Das BSI hat im August 2026 den Entwurf der Technischen Richtlinie TR-03192 zur Wahlunterstützungssoftware in Version 0.9 zur öffentlichen Kommentierung freigegeben, mit einer Frist bis zum 30. September 2026. Die TR-03192 setzt sicherheitstechnische Mindeststandards für Software, die bei der Ermittlung und Übermittlung vorläufiger Wahlergebnisse bei bundesweiten Parlamentswahlen eingesetzt wird. Für Unternehmen, die solche Systeme entwickeln oder betreiben, signalisiert das BSI damit klare Compliance-Anforderungen. Die öffentliche Kommentierungsphase bietet Herstellern die Möglichkeit, eigene technische Positionen einzubringen, bevor die Richtlinie verbindlich wird.
BSI-Richtlinien 2025: Was Mittelständler bei der Evaluierung und dem Monitoring von Foundation Models beachten müssen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seine technischen Richtlinien rund um KI-Systeme erweitert und aktualisiert. Für mittelständische Unternehmen, die Foundation Models einsetzen oder evaluieren, ergeben sich daraus konkrete Anforderungen an Dokumentation, Prüfprozesse und laufendes Monitoring.
Leitfakt: BSI setzt Rahmen für sichere KI-Evaluierung
Das BSI veröffentlicht fortlaufend Technische Richtlinien, die Anforderungen an den sicheren Einsatz von IT-Systemen definieren, darunter auch solche, die für den Betrieb von KI-Anwendungen relevant sind. Die TR-03185 zum Secure Software Lifecycle etwa adressiert Sicherheitsanforderungen an Software und Hardware über den gesamten Lebenszyklus. Parallel dazu läuft bis zum 30. September 2026 die öffentliche Kommentierungsphase zur TR-03192, die Sicherheitsanforderungen an Wahlunterstützungssoftware behandelt und exemplarisch zeigt, wie das BSI kritische Softwarekategorien durch Technische Richtlinien reguliert. Dieser Ansatz ist strukturell auf weitere Anwendungsbereiche übertragbar, darunter KI-Systeme im Unternehmensumfeld.
Für Mittelständler bedeutet das: Wer Foundation Models einsetzt, sollte die BSI-Richtlinienlandschaft aktiv beobachten und interne Evaluierungs- sowie Monitoringprozesse entsprechend ausrichten.
4 praktische Implikationen für Entscheider im Mittelstand
1. Lebenszyklus-Sicherheit als Pflichtrahmen verstehen
Die BSI TR-03185 zum Secure Software Lifecycle legt fest, dass Sicherheitsanforderungen nicht nur bei der Einführung, sondern über den gesamten Betriebszeitraum eines Systems erfüllt sein müssen. Mittelständler, die Foundation Models über API-Dienste oder eigene Deployments betreiben, sollten prüfen, ob ihre internen Prozesse zur Modellpflege, Versionierung und Sicherheitsprüfung mit diesem Ansatz kompatibel sind. Regelmäßige Neubewertungen des eingesetzten Modells, etwa bei Versionswechseln der Anbieter, sind kein optionales Extra, sondern Bestandteil eines regelkonformen Betriebs. Weiterführende Einordnung zu Sicherheitsanforderungen bietet der Artikel zu den BSI-Richtlinien für sichere KI-Systeme.
2. Dokumentationspflichten frühzeitig einrichten
Die BSI-Richtlinienstruktur sieht für regulierte Softwarekategorien detaillierte Dokumentationsvorgaben vor, wie die Kommentierungsunterlagen zur TR-03192 zeigen. Unternehmen, die Foundation Models in sensiblen Prozessen einsetzen, sollten bereits jetzt Dokumentationsstrukturen aufbauen, die Modellauswahl, Evaluierungskriterien, Testprotokolle und Monitoring-Ergebnisse nachvollziehbar festhalten. Das schafft auch die Grundlage für eine spätere Konformitätsbewertung nach dem EU AI Act. Einen Überblick zu den Konformitätsanforderungen für Foundation Models bietet der Artikel EU AI Act: Konformitätsbewertung für Foundation Models.
3. Monitoring als dauerhaften Prozess etablieren
Ein einmaliger Evaluierungsschritt bei der Einführung eines KI-Systems reicht nicht aus. Das BSI-Modell, das auf kontinuierliche Sicherheitsprüfung über den gesamten Lebenszyklus setzt, verlangt ein laufendes Monitoring auf Verhaltensänderungen, Qualitätsabweichungen und neue Schwachstellen. Für Mittelständler empfiehlt sich der Aufbau einfacher Monitoring-Routinen, zum Beispiel regelmäßige Stichprobentests auf definierten Testsets und die systematische Protokollierung von Ausgaben in kritischen Anwendungsbereichen. Ergänzend dazu sind unabhängige Benchmark-Quellen hilfreich, um Modellleistung einzuschätzen, wie der Vergleich auf Artificial Analysis zeigt.
4. BSI C5-Katalog als Orientierung für Cloud-Dienste nutzen
Wer Foundation Models über Cloud-Plattformen bezieht, sollte den BSI C5-Kriterienkatalog als Referenzrahmen für die Anbieterauswahl heranziehen. Der C5-Katalog definiert Mindestsicherheitsanforderungen für Cloud-Dienste und ist auch für KI-Plattformen relevant. Eine Einordnung der C5-Anforderungen im KI-Kontext bietet der Artikel zum BSI C5-Katalog und KI-Sicherheit. Mittelständler ohne eigene Sicherheitsabteilung können den C5-Katalog als strukturierte Checkliste für Gespräche mit KI-Anbietern nutzen.
Einordnung: Regulatorischer Druck steigt
Die BSI-Aktivitäten stehen nicht isoliert. Mit dem EU AI Act entstehen parallel verbindliche Anforderungen an Transparenz, Risikobewertung und Konformitätsnachweise für KI-Systeme, insbesondere für solche mit höherem Risikopotenzial. Mittelständler, die jetzt in sichere Evaluierungs- und Monitoring-Strukturen investieren, sind besser auf die kommenden Pflichten vorbereitet. Eine Übersicht zur Compliance-Roadmap bietet der Artikel zur EU AI Act Compliance-Roadmap. Zum Grundschutzansatz des BSI speziell für generative KI im Mittelstand liefert dieser Artikel weitere Details: BSI Grundschutz und generative KI.
Quellen
Häufige Fragen
Welche BSI-Technischen Richtlinien sind aktuell für Unternehmen relevant, die Software mit sicherheitskritischen Anforderungen einsetzen?
Das BSI pflegt eine laufend aktualisierte Liste Technischer Richtlinien (TR), geordnet nach Änderungsdatum. Besonders relevant für Unternehmen ist etwa die BSI TR-03185 zum Thema Secure Software Lifecycle, die Anforderungen an sichere Softwareentwicklung und Hardware adressiert. Mittelständische Unternehmen, die KI-Systeme oder sicherheitskritische Software einsetzen, sollten diese Liste regelmäßig prüfen, da Richtlinien fortlaufend aktualisiert und neue Entwürfe zur Kommentierung freigegeben werden.
Was verbirgt sich hinter der BSI TR-03192 und warum ist sie für den öffentlichen Sektor und Technologieanbieter bedeutsam?
Die BSI TR-03192 regelt Anforderungen an Wahlunterstützungssoftware, konkret für die Ermittlung und Übermittlung vorläufiger Wahlergebnisse bei bundesweiten parlamentarischen Wahlen. Im August 2026 wurde Version 0.9 als Entwurf zur öffentlichen Kommentierung freigegeben, die Frist läuft bis zum 30. September 2026. Technologieanbieter, die entsprechende Lösungen entwickeln oder vertreiben, sollten den Konsultationsprozess aktiv begleiten und Stellungnahmen über das offizielle BSI-Kommentierungsformular einreichen.
Wie kann sich mein Unternehmen an der Weiterentwicklung von BSI-Technischen Richtlinien beteiligen?
Das BSI bietet für Entwürfe Technischer Richtlinien strukturierte Kommentierungsverfahren an. Interessierte Unternehmen und Fachleute können offizielle Kommentierungsformulare herunterladen, ausgefüllt an die jeweils zuständigen BSI-Postfächer senden und so fachliche Rückmeldungen einbringen. Für die TR-03192 zur Wahlunterstützungssoftware ist das Postfach sicherheitsberatung-politik@bsi.bund.de zuständig. Solche Beteiligungsverfahren sind der zentrale Kanal, um praxisnahe Anforderungen aus Unternehmensperspektive in verbindliche Standards einfließen zu lassen.
Was regelt die BSI TR-03118 und welche Unternehmen sind davon betroffen?
Die BSI TR-03118 ist eine Prüfspezifikation zur sogenannten TR-PDÜ, also der Technischen Richtlinie zur Produktionsdatenerfassung, Qualitätsprüfung und Übermittlung für Pässe. Sie betrifft Hersteller und Dienstleister, die in die hoheitliche Passdokumentenproduktion eingebunden sind. Für den breiten Mittelstand ist sie nur indirekt relevant, zeigt aber exemplarisch, wie das BSI verbindliche Prüfanforderungen für hochsensible Produktionsprozesse standardisiert.
Wo finde ich aktuelle BSI-Richtlinien und Publikationen, um den Überblick über neue Anforderungen zu behalten?
Das BSI stellt alle Technischen Richtlinien sowie zugehörige Anhänge und Kommentierungsformulare zentral auf seiner Website bereit, gelistet nach Änderungsdatum. Ergänzend erscheint das BSI-Magazin, zuletzt in Ausgabe 01/2025, das aktuelle Schwerpunktthemen aus der IT-Sicherheit für Unternehmen aufgreift. Eine regelmäßige Sichtung beider Quellen ist für Entscheider empfehlenswert, um frühzeitig auf neue oder geänderte Anforderungen reagieren zu können.
Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.
