Das BSI Gesetz kann im Kern als Definition der Rolle des Bundesamts für Sicherheit in der Informationstechnik verstanden werden. Zuletzt verändert durch das IT-Sicherheitsgesetz sind dem BSI im Kern vor allem folgende Aufgaben zugeschrieben:
- Zentrale Meldestelle für IT-Sicherheit im Allgemeinen und zur IT-Sicherheit kritischer Infrastrukturen
- Befugnis, Protokolldaten sowie Daten, die an den Schnittstellen der Kommunikationstechnik des Bundes anfallen zu analysieren
- Veröffentlichung von Informationen und Warnungen vor Sicherheitslücken in informationstechnischen Produkten und Diensten sowie vor Schadprogrammen
- Definition von Sicherheitsstandards für die Bundesverwaltung
- Betreiber Kritischer Infrastrukturen, müssen die Einhaltung von IT-Sicherheit nach dem Stand der Technik regelmäßig gegenüber dem BSI nachweisen
- BSI kann Beseitigung von Sicherheitslücken bei Betreibern kritischer Infrastrukturen anordnen und die Hersteller von Produkten zur Mitwirkung verpflichten
Es ist davon auszugehen, dass dies nur der Auftakt ist, es ist in den vergangenen Jahren der Trend zu sehen, dass die IT-Sicherheit zunehmend gesetzlich reguliert wird.
Dabei wird die Funktion des BSI-Gesetzes als reine Regulierung des BSI immer weiter verlassen und Verpflichtungen externer Unternehmen aufgenommen, zuerst durch das IT-Sicherheitsgesetz und voraussichtlich dann später durch die weitere Umsetzung der NIS-Richtlinie.
Cybersicherheit bei uns im Blog

Aufgrund unserer Spezialisierung auf Cybersecurity-Rechtsfragen (RA JF ist zertifizierter Experte für Cybersicherheit, SRH) sowie Managerhaftung beschäftigen wir uns regelmäßig in Beiträgen mit dem IT-Sicherheitsrecht:
- NIS2-Umsetzung in Deutschland 2026
- NIS2-Richtlinie und NIS-Richtlinie
- CER-Richtlinie und DORA
- IT-Sicherheitgesetz 2.0 und IT-Sicherheitsgesetz 1.0
- Cybersecurity-Act und Cyber Solidarity Act
- EU-Verordnung zur Informationssicherheit
- BSI-Gesetz als Grundlage der Cybersecurity (derzeit veraltet)
- Haftung der Geschäftsführung für Sicherheitsmängel
- Softwareupdates gesetzlich geregelt
- Juristische Konsequenzen für Provider und Diensteanbieter bei IT-Sicherheitslücke
- Bug-Bounty-Programme
- Wirksame Kündigung bei Verstoß gegen Richtlinie zur Informationssicherheit
- Fahrlässige Tötung durch Schadsoftware im Krankenhaus?
- Haftung des Arbeitnehmers für Installation von Ransomware oder Virus
- Ransomware-Angriffe im Alltag
- Vertrag über Penetrationstest
- Gesetz gegen digitale Gewalt (2026): Ein Entwurf, der mehr verspricht als er hält - 14. Mai 2026
- Cybercrime Bundeslagebild 2025: Deutschland im Stresstest - 14. Mai 2026
- KI-Verordnung - 14. Mai 2026
