilung C: Operative Cybersicherheit – Lage und CERT Abteilung W: Cybersicherheit in der Wirtschaft Abteilung D: Digitalisierung und Identitäten Abteilung S: Standardisierung, Zertifizierung und Prüfung
Das vollständige Organisationschart ist auf der Webseite des BSI abrufbar.
Weitere Aufgaben Das BSI gab bis 2017 die IT-Grundschutz-Kataloge heraus, die Empfehlungen für Standardschutzmaßnahmen für typische IT-Systeme enthielten. Die früheren IT-Grundschutz-Kataloge wurden im Zuge der Modernisierung des IT-Grundschutzes auf das neue IT-Grundschutz-Kompendium umgestellt. Die Modernisierung des IT-Grundschutzes ist seit Oktober 2017 abgeschlossen. Nach der grundlegenden Überarbeitung der gesamten Methodik bietet der neue IT-Grundschutz Einsteigern und Fortgeschrittenen eine modulare und flexible Methode zur Erhöhung der Informationssicherheit in Behörden und Unternehmen. Neue Angebote adressieren speziell kleine und mittelständische Unternehmen und Behörden. Der IT-Grundschutz ist Methode, Handlungsanweisung, Empfehlung und Standard in einem. Er ist anwendbar für alle Institutionen, die in Zeiten der Digitalisierung ihre IT-Systeme und Datennetze und damit ihre Geschäfts- oder Verwaltungsprozesse nach dem Stand der Technik absichern wollen. 1994 hat das BSI erstmals IT-Sicherheitsempfehlungen unter dem Namen IT-Grundschutz veröffentlicht.
Das BSI ist die zentrale Zertifizierungsstelle für die Sicherheit von IT-Systemen in Deutschland (Computer- und Datensicherheit, Datenschutz). Prüfung und Zertifizierung ist möglich in Bezug auf die Standards des IT-Grundschutzhandbuch, dem Grünbuch, ITSEC, technischer Richtlinien (z. B. der BSI TR-03161) und den Common Criteria. Die Gebühren des BSI nach BSI-Gesetz – zum Beispiel für die Zertifizierung nach Common Criteria sind in der Besonderen Gebührenverordnung des BMI festgelegt. Die Berechnung der Gebühren erfolgt durch das Statistische Bundesamt.
Das BSI ist nationaler Kompetenzträger auf dem Gebiet der Kryptografie, der Empfehlungen und technische Richtlinien zu kryptografischen Verfahren erstellt und an der Entwicklung internationaler Kryptostandards beteiligt ist.
Die IT-Strategie des Bundes sieht vor, die Vielfalt von Software zu erhöhen und so Software-Monokulturen zu reduzieren und damit das Angriffspotenzial zu verringern. Innerhalb des BSI wird FLOSS (Free/Libre Open Source Software) an verschiedensten Stellen eingesetzt, zum Beispiel im Bereich der Verarbeitung von Protokollierungsdaten, im Computer Emergency Response Team (CERT) und bei Penetrationstests.
Nach dem BSI-Gesetz speichert die Behörde als zentrale Meldestelle für IT-Sicherheit alle Protokolldaten, die bei der Online-Kommunikation zwischen Bürgern und Verwaltungseinrichtungen des Bundes anfallen.Bundestag beschließt neues BSI-Gesetz. Heise online, 19. Juni 2009.