Kurzdefinition: § 13 BSIG ermächtigt das Bundesamt, vor Cyber-Gefahren zu warnen und darüber zu informieren — gegenüber der Öffentlichkeit oder gezielt betroffenen Kreisen. [N-BSIG-13]
Der Normwortlaut
§ 13 Abs. 1 BSIG bestimmt, dass das Bundesamt zur Erfüllung seiner Aufgaben „die folgenden Warnungen und Informationen an die Öffentlichkeit oder an die betroffenen Kreise richten“ kann. Erfasst sind insbesondere Warnungen vor Sicherheitslücken, Schadprogrammen und vor Cyberangriffen. [N-BSIG-13]
Wann warnt das BSI?
Wenn Cyber-Gefahren bekannt werden, die Schutzmaßnahmen erfordern. Auf Grundlage seiner Lageerkenntnisse kann das Bundesamt nach § 13 BSIG vor Sicherheitslücken in Produkten, vor Schadprogrammen und vor konkreten Angriffen warnen und über geeignete Gegenmaßnahmen informieren. Warnungen sind damit Teil der präventiven Cyber-Abwehr des Bundes. [N-BSIG-13]
An wen richten sich die Warnungen?
An die Öffentlichkeit oder an betroffene Kreise. § 13 Abs. 1 BSIG erlaubt beides: eine breite Information der Öffentlichkeit ebenso wie eine gezielte Warnung der jeweils betroffenen Einrichtungen oder Branchen. Damit kann das Bundesamt die Reichweite an die Gefahrenlage anpassen. [N-BSIG-13]
Muss ein Unternehmen auf eine BSI-Warnung reagieren?
Rechtlich folgt aus der Warnung keine automatische Einzelpflicht, praktisch ist sie aber ein wichtiges Lagezeichen. Eine einschlägige BSI-Warnung kann Teil der Bedrohungslage sein, die ein betroffenes Unternehmen im Rahmen seiner Risikomanagementmaßnahmen nach § 30 BSIG berücksichtigen muss. Wer eine einschlägige, öffentlich bekannte Warnung ignoriert und dadurch geschädigt wird, kann sich dem Vorwurf mangelnder Sorgfalt aussetzen. Der Maßstab des § 30 BSIG kennt dabei eigene Randregeln — etwa den Schutz freiwilliger Meldungen nach § 30 Absatz 7 BSIG und branchenspezifische Sicherheitsstandards nach § 30 Absatz 8 BSIG. [N-BSIG-13] [N-BSIG-30]
Wie unterscheidet sich die Warnung von der Rückmeldung des BSI?
Die Warnung ist präventiv und oft breit, die Rückmeldung fallbezogen. Während § 13 BSIG die allgemeine Warn- und Informationsbefugnis regelt, betrifft die Rückmeldung des Bundesamtes typischerweise die Reaktion auf eine konkrete Meldung einer Einrichtung. Beide Instrumente ergänzen die Zusammenarbeit zwischen Bundesamt und Unternehmen. [N-BSIG-13]
Wovor kann das Bundesamt warnen?
Vor verschiedenen Risiken. § 13 BSIG erfasst insbesondere Warnungen vor Sicherheitslücken, Schadprogrammen und Cyberangriffen sowie Informationen über sicherheitsrelevante IT-Eigenschaften von Produkten und Diensten. Der Warnbereich reicht damit über reine Schadprogramm-Meldungen hinaus. [N-BSIG-13]
Sollten Unternehmen auf BSI-Warnungen reagieren?
Ja. Einschlägige Warnungen gehören zur Bedrohungslage, die im Risikomanagement nach § 30 BSIG zu berücksichtigen ist. Auch ohne unmittelbare rechtliche Bindung sollte ein Unternehmen relevante Warnungen bewerten und gegebenenfalls Maßnahmen ableiten. [N-BSIG-13] [N-BSIG-30]
Häufige Fehlannahmen
- „BSI-Warnungen sind unverbindliche Hinweise ohne Bedeutung.“ Nein. Einschlägige Warnungen können zur Bedrohungslage gehören, die im Risikomanagement zu berücksichtigen ist. [N-BSIG-13] [N-BSIG-30]
- „Warnungen ergehen immer nur an die Öffentlichkeit.“ Nein. Sie können gezielt an betroffene Kreise gerichtet werden. [N-BSIG-13]
- „Nur betroffene Behörden müssen Warnungen beachten.“ Nein. Auch Unternehmen sollten einschlägige Warnungen in ihre Maßnahmen einbeziehen. [N-BSIG-13]
- „Das BSI warnt nur vor Schadprogrammen.“ Nein. § 13 BSIG erfasst auch Warnungen vor Schwachstellen und anderen Sicherheitsrisiken sowie bei Verlust oder unerlaubtem Zugriff auf Daten. [N-BSIG-13]
- „Warnungen betreffen nur IT-Produkte.“ Nein. § 13 BSIG umfasst auch Informationen über sicherheitsrelevante IT-Eigenschaften von Produkten und Diensten. [N-BSIG-13]
Was die Geschäftsleitung tun sollte
- Warnkanäle abonnieren. BSI-Warnungen strukturiert empfangen und auswerten.
- Lage einarbeiten. Warnungen in das Risikomanagement nach § 30 BSIG einbeziehen.
- Reaktion dokumentieren. Umgang mit einschlägigen Warnungen nachweisbar festhalten.
- Verantwortung zuweisen. Zuständigkeit für die Auswertung klären.
Für die Geschäftsleitung
§ 13 BSIG macht das Bundesamt zum Warngeber der nationalen Cyber-Abwehr. Für Unternehmen sind seine Warnungen kein bloßes Hintergrundrauschen: Sie gehören in das eigene Risikomanagement — wer sie ignoriert, riskiert vermeidbare Schäden und Sorgfaltsvorwürfe.
Quellen
- [N-BSIG-13] § 13 BSIG (Warnungen), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__13.html
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
