Kurzdefinition: § 52 BSIG macht das Bundesamt zur nationalen Zertifizierungsstelle für IT-Sicherheit und regelt, wie Produkte, Personen und Dienstleister zertifiziert werden. [N-BSIG-52]
Der Normwortlaut
§ 52 Abs. 1 BSIG bestimmt: „Das Bundesamt ist nationale Zertifizierungsstelle der Bundesverwaltung für IT-Sicherheit.“ Nach Absatz 2 kann für bestimmte Produkte oder Leistungen eine Sicherheits- oder Personenzertifizierung oder eine Zertifizierung als IT-Sicherheitsdienstleister beantragt werden. [N-BSIG-52]
Was zertifiziert das BSI?
Produkte, Personen und IT-Sicherheitsdienstleister. § 52 BSIG sieht drei Zertifizierungsarten vor: die Sicherheitszertifizierung von Produkten oder Leistungen, die Personenzertifizierung und die Zertifizierung als IT-Sicherheitsdienstleister. Ein Zertifikat bestätigt, dass das Zertifizierungsobjekt die geprüften Sicherheitsanforderungen erfüllt. [N-BSIG-52]
Wer kann eine Zertifizierung beantragen?
Grundsätzlich jeder für die genannten Objekte. Nach § 52 Abs. 2 BSIG können Anträge für bestimmte Produkte, Leistungen, Personen oder Dienstleister gestellt werden. Die Anträge werden in der Reihenfolge ihres Eingangs bearbeitet; hiervon kann abgewichen werden, wenn das Bundesamt eine Prüfung sonst nicht in angemessener Zeit durchführen kann und ein öffentliches Interesse besteht. Der Antragsteller muss die für die Prüfung erforderlichen Unterlagen und Auskünfte beibringen. [N-BSIG-52]
Wann darf man mit einem Zertifikat werben?
Nur bei erteiltem und gültigem Zertifikat. § 52 Abs. 2 BSIG bestimmt, dass ein Zertifikat nur dann für ein Produkt, eine Leistung, eine Person oder einen Dienstleister verwendet werden darf, wenn das Bundesamt es tatsächlich erteilt hat und es nicht aufgehoben oder anderweitig ungültig geworden ist. Das schützt vor irreführender Werbung mit Zertifikaten. [N-BSIG-52]
Welchen Nutzen hat eine Zertifizierung im Einkauf?
Sie schafft überprüfbares Vertrauen in Sicherheit. Für die Beschaffung und die Lieferkettensicherheit ist ein BSI-Zertifikat ein belastbarer Anhaltspunkt, dass ein Produkt oder Dienstleister geprüfte Sicherheitsanforderungen erfüllt. Es ersetzt nicht die eigene Risikobewertung, erleichtert sie aber. [N-BSIG-52]
Wer führt Prüfung und Bewertung durch?
Nicht nur das Bundesamt. Nach § 52 Abs. 3 BSIG können Prüfung und Bewertung auch durch vom Bundesamt anerkannte sachverständige Stellen erfolgen. Das Bundesamt erteilt auf dieser Grundlage das Zertifikat; die eigentliche Prüfung kann delegiert sein. [N-BSIG-52]
In welcher Reihenfolge werden Anträge bearbeitet?
Nach Eingang. § 52 Abs. 2 BSIG sieht die Bearbeitung in der zeitlichen Reihenfolge des Eingangs vor. Eine Abweichung ist nur bei Überlastung und einem besonderen öffentlichen Interesse zulässig — nicht nach der wirtschaftlichen Bedeutung des Antragstellers. [N-BSIG-52]
Häufige Fehlannahmen
- „Das BSI zertifiziert nur Produkte.“ Nein. § 52 BSIG erfasst auch Personen und IT-Sicherheitsdienstleister. [N-BSIG-52]
- „Man darf mit einem beantragten Zertifikat werben.“ Nein. Nur ein erteiltes und gültiges Zertifikat darf verwendet werden. [N-BSIG-52]
- „Ein Zertifikat ersetzt die eigene Risikobewertung.“ Nein. Es erleichtert sie, ersetzt sie aber nicht. [N-BSIG-52]
- „Die Prüfung führt stets das Bundesamt selbst durch.“ Nein. § 52 Abs. 3 BSIG lässt Prüfung und Bewertung durch anerkannte sachverständige Stellen zu. [N-BSIG-52]
- „Anträge werden nach ihrer Bedeutung priorisiert.“ Nein. § 52 Abs. 2 BSIG sieht die Bearbeitung in der zeitlichen Reihenfolge des Eingangs vor; eine Abweichung ist nur bei Überlastung und öffentlichem Interesse zulässig. [N-BSIG-52]
Was die Geschäftsleitung tun sollte
- Zertifikate nutzen. Im Einkauf auf einschlägige BSI-Zertifizierungen achten.
- Gültigkeit prüfen. Erteilung und Fortbestand von Zertifikaten verifizieren.
- Werbung kontrollieren. Eigene Zertifikatsangaben auf Zulässigkeit prüfen.
- Ergänzend bewerten. Zertifizierung als Baustein, nicht als Ersatz der Risikoanalyse.
Für die Geschäftsleitung
§ 52 BSIG macht das Bundesamt zur Zertifizierungsstelle für IT-Sicherheit. Für Beschaffung und Lieferkette sind Zertifikate ein überprüfbarer Vertrauensanker — vorausgesetzt, sie sind tatsächlich erteilt und gültig, denn nur dann dürfen sie verwendet werden.
Quellen
- [N-BSIG-52] § 52 BSIG (Zertifizierung), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__52.html
