Deutschland: BSIG

Bei der gemeinsamen Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK), erreichbar über das BSI-Portal. § 32 Abs. 1 BSIG regelt die Stufen: eine frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung binnen 72 Stunden, eine Zwischenmeldung auf Ersuchen des BSI und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist stattdessen eine Fortschrittsmeldung fällig und die Abschlussmeldung nach abschließender Bearbeitung des Vorfalls (§ 32 Abs. 2). Die Pflicht gilt frühestens ab Einrichtung des Meldewegs. Nach § 36 bestätigt das BSI den Eingang unverzüglich und nach Möglichkeit binnen 24 Stunden und bietet auf Ersuchen Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen an.

Nach § 33 Abs. 1 BSIG registrieren sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit. Anzugeben sind Name und Rechtsform, Anschrift und Kontaktdaten einschließlich der öffentlichen IP-Adressbereiche, der Sektor, die Mitgliedstaaten, in denen Dienste erbracht werden, und die zuständigen Aufsichtsbehörden. Betreiber kritischer Anlagen registrieren sich künftig stattdessen nach § 8 KRITIS-Dachgesetz (§ 33 Abs. 2), aber erst, wenn die Rechtsverordnung zur Bestimmung kritischer Anlagen nach diesem Gesetz in Kraft ist; bis dahin gilt nach § 66 die bisherige Fassung von § 33 Abs. 2 weiter, folgen Sie also den aktuellen Hinweisen des BSI. Änderungen sind unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln (§ 33 Abs. 5). Registriert sich eine Einrichtung nicht, kann das BSI die Registrierung im Einvernehmen mit den Aufsichtsbehörden selbst vornehmen (§ 33 Abs. 3), und wer Angaben nicht, nicht richtig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig; nach § 65 droht ein Bußgeld bis zu 500.000 EUR. Bewahren Sie die Registrierungsbestätigung bei Ihren NIS2-Unterlagen auf.

Vor allem Unternehmen der in den Anlagen 1 und 2 zum BSIG genannten Einrichtungsarten, die die Größenschwellen des § 28 erreichen, dazu einige Einrichtungen unabhängig von ihrer Größe. Nach § 28 Abs. 1 gelten als besonders wichtige Einrichtungen unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter sowie Unternehmen einer Einrichtungsart aus Anlage 1 mit mindestens 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. EUR und einer Jahresbilanzsumme von über 43 Mio. EUR. Nach § 28 Abs. 2 gelten als wichtige Einrichtungen unter anderem sonstige Vertrauensdiensteanbieter und Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR. Vernachlässigbare Nebentätigkeiten können unberücksichtigt bleiben (§ 28 Abs. 3), und Zahlen von Partner- oder verbundenen Unternehmen werden bei IT-Unabhängigkeit nicht hinzugerechnet (§ 28 Abs. 4). Das BSI bietet auf seiner Website eine Betroffenheitsprüfung an.

Vor allem Größe, Sektor und Aufsicht, nicht die Kernpflichten. Das BSIG verwendet in § 28 die Begriffe besonders wichtige Einrichtung und wichtige Einrichtung; sie entsprechen den wesentlichen und wichtigen Einrichtungen der NIS2-Richtlinie. Beide müssen die Risikomanagementmaßnahmen nach § 30 ergreifen, erhebliche Sicherheitsvorfälle nach § 32 melden, sich nach § 33 registrieren und die Geschäftsleitungspflichten nach § 38 erfüllen. Die Unterschiede liegen in Aufsicht und Bußgeldern: Gegenüber besonders wichtigen Einrichtungen kann das BSI anlassunabhängig prüfen, Audits anordnen und Nachweise verlangen (§ 61), gegenüber wichtigen Einrichtungen wird es tätig, wenn Tatsachen auf Verstöße hindeuten (§ 62); die Höchstbußgelder nach § 65 sind für besonders wichtige Einrichtungen höher. Betreiber kritischer Anlagen, die stets besonders wichtig sind, haben zusätzliche Pflichten, etwa Systeme zur Angriffserkennung (§ 31) und regelmäßige Nachweise (§ 39).

Weil § 33 Abs. 1 BSIG sie zu den Kontaktdaten zählt, die Einrichtungen übermitteln müssen, damit das BSI Warnungen der richtigen Organisation zuordnen kann. Erfährt das BSI oder ein Partner, dass eine Adresse aus Ihrem Bereich zu einem Botnetz gehört, einen verwundbaren Dienst anbietet oder angegriffen wird, muss es wissen, wem sie gehört, um Sie schnell zu warnen. In der Praxis kennen viele Unternehmen ihre Bereiche nicht auswendig: Sie können vom Internetanbieter zugewiesen, auf Standorte verteilt oder über Cloud-Dienste verstreut sein. Sammeln Sie sie aus Providerverträgen und Routerkonfigurationen, halten Sie fest, welcher Bereich zu welchem Standort gehört, und halten Sie die Liste aktuell, denn Änderungen sind nach § 33 Abs. 5 binnen zwei Wochen zu melden. Die Registrierung berechtigt niemanden, diese Adressen zu scannen oder anzugreifen. NetSenX registriert Sie nicht, aber seine Netzsicht zeigt, welche internen Geräte über welche Adressen nach außen kommunizieren.

Das BSI kann die Registrierung selbst vornehmen und Unterlagen verlangen, und ein Bußgeld ist möglich. Nach § 33 Abs. 3 BSIG kann das BSI die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst durchführen, wenn eine Einrichtung ihrer Pflicht nicht nachkommt. Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Registrierungspflicht nicht erfüllt, muss sie dem BSI nach § 33 Abs. 4 auf Verlangen die für die Bewertung erforderlichen Aufzeichnungen und Auskünfte vorlegen. Wer die erforderlichen Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt nach § 65 Abs. 2 Nr. 6 ordnungswidrig; das kann nach § 65 Abs. 5 mit bis zu 500.000 EUR geahndet werden. Die fehlende Registrierung setzt die übrigen Pflichten auch nicht aus: Risikomanagement und Meldepflichten gelten, weil Sie die Kriterien erfüllen, nicht weil Sie registriert sind. Sind Sie unsicher, ob Sie betroffen sind, nutzen Sie die Betroffenheitsprüfung des BSI und dokumentieren Sie das Ergebnis.

Durch technische Werkzeuge und organisatorische Einbindung unterstützte Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme, wobei die Erkennung durch Abgleich der verarbeiteten Daten mit Informationen und technischen Mustern erfolgt, die auf Angriffe hindeuten. So lautet die Begriffsbestimmung in § 2 Nr. 41 BSIG. § 31 Abs. 2 verpflichtet Betreiber kritischer Anlagen, für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit ihrer kritischen Anlagen maßgeblich sind, solche Systeme einzusetzen; sie müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten, sollten Bedrohungen identifizieren und vermeiden sowie Beseitigungsmaßnahmen vorsehen können und den Stand der Technik einhalten, bei einem Aufwand, der nicht außer Verhältnis zu den Folgen eines Ausfalls steht. Die Definition betont die organisatorische Einbindung: Ein Werkzeug, auf das niemand schaut, genügt nicht. Netzwerkerkennung wie NetSenX kann eine technische Komponente sein; Prozesse, Rollen und Reaktion darum herum sind Ihre Sache.

Nicht unmittelbar: § 31 Abs. 2 BSIG gilt nur für Betreiber kritischer Anlagen. Andere besonders wichtige und wichtige Einrichtungen, darunter viele mittelständische Unternehmen, fallen unter die allgemeinen Risikomanagementmaßnahmen des § 30, die geeignete, verhältnismäßige und wirksame Maßnahmen verlangen, um Störungen zu vermeiden und Auswirkungen von Sicherheitsvorfällen gering zu halten, einschließlich der Bewältigung von Sicherheitsvorfällen (§ 30 Abs. 2 Nr. 2). § 30 nennt Angriffserkennung nicht ausdrücklich, doch Vorfälle zu bewältigen und die 24-Stunden-Stufe des § 32 einzuhalten, ist ohne eine Möglichkeit, sie zu bemerken, schwer; viele Einrichtungen setzen deshalb risikogerecht Erkennung ein. Kunden, die kritische Anlagen betreiben, können sie von Lieferanten auch vertraglich verlangen. Dokumentieren Sie, warum die gewählte Erkennung zu Größe und Risiko passt. NetSenX bietet Netzwerkerkennung in jedem Plan, auch im Free-Plan, und sagt, was es nicht sieht.

Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, dokumentiert und mindestens zehn Bereiche abdeckend. Nach § 30 Abs. 1 müssen besonders wichtige und wichtige Einrichtungen Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden, die sie für ihre Dienste nutzen, und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Für die Verhältnismäßigkeit zählen Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen und ihre gesellschaftlichen und wirtschaftlichen Auswirkungen. Die Einhaltung ist zu dokumentieren. Nach § 30 Abs. 2 sollen die Maßnahmen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen; die Vorschrift nennt die Mindestbereiche, entsprechend Artikel 21 Absatz 2 NIS2, von Risikoanalyse und Vorfallbewältigung bis zur Multi-Faktor-Authentifizierung. Für bestimmte digitale Anbieter hat der EU-Durchführungsrechtsakt Vorrang (§ 30 Abs. 3).

Bis zu 10 Mio. EUR für besonders wichtige und 7 Mio. EUR für wichtige Einrichtungen bei den Hauptverstößen, mit umsatzbezogenen Höchstbeträgen für große Unternehmen. § 65 Abs. 5 BSIG setzt diese Obergrenzen für Verstöße wie das Nichtergreifen der Risikomanagementmaßnahmen nach § 30, deren fehlende Dokumentation, nicht richtige oder nicht rechtzeitige Meldungen nach § 32 und bestimmte Mitteilungspflichten nach § 35. Bei Einrichtungen mit einem weltweiten Gesamtumsatz von mehr als 500 Mio. EUR steigt das Höchstmaß auf 2 % des Umsatzes bei besonders wichtigen und 1,4 % bei wichtigen Einrichtungen (§ 65 Abs. 6 und 7). Andere Verstöße haben niedrigere Obergrenzen, etwa bis zu 500.000 EUR für eine nicht richtige oder nicht rechtzeitige Registrierung und bis zu 100.000 EUR für einige weitere. Das sind Höchstbeträge; die tatsächliche Höhe hängt vom Einzelfall ab. Hinzu kommt über § 38 die Haftung der Geschäftsleitung nach Gesellschaftsrecht.

Ja, gegenüber der Einrichtung, nach den Regeln des Gesellschaftsrechts. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Nach § 38 Abs. 2 haften Geschäftsleitungen, die diese Pflichten verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts; nur wo das Gesellschaftsrecht keine solche Regelung enthält, haften sie nach dem BSIG selbst. Für GmbH und AG gelten damit die bekannten Maßstäbe eines ordentlichen Geschäftsleiters. Zusätzlich kann bei besonders wichtigen Einrichtungen die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, wenn Anordnungen des BSI nicht befolgt werden (§ 61 Abs. 9). Dokumentieren Sie Billigungen, Überprüfungen und Schulungen und prüfen Sie, ob Ihre D&O-Versicherung solche Ansprüche deckt.

Ja, regelmäßig. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken in der Informationssicherheit zu erlangen und deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Stundenzahl, Format oder Zertifikat schreibt das Gesetz nicht vor; wählen Sie also eine Schulung, die zu Branche und Größe passt, und wiederholen Sie sie in sinnvollem Abstand, etwa jährlich und nach größeren Änderungen der Bedrohungslage oder der Rechtslage. Die Pflicht trifft die Mitglieder der Geschäftsleitung persönlich; sie an die IT-Leitung zu delegieren, genügt nicht. Bewahren Sie Teilnahmebescheinigungen und Agenda auf: Das BSI kann die Einhaltung von § 38 Abs. 3 in Audits einbeziehen, die es nach § 61 Abs. 1 für besonders wichtige Einrichtungen anordnet, und bei wichtigen Einrichtungen nach § 62 tätig werden.

Es bestätigt den Eingang und kann helfen, und in manchen Fällen kann es Sie verpflichten, die Öffentlichkeit zu informieren, oder dies selbst tun. Nach § 36 Abs. 1 BSIG übermittelt das BSI der meldenden Einrichtung unverzüglich und nach Möglichkeit binnen 24 Stunden eine Eingangsbestätigung und auf Ersuchen Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen; auf Ersuchen kann es zusätzliche technische Unterstützung leisten. Ist nach § 36 Abs. 2 eine Sensibilisierung der Öffentlichkeit erforderlich, um einen erheblichen Sicherheitsvorfall zu verhindern oder zu bewältigen, oder liegt die Offenlegung anderweitig im öffentlichen Interesse, kann das BSI die Einrichtung nach Anhörung verpflichten, die Öffentlichkeit zu informieren, oder diese selbst informieren. Das BSI nutzt Meldungen außerdem, um andere zu warnen und das Lagebild zu erstellen. Freiwillige Meldungen und Informationsaustausch begründen nach § 30 Abs. 7 keine zusätzlichen Pflichten, die sonst nicht gegolten hätten. Bewahren Sie eine Kopie aller eingereichten Meldungen auf.

Für die NIS2-Kernpflichten weitgehend nicht; für sie gilt DORA. § 28 Abs. 6 BSIG bestimmt, dass die §§ 30, 31, 32, 35, 36, 38 und 39, also Risikomanagement, Angriffserkennung, Meldepflichten, Unterrichtungspflichten, Geschäftsleitungspflichten und Nachweise, nicht für Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 (DORA) gelten und nicht für Unternehmen, für die die DORA-Anforderungen aufgrund des Kreditwesengesetzes oder des Versicherungsaufsichtsgesetzes gelten. Ihr IKT-Risikomanagement und ihre Vorfallmeldungen richten sich nach DORA und werden von der Finanzaufsicht beaufsichtigt. Andere Vorschriften des BSIG, etwa die Registrierung nach § 33, stehen nicht in dieser Liste; prüfen Sie sie gesondert. IKT-Dienstleister dieser Finanzunternehmen sind durch diese Regel nicht befreit: Fallen sie selbst unter das BSIG, gilt es für sie, und DORA erreicht sie über ihre Verträge.

Ja, wenn Sie erfasst sind, in einer Weise, die von Ihrer Kategorie abhängt. Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen, um Risikomanagementmaßnahmen, Meldepflichten und Schulungen der Geschäftsleitung zu prüfen (§ 61 Abs. 1 BSIG); frühestens drei Jahre nach Inkrafttreten kann es auch von anderen besonders wichtigen Einrichtungen Nachweise verlangen (§ 61 Abs. 3); und es kann die Einhaltung selbst überprüfen, mit dem Recht, Geschäftsräume während der üblichen Betriebszeiten zu betreten und Unterlagen einzusehen (§ 61 Abs. 5). Bei wichtigen Einrichtungen prüft das BSI und kann dieselben Maßnahmen treffen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht erfüllt werden (§ 62). Betreiber kritischer Anlagen müssen alle drei Jahre Nachweise durch Audits, Prüfungen oder Zertifizierungen erbringen (§ 39). Halten Sie Ihre Dokumentation der Maßnahmen nach § 30 bereit; § 30 Abs. 1 verlangt sie ohnehin.