Gesetze / Gesetzblätter
Bundesgesetzblatt, Teil I, Jahrgang 2015, S. 1324
BGBl. 2015 I S. 1324 · 38.001 Zeichen · Textauszug aus unserem Bestand.
Textauszug (durchsuchbar)
Gesetz
zur Erhöhung der Sicherheit informationstechnischer Systeme
(IT-Sicherheitsgesetz)*
Vom 17. Juli
Der Bundestag hat das folgende Gesetz beschlos-
sen:
Artikel 1
Änderung des
BSI-Gesetzes
Das BSI-Gesetz vom 14. August 2009 (BGBl. I
S. 2821), das zuletzt durch Artikel 3 Absatz 7 des Ge-
setzes vom 7. August 2013 (BGBl. I S. 3154) geändert
worden ist, wird wie folgt geändert:
1. § 1 wird wie folgt gefasst:
㤠1
Bundesamt für
Sicherheit in der Informationstechnik
Der Bund unterhält ein Bundesamt für Sicherheit
in der Informationstechnik (Bundesamt) als Bun-
desoberbehörde. Das Bundesamt ist zuständig für
die Informationssicherheit auf nationaler Ebene. Es
untersteht dem Bundesministerium des Innern.“
2. Dem § 2 wird folgender Absatz 10 angefügt:
„(10) Kritische Infrastrukturen im Sinne dieses
Gesetzes sind Einrichtungen, Anlagen oder Teile
davon, die
1. den Sektoren Energie, Informationstechnik und
Telekommunikation, Transport und Verkehr, Ge-
sundheit, Wasser, Ernährung sowie Finanz- und
Versicherungswesen angehören und
2. von hoher Bedeutung für das Funktionieren des
Gemeinwesens sind, weil durch ihren Ausfall
oder ihre Beeinträchtigung erhebliche Versor-
* Notifiziert gemäß der Richtlinie 98/34/EG des Europäischen Parla-
ments und des Rates vom 22. Juni 1998 über ein Informationsverfah-
ren auf dem Gebiet der Normen und technischen Vorschriften und der
Vorschriften für die Dienste der Informationsgesellschaft (ABl. L 204
vom 21.07.1998, S. 37), zuletzt geändert durch Artikel 26 Absatz 2 der
Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und
des Rates vom 25. Oktober 2012 (ABl. L 316 vom 14.11.2012, S. 12).
2015
gungsengpässe oder Gefährdungen für die öf-
fentliche Sicherheit eintreten würden.
Die Kritischen Infrastrukturen im Sinne dieses Ge-
setzes werden durch die Rechtsverordnung nach
§ 10 Absatz 1 näher bestimmt.“
3. § 3 wird wie folgt geändert:
a) Absatz 1 Satz 2 wird wie folgt geändert:
aa) In Nummer 2 werden die Wörter „zur Wah-
rung ihrer Sicherheitsinteressen erforderlich
ist“ durch die Wörter „erforderlich ist, sowie
für Dritte, soweit dies zur Wahrung ihrer Si-
cherheitsinteressen erforderlich ist“ ersetzt.
bb) In Nummer 15 werden die Wörter „kritischen
Informationsinfrastrukturen“ durch die Wör-
ter „Sicherheit in der Informationstechnik
Kritischer Infrastrukturen“ und der Punkt am
Ende durch ein Semikolon ersetzt.
cc) Die folgenden Nummern 16 und 17 werden
angefügt:
„16. Aufgaben als zentrale Stelle im Bereich
der Sicherheit in der Informationstech-
nik im Hinblick auf die Zusammenarbeit
mit den zuständigen Stellen im Ausland,
unbeschadet besonderer Zuständigkei-
ten anderer Stellen;
17. Aufgaben nach den §§ 8a und 8b als
zentrale Stelle für die Sicherheit in der
Informationstechnik Kritischer Infra-
strukturen.“
b) Folgender Absatz 3 wird angefügt:
„(3) Das Bundesamt kann Betreiber Kritischer
Infrastrukturen auf deren Ersuchen bei der Si-
cherung ihrer Informationstechnik beraten und
unterstützen oder auf qualifizierte Sicherheits-
dienstleister verweisen.“
4. Die Überschrift von § 4 wird wie folgt gefasst:
㤠4
Zentrale Meldestelle
für die Sicherheit in der
Informationstechnik des Bundes“.
4a. § 5 Absatz 1 wird wie folgt geändert:
a) Satz 4 wird wie folgt gefasst:
„Die Bundesbehörden sind verpflichtet, das
Bundesamt bei Maßnahmen nach Satz 1 zu
unterstützen und hierbei den Zugang des Bun-
desamtes zu behördeninternen Protokolldaten
nach Satz 1 Nummer 1 sowie Schnittstellen-
daten nach Satz 1 Nummer 2 sicherzustellen.“
b) Folgender Satz wird angefügt:
„Protokolldaten der Bundesgerichte dürfen nur
in deren Einvernehmen erhoben werden.“
5. § 7 Absatz 1 Satz 1 wird durch die folgenden Sätze
ersetzt:
„Zur Erfüllung seiner Aufgaben nach § 3 Absatz 1
Satz 2 Nummer 14 kann das Bundesamt
1. die folgenden Warnungen an die Öffentlichkeit
oder an die betroffenen Kreise richten:
a) Warnungen vor Sicherheitslücken in informa-
tionstechnischen Produkten und Diensten,
b) Warnungen vor Schadprogrammen und
c) Warnungen im Falle eines Verlustes von oder
eines unerlaubten Zugriffs auf Daten;
2. Sicherheitsmaßnahmen sowie den Einsatz be-
stimmter Sicherheitsprodukte empfehlen.
Das Bundesamt kann zur Wahrnehmung der Aufga-
ben nach Satz 1 Dritte einbeziehen, wenn dies für
eine wirksame und rechtzeitige Warnung erforder-
lich ist.“
6. Nach § 7 wird folgender § 7a eingefügt:
㤠7a
Untersuchung der
Sicherheit in der Informationstechnik
(1) Das Bundesamt kann zur Erfüllung seiner
Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 14
und 17 auf dem Markt bereitgestellte oder zur
Bereitstellung auf dem Markt vorgesehene informa-
tionstechnische Produkte und Systeme untersu-
chen. Es kann sich hierbei der Unterstützung Dritter
bedienen, soweit berechtigte Interessen des Her-
stellers der betroffenen Produkte und Systeme
dem nicht entgegenstehen.
(2) Die aus den Untersuchungen gewonnenen
Erkenntnisse dürfen nur zur Erfüllung der Aufgaben
nach § 3 Absatz 1 Satz 2 Nummer 1, 14 und 17
genutzt werden. Das Bundesamt darf seine Er-
kenntnisse weitergeben und veröffentlichen, soweit
dies zur Erfüllung dieser Aufgaben erforderlich ist.
Zuvor ist dem Hersteller der betroffenen Produkte
und Systeme mit angemessener Frist Gelegenheit
zur Stellungnahme zu geben.“
6a. § 8 Absatz 1 wird wie folgt gefasst:
„(1) Das Bundesamt erarbeitet Mindeststan-
dards für die Sicherheit der Informationstechnik
des Bundes. Das Bundesministerium des Innern
kann im Benehmen mit dem IT-Rat diese Mindest-
standards ganz oder teilweise als allgemeine Ver-
waltungsvorschriften für alle Stellen des Bundes er-
lassen. Das Bundesamt berät die Stellen des Bun-
des auf Ersuchen bei der Umsetzung und Einhal-
tung der Mindeststandards. Für die in § 2 Absatz 3
Satz 2 genannten Gerichte und Verfassungsorgane
haben die Vorschriften nach diesem Absatz emp-
fehlenden Charakter.“
7. Nach § 8 werden die folgenden §§ 8a bis 8d einge-
fügt:
㤠8a
Sicherheit in der
Informationstechnik Kritischer Infrastrukturen
(1) Betreiber Kritischer Infrastrukturen sind ver-
pflichtet, spätestens zwei Jahre nach Inkrafttreten
der Rechtsverordnung nach § 10 Absatz 1 ange-
messene organisatorische und technische Vorkeh-
rungen zur Vermeidung von Störungen der Verfüg-
barkeit, Integrität, Authentizität und Vertraulichkeit
ihrer informationstechnischen Systeme, Kompo-
nenten oder Prozesse zu treffen, die für die Funk-
tionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der
Stand der Technik eingehalten werden. Organisato-
rische und technische Vorkehrungen sind ange-
messen, wenn der dafür erforderliche Aufwand
nicht außer Verhältnis zu den Folgen eines Ausfalls
oder einer Beeinträchtigung der betroffenen Kriti-
schen Infrastruktur steht.
(2) Betreiber Kritischer Infrastrukturen und ihre
Branchenverbände können branchenspezifische
Sicherheitsstandards zur Gewährleistung der Anfor-
derungen nach Absatz 1 vorschlagen. Das Bundes-
amt stellt auf Antrag fest, ob diese geeignet sind,
die Anforderungen nach Absatz 1 zu gewährleisten.
Die Feststellung erfolgt
1. im Benehmen mit dem Bundesamt für Bevölke-
rungsschutz und Katastrophenhilfe,
2. im Einvernehmen mit der zuständigen Aufsichts-
behörde des Bundes oder im Benehmen mit der
sonst zuständigen Aufsichtsbehörde.
(3) Die Betreiber Kritischer Infrastrukturen haben
mindestens alle zwei Jahre die Erfüllung der Anfor-
derungen nach Absatz 1 auf geeignete Weise nach-
zuweisen. Der Nachweis kann durch Sicherheits-
audits, Prüfungen oder Zertifizierungen erfolgen.
Die Betreiber übermitteln dem Bundesamt eine Auf-
stellung der durchgeführten Audits, Prüfungen oder
Zertifizierungen einschließlich der dabei aufgedeck-
ten Sicherheitsmängel. Das Bundesamt kann bei
Sicherheitsmängeln verlangen:
1. die Übermittlung der gesamten Audit-, Prüfungs-
oder Zertifizierungsergebnisse und
2. im Einvernehmen mit der zuständigen Aufsichts-
behörde des Bundes oder im Benehmen mit der
sonst zuständigen Aufsichtsbehörde die Beseiti-
gung der Sicherheitsmängel.
(4) Das Bundesamt kann zur Ausgestaltung des
Verfahrens der Sicherheitsaudits, Prüfungen und
Zertifizierungen nach Absatz 3 Anforderungen an
die Art und Weise der Durchführung, an die hierüber
auszustellenden Nachweise sowie fachliche und
organisatorische Anforderungen an die prüfende
Stelle nach Anhörung von Vertretern der betroffe-
nen Betreiber und der betroffenen Wirtschafts-
verbände festlegen.
§ 8b
Zentrale Stelle für die Sicherheit
in der Informationstechnik Kritischer Infrastrukturen
(1) Das Bundesamt ist die zentrale Meldestelle
für Betreiber Kritischer Infrastrukturen in Angele-
genheiten der Sicherheit in der Informationstechnik.
(2) Das Bundesamt hat zur Wahrnehmung dieser
Aufgabe
1. die für die Abwehr von Gefahren für die Sicher-
heit in der Informationstechnik wesentlichen In-
formationen zu sammeln und auszuwerten, ins-
besondere Informationen zu Sicherheitslücken,
zu Schadprogrammen, zu erfolgten oder ver-
suchten Angriffen auf die Sicherheit in der Infor-
mationstechnik und zu der dabei beobachteten
Vorgehensweise,
2. deren potentielle Auswirkungen auf die Verfüg-
barkeit der Kritischen Infrastrukturen in Zusam-
menarbeit mit den zuständigen Aufsichtsbehör-
den und dem Bundesamt für Bevölkerungs-
schutz und Katastrophenhilfe zu analysieren,
3. das Lagebild bezüglich der Sicherheit in der In-
formationstechnik der Kritischen Infrastrukturen
kontinuierlich zu aktualisieren und
4. unverzüglich
a) die Betreiber Kritischer Infrastrukturen über
sie betreffende Informationen nach den Num-
mern 1 bis 3,
b) die zuständigen Aufsichtsbehörden und die
sonst zuständigen Behörden des Bundes
über die zur Erfüllung ihrer Aufgaben erforder-
lichen Informationen nach den Nummern 1
bis 3 sowie
c) die zuständigen Aufsichtsbehörden der Län-
der oder die zu diesem Zweck dem Bundes-
amt von den Ländern als zentrale Kontakt-
stellen benannten Behörden über die zur Er-
füllung ihrer Aufgaben erforderlichen Informa-
tionen nach den Nummern 1 bis 3
zu unterrichten.
(3) Die Betreiber Kritischer Infrastrukturen haben
dem Bundesamt binnen sechs Monaten nach In-
krafttreten der Rechtsverordnung nach § 10 Ab-
satz 1 eine Kontaktstelle für die Kommunikations-
strukturen nach § 3 Absatz 1 Satz 2 Nummer 15 zu
benennen. Die Betreiber haben sicherzustellen,
dass sie hierüber jederzeit erreichbar sind. Die
Übermittlung von Informationen durch das Bundes-
amt nach Absatz 2 Nummer 4 erfolgt an diese Kon-
taktstelle.
(4) Betreiber Kritischer Infrastrukturen haben er-
hebliche Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informations-
technischen Systeme, Komponenten oder Prozes-
se, die zu einem Ausfall oder einer Beeinträchtigung
der Funktionsfähigkeit der von ihnen betriebenen
Kritischen Infrastrukturen
1. führen können oder
2. geführt haben,
über die Kontaktstelle unverzüglich an das Bundes-
amt zu melden. Die Meldung muss Angaben zu der
Störung sowie zu den technischen Rahmenbedin-
gungen, insbesondere der vermuteten oder tat-
sächlichen Ursache, der betroffenen Informations-
technik, der Art der betroffenen Einrichtung oder
Anlage sowie zur Branche des Betreibers enthalten.
Die Nennung des Betreibers ist nur dann erforder-
lich, wenn die Störung tatsächlich zu einem Ausfall
oder einer Beeinträchtigung der Funktionsfähigkeit
der Kritischen Infrastruktur geführt hat.
(5) Zusätzlich zu ihrer Kontaktstelle nach Ab-
satz 3 können Betreiber Kritischer Infrastrukturen,
die dem gleichen Sektor angehören, eine gemein-
same übergeordnete Ansprechstelle benennen.
Wurde eine solche benannt, erfolgt der Informati-
onsaustausch zwischen den Kontaktstellen und
dem Bundesamt in der Regel über die gemeinsame
Ansprechstelle.
(6) Soweit erforderlich kann das Bundesamt vom
Hersteller der betroffenen informationstechnischen
Produkte und Systeme die Mitwirkung an der Be-
seitigung oder Vermeidung einer Störung nach
Absatz 4 verlangen. Satz 1 gilt für Störungen bei
Betreibern und Genehmigungsinhabern im Sinne
von § 8c Absatz 3 entsprechend.
(7) Soweit im Rahmen dieser Vorschrift perso-
nenbezogene Daten erhoben, verarbeitet oder ge-
nutzt werden, ist eine über die vorstehenden Ab-
sätze hinausgehende Verarbeitung und Nutzung zu
anderen Zwecken unzulässig. § 5 Absatz 7 Satz 3
bis 8 ist entsprechend anzuwenden. Im Übrigen
sind die Regelungen des Bundesdatenschutzgeset-
zes anzuwenden.
§ 8c
Anwendungsbereich
(1) Die §§ 8a und 8b sind nicht anzuwenden auf
Kleinstunternehmen im Sinne der Empfehlung
2003/361/EC der Kommission vom 6. Mai 2003
betreffend die Definition der Kleinstunternehmen
sowie der kleinen und mittleren Unternehmen (ABl.
L 124 vom 20.5.2003, S. 36). Artikel 3 Absatz 4 der
Empfehlung ist nicht anzuwenden.
(2) § 8a ist nicht anzuwenden auf
1. Betreiber Kritischer Infrastrukturen, soweit sie
ein öffentliches Telekommunikationsnetz betrei-
ben oder öffentlich zugängliche Telekommunika-
tionsdienste erbringen,
2. Betreiber von Energieversorgungsnetzen oder
Energieanlagen im Sinne des Energiewirtschafts-
gesetzes vom 7. Juli 2005 (BGBl. I S. 1970, 3621),
das zuletzt durch Artikel 3 des Gesetzes vom
17. Juli 2015 (BGBl. I S. 1324) geändert worden
ist, in der jeweils geltenden Fassung,
3. Genehmigungsinhaber nach § 7 Absatz 1 des
Atomgesetzes in der Fassung der Bekanntma-
chung vom 15. Juli 1985 (BGBl. I S. 1565), das
zuletzt durch Artikel 2 des Gesetzes vom 17. Juli
2015 (BGBl. I S. 1324) geändert worden ist, in
der jeweils geltenden Fassung für den Geltungs-
bereich der Genehmigung sowie
4. sonstige Betreiber Kritischer Infrastrukturen, so-
weit sie auf Grund von Rechtsvorschriften An-
forderungen erfüllen müssen, die mit den
Anforderungen nach § 8a vergleichbar oder wei-
tergehend sind.
(3) § 8b Absatz 3 bis 5 ist nicht anzuwenden auf
1. Betreiber Kritischer Infrastrukturen, soweit sie
ein öffentliches Telekommunikationsnetz betrei-
ben oder öffentlich zugängliche Telekommunika-
tionsdienste erbringen,
2. Betreiber von Energieversorgungsnetzen oder
Energieanlagen im Sinne des Energiewirtschafts-
gesetzes,
3. Genehmigungsinhaber nach § 7 Absatz 1 des
Atomgesetzes für den Geltungsbereich der Ge-
nehmigung sowie
4. sonstige Betreiber Kritischer Infrastrukturen, die
auf Grund von Rechtsvorschriften Anforderun-
gen erfüllen müssen, die mit den Anforderungen
nach § 8b Absatz 3 bis 5 vergleichbar oder wei-
tergehend sind.
§ 8d
Auskunftsverlangen
(1) Das Bundesamt kann Dritten auf Antrag Aus-
kunft zu den im Rahmen von § 8a Absatz 2 und 3
erhaltenen Informationen sowie zu den Meldungen
nach § 8b Absatz 4 nur erteilen, wenn schutzwür-
dige Interessen des betroffenen Betreibers Kriti-
scher Infrastrukturen dem nicht entgegenstehen
und durch die Auskunft keine Beeinträchtigung
wesentlicher Sicherheitsinteressen zu erwarten ist.
Zugang zu personenbezogenen Daten wird nicht
gewährt.
(2) Zugang zu den Akten des Bundesamtes in
Angelegenheiten nach den §§ 8a und 8b wird nur
Verfahrensbeteiligten gewährt und dies nach Maß-
gabe von § 29 des Verwaltungsverfahrensgeset-
zes.“
8. § 10 wird wie folgt geändert:
a) Dem Absatz 1 wird folgender Absatz 1 vorange-
stellt:
„(1) Das Bundesministerium des Innern be-
stimmt durch Rechtsverordnung, die nicht der
Zustimmung des Bundesrates bedarf, nach An-
hörung von Vertretern der Wissenschaft, der be-
troffenen Betreiber und der betroffenen Wirt-
schaftsverbände im Einvernehmen mit dem Bun-
desministerium für Wirtschaft und Energie, dem
Bundesministerium der Justiz und für Verbrau-
cherschutz, dem Bundesministerium der Finan-
zen, dem Bundesministerium für Arbeit und
Soziales, dem Bundesministerium für Ernährung
und Landwirtschaft, dem Bundesministerium für
Gesundheit, dem Bundesministerium für Verkehr
und digitale Infrastruktur, dem Bundesministe-
rium der Verteidigung und dem Bundesministe-
rium für Umwelt, Naturschutz, Bau und Reaktor-
sicherheit unter Festlegung der in den jeweiligen
Sektoren im Hinblick auf § 2 Absatz 10 Satz 1
Nummer 2 wegen ihrer Bedeutung als kritisch
anzusehenden Dienstleistungen und deren als
bedeutend anzusehenden Versorgungsgrads,
welche Einrichtungen, Anlagen oder Teile davon
als Kritische Infrastrukturen im Sinne dieses Ge-
setzes gelten. Der nach Satz 1 als bedeutend
anzusehende Versorgungsgrad ist anhand von
branchenspezifischen Schwellenwerten für jede
wegen ihrer Bedeutung als kritisch anzusehende
Dienstleistung im jeweiligen Sektor zu bestim-
men. Zugang zu Akten, die die Erstellung oder
Änderung dieser Verordnung betreffen, wird
nicht gewährt.“
b) Der bisherige Absatz 1 wird Absatz 2 und die
Wörter „Wirtschaft und Technologie durch
Rechtsverordnung“ werden durch die Wörter
„Wirtschaft und Energie durch Rechtsverord-
nung, die nicht der Zustimmung des Bundes-
rates bedarf,“ ersetzt.
c) Der bisherige Absatz 2 wird Absatz 3 und in
Satz 3 werden nach dem Wort „Rechtsverord-
nung“ ein Komma und die Wörter „die nicht der
Zustimmung des Bundesrates bedarf,“ einge-
fügt.
9. Die folgenden §§ 13 und 14 werden angefügt:
㤠13
Berichtspflichten
(1) Das Bundesamt unterrichtet das Bundesmi-
nisterium des Innern über seine Tätigkeit.
(2) Die Unterrichtung nach Absatz 1 dient auch
der Aufklärung der Öffentlichkeit durch das Bun-
desministerium des Innern über Gefahren für die Si-
cherheit in der Informationstechnik, die mindestens
einmal jährlich in einem zusammenfassenden Be-
richt erfolgt. § 7 Absatz 1 Satz 3 und 4 ist entspre-
chend anzuwenden.
§ 14
Bußgeldvorschriften
(1) Ordnungswidrig handelt, wer vorsätzlich oder
fahrlässig
1. entgegen § 8a Absatz 1 Satz 1 in Verbindung mit
einer Rechtsverordnung nach § 10 Absatz 1
Satz 1 eine dort genannte Vorkehrung nicht,
nicht richtig, nicht vollständig oder nicht recht-
zeitig trifft,
2. einer vollziehbaren Anordnung nach § 8a Ab-
satz 3 Satz 4
a) Nummer 1 oder
b) Nummer 2
zuwiderhandelt,
3. entgegen § 8b Absatz 3 Satz 1 in Verbindung mit
einer Rechtsverordnung nach § 10 Absatz 1
Satz 1 eine Kontaktstelle nicht oder nicht recht-
zeitig benennt oder
4. entgegen § 8b Absatz 4 Satz 1 Nummer 2 eine
Meldung nicht, nicht richtig, nicht vollständig
oder nicht rechtzeitig macht.
(2) Die Ordnungswidrigkeit kann in den Fällen
des Absatzes 1 Nummer 2 Buchstabe b mit einer
Geldbuße bis zu hunderttausend Euro, in den übri-
gen Fällen des Absatzes 1 mit einer Geldbuße bis
zu fünfzigtausend Euro geahndet werden.
(3) Verwaltungsbehörde im Sinne des § 36 Ab-
satz 1 Nummer 1 des Gesetzes über Ordnungswid-
rigkeiten ist das Bundesamt.“
Artikel 2
Änderung des
Atomgesetzes
Nach § 40 des Atomgesetzes in der Fassung der
Bekanntmachung vom 15. Juli 1985 (BGBl. I S. 1565),
das zuletzt durch Artikel 2 Absatz 14 des Gesetzes vom
1. April 2015 (BGBl. I S. 434) geändert worden ist, wird
folgender § 44b eingefügt:
㤠44b
Meldewesen für die
Sicherheit in der Informationstechnik
Genehmigungsinhaber nach den §§ 6, 7 und 9 haben
Beeinträchtigungen ihrer informationstechnischen Sys-
teme, Komponenten oder Prozesse, die zu einer Ge-
fährdung oder Störung der nuklearen Sicherheit der be-
troffenen kerntechnischen Anlage oder Tätigkeit führen
können oder bereits geführt haben, unverzüglich an das
Bundesamt für Sicherheit in der Informationstechnik als
zentrale Meldestelle zu melden. § 8b Absatz 1, 2 und 7
des BSI-Gesetzes sind entsprechend anzuwenden. Die
Meldung muss Angaben zu der Störung sowie zu den
technischen Rahmenbedingungen, insbesondere der
vermuteten oder tatsächlichen Ursache, und der betrof-
fenen Informationstechnik enthalten. Das Bundesamt
für Sicherheit in der Informationstechnik leitet diese
Meldungen unverzüglich an die für die nukleare Sicher-
heit und Sicherung zuständigen Genehmigungs- und
Aufsichtsbehörden des Bundes und der Länder weiter.“
Artikel 3
Änderung des
Energiewirtschaftsgesetzes
Das Energiewirtschaftsgesetz vom 7. Juli 2005
(BGBl. I S. 1970, 3621), das zuletzt durch Artikel 6 des
Gesetzes vom 21. Juli 2014 (BGBl. I S. 1066) geändert
worden ist, wird wie folgt geändert:
1. § 11 wird wie folgt geändert:
a) Absatz 1a wird wie folgt geändert:
aa) In Satz 1 werden nach dem Wort „Datenver-
arbeitungssysteme,“ die Wörter „die der
Netzsteuerung dienen“ durch die Wörter „die
für einen sicheren Netzbetrieb notwendig
sind“ ersetzt.
bb) Nach Satz 2 wird folgender Satz eingefügt:
„Der Katalog der Sicherheitsanforderungen
enthält auch Regelungen zur regelmäßigen
Überprüfung der Erfüllung der Sicherheits-
anforderungen.“
cc) In dem neuen Satz 4 werden die Wörter „wird
vermutet“ durch die Wörter „liegt vor“ ersetzt.
dd) Der neue Satz 6 wird wie folgt gefasst:
„Zu diesem Zwecke kann die Regulierungs-
behörde nähere Bestimmungen zu Format,
Inhalt und Gestaltung der Dokumentation
nach Satz 4 treffen.“
b) Nach Absatz 1a werden die folgenden Absätze 1b
und 1c eingefügt:
„(1b) Betreiber von Energieanlagen, die durch
Inkrafttreten der Rechtsverordnung gemäß § 10
Absatz 1 des BSI-Gesetzes vom 14. August 2009
(BGBl. I S. 2821), das zuletzt durch Artikel 8 des
Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324)
geändert worden ist, in der jeweils geltenden
Fassung als Kritische Infrastruktur bestimmt wur-
den und an ein Energieversorgungsnetz ange-
schlossen sind, haben binnen zwei Jahren nach
Inkrafttreten der Rechtsverordnung gemäß § 10
Absatz 1 des BSI-Gesetzes einen angemessenen
Schutz gegen Bedrohungen für Telekommunika-
tions- und elektronische Datenverarbeitungssys-
teme zu gewährleisten, die für einen sicheren An-
lagenbetrieb notwendig sind. Die Regulierungs-
behörde erstellt hierzu im Benehmen mit dem
Bundesamt für Sicherheit in der Informations-
technik einen Katalog von Sicherheitsanforderun-
gen und veröffentlicht diesen. Für Telekommuni-
kations- und elektronische Datenverarbeitungs-
systeme von Anlagen nach § 7 Absatz 1 des
Atomgesetzes haben Vorgaben auf Grund des
Atomgesetzes Vorrang. Die für die nukleare
Sicherheit zuständigen Genehmigungs- und Auf-
sichtsbehörden des Bundes und der Länder sind
bei der Erarbeitung des Katalogs von Sicherheits-
anforderungen zu beteiligen. Der Katalog von Si-
cherheitsanforderungen enthält auch Regelungen
zur regelmäßigen Überprüfung der Erfüllung der
Sicherheitsanforderungen. Ein angemessener
Schutz des Betriebs von Energieanlagen im Sinne
von Satz 1 liegt vor, wenn dieser Katalog einge-
halten und dies vom Betreiber dokumentiert wor-
den ist. Die Einhaltung kann von der Bundesnetz-
agentur überprüft werden. Zu diesem Zwecke
kann die Regulierungsbehörde nähere Bestim-
mungen zu Format, Inhalt und Gestaltung der
Dokumentation nach Satz 6 treffen.
(1c) Betreiber von Energieversorgungsnetzen
und Energieanlagen, die durch Inkrafttreten der
Rechtsverordnung gemäß § 10 Absatz 1 des
BSI-Gesetzes als Kritische Infrastruktur bestimmt
wurden, haben dem Bundesamt für Sicherheit in
der Informationstechnik unverzüglich erhebliche
Störungen der Verfügbarkeit, Integrität, Authenti-
zität und Vertraulichkeit ihrer informationstechni-
schen Systeme, Komponenten oder Prozesse zu
melden, die zu einem Ausfall oder einer Beein-
trächtigung der Funktionsfähigkeit des Energie-
versorgungsnetzes oder der betreffenden Ener-
gieanlage führen können oder bereits geführt ha-
ben. Die Meldung muss Angaben zu der Störung
sowie zu den technischen Rahmenbedingungen,
insbesondere der vermuteten oder tatsächlichen
Ursache und der betroffenen Informationstechnik,
enthalten. Die Nennung des Betreibers ist nur
dann erforderlich, wenn die Störung tatsächlich
zu einem Ausfall oder einer Beeinträchtigung der
Funktionsfähigkeit der Kritischen Infrastruktur ge-
führt hat. Das Bundesamt für Sicherheit in der In-
formationstechnik hat die Meldungen unverzüg-
lich an die Bundesnetzagentur weiterzuleiten.
Das Bundesamt für Sicherheit in der Informa-
tionstechnik und die Bundesnetzagentur haben
sicherzustellen, dass die unbefugte Offenbarung
der ihnen nach Satz 1 zur Kenntnis gelangten
Angaben ausgeschlossen wird. Zugang zu den
Akten des Bundesamtes für Sicherheit in der
Informationstechnik sowie zu den Akten der Bun-
desnetzagentur in Angelegenheiten nach den
§§ 11a bis 11c wird nicht gewährt. § 29 des Ver-
waltungsverfahrensgesetzes bleibt unberührt.
§ 8d Absatz 1 des BSI-Gesetzes ist entsprechend
anzuwenden.“
2. § 21e Absatz 5 wird wie folgt geändert:
a) In Satz 1 in dem Satzteil vor Nummer 1 werden
nach den Wörtern „dürfen noch“ die Wörter „bis
zum Zeitpunkt, den eine Rechtsverordnung nach
§ 21i Absatz 1 Nummer 11 bestimmt, mindestens
jedoch“ eingefügt und wird die Angabe „2014“
durch die Angabe „2015“ ersetzt.
b) Satz 3 wird aufgehoben.
3. § 21f Absatz 2 wird wie folgt geändert:
a) In Satz 1 werden nach den Wörtern „können
noch“ die Wörter „bis zum Zeitpunkt, den eine
Rechtsverordnung nach § 21i Absatz 1 Num-
mer 11 bestimmt, mindestens jedoch“ eingefügt
und wird die Angabe „2014“ durch die Angabe
„2015“ ersetzt.
b) Satz 2 wird aufgehoben.
4. In § 21i Absatz 1 Nummer 11 werden die Wörter
„und eine Verlängerung der genannten Frist“ gestri-
chen.
5. In § 59 Absatz 1 Satz 2 werden nach dem Wort „Er-
stellung“ die Wörter „und Überprüfung“ eingefügt
und wird nach der Angabe „§ 11 Absatz 1a“ die An-
gabe „Satz 2“ durch die Angabe „und 1b“ ersetzt.
Artikel 4
Änderung des
Telemediengesetzes
Das Telemediengesetz vom 26. Februar 2007 (BGBl. I
S. 179, 251), das zuletzt durch Artikel 2 Absatz 16 des
Gesetzes vom 1. April 2015 (BGBl. I S. 434) geändert
worden ist, wird wie folgt geändert:
1. § 13 wird wie folgt geändert:
a) Nach Absatz 6 wird folgender Absatz 7 eingefügt:
„(7) Diensteanbieter haben, soweit dies tech-
nisch möglich und wirtschaftlich zumutbar ist,
im Rahmen ihrer jeweiligen Verantwortlichkeit für
geschäftsmäßig angebotene Telemedien durch
technische und organisatorische Vorkehrungen
sicherzustellen, dass
1. kein unerlaubter Zugriff auf die für ihre Teleme-
dienangebote genutzten technischen Einrich-
tungen möglich ist und
2. diese
a) gegen Verletzungen des Schutzes perso-
nenbezogener Daten und
b) gegen Störungen, auch soweit sie durch
äußere Angriffe bedingt sind,
gesichert sind. Vorkehrungen nach Satz 1 müs-
sen den Stand der Technik berücksichtigen. Eine
Maßnahme nach Satz 1 ist insbesondere die An-
wendung eines als sicher anerkannten Verschlüs-
selungsverfahrens.“
b) Der bisherige Absatz 7 wird Absatz 8.
2. In § 16 Absatz 2 Nummer 3 werden nach den Wör-
tern „§ 13 Abs. 4 Satz 1 Nr. 1 bis 4 oder 5“ die Wör-
ter „oder Absatz 7 Satz 1 Nummer 1 oder Nummer 2
Buchstabe a“ eingefügt.
Artikel 5
Änderung des
Telekommunikationsgesetzes
Das Telekommunikationsgesetz vom 22. Juni 2004
(BGBl. I S. 1190), das zuletzt durch Artikel 22 des Ge-
setzes vom 25. Juli 2014 (BGBl. I S. 1266) geändert
worden ist, wird wie folgt geändert:
1. In der Inhaltsübersicht wird die Angabe zu § 109a
wie folgt gefasst:
„§ 109a Daten- und Informationssicherheit“.
2. § 100 Absatz 1 wird wie folgt gefasst:
„(1) Soweit erforderlich, darf der Diensteanbieter
die Bestandsdaten und Verkehrsdaten der Teilneh-
mer und Nutzer erheben und verwenden, um Störun-
gen oder Fehler an Telekommunikationsanlagen zu
erkennen, einzugrenzen oder zu beseitigen. Dies gilt
auch für Störungen, die zu einer Einschränkung der
Verfügbarkeit von Informations- und Kommunika-
tionsdiensten oder zu einem unerlaubten Zugriff auf
Telekommunikations- und Datenverarbeitungssys-
teme der Nutzer führen können.“
3. § 109 wird wie folgt geändert:
a) Nach Absatz 2 Satz 2 wird folgender Satz einge-
fügt:
„Bei Maßnahmen nach Satz 2 ist der Stand der
Technik zu berücksichtigen.“
b) Absatz 4 Satz 7 wird durch die folgenden Sätze
ersetzt:
„Die Bundesnetzagentur überprüft regelmäßig die
Umsetzung des Sicherheitskonzepts. Die Über-
prüfung soll mindestens alle zwei Jahre erfolgen.“
c) Absatz 5 wird wie folgt gefasst:
„(5) Wer ein öffentliches Telekommunikations-
netz betreibt oder öffentlich zugängliche Tele-
kommunikationsdienste erbringt, hat der Bundes-
netzagentur unverzüglich Beeinträchtigungen von
Telekommunikationsnetzen und -diensten mitzu-
teilen, die
1. zu beträchtlichen Sicherheitsverletzungen füh-
ren oder
2. zu beträchtlichen Sicherheitsverletzungen füh-
ren können.
Dies schließt Störungen ein, die zu einer Ein-
schränkung der Verfügbarkeit der über diese
Netze erbrachten Dienste oder einem unerlaubten
Zugriff auf Telekommunikations- und Datenverar-
beitungssysteme der Nutzer führen können. Die
Meldung muss Angaben zu der Störung sowie
zu den technischen Rahmenbedingungen, insbe-
sondere der vermuteten oder tatsächlichen Ursa-
che und zu der betroffenen Informationstechnik
enthalten. Kommt es zu einer beträchtlichen Si-
cherheitsverletzung, kann die Bundesnetzagentur
einen detaillierten Bericht über die Sicherheitsver-
letzung und die ergriffenen Abhilfemaßnahmen
verlangen. Soweit es sich um Sicherheitsverlet-
zungen handelt, die die Informationstechnik
betreffen, leitet die Bundesnetzagentur die einge-
gangenen Meldungen sowie die Informationen zu
den ergriffenen Abhilfemaßnahmen unverzüglich
an das Bundesamt für Sicherheit in der Informa-
tionstechnik weiter. Erforderlichenfalls unterrich-
tet die Bundesnetzagentur die nationalen Regu-
lierungsbehörden der anderen Mitgliedstaaten
der Europäischen Union und die Europäische
Agentur für Netz- und Informationssicherheit über
die Sicherheitsverletzungen. Die Bundesnetz-
agentur kann die Öffentlichkeit unterrichten oder
die nach Satz 1 Verpflichteten zu dieser Unter-
richtung auffordern, wenn sie zu dem Schluss ge-
langt, dass die Bekanntgabe der Sicherheitsver-
letzung im öffentlichen Interesse liegt. § 8d des
BSI-Gesetzes gilt entsprechend. Die Bundesnetz-
agentur legt der Europäischen Kommission, der
Europäischen Agentur für Netz- und Informa-
tionssicherheit und dem Bundesamt für Sicher-
heit in der Informationstechnik einmal pro Jahr
einen zusammenfassenden Bericht über die
eingegangenen Meldungen und die ergriffenen
Abhilfemaßnahmen vor.“
d) In Absatz 6 Satz 1 wird das Wort „Benehmen“
durch das Wort „Einvernehmen“ ersetzt.
e) Folgender Absatz 8 wird angefügt:
„(8) Über aufgedeckte Mängel bei der Erfüllung
der Sicherheitsanforderungen in der Informations-
technik sowie die in diesem Zusammenhang von
der Bundesnetzagentur geforderten Abhilfemaß-
nahmen unterrichtet die Bundesnetzagentur un-
verzüglich das Bundesamt für Sicherheit in der
Informationstechnik.“
4. § 109a wird wie folgt geändert:
a) Die Überschrift wird wie folgt gefasst:
㤠109a
Daten- und Informationssicherheit“.
b) Nach Absatz 3 wird folgender Absatz 4 eingefügt:
„(4) Werden dem Diensteanbieter nach Ab-
satz 1 Störungen bekannt, die von Datenverarbei-
tungssystemen der Nutzer ausgehen, so hat er
die Nutzer, soweit ihm diese bereits bekannt sind,
unverzüglich darüber zu benachrichtigen. Soweit
technisch möglich und zumutbar, hat er die Nut-
zer auf angemessene, wirksame und zugängliche
technische Mittel hinzuweisen, mit denen sie
diese Störungen erkennen und beseitigen kön-
nen.“
c) Der bisherige Absatz 4 wird Absatz 5.
5. § 149 Nummer 21a wird wie folgt gefasst:
„21a. entgegen § 109 Absatz 5 Satz 1 Nummer 1
eine Mitteilung nicht, nicht richtig, nicht voll-
ständig oder nicht rechtzeitig macht,“.
Artikel 6
Änderung des
Bundesbesoldungsgesetzes
Die Anlage I des Bundesbesoldungsgesetzes in der
Fassung der Bekanntmachung vom 19. Juni 2009
(BGBl. I S. 1434), das zuletzt durch Artikel 2 des Geset-
zes vom 13. Mai 2015 (BGBl. I S. 706) geändert worden
ist, wird wie folgt geändert:
1. In der Gliederungseinheit „Besoldungsgruppe B 6“
wird die Angabe „Präsident des Bundesamtes für
Sicherheit in der Informationstechnik“ gestrichen.
2. In der Gliederungseinheit „Besoldungsgruppe B 7“
wird nach der Angabe „Präsident des Bildungszen-
trums der Bundeswehr“ folgende Angabe eingefügt:
„Präsident des Bundesamtes für Sicherheit in der
Informationstechnik“.
Artikel 7
Änderung des
Bundeskriminalamtgesetzes
§ 4 Absatz 1 Satz 1 Nummer 5 des Bundeskriminal-
amtgesetzes vom 7. Juli 1997 (BGBl. I S. 1650), das
zuletzt durch Artikel 3 des Gesetzes vom 20. Juni 2013
(BGBl. I S. 1602) geändert worden ist, wird wie folgt
geändert:
1. In dem Satzteil vor Buchstabe a wird die Angabe
„§ 303b“ durch die Wörter „den §§ 202a, 202b,
202c, 263a, 303a und 303b“ ersetzt.
2. In Buchstabe b werden vor dem Wort „sicherheits-
empfindliche“ die Wörter „Behörden oder Einrich-
tungen des Bundes oder“ eingefügt.
Artikel 8
Weitere Änderung
des BSI-Gesetzes
§ 10 Absatz 3 des BSI-Gesetzes, das zuletzt durch
Artikel 1 dieses Gesetzes geändert worden ist, wird
aufgehoben.
Artikel 9
Änderung des
Gesetzes zur Strukturreform
des Gebührenrechts des Bundes
Artikel 3 Absatz 7 des Gesetzes zur Strukturreform
des Gebührenrechts des Bundes vom 7. August 2013
(BGBl. I S. 3154) wird aufgehoben.
Artikel 10
Evaluierung
Artikel 1 Nummer 2, 7 und 8 sind vier Jahre nach
Inkrafttreten der Rechtsverordnung nach Artikel 1 Num-
mer 8 unter Einbeziehung eines wissenschaftlichen
Sachverständigen, der im Einvernehmen mit dem Deut-
schen Bundestag bestellt wird, zu evaluieren.
Artikel 11
Inkrafttreten
Dieses Gesetz tritt vorbehaltlich des Satzes 2 am Tag
nach der Verkündung in Kraft. Artikel 8 tritt am 14. Au-
gust 2016 in Kraft.
Die verfassungsmäßigen Rechte des Bundesrates
sind gewahrt.
Das vorstehende Gesetz wird hiermit ausgefertigt. Es
ist im Bundesgesetzblatt zu verkünden.
Berlin, den 17. Juli 2015
Der Bundespräsident
Joachim Gauck
Die Bundeskanzlerin
Dr. A n g e l a M e r k e l
Der Bundesminister des Innern
Thomas de Maizière
Herkunft dieses Textes
Quelle: Bundesgesetzblatt, BGBl. 2015 I S. 1324. Gesetze, Verordnungen und amtliche Bekanntmachungen sind amtliche Werke (§ 5 Abs. 1 UrhG) und genießen keinen Urheberrechtsschutz. Der Text ist unverändert wiedergegeben (§ 62 UrhG); Herkunft und Prüfwerte stehen hier (§ 63 UrhG).
Ableitung: issue-pdf-decol ·
Prüfwert des Textes 15f87ee3a23a6945….