Source: https://www.gesetze-im-internet.de/bsig_2009/__9c.html
Legislation: bsig_2009

Title: § 9c Freiwilliges IT-Sicherheitskennzeichen

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 9c Freiwilliges IT-Sicherheitskennzeichen

Paragraph: 9c

Full Text:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 9c Freiwilliges IT-Sicherheitskennzeichen

(1) Das Bundesamt führt zur Information von Verbrauchern über die IT-
Sicherheit von Produkten bestimmter vom Bundesamt festgelegter
Produktkategorien ein einheitliches IT-Sicherheitskennzeichen ein. Das
IT-Sicherheitskennzeichen trifft keine Aussage über die den
Datenschutz betreffenden Eigenschaften eines Produktes.

(2) Das IT-Sicherheitskennzeichen besteht aus

1.  einer Zusicherung des Herstellers oder Diensteanbieters, dass das
    Produkt für eine festgelegte Dauer bestimmte IT-
    Sicherheitsanforderungen erfüllt (Herstellererklärung), und

2.  einer Information des Bundesamtes über sicherheitsrelevante IT-
    Eigenschaften des Produktes (Sicherheitsinformation).

(3) Die IT-Sicherheitsanforderungen, auf die sich die
Herstellererklärung bezieht, ergeben sich aus einer Norm oder einem
Standard oder aus einer branchenabgestimmten IT-Sicherheitsvorgabe,
die die jeweilige Produktkategorie umfasst, sofern das Bundesamt in
einem Verfahren, das durch Rechtsverordnung nach § 10 Absatz 3
geregelt wird, festgestellt hat, dass die Norm oder der Standard oder
die branchenabgestimmte IT-Sicherheitsvorgabe geeignet ist,
ausreichende IT-Sicherheitsanforderungen für die Produktkategorie
abzubilden. Ein Anspruch auf diese Feststellung besteht nicht. Liegt
keine Feststellung nach Satz 1 vor, ergeben sich die IT-
Sicherheitsvorgaben aus einer vom Bundesamt veröffentlichten
Technischen Richtlinie, die die jeweilige Produktkategorie umfasst,
sofern das Bundesamt eine solche Richtlinie bereits veröffentlicht
hat. Wird ein Produkt von mehr als einer oder einem bestehenden, als
geeignet festgestellten Norm, Standard, branchenabgestimmten IT-
Sicherheitsvorgabe oder Technischen Richtlinie umfasst, richten sich
die Anforderungen nach der oder dem jeweils spezielleren bestehenden,
als geeignet festgestellten Norm, Standard, branchenabgestimmten IT-
Sicherheitsvorgabe oder Technischen Richtlinie.

(4) Das IT-Sicherheitskennzeichen darf nur dann für ein Produkt
verwendet werden, wenn das Bundesamt das IT-Sicherheitskennzeichen für
dieses Produkt freigegeben hat. Das Bundesamt prüft die Freigabe des
IT-Sicherheitskennzeichens für ein Produkt auf Antrag des Herstellers
oder Diensteanbieters. Dem Antrag sind die Herstellererklärung zu dem
Produkt sowie alle Unterlagen beizufügen, die die Angaben in der
Herstellererklärung belegen. Das Bundesamt bestätigt den Eingang des
Antrags und prüft die Plausibilität der Herstellererklärung anhand der
beigefügten Unterlagen. Die Plausibilitätsprüfung kann auch durch
einen vom Bundesamt beauftragten qualifizierten Dritten erfolgen. Für
die Antragsbearbeitung kann das Bundesamt eine Verwaltungsgebühr
erheben.

(5) Das Bundesamt erteilt die Freigabe des IT-Sicherheitskennzeichens
für das jeweilige Produkt, wenn

1.  das Produkt zu einer der Produktkategorien gehört, die das Bundesamt
    durch im Bundesanzeiger veröffentlichte Allgemeinverfügung bekannt
    gegeben hat,

2.  die Herstellererklärung plausibel und durch die beigefügten Unterlagen
    ausreichend belegt ist und

3.  die gegebenenfalls erhobene Verwaltungsgebühr beglichen wurde.

Die Erteilung der Freigabe erfolgt schriftlich und innerhalb einer
angemessenen Frist, die in der Rechtsverordnung nach § 10 Absatz 3
bestimmt wird. Den genauen Ablauf des Antragsverfahrens und die
beizufügenden Unterlagen regelt die Rechtsverordnung nach § 10 Absatz
3\.

(6) Hat das Bundesamt die Freigabe erteilt, ist das Etikett des IT-
Sicherheitskennzeichens auf dem jeweiligen Produkt oder auf dessen
Umverpackung anzubringen, sofern dies nach der Beschaffenheit des
Produktes möglich ist. Das IT-Sicherheitskennzeichen kann auch
elektronisch veröffentlicht werden. Wenn nach der Beschaffenheit des
Produktes das Anbringen nicht möglich ist, muss die Veröffentlichung
des IT-Sicherheitskennzeichens elektronisch erfolgen. Das Etikett des
IT-Sicherheitskennzeichens verweist auf eine Internetseite des
Bundesamtes, auf der die Herstellererklärung und die
Sicherheitsinformationen abrufbar sind. Das genaue Verfahren und die
Gestaltung des Verweises sind in der Rechtsverordnung nach § 10 Absatz
3 festzulegen.

(7) Nach Ablauf der festgelegten Dauer nach Absatz 3 Satz 5 oder 6
oder nach Rücknahmeerklärung des Herstellers oder Diensteanbieters
gegenüber dem Bundesamt erlischt die Freigabe. Das Bundesamt nimmt
einen Hinweis auf das Erlöschen der Freigabe in die
Sicherheitsinformation auf.

(8) Das Bundesamt kann prüfen, ob die Anforderungen an die Freigabe
des IT-Sicherheitskennzeichens für ein Produkt eingehalten werden.
Werden bei der Prüfung Abweichungen von der abgegebenen
Herstellererklärung oder Sicherheitslücken festgestellt, kann das
Bundesamt die geeigneten Maßnahmen zum Schutz des Vertrauens der
Verbraucher in das IT-Sicherheitskennzeichen treffen, insbesondere

1.  Informationen über die Abweichungen oder Sicherheitslücken in
    geeigneter Weise in der Sicherheitsinformation veröffentlichen oder

2.  die Freigabe des IT-Sicherheitskennzeichens widerrufen.

Absatz 7 Satz 2 gilt entsprechend.

(9) Bevor das Bundesamt eine Maßnahme nach Absatz 8 trifft, räumt es
dem Hersteller oder Diensteanbieter Gelegenheit ein, die
festgestellten Abweichungen oder Sicherheitslücken innerhalb eines
angemessenen Zeitraumes zu beseitigen, es sei denn, gewichtige Gründe
der Sicherheit der Produkte erfordern eine sofortige Maßnahme. Die
Befugnis des Bundesamtes zur Warnung nach § 7 bleibt davon unberührt.

Collections: bundestag_gesetze
BSIG-2009
Level: 2.0