Nachdem am 28. Mai 2021 das IT-Sicherheitsgesetz 2.0 in Kraft getreten ist, war es nur eine Frage der Zeit, dass ebenfalls die BSI-Kritisverordnung entsprechend angepasst wird. In welchem Umfang dies erfolgt und ob tatsächlich eine hohe Anzahl zusätzlicher Unternehmen ab 2022 zu den KRITIS zählen, lesen Sie nachfolgend.
Zum Schutz der Funktionsfähigkeit Kritischer Infrastrukturen sieht das BSI-Gesetz (BSIG) vor, dass die Betreiber der Kritischen Infrastrukturen ihre IT-Systeme durch an-gemessene organisatorische und technische Vorkehrungen absichern müssen. Kritische Infrastrukturen im Sinne des BSI-Gesetzes sind Einrichten, Anlagen oder Teile davon aus den folgenden Sektoren:
In der BSI-KRITIS-Verordnung (BSI-KritisV) werden die exakten Schwellenwerte für Kritische Infrastrukturen definiert. Ein Schwellenwert stellt laut § 1 der BSI-KritisV einen Wert dar, bei dessen Erreichen oder dessen Überschreitung der Versorgungsgrad einer Anlage oder Teilen davon als bedeutend im Sinne von § 10 Absatz 1 Satz 1 des BSI-Gesetzes anzusehen ist.
Unternehmen, die mit Ihrer Anlage die Schwellenwerte als Kritische Infrastruktur nach KritisV überschreiten, fallen als KRITIS-Betreiber unter die KRITIS-Regulierung nach dem IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0). Somit unterliegen die Unternehmen den folgenden Cyber Security-Pflichten:
Am 18. August 2021 hat das Bundeskabinett in seiner 153. Sitzung die „Zweite Verordnung zur Änderung der BSI-KRITIS Verordnung“ beschlossen. Eine Veröffentlichung im Bundesgesetzblatt erfolgte zum 14. September 2021. Diese tritt bereits zum 1.1.2022 in Kraft und beinhaltet wesentliche Änderungen, auf die sich zukünftige Betreiber kritischer Infrastrukturen (KRITIS) einstellen müssen. Grundsätzlich ist zu sagen, dass es sich bei den Änderungen im Wesentlichen um das Ergebnis der in § 9 KritisV definierten Evaluation handelt. Es wurden jedoch keine wesentlichen Erweiterungen oder Anpassungen, wie bspw. die Einführung des neuen Sektors „Siedlungsabfallentsorgung“ oder die „Unternehmen im besonderen öffentlichen Interesse“ aus dem IT-Sicherheitsgesetz 2.0, getroffen.
Durch die umgesetzten Änderungen werden voraussichtlich 252 neue KRITIS-Betreiber zu den bereits bestehenden circa 1.600 Betreibern hinzukommen. Der größte Zuwachs wird in dem Sektor Energie erwartet. Hier werden voraussichtlich 131 neue Betreiber in der Anlagenkategorie Strom, 13 Betreiber in der Anlagenkategorie Gas und vier Betreiber in der Anlagenkategorie Mineralöl erwartet. Der zweitgrößte Zuwachs wird im Sektor Transport und Verkehr erwartet. Durch die Änderungen werden sechs neue Betreiber im Sektor Luftverkehr, 34 neue Betreiber im Sektor Schifffahrt sowie 34 neue Betreiber im Sektor Straßenverkehr erwartet. In der Anlagenkategorie ÖPNV wird mit keinem Zuwachs an neuen Betreibern gerechnet. Für den Sektor Gesundheit wurden keine Zahlen im Entwurf veröffentlich - somit ist der Zuwachs hier noch ungewiss. Mit kleinerem Zuwachs wird in den Sektoren Informationstechnik und Telekommunikation sowie Finanz- und Versicherungswesen gerechnet. Im Sektor Finanz- und Versicherungswesen sollen aufgrund der Aufnahme neuer Anlagen 21 neue Betreiber in der Anlagenkategorie Handel hinzukommen. Im Sektor Informationstechnik und Telekommunikation wird durch die Aufnahme neuer Anlagen sowie die Änderung von Schwellenwerten 10 neue KRITIS-Betreiber erwartet. Die genannten Zuwächse lassen sich auf die folgenden Änderungen zurückführen:
Auffällig ist, dass bereits in dem allgemeinen Teil der BSI-KritisV-Änderungen an den Definitionen vorgenommen wurden. Beispielsweise fallen nach § 1 Abs 1 Nr. 1c) KritisV nun auch Software und IT-Dienste unter die Anlagendefinition. Ebenfalls wird in § 1 Abs 2 KritisV nun auch der Begriff der gemeinsamen Anlage konkretisiert. „Mehrere Anlagen derselben Kategorie, die durch einen betriebstechnischen Zusammenhang verbunden sind, gelten als gemeinsame Anlage, wenn sie gemeinsam zur Erbringung derselben kritischen Dienstleistung notwendig sind.“ Somit ist kein rechtlicher Spielraum hinsichtlich der Auslegung einer Anlage sowie einer gemeinsamen Anlage gegeben. Ebenfalls wird in § 1 Abs 2 KritisV die Verantwortlichkeit definiert, wenn eine Anlage von zwei oder mehr Personen betrieben wird. „Betreiben zwei oder mehr Personen gemeinsam eine Anlage, so ist jeder für die Erfüllung der Pflichten als Betreiber verantwortlich.“
Mit der neuen BSI-KritisV wird die Definition zum Ende des Geltungsbereiches der Verordnung eingeführt. Dies erfolgt in den einzelnen Anhängen der BSI-KritisV, wurde jedoch in jedem Anhang und somit in jedem Sektor gleich definiert. „Nicht mehr als Kritische Infrastruktur gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem Ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.“ (bspw. Anhang 1 Teil 1 Nr. 3). Fällt eine Anlage beispielsweise im Kalenderjahr 2021 unter die genannten Schwellenwerte, nachdem es im Kalenderjahr 2020 diese noch überschritten hat, fällt die Anlage ab dem 1. April 2022 nicht mehr unter die Verordnung.
In der BSI-KritisV 2.0 wurden neben den Definitionen auch Änderungen an den Anlagenkategorien vor-genommen. Insgesamt wurden 17 Analgenkategorien hinzugefügt und fünf Anlagenkategorien gelöscht. Somit ist ein genereller Zuwachs an Anlagenkategorien erfolgt.
Neu hinzugekommen sind unter anderem folgende Anlagenkategorien:
1. Energie
2. Wasser
3. IT
4. Gesundheit
5. Finanz- und Versicherungswesen
6. Transport und Verkehr
1. Energie
2. Gesundheit
3. Transport und Verkehr
Neben den Änderungen an den Anlagenkategorien wurden auch Änderungen an Schwellenwerten von bestehenden Anlagenkategorien beschlossen. Dazu zählen unter anderem die Senkung der folgenden Schwellenwerte:
1. Energie
2. IT
Im Gegensatz dazu wurde der Schwellenwert für Logistikanlagen (Anlage oder System zum Betrieb eines Logistikzentrums in den Segmenten Massengut-, Ladungs-, Stückgut-, Kontrakt-, See- oder Luftfrachtlogistik, Anhang 7 Teil 3 Nr. 1.6.1) von 17 Mio. Tonnen im Jahr auf 17,55 Mio. Tonnen im Jahr erhöht.
Neben den Senkungen und den Erhöhungen wurden neue Schwellenwerte für bestehende Anlagen definiert. Dazu zählt beispielsweise im Sektor Energie die Aufnahme des Schwellenwertes hinsichtlich Flugkraftstoff. Dies betrifft alle Anlagenkategorien im Bereich der Kraftstoff- und Heizölversorgung (Anhang 1 Teil 3 Punkt 3). Der Schwellenwert wurde Anlagenkategorie-übergreifend auf 63.750 Tonnen/Jahr definiert. Ebenfalls als neuer Schwellenwert wurde beispielsweise die Anzahl der Sendungen pro Jahr im Sektor Transport und Verkehr für die Anlagenkategorie Logistik (Anhang 7 Teil 3 Nr. 1.6) definiert.
Im Zusammenhang mit den Änderungen der Anlagenkategorien und der Schwellenwerte mussten ebenfalls einige Definitionen in den einzelnen Sektoren angepasst werden. Diese korrespondieren mit den oben aufgeführten Änderungen im Bereich der Anlagenkategorien und Schwellenwerte sind jeweils in Teil 2 des jeweiligen Anhanges dargelegt.
Das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) ist am 28. Mai 2021 in Kraft getretenen. Im Zuge dessen ist der Anwendungsbereich des BSIG um sog. „Unternehmen im besonderen öffentlichen Interesse“ (UBI/UNBÖFI) erweitert worden. Dies sind Unternehmen, die von „erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind oder die für solche Unternehmen als Zulieferer wegen ihrer Alleinstellungs-merkmale von wesentlicher Bedeutung sind“ (vgl. § 2 Abs. 14 Satz 1 Nr. 2 BSIG). Diese setzen sich aus den folgenden drei Gruppen zusammen:
Auf die betroffenen Unternehmen kommen mit dem neuen § 8 f. UBI/UBÖFI-Pflichten für Cyber Security zu:
In diesem Zusammenhang spricht man auch von den „KRITIS-light“. Die Definition der „UBI“/“UBÖFI“, deren Anlagen, Schwellenwerte sowie Fristen wurden jedoch nicht in der KritisV 2.0 definiert.
Darüber hinaus wurden die BSI-KRITISV um den Sektor „Siedlungsabfallentsorgung“ (§ 2 Abs. 10 BSIG) erweitert, wodurch nun u. a. Entsorger zur Kritischen Infrastruktur gehören (Dienstleistung Entsorgung von Siedlungs-abfällen mit Sammlung, Beseitigung und Verwertung). Analog der UBI/UBÖFI sind in der KritisV weder die Definition der „Siedlungsabfälle“, deren Anlagen, Schwellenwerten oder Fristen definiert worden. Dies ist derzeit jedoch ebenfalls noch ausstehend.
Nach dem IT-SiG 2.0 ist ab 2023 für die KRITIS-Anlagen Prozesse und Technologien notwendig, um Angriffe und Störungen zu erkennen und darauf in der Cyber Defense reagieren zu können. Nach § 8a Abs. 1a BSIG „umfasst [die Verpflichtung] ab dem 1. Mai 2023 auch den Einsatz von Systemen zur Angriffserkennung. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungs-maßnahmen vorzusehen.“ Diese Konkretisierung wurde in der KritisV nicht weitergehend definiert oder ausgeführt. Dies muss jedoch im Rahmen des Betriebes einer Kritischen Infrastruktur berücksichtigt werden.
Es sind bereits einige, tiefgreifende Änderungen erfolgt, der große Umschwung durch die Definition neuer Sektoren ist jedoch ausgeblieben. Auch weiterhin sind die Regelschwellenwerte und damit die Berechnungs-grundlagen einiger Schwellenwerte undurchsichtig.
Betroffene Anlagenbetreiber sollten daher frühzeitig klären, inwieweit auch sie von den Änderungen betroffen werden, um sich schnell und effektiv auf die neue Situation einstellen zu können. Da die Änderungen bereits zum 1.1.2022 in Kraft treten, gilt bereits für die Meldung im April 2023 für das Geschäftsjahr 2022 die angepassten Schwellenwerte. Eine zeitnahe Prüfung der neuen Schwellenwerte ist somit dringend empfohlen.
Wir halten Sie auf dem Laufenden.
Haben Sie bis Fragen, so kontaktieren Sie uns gern.
Marc Alexander Luge | Oktober 2021