Kurzdefinition: § 53 BSIG erlaubt es dem Bundesamt, für die Anforderungen einer Technischen Richtlinie eine Selbstbewertung zuzulassen; der Anbieter bestätigt die Einhaltung dann durch eine eigene Konformitätserklärung. [N-BSIG-53]
Der Normwortlaut
§ 53 Abs. 1 BSIG bestimmt, dass das Bundesamt „für die vom Bundesamt in einer Technischen Richtlinie festgelegten Anforderungen und Vorgaben zulassen“ kann, „dass ein Hersteller oder Anbieter von IKT-Produkten, IKT-Diensten und IKT-Prozessen, die keine Verbraucherprodukte nach § 55 sind, sowie eine Person oder ein IT-Sicherheitsdienstleister eine Selbstbewertung seiner oder ihrer Konformität vornimmt“ und eine Konformitätserklärung ausstellt, die bestätigt, dass er die Anforderungen erfüllt. [N-BSIG-53]
Was ist die Konformitätserklärung nach BSIG?
Die Eigenbestätigung der Regelkonformität. Statt einer Prüfung durch eine externe Stelle kann der Hersteller oder Dienstleister nach § 53 BSIG selbst bewerten, ob er die in einer Technischen Richtlinie des Bundesamtes festgelegten Anforderungen erfüllt, und dies durch eine Konformitätserklärung bestätigen. Betroffen sind IKT-Produkte, -Dienste und -Prozesse, die keine Verbraucherprodukte nach § 55 BSIG sind. [N-BSIG-53] [N-BSIG-55]
Wer stellt die Erklärung aus und wer haftet dafür?
Der Aussteller — und er übernimmt die Verantwortung. Nach § 53 Abs. 1 BSIG übernimmt der Hersteller, Anbieter, die Person oder der IT-Sicherheitsdienstleister mit der Ausstellung der Konformitätserklärung die Verantwortung dafür, dass das Produkt, der Dienst oder die Leistung den Anforderungen der Technischen Richtlinie entspricht. Die Selbstbewertung ist also kein Freibrief, sondern eine Zusicherung mit Verantwortung. [N-BSIG-53]
Wie unterscheidet sie sich von der Zertifizierung?
Selbstbewertung statt externer Prüfung. Bei der Zertifizierung nach § 52 BSIG ist das Bundesamt nationale Zertifizierungsstelle; bei der Konformitätserklärung nach § 53 BSIG bewertet der Anbieter seine Konformität in Eigenverantwortung, soweit das Bundesamt dies für die jeweilige Technische Richtlinie zulässt. Beide können Sicherheitsnachweise unterstützen, unterscheiden sich aber in der Prüfinstanz. [N-BSIG-52] [N-BSIG-53]
Welchen Nutzen hat das im Einkauf?
Es liefert einen dokumentierten Konformitätsnachweis. Eine Konformitätserklärung nach § 53 BSIG zeigt, dass ein Anbieter die Anforderungen einer Technischen Richtlinie zusichert und dafür einsteht. Für die Beschaffung ist das ein prüfbarer Anhaltspunkt; die eigene Risikobewertung und die Prüfung, ob die Erklärung gültig und nicht widerrufen ist, bleiben aber erforderlich. [N-BSIG-53]
Was bestätigt die Konformitätserklärung?
Die Anforderungserfüllung. Mit der Konformitätserklärung nach § 53 BSIG bestätigt der Hersteller, Anbieter, die Person oder der IT-Sicherheitsdienstleister, dass er die in der Technischen Richtlinie des Bundesamtes festgelegten Anforderungen und Vorgaben erfüllt. Sie beruht auf einer Selbstbewertung. [N-BSIG-53]
Für welche Produkte gilt die Selbstbewertung nicht?
Nicht für Verbraucherprodukte. § 53 BSIG betrifft IKT-Produkte, -Dienste und -Prozesse, die keine Verbraucherprodukte nach § 55 BSIG sind. Für Verbraucherprodukte greift stattdessen das freiwillige IT-Sicherheitskennzeichen. [N-BSIG-53]
Häufige Fehlannahmen
- „Die Konformitätserklärung wird immer vom BSI ausgestellt.“ Nein. Sie ist eine Selbstbewertung des Anbieters. [N-BSIG-53]
- „Mit der Erklärung übernimmt niemand Verantwortung.“ Doch. Der Aussteller übernimmt die Verantwortung für die Einhaltung. [N-BSIG-53]
- „Konformitätserklärung und Zertifizierung sind dasselbe.“ Nein. Die eine ist Selbstbewertung, die andere externe Prüfung. [N-BSIG-53]
- „Jede beliebige IKT lässt sich per Selbstbewertung erklären.“ Nein. Die Selbstbewertung nach § 53 BSIG betrifft die in einer Technischen Richtlinie des Bundesamts festgelegten Anforderungen und gilt nicht für Verbraucherprodukte nach § 55 BSIG. [N-BSIG-53] [N-BSIG-55]
- „Die Zertifizierung und die Konformitätserklärung stellt dieselbe Stelle aus.“ Nein. Die Zertifizierung nach § 52 BSIG erteilt das Bundesamt; die Konformitätserklärung nach § 53 BSIG stellt der Hersteller oder Anbieter selbst aus. [N-BSIG-52] [N-BSIG-53]
Was die Geschäftsleitung tun sollte
- Nachweise einordnen. Konformitätserklärung und Zertifizierung unterscheiden.
- Verantwortung prüfen. Auf die Zusicherung des Ausstellers achten.
- Gültigkeit checken. Erklärung auf Fortbestand und Widerruf prüfen.
- Ergänzend bewerten. Eigene Risikobewertung nicht ersetzen lassen.
Für die Geschäftsleitung
§ 53 BSIG ermöglicht die Selbstbewertung: Der Anbieter bestätigt die Einhaltung einer Technischen Richtlinie per Konformitätserklärung und steht dafür ein. Für den Einkauf ist das ein prüfbarer Nachweis — er ersetzt aber nicht die eigene Bewertung und die Kontrolle der Gültigkeit.
Quellen
- [N-BSIG-53] § 53 BSIG (Konformitätsbewertung und Konformitätserklärung), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__53.html
- [N-BSIG-52] § 52 BSIG (Zertifizierung), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__52.html
- [N-BSIG-55] § 55 BSIG (IT-Sicherheitskennzeichen), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__55.html
