Ein B3S hilft bei der Umsetzung aktueller sicherheitstechnischer Standards und gibt Rechtssicherheit, was das BSI im jeweiligen Bereich als "Stand der Technik" ansieht.

Die Umsetzung eines bestehenden B3S für die Branche ist für die Betreiber nicht verpflichtend.

Die Anforderungen gemäß § 8a Absatz 1 BSIG können auch auf andere als im B3S beschriebene Weise erfüllt werden.

Ein B3S kann vom Autor unabhängig von einer vorliegenden Eignungsfeststellung veröffentlicht und vom Betreiber angewendet werden.

Im Falle einer fehlenden Eignungsfeststellung durch das BSI bietet ein B3S keine Rechtssicherheit in Bezug auf die Erfüllung des "Stands der Technik" durch die beschriebenen Sicherheitsvorkehrungen.

Die Aufgabe von B3S ist die Bereitstellung von Verfahren und Maßnahmen zur Schaffung eines ausreichenden IT-Sicherheitsniveaus gemäß § 8a Absatz 1 BSIG. B3S helfen damit bei der Dokumentation des Stands der Technik in der jeweiligen Branche.

Gegebenenfalls können B3S daher auch für die Erstellung einer Prüfgrundlage für Prüfungen gemäß § 8a Absatz 3 BSIG verwendet werden. Die Verantwortung für die Zusammenstellung einer passenden Prüfgrundlage liegt beim Prüfer.

Sowohl aktuelle als auch ältere B3S können grundsätzlich für die Erstellung einer Prüfgrundlage herangezogen werden, wie auch andere Standards zur IT-Sicherheit. Der Prüfer muss aber sicherstellen, dass die gewählte Prüfgrundlage geeignet ist, die Umsetzung der Anforderungen nach § 8a Absatz 1 BSIG zu gewährleisten.

"Stand der Technik" ist ein gängiger juristischer Begriff. Da die technische Entwicklung schneller ist als die Gesetzgebung, hat es sich in vielen Rechtsbereichen bewährt, in Gesetzen auf den "Stand der Technik" abzustellen, statt zu versuchen, konkrete technische Anforderungen im Gesetz festzulegen. Was zu einem bestimmten Zeitpunkt Stand der Technik ist, lässt sich zum Beispiel anhand existierender nationaler oder internationaler Standards oder anhand erfolgreich in der Praxis erprobter Vorbilder für den jeweiligen Bereich ermitteln. Da sich die notwendigen technischen Maßnahmen je nach konkreter Fallgestaltung unterscheiden können, ist es nicht möglich, den "Stand der Technik" allgemeingültig und abschließend zu beschreiben.

In der Gesetzesbegründung des IT-SiG ist "Stand der Technik" wie folgt beschrieben:

Auf Grund der weitreichenden gesellschaftlichen Auswirkungen ist bei den technischen und organisatorischen Vorkehrungen der Stand der Technik zu berücksichtigen. Stand der Technik in diesem Sinne ist der Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen, der die praktische Eignung einer Maßnahme zum Schutz der Funktionsfähigkeit von informationstechnischen Systemen, Komponenten oder Prozessen gegen Beeinträchtigungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit gesichert erscheinen lässt. Bei der Bestimmung des Standes der Technik sind insbesondere einschlägige internationale, europäische und nationale Normen und Standards heranzuziehen, aber auch vergleichbare Verfahren, Einrichtungen und Betriebsweisen, die mit Erfolg in der Praxis erprobt wurden. Die Verpflichtung zur Berücksichtigung des Stands der Technik schließt die Möglichkeit zum Einsatz solcher Vorkehrungen nicht aus, die einen ebenso effektiven Schutz wie die anerkannten Vorkehrungen nach dem Stand der Technik bieten.

Die Erstellung eines B3S ist eine Möglichkeit für eine Branche, ausgehend von der Expertise der Betreiber den Stand der Technik für ihre Branche zu formulieren.

Der jeweilige Betreiber einer Kritischen Infrastruktur im Sinne des BSIG ist für die Umsetzung des § 8a Absatz 1 BSIG in der von ihm betriebenen Kritischen Infrastruktur verantwortlich. Lagert er Teile davon an Dritte aus, liegt die Verantwortung für die Umsetzung des § 8a Absatz 1 BSIG weiterhin bei ihm. Es empfiehlt sich hier, Umsetzungsverpflichtungen in die vertraglichen Vereinbarungen mit dem Dritten aufzunehmen.

Gleiches gilt, wenn der Betreiber IT auslagert, die für den Betrieb der Kritischen Infrastruktur erforderlich ist. Der Bezug von sonstigen Dienstleistungen (Einkauf von Strom, Wasser, öffentlicher TK, etc.) gilt nicht als Auslagerung in diesem Sinne, sofern die Leistung nicht selbst Teil der kritischen Dienstleistung ist.

Der Anwendungsbereich des B3S umfasst alle „informationstechnischen Systeme, Komponenten oder Prozesse…, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind“ (§ 8a Absatz 1 BSIG).

Im Gesetz wird nicht unterschieden, wo sich Systeme, Komponenten oder Prozesse befinden oder ob diese an externe Dienstleister ausgelagert sind. Für den Anwendungsbereich ist allein entscheidend, ob sie für die Funktionsfähigkeit der Kritischen Infrastruktur (Anlage) maßgeblich sind.

Das Thema Auslagerung (Outsourcing) wird auch allgemein unter Wie ist mit Dienstleistungen umzugehen, die an Dritte ausgelagert wurden? behandelt.