Was ist ein Branchenspezifischer Sicherheitsstandard (B3S)?
Ein Branchenspezifischer Sicherheitsstandard (B3S) ist ein von besonders wichtigen Einrichtungen, ihren Branchenverbänden oder Betreibern kritischer Anlagen vorgeschlagener Standard, bei dem das BSI auf Antrag Branchenbezug und Eignung feststellt und den festgestellten Standard veröffentlicht.
Der Normwortlaut
Besonders wichtige Einrichtungen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Diese vorgeschlagenen Sicherheitsstandards müssen Durchführungsrechtsakte der Europäischen Kommission so berücksichtigen, dass sie nicht im Widerspruch zu den dort genannten Anforderungen stehen sowie darin enthaltene Vorgaben nicht unterschritten werden. Das Bundesamt stellt auf Antrag fest, ob die vorgeschlagenen Sicherheitsstandards branchenspezifisch und geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten und veröffentlicht diese auf seiner Internetseite. Die Feststellung erfolgt 1. im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe; 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes. Im Sektor Gesundheitswesen ist, soweit keine zuständige Aufsichtsbehörde des Bundes besteht, abweichend von Satz 4 Nummer 2 das Benehmen mit dem Bundesministerium für Gesundheit herzustellen. Aus Gründen des öffentlichen Interesses werden für die Feststellung keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes erhoben.
Betreiber kritischer Anlagen können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 vorschlagen. Absatz 8 Satz 2 bis 6 gilt entsprechend.
Amtliche Fundstelle: § 30 Absatz 8 und 9 BSIG. Der Wortlaut unterscheidet zwischen dem freiwilligen Vorschlag („können“), den zwingenden inhaltlichen Grenzen („müssen“) und der Feststellung durch das Bundesamt auf Antrag.
Wer darf einen B3S vorschlagen?
Rechtliche Einordnung: Vorschlagsberechtigt sind besonders wichtige Einrichtungen und ihre Branchenverbände. Für Betreiber kritischer Anlagen eröffnet § 30 Absatz 9 BSIG einen entsprechenden Weg. Bei ihnen muss der Standard der Gewährleistung der Anforderungen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 BSIG dienen. Eine allgemeine Vorschlagsbefugnis für sämtliche Unternehmen einer Branche ergibt sich daraus nicht.
Wann wird das BSI tätig?
Der Vorschlag eines B3S und der Antrag auf Feststellung sind getrennte Verfahrenselemente. Die Berechtigten können einen Standard vorschlagen; eine Pflicht dazu enthält § 30 Absatz 8 oder 9 BSIG nicht. Erst ein Antrag löst die Feststellung durch das BSI aus. Gegenstand dieser Entscheidung ist, ob der vorgeschlagene Standard branchenspezifisch und geeignet ist, die jeweils bezeichneten gesetzlichen Anforderungen zu gewährleisten.
Gesetzlich geregeltes Verfahren: Die Feststellung erfolgt im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe sowie mit der zuständigen Aufsichtsbehörde des Bundes. Besteht im Gesundheitswesen keine zuständige Aufsichtsbehörde des Bundes, ist stattdessen das Benehmen mit dem Bundesministerium für Gesundheit herzustellen. Für die Feststellung erhebt das BSI aus Gründen des öffentlichen Interesses keine Gebühren oder Auslagen. Den festgestellten Standard veröffentlicht es auf seiner Internetseite.
Welche inhaltlichen Bedingungen gelten für einen vorgeschlagenen B3S?
Ein vorgeschlagener Standard muss einschlägige Durchführungsrechtsakte der Europäischen Kommission so berücksichtigen, dass er ihren Anforderungen nicht widerspricht und ihre Vorgaben nicht unterschreitet. Für besonders wichtige Einrichtungen prüft das BSI den Branchenbezug und die Eignung zur Gewährleistung der Anforderungen aus § 30 Absatz 1 BSIG. Für Betreiber kritischer Anlagen gilt der besondere Bezug aus § 30 Absatz 9 BSIG; § 30 Absatz 8 Satz 2 bis 6 ist entsprechend anzuwenden.
Welche Grenzen und Ausnahmen gelten?
Ein B3S ersetzt die gesetzlichen Risikomanagementpflichten nicht. Die Vorrangregeln des § 30 Absatz 3 und 4 BSIG bleiben maßgeblich: Für die in Absatz 3 bezeichneten Einrichtungsarten gilt der dort genannte Durchführungsrechtsakt vorrangig. Weitere einschlägige Anforderungen aus Durchführungsrechtsakten gehen den Maßnahmen nach § 30 Absatz 2 nur insoweit vor, wie sie diesen entgegenstehen.
Auch der Anwendungsbereich ist begrenzt. Nach § 7 Absatz 5 BSIG gilt § 30 nicht für die dort genannten Betreiber öffentlicher Telekommunikationsnetze oder öffentlich zugänglicher Telekommunikationsdienste und bestimmte Energieunternehmen. Die gesetzlichen Rückausnahmen bleiben bestehen: Die Ausnahme erfasst nicht ohne Weiteres weitere kritische Anlagen oder weitere zuordenbare Tätigkeiten. Ob der B3S-Weg im konkreten Fall eröffnet ist, muss deshalb anhand des vollständigen gesetzlichen Anwendungsbereichs geprüft werden.
Gibt es Fristen, Schwellenwerte oder eine feste Geltungsdauer?
Nein. § 30 Absatz 8 und 9 BSIG enthalten für Vorschlag, Antrag oder Feststellung weder eine allgemeine Frist noch einen zahlenmäßigen Schwellenwert oder eine gesetzliche Geltungsdauer des B3S. Eine solche Vorgabe darf dem Normtext daher nicht zugeschrieben werden.
Was bedeutet die BSI-Feststellung technisch?
Technische Einordnung: Ein geeigneter B3S konkretisiert branchenspezifisch einen Weg zur Gewährleistung der einschlägigen gesetzlichen Risikomanagementanforderungen. Die Entscheidung des BSI ist jedoch nur die gesetzlich beschriebene Feststellung von Branchenbezug und Eignung des vorgeschlagenen Standards. Sie ist keine Produkt-, Personen- oder Unternehmenszertifizierung, keine Freigabe einer einzelnen Einrichtung und keine Befreiung von § 30 BSIG oder – bei kritischen Anlagen – den zusätzlichen Anforderungen aus § 31 BSIG.
Häufige Fehlannahmen
- „Jede betroffene Organisation muss einen B3S anwenden.“ Nein. § 30 Absatz 8 und 9 eröffnet bestimmten Akteuren einen freiwilligen Vorschlagsweg; eine allgemeine Pflicht, einen B3S vorzuschlagen oder anzuwenden, steht dort nicht.
- „Ein Branchenverband kann einen Standard automatisch verbindlich machen.“ Nein. Vorschlag und Antrag sind zu trennen; das BSI stellt auf Antrag Branchenbezug und Eignung fest.
- „Die BSI-Feststellung ist eine Zertifizierung des Unternehmens.“ Nein. Prüfgegenstand ist der vorgeschlagene Standard, nicht ein Produkt, eine Person oder ein einzelnes Unternehmen.
- „Ein festgestellter B3S ersetzt die gesetzlichen Pflichten.“ Nein. Die Anforderungen aus § 30 und gegebenenfalls § 31 BSIG sowie der Vorrang einschlägiger Kommissionsrechtsakte bleiben bestehen.
- „Ein B3S gilt automatisch für eine feste Laufzeit.“ Nein. § 30 Absatz 8 und 9 nennt keine allgemeine gesetzliche Geltungsdauer.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine zusätzliche Rechtspflicht:
- Prüfen und dokumentieren lassen, ob die Organisation als besonders wichtige Einrichtung, Branchenverband oder Betreiber einer kritischen Anlage in den einschlägigen Anwendungsbereich fällt und ob eine Ausnahme oder Rückausnahme nach § 7 Absatz 5 BSIG greift.
- Einen vorhandenen oder geplanten B3S nur als Mittel zur dokumentierten Erfüllung der jeweils einschlägigen Anforderungen aus § 30 und gegebenenfalls § 31 BSIG bewerten.
- Bei einem eigenen Vorschlag Anwendungsbereich, Branchenbezug und Abdeckung der gesetzlichen Anforderungen nachvollziehbar dokumentieren.
- Die Vereinbarkeit mit einschlägigen Durchführungsrechtsakten der Europäischen Kommission prüfen und festhalten, dass deren Vorgaben weder unterschritten noch durch widersprechende Regeln verdrängt werden.
- Den Antrag an das BSI und die für die Feststellung benötigten Unterlagen vorbereiten, ohne eine positive Feststellung oder eine Unternehmenszertifizierung vorwegzunehmen.
Für die Geschäftsleitung
Ein B3S ist ein freiwillig vorgeschlagener, branchenspezifischer Konkretisierungsweg für gesetzliche Risikomanagementanforderungen. Entscheidend sind der persönliche und sachliche Anwendungsbereich, der richtige Bezug zu § 30 und bei kritischen Anlagen zusätzlich zu § 31 BSIG sowie die widerspruchsfreie Einhaltung einschlägiger Kommissionsvorgaben. Als Nachweisgrundlage sollte die Organisation Anwendungsbereich, Anforderungsabdeckung und Umsetzungsstand dokumentieren; die BSI-Feststellung des Standards ersetzt weder diese Dokumentation noch die Erfüllung der gesetzlichen Pflichten.
Quellen
Amtliche Quellen, Rechtsstand 7. August 2026:
