Ab dem 01.05.2023 haben KRITIS-Betreiber zudem „Systeme zur Angriffserkennung“ einzusetzen, welche dem Stand der Technik (den das BSI festlegt) entsprechen (§ 8a Abs. 1a BSIG). Diese Systeme sind dadurch gekennzeichnet, dass sie durch technische Werkzeuge und organisatorische Prozesse Angriffe auf IT-Systeme erkennen (§ 2 Abs. 9b BSIG). Außerdem ist dem BSI die Einhaltung standardisierter Sicherheitsanforderungen (z.B. ISO 27001 oder B3S) all zwei Jahre nachzuweisen (§ 8a Abs. 3 BSIG). Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen, die von einer extern prüfenden Stelle vorgenommen werden.
KRITIS-Betreiber melden Störungen ihrer IT-Systeme, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen geführt haben oder führen können unverzüglich an das BSI (§ 8b Abs. 4 BSIG). In der Meldung sind Angaben enthalten über die Störung, zu möglichen grenzübergreifenden Auswirkungen sowie zu den technischen Rahmenbedingungen. Im Falle einer Störung kann das BSI BSIG eine umfassende Herausgabe von Informationen – u.a. personenbezogene Daten – verlangen (§ 8b Abs. 4a). Die Störungsmeldung kann grundsätzlich anonym erfolgen. Das ist allerdings dann nicht der Fall, wenn die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der KRTIS geführt hat. Eigens dafür hat das BSI ein Meldeportal eingerichtet.
„Unternehmen im besonderen öffentlichen Interesse“ (UBI)
Neu eingeführt wird mit dem IT-SiG 2.0. zudem die Kategorie der „Unternehmen im besonderen öffentlichen Interesse“ (UBI), die aber nicht KRITIS-Betreiber sind (§ 2 Abs. 14 BSIG). Wer KRITIS-Betreiber ist, kann nicht zugleich UBI sein. Betrachtet wird jede juristische Person separat. Die daraus resultierende Subsidiarität zwischen KRITIS und UBI kann in der Anwendungspraxis zu Unsicherheiten führen, da sich häufig Überschneidungen zeigen. Es ist zu erwarten, dass der Gesetzgeber hier noch einmal nachjustieren wird.
UBI 1 erfasst Rüstungs- und IT-Sicherheitsunternehmen (§ 2 Abs. 14 Nr. 1 BSIG). Dabei handelt es sich um Unternehmen die einerseits Waffen, Munition und Rüstungsmaterial und andererseits IT-Sicherheitsprodukte für die Verarbeitung staatlicher Verschlusssachen herstellen (§ 60 Abs. 1 Nr. 1, 3 AWV iVm. Anlage 1 zur Außenwirtschaftsverordnung (AWV), Teil 1, Abschnitt A). Es ist nicht eindeutig bestimmt, ob damit nur Produktion und Entwicklung in Deutschland oder ob auch solche Güter erfasst sind, die modifiziert („veredelt“) oder aus dem Ausland zum Verkauf in Deutschland angeboten werden. Es ist davon auszugehen, dass bereits die bloße Modifizierung bzw. der Verkauf von Gütern der Anlage 1 zur AWV relevant ist, und die „tatsächliche Gewalt“ über die Güter insoweit ausreicht.
Zur zweiten UBI-Kategorie gehören Unternehmen, die nach ihrer inländischen Wertschöpfung die größten Unternehmen Deutschlands darstellen und daher von erheblicher volkswirtschaftlicher Bedeutung sind (§ 2 Abs. 14 Nr. 2 BSIG). Die genauen Schwellenwerte zur Einordnung, welches Unternehmen unter die Kategorie UBI 2 fällt, sind noch in einer Anfang 2022 erwarteten Rechtsverordnung festzulegen (§ 10 Abs. 5 BSIG). Umfasst werden sollen solche Unternehmen, bei denen ein durch Cyberangriffe ausgelöster Ausfall oder eine Störung der Geschäftstätigkeit von gesamtwirtschaftlicher Bedeutung wäre (BT-Drs. 19 26106, S. 58).
Auch Zulieferer („key supplier“) der größten Unternehmen, die „wegen ihrer Alleinstellungsmerkmale von wesentlicher Bedeutung sind“, werden unter UBI 2 gefasst (siehe zur näheren Begründung BT-Drs. 19/28844, S. 39). Durch separate Rechtsverordnung wird noch festzulegen sein, wie sich die „Alleinstellungsmerkmale“, „Wesentlichkeit“ und ggf. auch Substituierbarkeit konkret bestimmen. Daher sind die UBI 2 Pflichten der Zulieferer erst zu einem späteren Zeitpunkt zu erfüllen.
Die letzte Kategorie erfasst Unternehmen, die der Störfall-Verordnung unterliegen, als sie einen Betriebsbereich der oberen Klasse im Sinne der StörfallVO betreiben oder diesen gleichgestellt sind (§ 2 Abs. 14 Nr. 3 BSIG). Es handelt sich um das Betreiben von Bereichen, in denen gefährliche Stoffe in Mengen vorhanden sind, die bestimmte Schwellwerte nach der StörfallVO erreichen oder überschreiten.
Die Pflichten für UBI reichen von Registrierungen beim BSI und Selbsterklärungen zur IT-Sicherheit bis zu Meldepflichten bei Störungen (§ 8f BSIG). Die Kategorien UBI 1 und 2 treffen dabei umfangreichere Pflichten als UBI 3.
UBI 1 und 2 haben alle zwei Jahre eine Selbsterklärung zur IT-Sicherheit beim BSI vorzulegen (§ 8f Abs.1 BSIG). Dies wird sehr aufwändig sein, denn es muss hervorgehen, dass und wie die IT-Sicherheit des Unternehmens dem Stand der Technik entspricht und zudem welche Zertifizierungen zur IT-Sicherheit, Sicherheitsaudits oder Prüfungen durchgeführt wurden. Im Gegensatz zu KRITIS-Betreibern sind allerdings keine externen Sicherheitsaudits vorzulegen. Zudem gilt eine Registrierungspflicht.
Dagegen ist für UBI 3 eine Selbsterklärung nicht vorgesehen und auch die Registrierung ist nicht verpflichtend, sondern freiwillig.
Die Meldepflicht im Falle von Störungen trifft sie aber alle, UBI 1, 2 und 3. Im Interesse der Allgemeinheit an deren Funktionsfähigkeit (BT-Drs. 10/2844, S. 44), sind Störungen, die zu einem Ausfall oder einer erheblichen Beeinträchtigung, oder einem Störfall führen können „unverzüglich“, d.h. „ohne schuldhaftes Zögern“ dem BSI zu melden. Die Meldung darf gerade nicht anonym erfolgen.
