Gesetze / Gesetzblätter
Bundesgesetzblatt, Teil I, Jahrgang 2021, S. 1122
BGBl. 2021 I S. 1122 · 96.297 Zeichen · Textauszug aus unserem Bestand.
Textauszug (durchsuchbar)
Zweites Gesetz
zur Erhöhung der Sicherheit informationstechnischer Systeme*
Vom 18.
Der Bundestag hat das folgende Gesetz beschlossen:
Artikel 1
Änderung
des BSI-Gesetzes
Das BSI-Gesetz vom 14. August 2009 (BGBl. I
S. 2821), das zuletzt durch Artikel 73 der Verordnung
vom 19. Juni 2020 (BGBl. I S. 1328) geändert worden
ist, wird wie folgt geändert:
1. § 1 wird wie folgt gefasst:
㤠1
Bundesamt für Sicherheit
in der Informationstechnik
Das Bundesamt für Sicherheit in der Informa-
tionstechnik (Bundesamt) ist eine Bundesober-
behörde im Geschäftsbereich des Bundesministe-
riums des Innern, für Bau und Heimat. Es ist die
zentrale Stelle für Informationssicherheit auf natio-
naler Ebene. Aufgaben gegenüber den Bundes-
ministerien führt das Bundesamt auf Grundlage
wissenschaftlich-technischer Erkenntnisse durch.“
2. § 2 wird wie folgt geändert:
a) Absatz 2 wird wie folgt geändert:
aa) Die folgenden Sätze werden vorangestellt:
„Informationen sowie informationsverar-
beitende Systeme, Komponenten und Pro-
zesse sind besonders schützenswert. Der
Zugriff auf diese darf ausschließlich durch
autorisierte Personen oder Programme er-
folgen. Die Sicherheit in der Informations-
technik und der damit verbundene Schutz
von Informationen und informationsverar-
beitenden Systemen vor Angriffen und un-
autorisierten Zugriffen im Sinne dieses Ge-
setzes erfordert die Einhaltung bestimmter
Sicherheitsstandards zur Gewährleistung
der informationstechnischen Grundwerte
und Schutzziele.“
bb) In dem neuen Satz 4 wird das Wort „Unver-
sehrtheit“ durch das Wort „Integrität“ er-
setzt.
b) Absatz 3 wird wie folgt geändert:
aa) Satz 1 wird wie folgt gefasst:
„Kommunikationstechnik des Bundes im
Sinne dieses Gesetzes ist die Informations-
technik, die von einer oder mehreren Bun-
desbehörden oder im Auftrag einer oder
mehrerer Bundesbehörden betrieben wird
und der Kommunikation oder dem Daten-
* Notifiziert gemäß der Richtlinie (EU) 2015/1535 des Europäischen
Parlaments und des Rates vom 9. September 2015 über ein Informa-
tionsverfahren auf dem Gebiet der technischen Vorschriften und der
Mai 2021
austausch innerhalb einer Bundesbehörde,
der Bundesbehörden untereinander oder
der Bundesbehörden mit Dritten dient.“
bb) In Satz 2 werden vor den Wörtern „der Bun-
desgerichte“ die Wörter „des Bundesverfas-
sungsgerichts“ und ein Komma eingefügt.
c) Nach Absatz 8 wird folgender Absatz 8a einge-
fügt:
„(8a) Protokollierungsdaten im Sinne dieses
Gesetzes sind Aufzeichnungen über technische
Ereignisse oder Zustände innerhalb informa-
tionstechnischer Systeme.“
d) Nach Absatz 9 werden die folgenden Absätze 9a
und 9b eingefügt:
„(9a) IT-Produkte im Sinne dieses Gesetzes
sind Software, Hardware sowie alle einzelnen
oder miteinander verbundenen Komponenten,
die Informationen informationstechnisch verar-
beiten.
(9b) Systeme zur Angriffserkennung im Sinne
dieses Gesetzes sind durch technische Werk-
zeuge und organisatorische Einbindung unter-
stützte Prozesse zur Erkennung von Angriffen
auf informationstechnische Systeme. Die An-
griffserkennung erfolgt dabei durch Abgleich
der in einem informationstechnischen System
verarbeiteten Daten mit Informationen und tech-
nischen Mustern, die auf Angriffe hindeuten.“
e) In Absatz 10 Satz 1 Nummer 1 wird das Wort
„sowie“ durch ein Komma ersetzt und werden
nach dem Wort „Versicherungswesen“ die Wör-
ter „sowie Siedlungsabfallentsorgung“ einge-
fügt.
f) Die folgenden Absätze 13 und 14 werden ange-
fügt:
„(13) Kritische Komponenten im Sinne dieses
Gesetzes sind IT-Produkte,
1. die in Kritischen Infrastrukturen eingesetzt
werden,
2. bei denen Störungen der Verfügbarkeit, Inte-
grität, Authentizität und Vertraulichkeit zu
einem Ausfall oder zu einer erheblichen Be-
einträchtigung der Funktionsfähigkeit Kriti-
scher Infrastrukturen oder zu Gefährdungen
für die öffentliche Sicherheit führen können
und
3. die auf Grund eines Gesetzes unter Verweis
auf diese Vorschrift
a) als kritische Komponente bestimmt wer-
den oder
Vorschriften für die Dienste der Informationsgesellschaft (ABl. L 241 b) eine auf Grund eines Gesetzes als kritisch
vom 17.9.2015, S. 1).
bestimmte Funktion realisieren.
Werden für einen der in Absatz 10 Satz 1 Num-
mer 1 genannten Sektoren keine kritischen Kom-
ponenten und keine kritischen Funktionen, aus
denen kritische Komponenten abgeleitet wer-
den können, auf Grund eines Gesetzes unter
Verweis auf diese Vorschrift bestimmt, gibt es
in diesem Sektor keine kritischen Komponenten
im Sinne dieses Gesetzes.
(14) Unternehmen im besonderen öffent-
lichen Interesse sind Unternehmen, die nicht
Betreiber Kritischer Infrastrukturen nach Ab-
satz 10 sind und
1. die Güter nach § 60 Absatz 1 Nummer 1 und 3
der Außenwirtschaftsverordnung in der je-
weils geltenden Fassung herstellen oder ent-
wickeln,
2. die nach ihrer inländischen Wertschöpfung
zu den größten Unternehmen in Deutschland
gehören und daher von erheblicher volkswirt-
schaftlicher Bedeutung für die Bundesre-
publik Deutschland sind oder die für solche
Unternehmen als Zulieferer wegen ihrer Al-
leinstellungsmerkmale von wesentlicher Be-
deutung sind oder
3. die Betreiber eines Betriebsbereichs der obe-
ren Klasse im Sinne der Störfall-Verordnung
in der jeweils geltenden Fassung sind oder
nach § 1 Absatz 2 der Störfall-Verordnung
diesen gleichgestellt sind.
Die Unternehmen im besonderen öffentlichen
Interesse nach Satz 1 Nummer 2 werden durch
die Rechtsverordnung nach § 10 Absatz 5 be-
stimmt, in der festgelegt wird, welche wirt-
schaftlichen Kennzahlen maßgeblich dafür sind,
dass ein Unternehmen zu den größten Unter-
nehmen in Deutschland im Sinne der Nummer 2
gehört und welche Alleinstellungsmerkmale
maßgeblich dafür sind, dass Zulieferer für sol-
che Unternehmen von wesentlicher Bedeutung
sind.“
3. § 3 Absatz 1 wird wie folgt geändert:
a) Satz 1 wird wie folgt gefasst:
„Das Bundesamt fördert die Sicherheit in der
Informationstechnik mit dem Ziel, die Verfügbar-
keit, Integrität und Vertraulichkeit von Informatio-
nen und deren Verarbeitung zu gewährleisten.“
b) In Satz 2 Nummer 2 wird das Wort „oder“ ge-
strichen.
c) Nach Satz 2 Nummer 5 wird folgende Num-
mer 5a eingefügt:
„5a. Wahrnehmung der Aufgaben und Befug-
nisse nach Artikel 58 Absatz 7 und 8 der
Verordnung (EU) 2019/881 des Euro-
päischen Parlaments und des Rates vom
17. April 2019 über die ENISA (Agentur
der Europäischen Union für Cybersicher-
heit) und über die Zertifizierung der Cyber-
sicherheit von Informations- und Kommu-
nikationstechnik und zur Aufhebung der
Verordnung (EU) Nr. 526/2013 (Rechtsakt
zur Cybersicherheit, ABl. L 151 vom
7.6.2019, S. 15) als nationale Behörde für
die Cybersicherheitszertifizierung;“.
d) Nach Satz 2 Nummer 12 wird folgende Num-
mer 12a eingefügt:
„12a. Beratung und Unterstützung der Stellen
des Bundes in Fragen der Sicherheit in
der Informationstechnik;“.
e) Satz 2 Nummer 14 wird wie folgt gefasst:
„14. Beratung, Information und Warnung der
Stellen des Bundes, der Länder sowie
der Hersteller, Vertreiber und Anwender
in Fragen der Sicherheit in der Informa-
tionstechnik, insbesondere unter Berück-
sichtigung der möglichen Folgen fehlender
oder unzureichender Sicherheitsvorkeh-
rungen;“.
f) Nach Satz 2 Nummer 14 wird folgende Num-
mer 14a eingefügt:
„14a. Verbraucherschutz und Verbraucherinfor-
mation im Bereich der Sicherheit in der
Informationstechnik, insbesondere durch
Beratung und Warnung von Verbrauchern
in Fragen der Sicherheit in der Informa-
tionstechnik und unter Berücksichtigung
der möglichen Folgen fehlender oder un-
zureichender Sicherheitsvorkehrungen;“.
g) Satz 2 Nummer 17 wird wie folgt gefasst:
„17. Aufgaben nach den §§ 8a bis 8c und 8f
als zentrale Stelle für die Sicherheit in
der Informationstechnik Kritischer Infra-
strukturen, digitaler Dienste und der Un-
ternehmen im besonderen öffentlichen In-
teresse;“.
h) In Satz 2 Nummer 18 wird der Punkt am Ende
durch ein Semikolon ersetzt.
i) Dem Satz 2 werden die folgenden Nummern 19
und 20 angefügt:
„19. Empfehlungen für Identifizierungs- und
Authentisierungsverfahren und Bewer-
tung dieser Verfahren im Hinblick auf die
Informationssicherheit;
20. Beschreibung und Veröffentlichung eines
Stands der Technik bei sicherheitstech-
nischen Anforderungen an IT-Produkte
unter Berücksichtigung bestehender Nor-
men und Standards sowie Einbeziehung
der betroffenen Wirtschaftsverbände.“
4. Nach § 4 werden die folgenden §§ 4a und 4b ein-
gefügt:
㤠4a
Kontrolle der
Kommunikationstechnik
des Bundes, Betretensrechte
(1) Das Bundesamt ist befugt, die Sicherheit der
Kommunikationstechnik des Bundes und ihrer
Komponenten, einschließlich technischer Infra-
strukturen, die zum Betrieb der Kommunikations-
technik des Bundes erforderlich sind, zu kontrollie-
ren. Es kann hierzu die Bereitstellung der zur
Erfüllung der Aufgaben nach § 3 Absatz 1 Satz 2
Nummer 1 und 14 erforderlichen Informationen,
insbesondere zu technischen Details, zu Strate-
gien, Planungen und Regelungen mit Bezug zur
Kommunikationstechnik des Bundes einschließlich
Aufbau- und Ablauforganisation verlangen sowie
Unterlagen und Datenträger des Betreibers der je-
weiligen Kommunikationstechnik des Bundes oder
eines mit Betriebsleistungen beauftragten Dritten
einsehen und die unentgeltliche Herausgabe von
Kopien dieser Unterlagen und Dokumente, auch
in elektronischer Form, verlangen, soweit nicht Ge-
heimschutzinteressen oder überwiegende Sicher-
heitsinteressen des Betreibers im Sinne des Sat-
zes 2 entgegenstehen.
(2) Dem Bundesamt ist in den Zeiten, zu denen
die Räume normalerweise für die jeweilige ge-
schäftliche oder betriebliche Nutzung zur Verfü-
gung stehen, zu den Grundstücken und Betriebs-
räumen, einschließlich Datenverarbeitungsanlagen
und -geräten, die für die Kommunikationstechnik
des Bundes verwendet werden, Zugang zu gewäh-
ren, soweit dies zur Erfüllung der Zwecke nach Ab-
satz 1 erforderlich ist.
(3) Bei Einrichtungen eines Dritten, bei dem eine
Schnittstelle zur Kommunikationstechnik des Bun-
des besteht, kann das Bundesamt auf der Schnitt-
stellenseite der Einrichtung nur mit Zustimmung
des Dritten die Sicherheit der Schnittstelle kontrol-
lieren. Es kann hierzu mit Zustimmung des Dritten
die zur Aufgabenerfüllung erforderlichen Informa-
tionen, insbesondere zu technischen Details, zu
Strategien, Planungen und Regelungen sowie Un-
terlagen und Datenträger des Betreibers einsehen
und unentgeltlich Kopien, auch in elektronischer
Form, anfertigen.
(4) Das Bundesamt teilt das Ergebnis seiner Kon-
trolle nach den Absätzen 1 bis 3 dem jeweiligen
überprüften Betreiber sowie im Falle einer öffent-
lichen Stelle des Bundes der zuständigen Rechts-
und Fachaufsicht mit. Mit der Mitteilung soll es
Vorschläge zur Verbesserung der Informations-
sicherheit, insbesondere zur Beseitigung der fest-
gestellten Mängel, verbinden.
(5) Ausgenommen von den Befugnissen nach
den Absätzen 1 bis 3 sind Kontrollen der Auslands-
informations- und -kommunikationstechnik im
Sinne des § 9 Absatz 2 des Gesetzes über den
Auswärtigen Dienst, soweit sie ausschließlich im
Ausland belegen ist oder für das Ausland oder für
Anwender im Ausland betrieben wird. Die Bestim-
mungen für die Schnittstellen der Kommunika-
tionstechnik des Bundes im Inland bleiben davon
unberührt. Näheres zu Satz 1 regelt eine Verwal-
tungsvereinbarung zwischen dem Bundesministe-
rium des Innern, für Bau und Heimat und dem Aus-
wärtigen Amt.
(6) Die Befugnisse nach den Absätzen 1 bis 3
gelten im Geschäftsbereich des Bundesministe-
riums der Verteidigung nicht für die Kontrolle der
Informations- und Kommunikationstechnik, die von
den Streitkräften für ihre Zwecke oder dem
Militärischen Abschirmdienst genutzt wird. Nicht
ausgenommen ist die Informations- und Kommu-
nikationstechnik von Dritten, insbesondere von IT-
Dienstleistern, soweit sie nicht ausschließlich für
die Zwecke der Streitkräfte betrieben wird. Die Be-
stimmungen für die Schnittstellen der Kommunika-
tionstechnik des Bundes bleiben von den Sätzen 1
und 2 unberührt. Näheres regelt eine Verwaltungs-
vereinbarung zwischen dem Bundesministerium
des Innern, für Bau und Heimat und dem Bundes-
ministerium der Verteidigung.
§ 4b
Allgemeine Meldestelle für
die Sicherheit in der Informationstechnik
(1) Zur Wahrnehmung der Aufgaben nach § 3
nimmt das Bundesamt als zentrale Stelle für Mel-
dungen von Dritten Informationen über Sicher-
heitsrisiken in der Informationstechnik entgegen
und wertet diese Informationen aus.
(2) Das Bundesamt nimmt zur Wahrnehmung
der Aufgaben nach Absatz 1 Informationen zu
Sicherheitslücken, Schadprogrammen, erfolgten
oder versuchten Angriffen auf die Sicherheit in der
Informationstechnik und der dabei beobachteten
Vorgehensweisen entgegen. Das Bundesamt rich-
tet hierzu geeignete Meldemöglichkeiten ein. Die
Meldungen können anonym erfolgen. Soweit die
Meldung nicht anonym erfolgt, kann der Meldende
mit der Meldung oder später verlangen, dass seine
personenbezogenen Daten nur anonymisiert weiter-
gegeben werden dürfen. Dies gilt nicht in den Fäl-
len des § 5 Absatz 5 und 6 Satz 1. Eine Übermitt-
lung der personenbezogenen Daten in den Fällen
von § 5 Absatz 5 und 6 Satz 1 hat zu unterbleiben,
wenn für das Bundesamt erkennbar ist, dass die
schutzwürdigen Interessen des Meldenden das All-
gemeininteresse an der Übermittlung überwiegen.
Zu berücksichtigen ist dabei auch die Art und
Weise, mittels derer der Meldende die Erkennt-
nisse gewonnen hat. Die Entscheidung nach Satz 6
muss dem oder der behördlichen Datenschutz-
beauftragten des Bundesamtes sowie einem oder
einer weiteren Bediensteten des Bundesamtes, der
oder die die Befähigung zum Richteramt hat, zur
vorherigen Prüfung vorgelegt werden.
(3) Das Bundesamt soll die gemäß Absatz 2 ge-
meldeten Informationen nutzen, um
1. Dritte über bekannt gewordene Sicherheits-
lücken, Schadprogramme, erfolgte oder ver-
suchte Angriffe auf die Sicherheit in der Infor-
mationstechnik zu informieren, soweit dies zur
Wahrung ihrer Sicherheitsinteressen erforderlich
ist,
2. die Öffentlichkeit oder betroffene Kreise gemäß
§ 7 zu warnen und zu informieren,
3. Bundesbehörden gemäß § 4 Absatz 2 Nummer 2
über die sie betreffenden Informationen zu un-
terrichten,
4. Betreiber Kritischer Infrastrukturen und Unter-
nehmen im öffentlichen Interesse gemäß § 8b
Absatz 2 Nummer 4 Buchstabe a über die sie
betreffenden Informationen zu unterrichten.
(4) Eine Weitergabe nach Absatz 3 Nummer 1, 2
oder 4 erfolgt nicht, soweit die gemäß Absatz 2 ge-
meldeten Informationen
1. Betriebs- und Geschäftsgeheimnisse von Drit-
ten beinhalten und die Maßnahmen nach Ab-
satz 3 nicht ohne Bekanntgabe dieser Betriebs-
und Geschäftsgeheimnisse durchgeführt werden
können oder
2. auf Grund von Vereinbarungen des Bundesam-
tes mit Dritten nicht übermittelt werden dürfen.
(5) Sonstige gesetzliche Meldepflichten, Rege-
lungen zum Geheimschutz, gesetzliche Übermitt-
lungshindernisse und Übermittlungsregelungen
bleiben unberührt.“
5. § 5 wird wie folgt geändert:
a) Absatz 2 wird wie folgt gefasst:
„(2) Protokolldaten nach Absatz 1 Satz 1
Nummer 1 dürfen über den für die automati-
sierte Auswertung nach Absatz 1 Satz 1 Num-
mer 1 erforderlichen Zeitraum hinaus, längstens
jedoch für 18 Monate, gespeichert werden, so-
weit tatsächliche Anhaltspunkte dafür bestehen,
dass diese im Falle der Bestätigung eines Ver-
dachts nach Absatz 3 Satz 2 zur Abwehr von
Gefahren, die von dem gefundenen Schadpro-
gramm ausgehen oder zur Erkennung und Ab-
wehr anderer Schadprogramme erforderlich
sein können. Durch organisatorische und tech-
nische Maßnahmen ist sicherzustellen, dass
eine Auswertung der nach diesem Absatz ge-
speicherten Daten nur automatisiert erfolgt und
dass ein Zugriff auf Daten, die länger als drei
Monate gespeichert sind, nur bei Vorliegen
tatsächlicher Erkenntnisse über die Betroffen-
heit des Bundes mit einem Schadprogramm er-
folgt. Die Daten sind zu pseudonymisieren, so-
weit dies automatisiert möglich ist. Eine nicht
automatisierte Verarbeitung ist nur nach Maß-
gabe der nachfolgenden Absätze zulässig. So-
weit hierzu die Wiederherstellung pseudony-
misierter Protokolldaten erforderlich ist, muss
diese durch die Präsidentin oder den Präsiden-
ten des Bundesamtes oder die Vertretung im
Amt angeordnet werden. Die Entscheidung ist
zu dokumentieren.“
b) Nach Absatz 2 wird folgender Absatz 2a einge-
fügt:
„(2a) Protokolldaten dürfen vor ihrer Pseudo-
nymisierung und Speicherung nach Absatz 2 zur
Sicherstellung einer fehlerfreien automatisierten
Auswertung manuell verarbeitet werden. Liegen
Hinweise vor, dass die fehlerfreie automatisierte
Auswertung wegen eines erheblichen Fehlers
erschwert wird, darf der Personenbezug von
Protokolldaten zur Sicherstellung der fehler-
freien automatisierten Auswertung wiederherge-
stellt werden, sofern dies im Einzelfall erforder-
lich ist. Absatz 2 Satz 3 bis 6 gilt entsprechend.“
6. Nach § 5 wird folgender § 5a eingefügt:
㤠5a
Verarbeitung
behördeninterner Protokollierungsdaten
Das Bundesamt darf zur Abwehr von Gefahren für
die Kommunikationstechnik des Bundes und ihrer
Komponenten, einschließlich technischer Infrastruk-
turen, die zum Betrieb der Kommunikationstechnik
des Bundes erforderlich sind, Protokollierungsda-
ten, die durch den Betrieb von Kommunikations-
technik des Bundes anfallen, verarbeiten, soweit
dies zum Erkennen, Eingrenzen oder Beseitigen
von Störungen, Fehlern oder Sicherheitsvorfällen
in der Kommunikationstechnik des Bundes oder
von Angriffen auf die Informationstechnik des Bun-
des erforderlich ist und Geheimschutzinteressen
oder überwiegende Sicherheitsinteressen der be-
troffenen Stellen nicht entgegenstehen. Die Bun-
desbehörden sind verpflichtet, das Bundesamt
bei Maßnahmen nach Satz 1 zu unterstützen und
hierbei den Zugang des Bundesamtes zu behör-
deninternen Protokollierungsdaten nach Satz 1
sicherzustellen. Hierzu dürfen sie dem Bundesamt
die entsprechenden Protokollierungsdaten über-
mitteln. § 5 Absatz 1 Satz 5, Absatz 2 bis 4, 8
und 9 gilt entsprechend. § 4a Absatz 6 gilt für die
Verpflichtung nach Satz 2 entsprechend.“
7. Der bisherige § 5a wird § 5b und wird wie folgt
geändert:
a) In Absatz 1 Satz 1 werden nach den Wörtern
„Kritischen Infrastruktur“ die Wörter „oder eines
Unternehmens im besonderen öffentlichen Inte-
resse“ eingefügt.
b) Dem Absatz 7 wird folgender Satz angefügt:
„Ein begründeter Einzelfall liegt in der Regel vor,
wenn eine Stelle eines Landes betroffen ist.“
c) In Absatz 8 wird die Angabe „§ 5a“ durch die
Angabe „§ 5b“ ersetzt.
8. Nach § 5b wird folgender § 5c eingefügt:
㤠5c
Bestandsdatenauskunft
(1) Das Bundesamt darf zur Erfüllung seiner ge-
setzlichen Aufgabe nach § 3 Absatz 1 Satz 1 Num-
mer 1, 2, 14, 17 oder 18 von demjenigen, der ge-
schäftsmäßig Telekommunikationsdienste erbringt
oder daran mitwirkt, über die nach den §§ 95
und 111 des Telekommunikationsgesetzes erhobe-
nen Daten (§ 113 Absatz 1 Satz 1 des Telekommu-
nikationsgesetzes) Auskunft verlangen. Die Aus-
kunft nach Satz 1 darf nur verlangt werden zum
Schutz der Versorgung der Bevölkerung in den Be-
reichen des § 2 Absatz 10 Satz 1 Nummer 1 oder
der öffentlichen Sicherheit, um damit eine Beein-
trächtigung der Sicherheit oder Funktionsfähigkeit
informationstechnischer Systeme
1. einer Kritischen Infrastruktur oder
2. eines Unternehmens von besonderem öffent-
lichem Interesse
abzuwenden, wenn Tatsachen den Schluss auf ein
wenigstens seiner Art nach konkretisiertes und
zeitlich absehbares Geschehen zulassen, das auf
die informationstechnischen Systeme bestimm-
barer Infrastrukturen oder Unternehmen abzielen
wird, und die in die Auskunft aufzunehmenden Da-
ten im Einzelfall erforderlich sind, um die Betroffe-
nen nach Absatz 4 vor dieser Beeinträchtigung zu
warnen, über diese zu informieren oder sie bei de-
ren Beseitigung zu beraten oder zu unterstützen.
(2) Die Auskunft nach Absatz 1 darf auch anhand
einer zu einem bestimmten Zeitpunkt zugewiesenen
Internetprotokoll-Adresse verlangt werden (§ 113
Absatz 1 Satz 3, § 113c Absatz 1 Nummer 3 des
Telekommunikationsgesetzes). Die rechtlichen und
tatsächlichen Grundlagen des Auskunftsverlan-
gens sind aktenkundig zu machen.
(3) Der auf Grund eines Auskunftsverlangens
Verpflichtete hat die zur Auskunftserteilung
erforderlichen Daten unverzüglich und vollständig
zu übermitteln.
(4) Nach erfolgter Auskunft weist das Bundes-
amt den Betreiber der betroffenen Kritischen Infra-
struktur oder das betroffene Unternehmen im be-
sonderen öffentlichen Interesse auf die bei ihm
drohenden Beeinträchtigungen hin. Nach Möglich-
keit weist das Bundesamt den Betreiber der betrof-
fenen Kritischen Infrastruktur oder das betroffene
Unternehmen im besonderen öffentlichen Interesse
auf technische Mittel hin, mittels derer die festge-
stellten Beeinträchtigungen durch den Betreiber
der betroffenen Kritischen Infrastruktur oder das
betroffene Unternehmen im besonderen öffent-
lichen Interesse selbst beseitigt werden können.
(5) Das Bundesamt kann personenbezogene
Daten, die es im Rahmen dieser Vorschrift verar-
beitet, entsprechend § 5 Absatz 5 und 6 übermit-
teln.
(6) In den Fällen des Absatzes 2 ist die betrof-
fene Person über die Auskunft zu benachrichtigen.
Im Falle der Weitergabe der Information nach § 5
Absatz 5 oder wenn Tatsachen die Annahme recht-
fertigen, dass die Voraussetzungen einer Weiter-
gabe nach § 5 Absatz 5 vorliegen, ergeht darüber
keine Benachrichtigung an die betroffene Person,
sofern und solange überwiegende schutzwürdige
Belange Dritter entgegenstehen. Wird nach Satz 2
die Benachrichtigung zurückgestellt oder wird von
ihr abgesehen, sind die Gründe aktenkundig zu
machen.
(7) Das Bundesamt unterrichtet die Bundesbe-
auftragte oder den Bundesbeauftragten für den
Datenschutz und die Informationsfreiheit jeweils
bis zum 30. Juni des dem Berichtsjahr folgenden
Jahres über
1. die Gesamtzahl der Vorgänge, in denen Daten
nach Absatz 1 oder Absatz 2 an das Bundesamt
übermittelt wurden und
2. die Übermittlungen nach Absatz 5.
(8) Das Bundesamt hat den Verpflichteten für
ihm erteilte Auskünfte eine Entschädigung zu ge-
währen. Der Umfang der Entschädigung bemisst
sich nach § 23 und Anlage 3 des Justizvergütungs-
und -entschädigungsgesetzes; die Vorschriften
über die Verjährung in § 2 Absatz 1 und 4 des Jus-
tizvergütungs- und -entschädigungsgesetzes fin-
den entsprechende Anwendung.“
9. § 7 wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) Satz 1 wird wie folgt geändert:
aaa) In dem Wortlaut vor Nummer 1 werden
nach den Wörtern „§ 3 Absatz 1 Satz 2
Nummer 14“ die Wörter „und 14a“ ein-
gefügt.
bbb) Nummer 1 wird wie folgt gefasst:
„1. die folgenden Warnungen und In-
formationen an die Öffentlichkeit
oder an die betroffenen Kreise
richten:
a) Warnungen vor Sicherheitslü-
cken in informationstechnischen
Produkten und Diensten,
b) Warnungen vor Schadprogram-
men,
c) Warnungen bei einem Verlust
oder einem unerlaubten Zugriff
auf Daten und
d) Informationen über sicherheits-
relevante IT-Eigenschaften von
Produkten.“
bb) Die Sätze 3 und 4 werden aufgehoben.
b) Nach Absatz 1 wird folgender Absatz 1a einge-
fügt:
„(1a) Die Hersteller betroffener Produkte sind
rechtzeitig vor Veröffentlichung der Warnungen
zu informieren. Diese Informationspflicht be-
steht nicht,
1. wenn hierdurch die Erreichung des mit der
Maßnahme verfolgten Zwecks gefährdet wird
oder
2. wenn berechtigterweise davon ausgegangen
werden kann, dass der Hersteller an einer
vorherigen Benachrichtigung kein Interesse
hat.
Soweit entdeckte Sicherheitslücken oder Schad-
programme nicht allgemein bekannt werden
sollen, um eine Weiterverbreitung oder rechts-
widrige Ausnutzung zu verhindern oder weil
das Bundesamt gegenüber Dritten zur Vertrau-
lichkeit verpflichtet ist, kann es den Kreis der zu
warnenden Personen einschränken. Kriterien für
die Auswahl des zu warnenden Personenkreises
nach Satz 3 sind insbesondere die besondere
Gefährdung bestimmter Einrichtungen oder die
besondere Zuverlässigkeit des Empfängers.“
c) Absatz 2 Satz 1 wird wie folgt gefasst:
„Zur Erfüllung seiner Aufgaben nach § 3 Ab-
satz 1 Satz 2 Nummer 14 und 14a kann das
Bundesamt die Öffentlichkeit unter Nennung
der Bezeichnung und des Herstellers des be-
troffenen Produkts und Dienstes vor Sicher-
heitslücken in informationstechnischen Produk-
ten und Diensten und vor Schadprogrammen
warnen, wenn hinreichende Anhaltspunkte dafür
vorliegen, dass Gefahren für die Sicherheit in
der Informationstechnik hiervon ausgehen, oder
Sicherheitsmaßnahmen sowie den Einsatz be-
stimmter informationstechnischer Produkte und
Dienste empfehlen.“
10. § 7a wird wie folgt gefasst:
㤠7a
Untersuchung der
Sicherheit in der Informationstechnik
(1) Das Bundesamt kann zur Erfüllung seiner
Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1,
14, 14a, 17 oder 18 auf dem Markt bereitgestellte
oder zur Bereitstellung auf dem Markt vorgesehene
informationstechnische Produkte und Systeme un-
tersuchen. Es kann sich hierbei der Unterstützung
Dritter bedienen, soweit berechtigte Interessen des
Herstellers der betroffenen Produkte und Systeme
dem nicht entgegenstehen.
(2) Soweit erforderlich, kann das Bundesamt für
Untersuchungen nach Absatz 1 von Herstellern in-
formationstechnischer Produkte und Systeme alle
notwendigen Auskünfte, insbesondere auch zu
technischen Details, verlangen. In dem Auskunfts-
verlangen gibt das Bundesamt die Rechtsgrundla-
ge, den Zweck des Auskunftsverlangens und die
benötigten Auskünfte an und legt eine angemes-
sene Frist für die Übermittlung der Auskünfte fest.
Das Auskunftsverlangen enthält ferner einen Hin-
weis auf die in § 14 vorgesehenen Sanktionen.
(3) Das Bundesamt gibt Auskünfte sowie die
aus den Untersuchungen gewonnen Erkenntnisse
unverzüglich an die zuständigen Aufsichtsbehör-
den des Bundes oder, sofern keine Aufsichts-
behörde vorhanden ist, an das jeweilige Ressort
weiter, wenn Anhaltspunkte bestehen, dass diese
sie zur Erfüllung ihrer Aufgaben benötigen.
(4) Die Auskünfte und die aus den Untersuchun-
gen gewonnenen Erkenntnisse dürfen nur zur Erfül-
lung der Aufgaben nach § 3 Absatz 1 Satz 2 Num-
mer 1, 14, 14a, 17 und 18 genutzt werden. Das
Bundesamt darf seine Erkenntnisse weitergeben
und veröffentlichen, soweit dies zur Erfüllung der
Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1,
14, 14a, 17 und 18 erforderlich ist. Zuvor ist dem
Hersteller der betroffenen Produkte und Systeme
mit angemessener Frist Gelegenheit zur Stellung-
nahme zu geben.
(5) Kommt ein Hersteller der Aufforderung des
Bundesamtes nach Absatz 2 Satz 1 nicht oder nur
unzureichend nach, kann das Bundesamt hierüber
die Öffentlichkeit informieren. Es kann hierbei den
Namen des Herstellers sowie die Bezeichnung des
betroffenen Produkts oder Systems angeben und
darlegen, inwieweit der Hersteller seiner Aus-
kunftspflicht nicht nachgekommen ist. Zuvor ist
dem Hersteller mit angemessener Frist Gelegenheit
zur Stellungnahme zu gewähren. § 7 Absatz 2
Satz 2 gilt entsprechend.“
11. Nach § 7a werden die folgenden §§ 7b bis 7d ein-
gefügt:
㤠7b
Detektion von
Sicherheitsrisiken für die Netz-
und IT-Sicherheit und von Angriffsmethoden
(1) Das Bundesamt kann im Rahmen seiner Auf-
gaben nach § 3 Absatz 1 Satz 2 Nummer 1, 2, 14
oder 17 zur Detektion von Sicherheitslücken und
anderen Sicherheitsrisiken bei Einrichtungen des
Bundes oder der in § 2 Absatz 10, 11 und 14
genannten Unternehmen Maßnahmen an den
Schnittstellen öffentlich erreichbarer informations-
technischer Systeme zu öffentlichen Telekommu-
nikationsnetzen (Portscans) durchführen, wenn
Tatsachen die Annahme rechtfertigen, dass diese
ungeschützt im Sinne des Absatzes 2 sein können
und dadurch in ihrer Sicherheit oder Funktionsfä-
higkeit gefährdet sein können. Die Maßnahmen
müssen sich auf einen vorher bestimmten Bereich
von Internet-Protokolladressen, die regelmäßig
den informationstechnischen Systemen
1. des Bundes oder
2. Kritischer Infrastrukturen, digitaler Dienste und
der Unternehmen im besonderen öffentlichen
Interesse
zugeordnet sind (Weiße Liste), beschränken. Die
Weiße Liste ist stetig durch geeignete Überprüfun-
gen anzupassen, um Änderungen bei der Zuord-
nung von Internetprotokoll-Adressen zu den in
den Nummern 1 und 2 bezeichneten Stellen zu be-
rücksichtigen. Erlangt das Bundesamt dabei Infor-
mationen, die durch Artikel 10 des Grundgesetzes
geschützt sind, darf es diese nur zum Zwecke der
Übermittlung nach § 5 Absatz 5 und 6 verarbeiten.
Sofern die Voraussetzungen des § 5 Absatz 5 und 6
nicht vorliegen, sind Informationen, die nach Ar-
tikel 10 des Grundgesetzes geschützt sind, un-
verzüglich zu löschen. Maßnahmen nach Satz 1
dürfen nur durch eine Bedienstete oder einen Be-
diensteten des Bundesamtes mit der Befähigung
zum Richteramt angeordnet werden.
(2) Ein informationstechnisches System ist un-
geschützt im Sinne des Absatzes 1, wenn in die-
sem öffentlich bekannte Sicherheitslücken beste-
hen oder wenn auf Grund sonstiger offensichtlich
unzureichender Sicherheitsvorkehrungen unbefugt
von Dritten auf das System zugegriffen werden
kann.
(3) Wird durch Maßnahmen gemäß Absatz 1
eine Sicherheitslücke oder ein anderes Sicherheits-
risiko eines informationstechnischen Systems er-
kannt, sind die für das informationstechnische Sys-
tem Verantwortlichen unverzüglich darüber zu
informieren. Das Bundesamt soll dabei auf beste-
hende Abhilfemöglichkeiten hinweisen. Sind dem
Bundesamt die Verantwortlichen nicht bekannt
oder ist ihre Identifikation nur mit unverhältnismä-
ßigem Aufwand oder über eine Bestandsdatenab-
frage nach § 5c möglich, ist hilfsweise der betrei-
bende Dienstleister des jeweiligen Netzes oder
Systems unverzüglich zu benachrichtigen, wenn
überwiegende Sicherheitsinteressen nicht entge-
genstehen. Das Bundesamt unterrichtet die Bun-
desbeauftragte oder den Bundesbeauftragten für
den Datenschutz und die Informationsfreiheit je-
weils bis zum 30. Juni des Folgejahres über die
Anzahl der gemäß Absatz 1 ergriffenen Maßnah-
men. Das Bundesamt legt die Weiße Liste nach
Absatz 1 Satz 3 der Bundesbeauftragten oder
dem Bundesbeauftragten für den Datenschutz
und die Informationsfreiheit vierteljährlich zur Kon-
trolle vor.
(4) Das Bundesamt darf zur Erfüllung seiner Auf-
gaben Systeme und Verfahren einsetzen, welche
einem Angreifer einen erfolgreichen Angriff vortäu-
schen, um den Einsatz von Schadprogrammen
oder andere Angriffsmethoden zu erheben und
auszuwerten. Das Bundesamt darf dabei die zur
Auswertung der Funktionsweise der Schadpro-
gramme und Angriffsmethoden erforderlichen Da-
ten verarbeiten.
§ 7c
Anordnungen des
Bundesamtes gegenüber Diensteanbietern
(1) Zur Abwehr konkreter erheblicher Gefahren
für die in Absatz 2 genannten Schutzziele kann
das Bundesamt gegenüber einem Anbieter von
Telekommunikationsdiensten im Sinne des Tele-
kommunikationsgesetzes (Diensteanbieter) mit mehr
als 100 000 Kunden anordnen, dass er
1. die in § 109a Absatz 5 oder 6 des Telekommu-
nikationsgesetzes bezeichneten Maßnahmen
trifft oder
2. technische Befehle zur Bereinigung von einem
konkret benannten Schadprogramm an betrof-
fene informationstechnische Systeme verteilt,
sofern und soweit der Diensteanbieter dazu tech-
nisch in der Lage ist und es ihm wirtschaftlich zu-
mutbar ist. Vor der Anordnung der Maßnahmen
nach Satz 1 Nummer 1 oder 2 durch das Bundes-
amt ist Einvernehmen mit der Bundesnetzagentur
herzustellen. Vor der Anordnung der Maßnahme
nach Satz 1 Nummer 2 durch das Bundesamt ist
zusätzlich Einvernehmen mit der oder dem Bun-
desbeauftragten für den Datenschutz und die Infor-
mationsfreiheit herzustellen. Die Daten, auf die mit
der Maßnahme nach Satz 1 Nummer 2 zugegriffen
werden soll, sind in der Anordnung zu benennen.
§ 5 Absatz 7 Satz 2 bis 8 gilt entsprechend. Wider-
spruch und Anfechtungsklage gegen die Anord-
nungen nach Satz 1 haben keine aufschiebende
Wirkung.
(2) Schutzziele gemäß Absatz 1 Satz 1 sind die
Verfügbarkeit, Unversehrtheit oder Vertraulichkeit
1. der Kommunikationstechnik des Bundes, eines
Betreibers Kritischer Infrastrukturen, eines Un-
ternehmens im besonderen öffentlichen Inte-
resse oder eines Anbieters digitaler Dienste,
2. von Informations- oder Kommunikationsdiens-
ten oder
3. von Informationen, sofern deren Verfügbarkeit,
Unversehrtheit oder Vertraulichkeit durch uner-
laubte Zugriffe auf eine erhebliche Anzahl von
telekommunikations- oder informationstechni-
schen Systemen von Nutzern eingeschränkt
wird.
(3) Ordnet das Bundesamt eine Maßnahme
nach Absatz 1 Satz 1 Nummer 1 an, so kann es
gegenüber dem Diensteanbieter auch anordnen,
den Datenverkehr an eine vom Bundesamt be-
nannte Anschlusskennung umzuleiten.
(4) Das Bundesamt darf Daten, die von einem
Diensteanbieter nach Absatz 1 Satz 1 Nummer 1
und Absatz 3 umgeleitet wurden, verarbeiten, um
Informationen über Schadprogramme oder andere
Sicherheitsrisiken in informationstechnischen Sys-
temen zu erlangen. Die übermittelten Daten dürfen
durch das Bundesamt so lange gespeichert wer-
den, wie dies für die Erfüllung des in Satz 1 ge-
nannten Zwecks erforderlich ist, längstens jedoch
für drei Monate. § 5 Absatz 7 Satz 2 bis 8 gilt ent-
sprechend. Das Bundesamt unterrichtet die Bun-
desbeauftragte oder den Bundesbeauftragten für
den Datenschutz und die Informationsfreiheit je-
weils bis zum 30. Juni des Folgejahres über die
Gesamtzahl der angeordneten Datenumleitungen.
§ 7d
Anordnungen des
Bundesamtes gegenüber
Anbietern von Telemediendiensten
Das Bundesamt kann in begründeten Einzelfäl-
len zur Abwehr konkreter, erheblicher Gefahren für
informationstechnische Systeme einer Vielzahl von
Nutzern, die von Telemedienangeboten von Diens-
teanbietern im Sinne des § 2 Satz 1 Nummer 1 des
Telemediengesetzes ausgehen, die durch ungenü-
gende technische und organisatorische Vorkehrun-
gen im Sinne des § 13 Absatz 7 des Telemedien-
gesetzes unzureichend gesichert sind und dadurch
keinen hinreichenden Schutz bieten vor
1. unerlaubten Zugriffen auf die für diese Teleme-
dienangebote genutzten technischen Einrich-
tungen oder
2. Störungen, auch soweit sie durch äußere An-
griffe bedingt sind,
gegenüber dem jeweiligen Diensteanbieter im Sinne
des § 2 Satz 1 Nummer 1 des Telemediengesetzes
anordnen, dass dieser die jeweils zur Herstellung
des ordnungsgemäßen Zustands seiner Telemedien-
angebote erforderlichen technischen und organisa-
torischen Maßnahmen ergreift, um den ordnungs-
gemäßen Zustand seiner Telemedienangebote
herzustellen. Die Zuständigkeit der Aufsichtsbehör-
den der Länder bleibt im Übrigen unberührt.“
12. § 8 wird wie folgt geändert:
a) Absatz 1 wird durch die folgenden Absätze 1
und 1a ersetzt:
„(1) Das Bundesamt legt im Benehmen mit
den Ressorts Mindeststandards für die Sicher-
heit der Informationstechnik des Bundes fest,
die von
1. Stellen des Bundes,
2. Körperschaften, Anstalten und Stiftungen des
öffentlichen Rechts sowie ihren Vereinigungen
ungeachtet ihrer Rechtsform auf Bundesebe-
ne, soweit von der jeweils zuständigen obers-
ten Bundesbehörde angeordnet, sowie
3. öffentlichen Unternehmen, die mehrheitlich
im Eigentum des Bundes stehen und die IT-
Dienstleistungen für die Bundesverwaltung
erbringen,
umzusetzen sind. Abweichungen von den Min-
deststandards sind nur in sachlich gerechtfer-
tigten Fällen zulässig und sind zu dokumentie-
ren und zu begründen. Das Bundesamt berät
die in Satz 1 genannten Stellen auf Ersuchen
bei der Umsetzung und Einhaltung der Mindest-
standards. Für die in § 2 Absatz 3 Satz 2 ge-
nannten Gerichte und Verfassungsorgane ha-
ben die Vorschriften nach Satz 1 empfehlenden
Charakter. Für die Verpflichtung nach Satz 1 gilt
die Ausnahme nach § 4a Absatz 6 entspre-
chend.
(1a) Das Bundesministerium des Innern, für
Bau und Heimat kann im Benehmen mit der
Konferenz der IT-Beauftragten der Ressorts bei
bedeutenden Mindeststandards die Überwa-
chung und Kontrolle ihrer Einhaltung durch das
Bundesamt anordnen. Das Bundesamt teilt das
Ergebnis seiner Kontrolle der jeweiligen über-
prüften Stelle, deren zuständiger Aufsichtsbe-
hörde sowie der Konferenz der IT-Beauftragten
der Ressorts mit. Für andere öffentlich-rechtlich
oder privatrechtlich organisierte Stellen dürfen
nur dann Schnittstellen zur Kommunikations-
technik des Bundes eingerichtet werden, soweit
die für die Einrichtung verantwortliche Stelle
vertraglich sicherstellt, dass die öffentlich- oder
privatrechtlich organisierte Stelle sich zur Ein-
haltung der Mindeststandards verpflichtet. Das
Bundesamt kann im Einvernehmen mit dem
Dritten die Einhaltung der Mindeststandards
überprüfen und kontrollieren.“
b) In Absatz 3 Satz 4 wird das Wort „Bundesbehör-
den“ durch die Wörter „Stellen des Bundes oder
von ihnen beauftragte Dritte“ ersetzt.
c) Folgender Absatz 4 wird angefügt:
„(4) Zur Gewährleistung der Sicherheit in der
Informationstechnik bei der Planung und Um-
setzung von wesentlichen Digitalisierungsvorha-
ben des Bundes soll die jeweils verantwortliche
Stelle das Bundesamt frühzeitig beteiligen und
dem Bundesamt Gelegenheit zur Stellungnahme
geben.“
13. § 8a wird wie folgt geändert:
a) In Absatz 1 Satz 1 werden die Wörter „spätes-
tens zwei Jahre nach Inkrafttreten der Rechts-
verordnung nach § 10 Absatz 1“ durch die Wör-
ter „spätestens bis zum ersten Werktag, der
darauf folgt, dass diese erstmalig oder erneut
als Betreiber einer Kritischen Infrastruktur nach
der Rechtsverordnung nach § 10 Absatz 1 gel-
ten,“ ersetzt.
b) Nach Absatz 1 wird folgender Absatz 1a einge-
fügt:
„(1a) Die Verpflichtung nach Absatz 1 Satz 1,
angemessene organisatorische und technische
Vorkehrungen zu treffen, umfasst ab dem 1. Mai
2023 auch den Einsatz von Systemen zur An-
griffserkennung. Die eingesetzten Systeme zur
Angriffserkennung müssen geeignete Parameter
und Merkmale aus dem laufenden Betrieb kon-
tinuierlich und automatisch erfassen und aus-
werten. Sie sollten dazu in der Lage sein, fort-
während Bedrohungen zu identifizieren und zu
vermeiden sowie für eingetretene Störungen ge-
eignete Beseitigungsmaßnahmen vorzusehen.
Absatz 1 Satz 2 und 3 gilt entsprechend.“
c) In Absatz 2 Satz 1 und 2 wird jeweils die Angabe
„Absatz 1“ durch die Wörter „den Absätzen 1
und 1a“ ersetzt.
d) In Absatz 2 Satz 3 Nummer 2 werden die Wörter
„oder im Benehmen mit der sonst zuständigen
Aufsichtsbehörde“ gestrichen.
e) Absatz 3 Satz 1 wird wie folgt gefasst:
„Betreiber Kritischer Infrastrukturen haben die
Erfüllung der Anforderungen nach den Absät-
zen 1 und 1a spätestens zwei Jahre nach dem
in Absatz 1 genannten Zeitpunkt und anschlie-
ßend alle zwei Jahre dem Bundesamt nachzu-
weisen.“
f) In Absatz 4 Satz 1 und 3 wird jeweils die Angabe
„Absatz 1“ durch die Wörter „den Absätzen 1
und 1a“ ersetzt.
14. § 8b wird wie folgt geändert:
a) Absatz 2 wird wie folgt geändert:
aa) In Nummer 3 werden nach den Wörtern
„Kritischen Infrastrukturen“ die Wörter „oder
der Unternehmen im besonderen öffent-
lichen Interesse“ eingefügt.
bb) Nummer 4 Buchstabe a wird wie folgt ge-
fasst:
„a) die Betreiber Kritischer Infrastrukturen
und die Unternehmen im besonderen
öffentlichen Interesse über sie betref-
fende Informationen nach den Num-
mern 1 bis 3,“.
b) Absatz 3 wird wie folgt gefasst:
„(3) Betreiber Kritischer Infrastrukturen sind
verpflichtet, spätestens bis zum ersten Werktag,
der darauf folgt, dass diese erstmalig oder er-
neut als Betreiber einer Kritischen Infrastruktur
nach der Rechtsverordnung nach § 10 Absatz 1
gelten, die von ihnen betriebenen Kritischen In-
frastrukturen beim Bundesamt zu registrieren
und eine Kontaktstelle zu benennen. Die Regis-
trierung eines Betreibers einer Kritischen Infra-
struktur kann das Bundesamt auch selbst vor-
nehmen, wenn der Betreiber seine Pflicht zur
Registrierung nicht erfüllt. Nimmt das Bundes-
amt eine solche Registrierung selbst vor, infor-
miert es die zuständige Aufsichtsbehörde des
Bundes darüber. Die Betreiber haben sicherzu-
stellen, dass sie über die benannte oder durch
das Bundesamt festgelegte Kontaktstelle jeder-
zeit erreichbar sind. Die Übermittlung von Infor-
mationen durch das Bundesamt nach Absatz 2
Nummer 4 erfolgt an diese Kontaktstelle.“
c) Nach Absatz 3 wird folgender Absatz 3a einge-
fügt:
„(3a) Rechtfertigen Tatsachen die Annahme,
dass ein Betreiber seine Pflicht zur Registrie-
rung nach Absatz 3 nicht erfüllt, so hat der
Betreiber dem Bundesamt auf Verlangen die
für die Bewertung aus Sicht des Bundesamtes
erforderlichen Aufzeichnungen, Schriftstücke
und sonstigen Unterlagen in geeigneter Weise
vorzulegen und Auskunft zu erteilen, soweit
nicht Geheimschutzinteressen oder überwie-
gende Sicherheitsinteressen entgegenstehen.“
d) Nach Absatz 4 wird folgender Absatz 4a einge-
fügt:
„(4a) Während einer erheblichen Störung ge-
mäß Absatz 4 Satz 1 Nummer 2, § 8f Absatz 7
Satz 1 Nummer 2 oder Absatz 8 Satz 1 Num-
mer 2 kann das Bundesamt im Einvernehmen
mit der jeweils zuständigen Aufsichtsbehörde
des Bundes von den betroffenen Betreibern
Kritischer Infrastrukturen oder den Unterneh-
men im besonderen öffentlichen Interesse die
Herausgabe der zur Bewältigung der Störung
notwendigen Informationen einschließlich per-
sonenbezogener Daten verlangen. Betreiber
Kritischer Infrastrukturen und Unternehmen im
besonderen öffentlichen Interesse sind befugt,
dem Bundesamt auf Verlangen die zur Bewäl-
tigung der Störung notwendigen Informationen
einschließlich personenbezogener Daten zu
übermitteln, soweit dies zur Bewältigung einer
erheblichen Störung gemäß Absatz 4 Satz 1
Nummer 2, § 8f Absatz 7 Satz 1 Nummer 2 oder
Absatz 8 Satz 1 Nummer 2 erforderlich ist.“
e) Absatz 6 wird wie folgt geändert:
aa) In Satz 1 werden nach den Wörtern „Stö-
rung nach Absatz 4“ ein Komma und die
Wörter „oder § 8f Absatz 7 oder 8“ einge-
fügt.
bb) In Satz 2 wird die Angabe „§ 8c Absatz 3“
durch die Angabe „§ 8d Absatz 3“ ersetzt.
15. In § 8c Absatz 3 Satz 4 wird die Angabe „Absatz 3“
durch die Angabe „Absatz 4“ ersetzt.
16. § 8d wird wie folgt geändert:
a) In Absatz 1 Satz 1 wird die Angabe „2003/361/EC“
durch die Angabe „2003/361/EG“ ersetzt.
b) Nach Absatz 1 wird folgender Absatz 1a einge-
fügt:
„(1a) § 8f ist nicht anzuwenden auf Kleinstun-
ternehmen und kleine Unternehmen im Sinne
der Empfehlung 2003/361/EG. Artikel 3 Absatz 4
des Anhangs zu der Empfehlung ist nicht anzu-
wenden.“
c) In Absatz 3 in dem einleitenden Satzteil wird die
Angabe „§ 8b Absatz 4“ durch die Wörter „§ 8b
Absatz 4 und 4a“ ersetzt.
17. § 8e wird wie folgt geändert:
a) Die Absätze 1 und 2 werden wie folgt gefasst:
„(1) Das Bundesamt kann Dritten auf Antrag
Auskunft zu den im Rahmen von § 8a Absatz 2
und 3, § 8c Absatz 4 und § 8f erhaltenen Infor-
mationen sowie zu den Meldungen nach § 8b
Absatz 4, 4a und 4b sowie § 8c Absatz 4 nur
erteilen, wenn
1. schutzwürdige Interessen des betroffenen
Betreibers einer Kritischen Infrastruktur, des
Unternehmens im besonderen öffentlichen In-
teresse oder des Anbieters digitaler Dienste
dem nicht entgegenstehen und
2. durch die Auskunft keine Beeinträchtigung
von Sicherheitsinteressen eintreten kann.
Zugang zu personenbezogenen Daten wird
nicht gewährt.
(2) Zugang zu den Akten des Bundesamtes in
Angelegenheiten nach den §§ 8a bis 8c und 8f
wird bei Vorliegen der Voraussetzungen des
§ 29 des Verwaltungsverfahrensgesetzes nur
gewährt, wenn
1. schutzwürdige Interessen des betroffenen
Betreibers einer Kritischen Infrastruktur, des
Unternehmens im besonderen öffentlichen
Interesse oder des Anbieters digitaler
Dienste dem nicht entgegenstehen und
2. durch den Zugang zu den Akten keine Beein-
trächtigung von Sicherheitsinteressen eintre-
ten kann.“
b) Folgender Absatz 4 wird angefügt:
„(4) Informationsansprüche nach dem Um-
weltinformationsgesetz bleiben von dieser Vor-
schrift unberührt.“
18. Nach § 8e wird folgender § 8f eingefügt:
㤠8f
Sicherheit in der
Informationstechnik bei Unternehmen
im besonderen öffentlichen Interesse
(1) Unternehmen im besonderen öffentlichen In-
teresse nach § 2 Absatz 14 Satz 1 Nummer 1 und 2
sind verpflichtet, spätestens bis zum ersten Werk-
tag, der darauf folgt, dass diese erstmalig oder er-
neut als Unternehmen im besonderen öffentlichen
Interesse nach § 2 Absatz 14 Satz 1 Nummer 1
oder 2 gelten, und danach mindestens alle zwei
Jahre eine Selbsterklärung zur IT-Sicherheit beim
Bundesamt vorzulegen, aus der hervorgeht,
1. welche Zertifizierungen im Bereich der IT-Si-
cherheit in den letzten zwei Jahren durchge-
führt, welche Prüfgrundlage und welcher Gel-
tungsbereich hierfür festgelegt wurden,
2. welche sonstigen Sicherheitsaudits oder Prü-
fungen im Bereich der IT-Sicherheit in den letz-
ten zwei Jahren durchgeführt, welche Prüf-
grundlage und welcher Geltungsbereich hierfür
festgelegt wurden oder
3. wie sichergestellt wird, dass die für das Unter-
nehmen besonders schützenswerten informa-
tionstechnischen Systeme, Komponenten und
Prozesse angemessen geschützt werden, und
ob dabei der Stand der Technik eingehalten
wird.
(2) Das Bundesamt kann für die Selbsterklärung
nach Absatz 1 zu verwendende Formulare einfüh-
ren.
(3) Das Bundesamt kann auf Grundlage der
Selbsterklärung nach Absatz 1 Hinweise zu ange-
messenen organisatorischen und technischen Vor-
kehrungen nach Absatz 1 Nummer 3 zur Einhaltung
des Stands der Technik geben.
(4) Für Unternehmen im besonderen öffent-
lichen Interesse nach § 2 Absatz 14 Satz 1 Num-
mer 1 gilt die Pflicht nach Absatz 1 nicht vor dem
1. Mai 2023. Für Unternehmen im besonderen
öffentlichen Interesse nach § 2 Absatz 14 Num-
mer 2 gilt diese Pflicht frühestens zwei Jahre nach
Inkrafttreten der Rechtsverordnung nach § 10
Absatz 5.
(5) Unternehmen im besonderen öffentlichen In-
teresse nach § 2 Absatz 14 Satz 1 Nummer 1 und 2
sind verpflichtet, sich gleichzeitig mit der Vorlage
der ersten Selbsterklärung zur IT-Sicherheit nach
Absatz 1 beim Bundesamt zu registrieren und eine
zu den üblichen Geschäftszeiten erreichbare Stelle
zu benennen. Die Übermittlung von Informationen
durch das Bundesamt nach § 8b Absatz 2 Num-
mer 4 erfolgt an diese Stelle.
(6) Unternehmen im besonderen öffentlichen In-
teresse nach § 2 Absatz 14 Satz 1 Nummer 3 kön-
nen eine freiwillige Registrierung beim Bundesamt
und die Benennung einer zu den üblichen Ge-
schäftszeiten erreichbaren Stelle vornehmen. Die
Übermittlung von Informationen durch das Bun-
desamt nach § 8b Absatz 2 Nummer 4 erfolgt an
diese Stelle.
(7) Unternehmen im besonderen öffentlichen In-
teresse nach § 2 Absatz 14 Satz 1 Nummer 1 und 2
haben ab dem Zeitpunkt, zu dem eine Pflicht zur
Vorlage der Selbsterklärung zur IT-Sicherheit nach
Absatz 1 besteht, die folgenden Störungen unver-
züglich über die nach Absatz 5 benannte Stelle an
das Bundesamt zu melden:
1. Störungen der Verfügbarkeit, der Integrität, der
Authentizität und der Vertraulichkeit ihrer in-
formationstechnischen Systeme, Komponenten
oder Prozesse, die zu einem Ausfall oder zu
einer erheblichen Beeinträchtigung der Erbrin-
gung der Wertschöpfung geführt haben,
2. erhebliche Störungen der Verfügbarkeit, der In-
tegrität, der Authentizität und der Vertraulichkeit
ihrer informationstechnischen Systeme, Kom-
ponenten oder Prozesse, die zu einem Ausfall
oder zu einer erheblichen Beeinträchtigung der
Erbringung der Wertschöpfung führen können.
Die Meldung muss Angaben zu der Störung, zu
den technischen Rahmenbedingungen, insbeson-
dere zu der vermuteten oder tatsächlichen Ursa-
che, der betroffenen Informationstechnik und der
Art der betroffenen Einrichtung oder Anlage enthal-
ten.
(8) Unternehmen im besonderen öffentlichen In-
teresse nach § 2 Absatz 14 Satz 1 Nummer 3 ha-
ben spätestens ab dem 1. November 2021 die fol-
genden Störungen unverzüglich an das Bundesamt
zu melden:
1. Störungen der Verfügbarkeit, der Integrität, der
Authentizität und der Vertraulichkeit ihrer infor-
mationstechnischen Systeme, Komponenten
oder Prozesse, die zu einem Störfall nach der
Störfall-Verordnung in der jeweils geltenden
Fassung geführt haben,
2. erhebliche Störungen der Verfügbarkeit, der In-
tegrität, der Authentizität und der Vertraulichkeit
ihrer informationstechnischen Systeme, Kom-
ponenten oder Prozesse, die zu einem Störfall
nach der Störfall-Verordnung in der jeweils gel-
tenden Fassung führen können.
Die Meldung muss Angaben zu der Störung, zu den
technischen Rahmenbedingungen, insbesondere
zu der vermuteten oder tatsächlichen Ursache, der
betroffenen Informationstechnik und der Art der be-
troffenen Einrichtung oder Anlage enthalten.
(9) Rechtfertigen Tatsachen die Annahme, dass
ein Unternehmen ein Unternehmen im besonderen
öffentlichen Interesse nach § 2 Absatz 14 Satz 1
Nummer 2 ist, aber seine Pflichten nach Absatz 5
nicht erfüllt, so kann das Bundesamt verlangen:
1. eine rechnerische Darlegung, wie hoch die vom
Unternehmen erbrachte inländische Wertschöp-
fung nach der in der Rechtsverordnung nach
§ 10 Absatz 5 festgelegten Berechnungsme-
thode ist, oder
2. eine Bestätigung einer anerkannten Wirtschafts-
prüfungsgesellschaft, dass das Unternehmen
nach der in der Rechtsverordnung nach § 10
Absatz 5 festgelegten Berechnungsmethode
kein Unternehmen im besonderen öffentlichen
Interesse nach § 2 Absatz 14 Satz 1 Nummer 2
ist.“
19. § 9 Absatz 4 wird durch die folgenden Absätze 4
und 4a ersetzt:
„(4) Das Sicherheitszertifikat wird erteilt, wenn
1. informationstechnische Systeme, Komponen-
ten, Produkte oder Schutzprofile den vom Bun-
desamt festgelegten Kriterien entsprechen und
2. das Bundesministerium des Innern, für Bau und
Heimat die Erteilung des Zertifikats nicht nach
Absatz 4a untersagt hat.
Vor Erteilung des Sicherheitszertifikats legt das
Bundesamt den Vorgang dem Bundesministerium
des Innern, für Bau und Heimat zur Prüfung nach
Absatz 4a vor.
(4a) Das Bundesministerium des Innern, für Bau
und Heimat kann eine Zertifikatserteilung nach Ab-
satz 4 im Einzelfall untersagen, wenn überwiegende
öffentliche Interessen, insbesondere sicherheits-
politische Belange der Bundesrepublik Deutsch-
land, der Erteilung entgegenstehen.“
20. Nach § 9 werden die folgenden §§ 9a bis 9c ein-
gefügt:
㤠9a
Nationale Behörde für
die Cybersicherheitszertifizierung
(1) Das Bundesamt ist die nationale Behörde für
die Cybersicherheitszertifizierung im Sinne des Ar-
tikels 58 Absatz 1 der Verordnung (EU) 2019/881.
(2) Das Bundesamt kann auf Antrag Konformi-
tätsbewertungsstellen, die im Anwendungsbereich
der Verordnung (EU) 2019/881 sowie des § 9 die-
ses Gesetzes tätig werden, eine Befugnis erteilen,
als solche tätig zu werden, wenn die Voraussetzun-
gen des maßgeblichen europäischen Schemas für
die Cybersicherheitszertifizierung nach Artikel 54
der Verordnung (EU) 2019/881 oder des § 9 dieses
Gesetzes erfüllt sind. Ohne eine Befugniserteilung
durch das Bundesamt dürfen Konformitätsbewer-
tungsstellen im Anwendungsbereich der Verord-
nung (EU) 2019/881 nicht tätig werden.
(3) Soweit dies zur Erfüllung seiner Aufgaben
nach Artikel 58 Absatz 7 der Verordnung (EU)
2019/881 und nach § 9 dieses Gesetzes erforder-
lich ist, kann das Bundesamt von Konformitäts-
bewertungsstellen, denen eine Befugnis nach
Absatz 2 erteilt wurde, von Inhabern europäischer
Cybersicherheitszertifikate und von Ausstellern von
EU-Konformitätserklärungen im Sinne von Arti-
kel 56 Absatz 8 der Verordnung (EU) 2019/881 die
erforderlichen Auskünfte und sonstige Unterstüt-
zung, insbesondere die Vorlage von Unterlagen
oder Mustern, verlangen. § 3 Absatz 1 Satz 1 und 3
des Akkreditierungsstellengesetzes gilt entspre-
chend.
(4) Das Bundesamt kann Untersuchungen in
Form von Auditierungen nach Artikel 58 Absatz 8
Buchstabe b der Verordnung (EU) 2019/881 bei
Konformitätsbewertungsstellen, denen eine Befug-
nis nach Absatz 2 erteilt wurde, bei Inhabern euro-
päischer Cybersicherheitszertifikate und bei Ausstel-
lern von EU-Konformitätserklärungen im Sinne von
Artikel 56 Absatz 8 der Verordnung (EU) 2019/881
durchführen, um die Einhaltung der Bestimmungen
des Titels III der Verordnung (EU) 2019/881 zu
überprüfen. § 3 Absatz 1 Satz 1 bis 3 des Akkre-
ditierungsstellengesetzes gilt entsprechend.
(5) Das Bundesamt ist befugt, Betriebsstätten,
Geschäfts- und Betriebsräume von Konformitäts-
bewertungsstellen, denen eine Befugnis nach Ab-
satz 2 erteilt wurde, und von Inhabern europäischer
Cybersicherheitszertifikate im Sinne von Artikel 56
Absatz 8 der Verordnung (EU) 2019/881 in den
Zeiten, zu denen die Räume normalerweise für die
jeweilige geschäftliche oder betriebliche Nutzung
zur Verfügung stehen, zu betreten, zu besichtigen
und zu prüfen, soweit dies zur Erfüllung seiner Auf-
gaben nach Artikel 58 Absatz 7 der Verordnung
(EU) 2019/881 sowie nach § 9 dieses Gesetzes er-
forderlich ist. § 3 Absatz 1 Satz 1 bis 3 des Akkre-
ditierungsstellengesetzes gilt entsprechend.
(6) Das Bundesamt kann von ihm ausgestellte
Cybersicherheitszertifikate oder durch eine Konfor-
mitätsbewertungsstelle, der eine Befugnis nach
Absatz 2 erteilt wurde, nach Artikel 56 Absatz 6
der Verordnung (EU) 2019/881 ausgestellte Cyber-
sicherheitszertifikate widerrufen oder EU-Konfor-
mitätserklärungen im Sinne der Verordnung (EU)
2019/881 für ungültig erklären,
1. sofern diese Zertifikate oder EU-Konformitätser-
klärungen die Anforderungen nach der Verord-
nung (EU) 2019/881 oder eines europäischen
Schemas für die Cybersicherheitszertifizierung
nach Artikel 54 der Verordnung (EU) 2019/881
nicht erfüllen oder
2. wenn das Bundesamt die Erfüllung nach Num-
mer 1 nicht feststellen kann, weil der Inhaber
des europäischen Cybersicherheitszertifikats
oder der Aussteller der EU-Konformitätserklä-
rung seinen Mitwirkungspflichten nach Absatz 3
nicht nachgekommen ist oder weil dieser das
Bundesamt bei der Wahrnehmung seiner Befug-
nisse nach Absatz 4 oder im Falle eines Inha-
bers eines europäischen Cybersicherheitszertifi-
kats auch nach Absatz 5 behindert hat.
(7) Das Bundesamt kann von ihm erteilte Befug-
nisse nach Absatz 2 widerrufen,
1. sofern die Voraussetzungen des maßgeblichen
europäischen Schemas für die Cybersicher-
heitszertifizierung nach Artikel 54 Verordnung
(EU) 2019/881 oder des § 9 dieses Gesetzes
nicht erfüllt sind oder
2. wenn das Bundesamt die Erfüllung dieser
Voraussetzungen nicht feststellen kann, weil
die Konformitätsbewertungsstelle ihren Mitwir-
kungspflichten nach Absatz 3 nicht nachgekom-
men ist oder weil diese das Bundesamt bei der
Wahrnehmung seiner Befugnisse nach den Ab-
sätzen 4 und 5 behindert hat.
§ 9b
Untersagung des
Einsatzes kritischer Komponenten
(1) Der Betreiber einer Kritischen Infrastruktur
hat den geplanten erstmaligen Einsatz einer kriti-
schen Komponente gemäß § 2 Absatz 13 dem
Bundesministerium des Innern, für Bau und Heimat
vor ihrem Einsatz anzuzeigen. In der Anzeige sind
die kritische Komponente und die geplante Art
ihres Einsatzes anzugeben. Satz 1 gilt für einen Be-
treiber einer Kritischen Infrastruktur nicht, wenn
dieser den Einsatz einer anderen kritischen Kom-
ponente desselben Typs für dieselbe Art des Ein-
satzes bereits nach Satz 1 angezeigt hat und ihm
dieser nicht untersagt wurde.
(2) Das Bundesministerium des Innern, für Bau
und Heimat kann den geplanten erstmaligen Ein-
satz einer kritischen Komponente gegenüber dem
Betreiber der Kritischen Infrastruktur im Benehmen
mit den in § 10 Absatz 1 aufgeführten jeweils be-
troffenen Ressorts sowie dem Auswärtigen Amt bis
zum Ablauf von zwei Monaten nach Eingang der
Anzeige nach Absatz 1 untersagen oder Anordnun-
gen erlassen, wenn der Einsatz die öffentliche Ord-
nung oder Sicherheit der Bundesrepublik Deutsch-
land voraussichtlich beeinträchtigt. Bei der Prüfung
einer voraussichtlichen Beeinträchtigung der öf-
fentlichen Ordnung oder Sicherheit kann insbeson-
dere berücksichtigt werden, ob
1. der Hersteller unmittelbar oder mittelbar von der
Regierung, einschließlich sonstiger staatlicher
Stellen oder Streitkräfte, eines Drittstaates kon-
trolliert wird,
2. der Hersteller bereits an Aktivitäten beteiligt war
oder ist, die nachteilige Auswirkungen auf die
öffentliche Ordnung oder Sicherheit der Bun-
desrepublik Deutschland oder eines anderen
Mitgliedstaates der Europäischen Union, der
Europäischen Freihandelsassoziation oder des
Nordatlantikvertrages oder auf deren Einrich-
tungen hatten, oder
3. der Einsatz der kritischen Komponente im Ein-
klang mit den sicherheitspolitischen Zielen der
Bundesrepublik Deutschland, der Europäischen
Union oder des Nordatlantikvertrages steht.
Vor Ablauf der Frist von zwei Monaten nach An-
zeige nach Absatz 1 ist der Einsatz nicht gestattet.
Das Bundesministerium des Innern, für Bau und
Heimat kann die Frist gegenüber dem Betreiber um
weitere zwei Monate verlängern, wenn die Prüfung
besondere Schwierigkeiten tatsächlicher oder
rechtlicher Art aufweist.
(3) Kritische Komponenten gemäß § 2 Absatz 13
dürfen nur eingesetzt werden, wenn der Hersteller
eine Erklärung über seine Vertrauenswürdigkeit
(Garantieerklärung) gegenüber dem Betreiber der
Kritischen Infrastruktur abgeben hat. Die Garantie-
erklärung ist der Anzeige nach Absatz 1 beizufü-
gen. Aus der Garantieerklärung muss hervorgehen,
wie der Hersteller sicherstellt, dass die kritische
Komponente nicht über technische Eigenschaften
verfügt, die spezifisch geeignet sind, missbräuch-
lich, insbesondere zum Zwecke von Sabotage,
Spionage oder Terrorismus auf die Sicherheit, Ver-
traulichkeit, Integrität, Verfügbarkeit oder Funk-
tionsfähigkeit der Kritischen Infrastruktur einwirken
zu können. Das Bundesministerium des Innern, für
Bau und Heimat legt die Einzelheiten der Mindest-
anforderungen an die Garantieerklärung im Einver-
nehmen mit den in § 10 Absatz 1 aufgeführten je-
weils betroffenen Ressorts sowie dem Auswärtigen
Amt durch Allgemeinverfügung fest, die im Bun-
desanzeiger bekannt zu machen ist. Die Einzel-
heiten der Mindestanforderungen an die Garantie-
erklärung müssen aus den Schutzzielen der
Sicherheit, Vertraulichkeit, Integrität, Verfügbarkeit
oder Funktionsfähigkeit der Kritischen Infrastruktur
folgen und die Vermeidung von Gefahren für die
öffentliche Sicherheit und Ordnung, insbesondere
im Sinne von Absatz 2 Satz 2, adressieren, die aus
der Sphäre des Herstellers der kritischen Kompo-
nente, insbesondere dessen Organisationsstruktur,
stammen. Die Sätze 1 und 2 gelten erst ab der Be-
kanntmachung der Allgemeinverfügung nach Satz 5
und nicht für bereits vor diesem Zeitpunkt einge-
setzte kritische Komponenten. Soweit Änderungen
der Allgemeinverfügung erfolgen, sind diese für be-
reits nach diesem Absatz abgegebene Garantie-
erklärungen unbeachtlich.
(4) Das Bundesministerium des Innern, für Bau
und Heimat kann den weiteren Einsatz einer kriti-
schen Komponente gegenüber dem Betreiber der
Kritischen Infrastruktur im Einvernehmen mit den in
§ 10 Absatz 1 aufgeführten jeweils betroffenen
Ressorts sowie dem Auswärtigen Amt untersagen
oder Anordnungen erlassen, wenn der weitere Ein-
satz die öffentliche Ordnung oder Sicherheit der
Bundesrepublik Deutschland voraussichtlich be-
einträchtigt, insbesondere, wenn der Hersteller
der kritischen Komponente nicht vertrauenswürdig
ist. Absatz 2 Satz 2 gilt entsprechend.
(5) Ein Hersteller einer kritischen Komponente
kann insbesondere dann nicht vertrauenswürdig
sein, wenn hinreichende Anhaltspunkte dafür be-
stehen, dass
1. er gegen die in der Garantieerklärung eingegan-
gen Verpflichtungen verstoßen hat,
2. in der Garantieerklärung angegebene Tatsa-
chenbehauptungen unwahr sind,
3. er Sicherheitsüberprüfungen und Penetrations-
analysen an seinem Produkt und in der Produk-
tionsumgebung nicht im erforderlichen Umfang
in angemessener Weise unterstützt,
4. Schwachstellen oder Manipulationen nicht un-
verzüglich, nachdem er davon Kenntnis erlangt,
beseitigt und dem Betreiber der Kritischen Infra-
struktur meldet,
5. die kritische Komponente auf Grund von Män-
geln ein erhöhtes Gefährdungspotenzial auf-
weist oder aufgewiesen hat, missbräuchlich auf
die Sicherheit, Vertraulichkeit, Integrität, Verfüg-
barkeit oder Funktionsfähigkeit der Kritischen
Infrastruktur einwirken zu können oder
6. die kritische Komponente über technische Eigen-
schaften verfügt oder verfügt hat, die spezifisch
geeignet sind oder waren, missbräuchlich auf
die Sicherheit, Vertraulichkeit, Integrität, Verfüg-
barkeit oder Funktionsfähigkeit der Kritischen
Infrastruktur einwirken zu können.
(6) Wurde nach Absatz 4 der weitere Einsatz
einer kritischen Komponente untersagt, kann das
Bundesministerium des Innern, für Bau und Heimat
im Einvernehmen mit den in § 10 Absatz 1 aufge-
führten jeweils betroffenen Ressorts sowie dem
Auswärtigen Amt
1. den geplanten Einsatz weiterer kritischer Kom-
ponenten desselben Typs und desselben Her-
stellers untersagen und
2. den weiteren Einsatz kritischer Komponenten
desselben Typs und desselben Herstellers unter
Einräumung einer angemessenen Frist unter-
sagen.
(7) Bei schwerwiegenden Fällen nicht vorliegen-
der Vertrauenswürdigkeit nach Absatz 5 kann das
Bundesministerium des Innern, für Bau und Heimat
den Einsatz aller kritischen Komponenten des Her-
stellers im Einvernehmen mit den in § 10 Absatz 1
aufgeführten jeweils betroffenen Ressorts sowie
dem Auswärtigen Amt untersagen.
§ 9c
Freiwilliges IT-Sicherheitskennzeichen
(1) Das Bundesamt führt zur Information von
Verbrauchern über die IT-Sicherheit von Produkten
bestimmter vom Bundesamt festgelegter Produkt-
kategorien ein einheitliches IT-Sicherheitskenn-
zeichen ein. Das IT-Sicherheitskennzeichen trifft
keine Aussage über die den Datenschutz betreffen-
den Eigenschaften eines Produktes.
(2) Das IT-Sicherheitskennzeichen besteht aus
1. einer Zusicherung des Herstellers oder Dienste-
anbieters, dass das Produkt für eine festgelegte
Dauer bestimmte IT-Sicherheitsanforderungen
erfüllt (Herstellererklärung), und
2. einer Information des Bundesamtes über sicher-
heitsrelevante IT-Eigenschaften des Produktes
(Sicherheitsinformation).
(3) Die IT-Sicherheitsanforderungen, auf die sich
die Herstellererklärung bezieht, ergeben sich aus
einer Norm oder einem Standard oder aus einer
branchenabgestimmten IT-Sicherheitsvorgabe, die
die jeweilige Produktkategorie umfasst, sofern das
Bundesamt in einem Verfahren, das durch Rechts-
verordnung nach § 10 Absatz 3 geregelt wird, fest-
gestellt hat, dass die Norm oder der Standard oder
die branchenabgestimmte IT-Sicherheitsvorgabe
geeignet ist, ausreichende IT-Sicherheitsanforde-
rungen für die Produktkategorie abzubilden. Ein
Anspruch auf diese Feststellung besteht nicht.
Liegt keine Feststellung nach Satz 1 vor, ergeben
sich die IT-Sicherheitsvorgaben aus einer vom
Bundesamt veröffentlichten Technischen Richt-
linie, die die jeweilige Produktkategorie umfasst,
sofern das Bundesamt eine solche Richtlinie be-
reits veröffentlicht hat. Wird ein Produkt von mehr
als einer oder einem bestehenden, als geeignet
festgestellten Norm, Standard, branchenabge-
stimmten IT-Sicherheitsvorgabe oder Technischen
Richtlinie umfasst, richten sich die Anforderungen
nach der oder dem jeweils spezielleren bestehen-
den, als geeignet festgestellten Norm, Standard,
branchenabgestimmten IT-Sicherheitsvorgabe
oder Technischen Richtlinie.
(4) Das IT-Sicherheitskennzeichen darf nur dann
für ein Produkt verwendet werden, wenn das Bun-
desamt das IT-Sicherheitskennzeichen für dieses
Produkt freigegeben hat. Das Bundesamt prüft
die Freigabe des IT-Sicherheitskennzeichens für
ein Produkt auf Antrag des Herstellers oder Diens-
teanbieters. Dem Antrag sind die Herstellererklä-
rung zu dem Produkt sowie alle Unterlagen beizu-
fügen, die die Angaben in der Herstellererklärung
belegen. Das Bundesamt bestätigt den Eingang
des Antrags und prüft die Plausibilität der Herstel-
lererklärung anhand der beigefügten Unterlagen.
Die Plausibilitätsprüfung kann auch durch einen
vom Bundesamt beauftragten qualifizierten Dritten
erfolgen. Für die Antragsbearbeitung kann das
Bundesamt eine Verwaltungsgebühr erheben.
(5) Das Bundesamt erteilt die Freigabe des IT-
Sicherheitskennzeichens für das jeweilige Produkt,
wenn
1. das Produkt zu einer der Produktkategorien
gehört, die das Bundesamt durch im Bundes-
anzeiger veröffentlichte Allgemeinverfügung be-
kannt gegeben hat,
2. die Herstellererklärung plausibel und durch die
beigefügten Unterlagen ausreichend belegt ist
und
3. die gegebenenfalls erhobene Verwaltungsge-
bühr beglichen wurde.
Die Erteilung der Freigabe erfolgt schriftlich und in-
nerhalb einer angemessenen Frist, die in der
Rechtsverordnung nach § 10 Absatz 3 bestimmt
wird. Den genauen Ablauf des Antragsverfahrens
und die beizufügenden Unterlagen regelt die
Rechtsverordnung nach § 10 Absatz 3.
(6) Hat das Bundesamt die Freigabe erteilt, ist
das Etikett des IT-Sicherheitskennzeichens auf
dem jeweiligen Produkt oder auf dessen Umver-
packung anzubringen, sofern dies nach der
Beschaffenheit des Produktes möglich ist. Das IT-
Sicherheitskennzeichen kann auch elektronisch
veröffentlicht werden. Wenn nach der Beschaffen-
heit des Produktes das Anbringen nicht möglich
ist, muss die Veröffentlichung des IT-Sicherheits-
kennzeichens elektronisch erfolgen. Das Etikett
des IT-Sicherheitskennzeichens verweist auf eine
Internetseite des Bundesamtes, auf der die Her-
stellererklärung und die Sicherheitsinformationen
abrufbar sind. Das genaue Verfahren und die Ge-
staltung des Verweises sind in der Rechtsverord-
nung nach § 10 Absatz 3 festzulegen.
(7) Nach Ablauf der festgelegten Dauer nach
Absatz 3 Satz 5 oder 6 oder nach Rücknahme-
erklärung des Herstellers oder Diensteanbieters
gegenüber dem Bundesamt erlischt die Freigabe.
Das Bundesamt nimmt einen Hinweis auf das Er-
löschen der Freigabe in die Sicherheitsinformation
auf.
(8) Das Bundesamt kann prüfen, ob die An-
forderungen an die Freigabe des IT-Sicherheits-
kennzeichens für ein Produkt eingehalten werden.
Werden bei der Prüfung Abweichungen von der
abgegebenen Herstellererklärung oder Sicherheits-
lücken festgestellt, kann das Bundesamt die geeig-
neten Maßnahmen zum Schutz des Vertrauens der
Verbraucher in das IT-Sicherheitskennzeichen tref-
fen, insbesondere
1. Informationen über die Abweichungen oder
Sicherheitslücken in geeigneter Weise in der
Sicherheitsinformation veröffentlichen oder
2. die Freigabe des IT-Sicherheitskennzeichens
widerrufen.
Absatz 7 Satz 2 gilt entsprechend.
(9) Bevor das Bundesamt eine Maßnahme nach
Absatz 8 trifft, räumt es dem Hersteller oder Diens-
teanbieter Gelegenheit ein, die festgestellten
Abweichungen oder Sicherheitslücken innerhalb
eines angemessenen Zeitraumes zu beseitigen, es
sei denn, gewichtige Gründe der Sicherheit der
Produkte erfordern eine sofortige Maßnahme. Die
Befugnis des Bundesamtes zur Warnung nach § 7
bleibt davon unberührt.“
21. § 10 wird wie folgt geändert:
a) Nach Absatz 2 wird folgender Absatz 3 einge-
fügt:
„(3) Das Bundesministerium des Innern, für
Bau und Heimat bestimmt durch Rechtsverord-
nung, die nicht der Zustimmung des Bundes-
rates bedarf, nach Anhörung der betroffenen
Wirtschaftsverbände im Einvernehmen mit dem
Bundesministerium für Wirtschaft und Energie
und dem Bundesministerium der Justiz und für
Verbraucherschutz die Einzelheiten der Gestal-
tung, des Inhalts und der Verwendung des IT-
Sicherheitskennzeichens nach § 9c, um eine
einheitliche Gestaltung des Kennzeichens und
eine eindeutige Erkennbarkeit der gekennzeich-
neten informationstechnischen Produkte zu
gewährleisten, sowie die Einzelheiten des Ver-
fahrens zur Feststellung der Eignung branchen-
abgestimmter IT-Sicherheitsvorgaben und des
Antragsverfahrens auf Freigabe einschließlich
der diesbezüglichen Fristen und der beizufügen-
den Unterlagen sowie das Verfahren und die
Gestaltung des Verweises auf Sicherheitsinfor-
mationen.“
b) Folgender Absatz 5 wird angefügt:
„(5) Das Bundesministerium des Innern, für
Bau und Heimat bestimmt durch Rechtsverord-
nung, die nicht der Zustimmung des Bundes-
rates bedarf, nach Anhörung von Vertretern der
Wissenschaft, der betroffenen Unternehmen
und der betroffenen Wirtschaftsverbände im
Einvernehmen mit dem Bundesministerium für
Wirtschaft und Energie, dem Bundesministerium
der Justiz und für Verbraucherschutz, dem Bun-
desministerium für Gesundheit, dem Bundes-
ministerium für Verkehr und digitale Infrastruk-
tur, dem Bundesministerium der Verteidigung
und dem Bundesministerium für Umwelt, Natur-
schutz und nukleare Sicherheit, welche wirt-
schaftlichen Kennzahlen bei der Berechnung
der inländischen Wertschöpfung heranzuziehen
sind, wie die Berechnung mit Hilfe der Methodik
der direkten Wertschöpfungsstaffel zu erfolgen
hat und welche Schwellenwerte maßgeblich da-
für sind, dass ein Unternehmen zu den größten
Unternehmen in Deutschland im Sinne des § 2
Absatz 14 Satz 1 Nummer 2 gehört. Unter den
Voraussetzungen nach Satz 1 kann das Bun-
desministerium des Innern, für Bau und Heimat
durch Rechtsverordnung bestimmen, welche
Alleinstellungsmerkmale maßgeblich dafür sind,
dass Zulieferer für Unternehmen, die nach ihrer
inländischen Wertschöpfung zu den größten Un-
ternehmen in Deutschland gehören, von we-
sentlicher Bedeutung im Sinne des § 2 Absatz 14
Satz 1 Nummer 2 sind.“
22. § 11 wird wie folgt gefasst:
㤠11
Einschränkung von Grundrechten
Das Fernmeldegeheimnis (Artikel 10 des Grund-
gesetzes) wird durch die §§ 4a, 5 bis 5c, 7b und 7c
eingeschränkt.“
23. § 13 wird wie folgt geändert:
a) Absatz 2 Satz 2 wird wie folgt gefasst:
„§ 7 Absatz 1a ist entsprechend anzuwenden.“
b) Nach Absatz 2 wird folgender Absatz 3 einge-
fügt:
„(3) Das Bundesministerium des Innern, für
Bau und Heimat unterrichtet kalenderjährlich je-
weils bis zum 30. Juni des dem Berichtsjahr fol-
genden Jahres den Ausschuss für Inneres und
Heimat des Deutschen Bundestages über die
Anwendung dieses Gesetzes. Es geht dabei
auch auf die Fortentwicklung des maßgeblichen
Unionsrechts ein.“
c) Die bisherigen Absätze 3 bis 5 werden die Ab-
sätze 4 bis 6.
24. § 14 wird wie folgt gefasst:
㤠14
Bußgeldvorschriften
(1) Ordnungswidrig handelt, wer entgegen § 8a
Absatz 3 Satz 1 in Verbindung mit einer Rechtsver-
ordnung nach § 10 Absatz 1 Satz 1 einen Nachweis
nicht richtig oder nicht vollständig erbringt.
(2) Ordnungswidrig handelt, wer vorsätzlich oder
fahrlässig
1. einer vollziehbaren Anordnung nach
a) § 5b Absatz 6, § 7c Absatz 1 Satz 1, auch in
Verbindung mit § 7c Absatz 3, § 7d, oder
§ 8a Absatz 3 Satz 5,
b) § 7a Absatz 2 Satz 1 oder
c) § 8b Absatz 6 Satz 1, auch in Verbindung
mit Satz 2, oder § 8c Absatz 4 Satz 1
zuwiderhandelt,
2. entgegen § 8a Absatz 1 Satz 1 in Verbindung
mit einer Rechtsverordnung nach § 10 Absatz 1
Satz 1 eine dort genannte Vorkehrung nicht,
nicht richtig, nicht vollständig oder nicht recht-
zeitig trifft,
3. entgegen § 8a Absatz 3 Satz 1 in Verbindung
mit einer Rechtsverordnung nach § 10 Absatz 1
Satz 1 einen Nachweis nicht oder nicht recht-
zeitig erbringt,
4. entgegen § 8a Absatz 4 Satz 2 oder § 8b Ab-
satz 3a das Betreten eines dort genannten
Raums nicht gestattet, eine dort genannte Un-
terlage nicht oder nicht rechtzeitig vorlegt, eine
Auskunft nicht, nicht richtig, nicht vollständig
oder nicht rechtzeitig erteilt oder Unterstützung
nicht oder nicht rechtzeitig gewährt,
5. entgegen § 8b Absatz 3 Satz 1 in Verbindung
mit einer Rechtsverordnung nach § 10 Absatz 1
Satz 1 oder entgegen § 8f Absatz 5 Satz 1 eine
Registrierung nicht oder nicht rechtzeitig vor-
nimmt oder eine dort genannte Stelle nicht
oder nicht rechtzeitig benennt,
6. entgegen § 8b Absatz 3 Satz 4 nicht sicher-
stellt, dass er erreichbar ist,
7. entgegen § 8b Absatz 4 Satz 1, § 8c Absatz 3
Satz 1 oder § 8f Absatz 7 Satz 1 oder Absatz 8
Satz 1 eine Meldung nicht, nicht richtig, nicht
vollständig oder nicht rechtzeitig macht,
8. entgegen § 8c Absatz 1 Satz 1 eine dort ge-
nannte Maßnahme nicht trifft,
9. entgegen § 8f Absatz 1 eine Selbsterklärung
nicht, nicht richtig, nicht vollständig oder nicht
rechtzeitig vorlegt,
10. entgegen § 9a Absatz 2 Satz 2 als Konfor-
mitätsbewertungsstelle tätig wird oder
11. entgegen § 9c Absatz 4 Satz 1 das IT-Sicher-
heitskennzeichen verwendet.
(3) Ordnungswidrig handelt, wer eine in Absatz 1
bezeichnete Handlung fahrlässig begeht.
(4) Ordnungswidrig handelt, wer gegen die Ver-
ordnung (EU) 2019/881 des Europäischen Parla-
ments und des Rates vom 17. April 2019 über die
ENISA (Agentur der Europäischen Union für Cyber-
sicherheit) und über die Zertifizierung der Cyber-
sicherheit von Informations- und Kommunikations-
technik und zur Aufhebung der Verordnung (EU)
Nr. 526/2013 (Rechtsakt zur Cybersicherheit) (ABl.
L 151 vom 7.6.2019, S. 15) verstößt, indem er vor-
sätzlich oder fahrlässig
1. entgegen Artikel 55 Absatz 1 eine dort genannte
Angabe nicht, nicht richtig, nicht vollständig
oder nicht binnen eines Monats nach Ausstel-
lung zugänglich macht oder
2. entgegen Artikel 56 Absatz 8 Satz 1 eine Infor-
mation nicht, nicht richtig, nicht vollständig oder
nicht unverzüglich nach Feststellung einer
Sicherheitslücke oder Unregelmäßigkeit gibt.
(5) Die Ordnungswidrigkeit kann in den Fällen
des Absatzes 2 Nummer 1 Buchstabe a mit einer
Geldbuße bis zu zwei Millionen Euro sowie in den
Fällen der Absätze 1, 2 Nummer 2 und 3 mit einer
Geldbuße bis zu einer Million Euro geahndet wer-
den. Die Ordnungswidrigkeit kann in den Fällen
des Absatzes 2 Nummer 1 Buchstabe c, Nummer 5
und 7 bis 11 und des Absatzes 4 mit einer Geld-
buße bis zu fünfhunderttausend Euro sowie in den
Fällen des Absatzes 2 Nummer 1 Buchstabe b,
Nummer 4 und 6 und des Absatzes 3 mit einer
Geldbuße bis zu einhunderttausend Euro geahndet
werden. In den Fällen des Satzes 1 ist § 30 Absatz 2
Satz 3 des Gesetzes über Ordnungswidrigkeiten
anzuwenden.
(6) Verwaltungsbehörde im Sinne des § 36 Ab-
satz 1 Nummer 1 des Gesetzes über Ordnungswid-
rigkeiten ist das Bundesamt.“
25. Nach § 14 wird folgender § 14a eingefügt:
㤠14a
Institutionen der Sozialen Sicherung
Bei Zuwiderhandlungen gegen eine in § 14 Ab-
satz 1 bis 4 genannte Vorschrift, die von Körper-
schaften gemäß § 29 des Vierten Buches Sozialge-
setzbuch, Arbeitsgemeinschaften gemäß § 94 des
Zehnten Buches Sozialgesetzbuch sowie der Deut-
schen Post AG, soweit sie mit der Berechnung
oder Auszahlung von Sozialleistungen betraut ist
(Institutionen der Sozialen Sicherung), begangen
werden, finden die Sätze 2 bis 4 Anwendung. Bei
einer in Satz 1 genannten Zuwiderhandlung von In-
stitutionen der Sozialen Sicherung in Trägerschaft
des Bundes stellt das Bundesamt das Einverneh-
men über die zu ergreifenden Maßnahmen mit der
für die Institution der Sozialen Sicherung zuständi-
gen Aufsichtsbehörde her. Bei einer in Satz 1 ge-
nannten Zuwiderhandlung von Institutionen der
Sozialen Sicherung in Trägerschaft der Länder in-
formiert das Bundesamt die zuständige Aufsichts-
behörde und schlägt geeignete Maßnahmen vor.
Die jeweils zuständige Aufsichtsbehörde informiert
das Bundesamt über die Einleitung und Umsetzung
von Aufsichtsmitteln und sorgt für deren Durchset-
zung.“
Artikel 2
Änderung des
Telekommunikationsgesetzes
Das Telekommunikationsgesetz vom 22. Juni 2004
(BGBl. I S. 1190), das zuletzt durch Artikel 6 des Ge-
setzes vom 19. April 2021 (BGBl. I S. 771) geändert
worden ist, wird wie folgt geändert:
1. In der Inhaltsübersicht werden in der Angabe zu
§ 109 nach dem Wort „Technische“ die Wörter „und
organisatorische“ eingefügt.
2. § 109 wird wie folgt geändert:
a) In der Überschrift werden nach dem Wort „Tech-
nische“ die Wörter „und organisatorische“ einge-
fügt.
b) Absatz 2 wird wie folgt geändert:
aa) In Satz 2 werden nach dem Wort „Nutzer“ ein
Komma und die Wörter „für Dienste“ einge-
fügt.
bb) Nach Satz 3 wird folgender Satz eingefügt:
„Kritische Komponenten im Sinne von § 2
Absatz 13 des BSI-Gesetzes dürfen von
einem Betreiber öffentlicher Telekommunika-
tionsnetze mit erhöhtem Gefährdungspoten-
tial nur eingesetzt werden, wenn sie vor dem
erstmaligen Einsatz von einer anerkannten
Zertifizierungsstelle überprüft und zertifiziert
wurden.“
cc) In dem neuen Satz 7 wird die Angabe „§ 11“
durch die Angabe „§ 62“ ersetzt.
c) Absatz 4 Satz 1 Nummer 3 wird wie folgt gefasst:
„3. welche technischen Vorkehrungen oder sons-
tigen Schutzmaßnahmen zur Erfüllung der
durch die Vorgaben des Katalogs von Sicher-
heitsanforderungen nach Absatz 6 konkre-
tisierten Verpflichtungen aus den Absätzen 1
und 2 getroffen oder geplant sind; sofern der
Katalog lediglich Sicherheitsziele vorgibt, ist
darzulegen, dass mit den ergriffenen Maß-
nahmen das jeweilige Sicherheitsziel vollum-
fänglich erreicht wird.“
d) Absatz 5 wird wie folgt geändert:
aa) In Satz 5 werden die Wörter „Europäische
Agentur für Netz- und Informationssicher-
heit“ durch die Wörter „Agentur der Euro-
päischen Union für Cybersicherheit“ ersetzt.
bb) In Satz 8 werden die Wörter „Europäische
Agentur für Netz- und Informationssicher-
heit“ durch die Wörter „Agentur der Euro-
päischen Union für Cybersicherheit“ ersetzt.
e) Absatz 6 wird wie folgt geändert:
aa) Satz 1 wird wie folgt gefasst:
„Die Bundesnetzagentur legt im Einverneh-
men mit dem Bundesamt für Sicherheit in
der Informationstechnik und der oder dem
Bundesbeauftragten für den Datenschutz
und die Informationsfreiheit durch Verfügung
in einem Katalog von Sicherheitsanforderun-
gen für das Betreiben von Telekommunika-
tions- und Datenverarbeitungssystemen so-
wie für die Verarbeitung personenbezogener
Daten fest:
1. Einzelheiten der nach den Absätzen 1
und 2 zu treffenden technischen Vorkeh-
rungen und sonstigen Maßnahmen unter
Beachtung der verschiedenen Gefähr-
dungspotenziale der öffentlichen Tele-
kommunikationsnetze und öffentlich zu-
gänglichen Telekommunikationsdienste,
2. welche Funktionen kritische Funktionen im
Sinne von § 2 Absatz 13 Satz 1 Nummer 3
Buchstabe b des BSI-Gesetzes sind, die
von kritischen Komponenten im Sinne von
§ 2 Absatz 13 des BSI-Gesetzes realisiert
werden, und
3. wer als Betreiber öffentlicher Telekommu-
nikationsnetze mit erhöhtem Gefähr-
dungspotenzial einzustufen ist.“
bb) Nach Satz 2 wird folgender Satz eingefügt:
„Die nach den Absätzen 1, 2 und 4 Verpflich-
teten haben die Vorgaben des Katalogs spä-
testens ein Jahr nach dessen Inkrafttreten zu
erfüllen, es sei denn, in dem Katalog ist eine
davon abweichende Umsetzungsfrist festge-
legt worden.“
f) Absatz 7 wird wie folgt geändert:
aa) Nach Satz 1 werden die folgenden Sätze ein-
gefügt:
„Unbeschadet von Satz 1 haben sich Be-
treiber öffentlicher Telekommunikationsnetze
mit erhöhtem Gefährdungspotenzial alle zwei
Jahre einer Überprüfung durch eine qualifi-
zierte unabhängige Stelle oder eine zustän-
dige nationale Behörde zu unterziehen, in
der festgestellt wird, ob die Anforderungen
nach den Absätzen 1 bis 3 erfüllt sind. Die
Bundesnetzagentur legt den Zeitpunkt der
erstmaligen Überprüfung nach Satz 2 fest.“
bb) In dem neuen Satz 4 wird die Angabe „Satz 1“
durch die Wörter „den Sätzen 1 und 2“ er-
setzt und werden nach dem Wort „Bundes-
netzagentur“ die Wörter „und an das Bun-
desamt für Sicherheit in der Informations-
technik, sofern dieses die Überprüfung nicht
vorgenommen hat,“ eingefügt.
cc) Folgender Satz wird angefügt:
„Die Bewertung der Überprüfung sowie eine
diesbezügliche Feststellung von Sicherheits-
mängeln im Sicherheitskonzept erfolgt durch
die Bundesnetzagentur im Einvernehmen mit
dem Bundesamt für Sicherheit in der Infor-
mationstechnik.“
3. § 113 Absatz 3 wird wie folgt geändert:
a) In Nummer 7 wird der Punkt am Ende durch ein
Komma ersetzt.
b) Folgende Nummer 8 wird angefügt:
„8. an das Bundesamt für Sicherheit in der Infor-
mationstechnik zum Schutz der Versorgung
der Bevölkerung in den Bereichen des § 2
Absatz 10 Satz 1 Nummer 1 des BSI-Geset-
zes oder der öffentlichen Sicherheit, um da-
mit eine Beeinträchtigung der Sicherheit oder
Funktionsfähigkeit informationstechnischer
Systeme einer Kritischen Infrastruktur oder
eines Unternehmens im besonderen öffent-
lichen Interesse abzuwenden, wenn Tatsa-
chen den Schluss auf ein wenigstens seiner
Art nach konkretisiertes und zeitlich abseh-
bares Geschehen zulassen, das auf die infor-
mationstechnischen Systeme bestimmbarer
Infrastrukturen oder Unternehmen abzielen
wird, und die in die Auskunft aufzunehmen-
den Daten im Einzelfall erforderlich sind, um
den Betreiber der betroffenen Kritischen In-
frastruktur oder das betroffene Unternehmen
im besonderen öffentlichen Interesse vor
dieser Beeinträchtigung zu warnen, über
diese zu informieren oder bei deren Beseiti-
gung zu beraten oder zu unterstützen.“
4. § 113 Absatz 5 wird wie folgt geändert:
a) In Nummer 8 wird der Punkt am Ende durch ein
Komma ersetzt.
b) Folgende Nummer 9 wird angefügt:
„9. das Bundesamt für Sicherheit in der Informa-
tionstechnik zum Schutz der Versorgung der
Bevölkerung in den Bereichen des § 2 Ab-
satz 10 Satz 1 Nummer 1 des BSI-Gesetzes
oder der öffentlichen Sicherheit, um damit
eine Beeinträchtigung der Sicherheit oder
Funktionsfähigkeit informationstechnischer
Systeme einer Kritischen Infrastruktur oder
eines Unternehmens im besonderen öffent-
lichen Interesse abzuwenden, wenn Tatsa-
chen den Schluss auf ein wenigstens seiner
Art nach konkretisiertes und zeitlich abseh-
bares Geschehen zulassen, das auf die infor-
mationstechnischen Systeme bestimmbarer
Infrastrukturen oder Unternehmen abzielen
wird, und die in die Auskunft aufzunehmen-
den Daten im Einzelfall erforderlich sind, um
den Betreiber der betroffenen Kritischen In-
frastruktur oder das betroffene Unternehmen
im besonderen öffentlichen Interesse vor
dieser Beeinträchtigung zu warnen, über
diese zu informieren oder bei deren Beseiti-
gung zu beraten oder zu unterstützen.“
Artikel 3
Änderung des
Energiewirtschaftsgesetzes
In § 11 des Energiewirtschaftsgesetzes vom 7. Juli
2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 2
des Gesetzes vom 25. Februar 2021 (BGBl. I S. 298)
geändert worden ist, werden nach Absatz 1c die fol-
genden Absätze 1d und 1e eingefügt:
„(1d) Betreiber von Energieversorgungsnetzen und
von solchen Energieanlagen, die durch Inkrafttreten
der Rechtsverordnung gemäß § 10 Absatz 1 des BSI-
Gesetzes als Kritische Infrastruktur bestimmt wurden,
haben spätestens ab dem 1. Mai 2023 in ihren infor-
mationstechnischen Systemen, Komponenten oder
Prozessen, die für die Funktionsfähigkeit der von ihnen
betriebenen Energieversorgungsnetze oder Energie-
anlagen maßgeblich sind, in angemessener Weise Sys-
teme zur Angriffserkennung einzusetzen. Die einge-
setzten Systeme zur Angriffserkennung müssen ge-
eignete Parameter und Merkmale aus dem laufenden
Betrieb kontinuierlich und automatisch erfassen und
auswerten. Sie sollten dazu in der Lage sein, fortwäh-
rend Bedrohungen zu identifizieren und zu vermeiden
sowie für eingetretene Störungen geeignete Besei-
tigungsmaßnahmen vorsehen. Dabei soll der Stand
der Technik eingehalten werden. Der Einsatz von Sys-
temen zur Angriffserkennung ist angemessen, wenn
der dafür erforderliche Aufwand nicht außer Verhältnis
zu den möglichen Folgen eines Ausfalls oder einer
Beeinträchtigung des betroffenen Energieversorgungs-
netzes oder der betroffenen Energieanlage steht.
(1e) Betreiber von Energieversorgungsnetzen und
Energieanlagen, die nach der Rechtsverordnung ge-
mäß § 10 Absatz 1 des BSI-Gesetzes als Kritische In-
frastruktur gelten, haben dem Bundesamt für Sicher-
heit in der Informationstechnik erstmalig am 1. Mai
2023 und danach alle zwei Jahre die Erfüllung der
Anforderungen nach Absatz 1d nachzuweisen. Das
Bundesamt für Sicherheit in der Informationstechnik
hat die hierfür eingereichten Nachweisdokumente un-
verzüglich an die Bundesnetzagentur weiterzuleiten.
Das Bundesamt für Sicherheit in der Informationstech-
nik und die Bundesnetzagentur haben sicherzustellen,
dass die unbefugte Offenbarung der ihnen nach Satz 1
zur Kenntnis gelangten Angaben ausgeschlossen
wird. Das Bundesamt für Sicherheit in der Informa-
tionstechnik kann bei Mängeln in der Umsetzung der
Anforderungen nach Absatz 1d oder in den Nachweis-
dokumenten nach Satz 1 im Einvernehmen mit der
Bundesnetzagentur die Beseitigung der Mängel ver-
langen.“
Artikel 4
Änderung der
Außenwirtschaftsverordnung
§ 55 Absatz 1 Satz 2 Nummer 2 der Außenwirt-
schaftsverordnung vom 2. August 2013 (BGBl. I
S. 2865), die zuletzt durch Artikel 7 Absatz 19 des Ge-
setzes vom 12. Mai 2021 (BGBl. I S. 990) geändert
worden ist, wird wie folgt gefasst:
„2. kritische Komponenten im Sinne des § 2 Absatz 13
des BSI-Gesetzes entwickelt oder herstellt oder
Software, die branchenspezifisch zum Betrieb von
Kritischen Infrastrukturen im Sinne des BSI-Geset-
zes dient, besonders entwickelt oder herstellt,“.
Artikel 5
Änderung des
Zehnten Buches Sozialgesetzbuch
In § 67c Absatz 3 Satz 1 des Zehnten Buches Sozial-
gesetzbuch – Sozialverwaltungsverfahren und Sozial-
datenschutz – in der Fassung der Bekanntmachung
vom 18. Januar 2001 (BGBl. I S. 130), das zuletzt durch
Artikel 14 des Gesetzes vom 4. Mai 2021 (BGBl. I
S. 882) geändert worden ist, werden nach dem Wort
„Verantwortlichen“ die Wörter „oder für die Wahrung
oder Wiederherstellung der Sicherheit und Funktions-
fähigkeit eines informationstechnischen Systems
durch das Bundesamt für Sicherheit in der Informati-
onstechnik“ eingefügt.
Artikel 6
Evaluierung
(1) Das Bundesministerium des Innern, für Bau und
Heimat berichtet dem Deutschen Bundestag unter Ein-
beziehung von wissenschaftlichem Sachverstand über
die Wirksamkeit der in diesem Gesetz enthaltenen
Maßnahmen für die Erreichung der mit diesem Gesetz
verfolgten Ziele
1. bis zum 1. Mai 2023 hinsichtlich des § 2 Absatz 10,
der §§ 8a, 8b, 8d und 8e sowie § 10 Absatz 1 des
BSI-Gesetzes (Artikel 1) und
2. bis zum 1. Mai 2025 hinsichtlich des Gesetzes im
Übrigen.
(2) Artikel 10 des IT-Sicherheitsgesetzes vom
17. Juli 2015 (BGBl. I S. 1324), das durch Artikel 5 Ab-
satz 8 des Gesetzes vom 18. Juli 2016 (BGBl. I S. 1666)
geändert worden ist, wird aufgehoben.
Artikel 7
Inkrafttreten
(1) Dieses Gesetz tritt vorbehaltlich des Absatzes 2
am Tag nach der Verkündung in Kraft.
(2) Artikel 1 Nummer 4, 6 und 12 tritt am 1. Dezem-
ber 2021 in Kraft.
Die verfassungsmäßigen Rechte des Bundesrates
sind gewahrt.
Das vorstehende Gesetz wird hiermit ausgefertigt.
Es ist im Bundesgesetzblatt zu verkünden.
Berlin, den 18. Mai 2021
Der Bundespräsident
Steinmeier
Die Bundeskanzlerin
Dr. A n g e
l a M e r k e l
Der Bundesminister
des Innern, für Bau und Heimat
Horst Seehofer
Herkunft dieses Textes
Quelle: Bundesgesetzblatt, BGBl. 2021 I S. 1122. Gesetze, Verordnungen und amtliche Bekanntmachungen sind amtliche Werke (§ 5 Abs. 1 UrhG) und genießen keinen Urheberrechtsschutz. Der Text ist unverändert wiedergegeben (§ 62 UrhG); Herkunft und Prüfwerte stehen hier (§ 63 UrhG).
Ableitung: issue-pdf-decol ·
Prüfwert des Textes 54648982cef13383….