Ein wichtiger gesetzlicher Auftrag für das BSI besteht in der Prüfung, Bewertung und Zulassung von informationstechnischen Systemen oder Komponenten, die für die Verarbeitung amtlich geheim gehaltener Informationen (Verschlusssachen) beim Bund oder Unternehmen eingesetzt werden sollen. Im BSIG ist dieser Auftrag in § 3 verortet.

Die Grundlage für die Zulassungen bilden § 4 des Sicherheitsüberprüfungsgesetzes (SÜG) sowie die Allgemeine Verwaltungsvorschrift zum materiellen Geheimschutz - kurz Verschlussensachenanweisung (VSA). Sie enthalten die Grundsätze zum Schutz von Verschlusssachen und schreiben die Mitwirkung des BSI fest.

Verschlusssachen können u.a. Produkte, Erkenntnisse oder Dokumente sein, die geheimhaltungsbedürftig sind. Die VSA regelt die Arbeit mit Verschlusssachen (VS) in Bundesbehörden und bundesunmittelbaren öffentlich-rechtlichen Einrichtungen. Das BSI prüft und erteilt Zulassungen von informationstechnischen Systemen auf Basis der § 51 und 52 der VSA.