Abschnitt 4 - BSI-Zertifizierungs- und -Anerkennungsverordnung (BSIZertV)

V. v. 17.12.2014 BGBl. I S. 2231 (Nr. 61); zuletzt geändert durch Artikel 74 V. v. 19.06.2020 BGBl. I S. 1328
Geltung ab 24.12.2014; FNA: 206-2-1 Öffentliche Informationstechnik

Abschnitt 4 Zertifizierung von IT-Sicherheitsdienstleistern

§ 16 Antrag

(1) Ein Antrag auf Zertifizierung als IT-Sicherheitsdienstleister kann nur von dem IT-Sicherheitsdienstleister gestellt werden, der die Zertifizierung erhalten möchte.

(2) Der Antrag muss neben den nach § 2 erforderlichen Angaben Folgendes enthalten:

1. Angaben zur Rechtsform, Unternehmensstruktur und zu Beteiligungen des Antragstellers,

2. Angaben über die beantragten sachlichen Geltungsbereiche der Zertifizierung,

3. eine Aufstellung der verantwortlichen Mitarbeiter des Antragstellers und ihres jeweiligen Verantwortungsbereiches,

4. Angaben zum Qualitäts- und Informationssicherheitsmanagement sowie, soweit erforderlich, Angaben zur Geheimschutzbetreuung,

5. die Erklärung zur Unabhängigkeit oder Objektivität bezüglich der vorgesehenen Tätigkeiten im Geltungsbereich und

6. die Zustimmung zur Veröffentlichung einer erteilten Zertifizierung nach § 7 Absatz 3 oder den Widerspruch gegen die Veröffentlichung nach § 7 Absatz 5 Satz 1.

§ 17 Mitwirkungsobliegenheiten

(1) Es obliegt dem Antragsteller, im Rahmen des Verfahrens dem Bundesamt oder den vom Bundesamt beauftragten Personen, soweit erforderlich, kostenfrei Zugang zu den Standorten, zu den zur Prüfung vorgesehenen Systemen und zu den Unterlagen nach § 4 zu gewähren.

(2) Während des Verfahrens obliegt es dem Antragsteller, das Bundesamt oder die vom Bundesamt beauftragten Personen kostenfrei durch fachkompetente Vertreter zu unterstützen.

§ 18 Zertifikat

(1) Ein Zertifikat als IT-Sicherheitsdienstleister nach § 9 Absatz 5 des BSI-Gesetzes wird erteilt, wenn

1. die Prüfung und die Bewertung ergeben, dass der IT-Sicherheitsdienstleister die Prüfkriterien nach § 4 Absatz 1 erfüllt, und

2. das Bundesministerium des Innern, für Bau und Heimat nach § 9 Absatz 4 Nummer 2 des BSI-Gesetzes festgestellt hat, dass überwiegende öffentliche Interessen, insbesondere sicherheitspolitische Belange der Bundesrepublik Deutschland, der Erteilung nicht entgegenstehen.

(2) ¹Die Zertifizierung ist vom Bundesamt zu befristen. ²Das Bundesamt setzt die Geltungsdauer für den jeweiligen technischen Geltungsbereich fest.

(3) Das Zertifikat enthält folgende Angaben:

1. Den Namen des IT-Sicherheitsdienstleisters und die Adressen aller zertifizierten Standorte,

2. die Zertifizierungsnummer,

3. die Geltungsdauer der Zertifizierung,

4. den technischen Geltungsbereich oder die technischen Geltungsbereiche der Zertifizierung unter Verweis auf die zugrunde gelegten Standardisierungsnormen,

5. die Angabe der Standardisierungsnormen, die der Begutachtung des IT-Sicherheitsdienstleisters zugrunde lagen,

6. etwaige Nebenbestimmungen nach § 22 sowie

7. Ausstellungsort und -datum des Zertifikats.

(4) ¹Das Bundesamt überprüft regelmäßig, ob die Voraussetzungen für die Zertifizierung nach Absatz 1 weiterhin vorliegen. ²Daneben kann auch jederzeit eine anlassbezogene Überprüfung stattfinden. ³Das Bundesamt entwickelt für diese Überprüfungen Verfahrensbeschreibungen und veröffentlicht diese auf seiner Internetseite.

Text in der Fassung des Artikels 74 Elfte Zuständigkeitsanpassungsverordnung V. v. 19. Juni 2020 BGBl. I S. 1328 m.W.v. 27. Juni 2020