Tools:
Update via:
Sie sind hier: Start > Inhaltsverzeichnis ITSiG
Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz - ITSiG k.a.Abk.)
G. v. 17.07.2015 BGBl. I S. 1324 (Nr. 31); zuletzt geändert durch Artikel 6 Abs. 2 G. v. 18.05.2021 BGBl. I S. 1122
Geltung ab 25.07.2015, abweichend siehe Artikel 11
| |
Geltung ab 25.07.2015, abweichend siehe Artikel 11
| |
Eingangsformel *)
Der Bundestag hat das folgende Gesetz beschlossen:
---
---
- *)
- Notifiziert gemäß der Richtlinie 98/34/EG des Europäischen Parlaments und des Rates vom 22. Juni 1998 über ein Informationsverfahren auf dem Gebiet der Normen und technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (ABl. L 204 vom 21.07.1998, S. 37), zuletzt geändert durch Artikel 26 Absatz 2 der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates vom 25. Oktober 2012 (ABl. L 316 vom 14.11.2012, S. 12).
Artikel 1 Änderung des BSI-Gesetzes
Artikel 1 wird in 3 Vorschriften zitiert und ändert mWv. 25. Juli 2015 BSIG § 1, § 2, § 3, § 4, § 5, § 7, § 7a (neu), § 8, § 8a (neu), § 8b (neu), § 8c (neu), § 8d (neu), § 10, § 13 (neu), § 14 (neu)
Das BSI-Gesetz vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 3 Absatz 7 des Gesetzes vom 7. August 2013 (BGBl. I S. 3154) geändert worden ist, wird wie folgt geändert:
- 1.
- § 1 wird wie folgt gefasst:
„§ 1 Bundesamt für Sicherheit in der Informationstechnik
Der Bund unterhält ein Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) als Bundesoberbehörde. Das Bundesamt ist zuständig für die Informationssicherheit auf nationaler Ebene. Es untersteht dem Bundesministerium des Innern." - 2.
- Dem § 2 wird folgender Absatz 10 angefügt:„(10) Kritische Infrastrukturen im Sinne dieses Gesetzes sind Einrichtungen, Anlagen oder Teile davon, die
- 1.
- den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen angehören und
- 2.
- von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden.
- 3.
- § 3 wird wie folgt geändert:
- a)
- Absatz 1 Satz 2 wird wie folgt geändert:
- aa)
- In Nummer 2 werden die Wörter „zur Wahrung ihrer Sicherheitsinteressen erforderlich ist" durch die Wörter „erforderlich ist, sowie für Dritte, soweit dies zur Wahrung ihrer Sicherheitsinteressen erforderlich ist" ersetzt.
- bb)
- In Nummer 15 werden die Wörter „kritischen Informationsinfrastrukturen" durch die Wörter „Sicherheit in der Informationstechnik Kritischer Infrastrukturen" und der Punkt am Ende durch ein Semikolon ersetzt.
- cc)
- Die folgenden Nummern 16 und 17 werden angefügt:
- „16.
- Aufgaben als zentrale Stelle im Bereich der Sicherheit in der Informationstechnik im Hinblick auf die Zusammenarbeit mit den zuständigen Stellen im Ausland, unbeschadet besonderer Zuständigkeiten anderer Stellen;
- 17.
- Aufgaben nach den §§ 8a und 8b als zentrale Stelle für die Sicherheit in der Informationstechnik Kritischer Infrastrukturen."
- b)
- Folgender Absatz 3 wird angefügt:„(3) Das Bundesamt kann Betreiber Kritischer Infrastrukturen auf deren Ersuchen bei der Sicherung ihrer Informationstechnik beraten und unterstützen oder auf qualifizierte Sicherheitsdienstleister verweisen."
- 4.
- Die Überschrift von § 4 wird wie folgt gefasst:
„§ 4 Zentrale Meldestelle für die Sicherheit in der Informationstechnik des Bundes". - 4a.
- § 5 Absatz 1 wird wie folgt geändert:
- a)
- Satz 4 wird wie folgt gefasst:
„Die Bundesbehörden sind verpflichtet, das Bundesamt bei Maßnahmen nach Satz 1 zu unterstützen und hierbei den Zugang des Bundesamtes zu behördeninternen Protokolldaten nach Satz 1 Nummer 1 sowie Schnittstellendaten nach Satz 1 Nummer 2 sicherzustellen." - b)
- Folgender Satz wird angefügt:
„Protokolldaten der Bundesgerichte dürfen nur in deren Einvernehmen erhoben werden."
- 5.
- § 7 Absatz 1 Satz 1 wird durch die folgenden Sätze ersetzt:
„Zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 14 kann das Bundesamt- 1.
- die folgenden Warnungen an die Öffentlichkeit oder an die betroffenen Kreise richten:
- a)
- Warnungen vor Sicherheitslücken in informationstechnischen Produkten und Diensten,
- b)
- Warnungen vor Schadprogrammen und
- c)
- Warnungen im Falle eines Verlustes von oder eines unerlaubten Zugriffs auf Daten;
- 2.
- Sicherheitsmaßnahmen sowie den Einsatz bestimmter Sicherheitsprodukte empfehlen.
- 6.
- Nach § 7 wird folgender § 7a eingefügt:
„§ 7a Untersuchung der Sicherheit in der Informationstechnik(1) Das Bundesamt kann zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 14 und 17 auf dem Markt bereitgestellte oder zur Bereitstellung auf dem Markt vorgesehene informationstechnische Produkte und Systeme untersuchen. Es kann sich hierbei der Unterstützung Dritter bedienen, soweit berechtigte Interessen des Herstellers der betroffenen Produkte und Systeme dem nicht entgegenstehen.(2) Die aus den Untersuchungen gewonnenen Erkenntnisse dürfen nur zur Erfüllung der Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 14 und 17 genutzt werden. Das Bundesamt darf seine Erkenntnisse weitergeben und veröffentlichen, soweit dies zur Erfüllung dieser Aufgaben erforderlich ist. Zuvor ist dem Hersteller der betroffenen Produkte und Systeme mit angemessener Frist Gelegenheit zur Stellungnahme zu geben." - 6a.
- § 8 Absatz 1 wird wie folgt gefasst:„(1) Das Bundesamt erarbeitet Mindeststandards für die Sicherheit der Informationstechnik des Bundes. Das Bundesministerium des Innern kann im Benehmen mit dem IT-Rat diese Mindeststandards ganz oder teilweise als allgemeine Verwaltungsvorschriften für alle Stellen des Bundes erlassen. Das Bundesamt berät die Stellen des Bundes auf Ersuchen bei der Umsetzung und Einhaltung der Mindeststandards. Für die in § 2 Absatz 3 Satz 2 genannten Gerichte und Verfassungsorgane haben die Vorschriften nach diesem Absatz empfehlenden Charakter."
- 7.
- Nach § 8 werden die folgenden §§ 8a bis 8d eingefügt:
„§ 8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen(1) Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1 angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht.(2) Betreiber Kritischer Infrastrukturen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Das Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten. Die Feststellung erfolgt- 1.
- im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe,
- 2.
- im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde.
(3) Die Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen nach Absatz 1 auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt eine Aufstellung der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann bei Sicherheitsmängeln verlangen:- 1.
- die Übermittlung der gesamten Audit-, Prüfungs- oder Zertifizierungsergebnisse und
- 2.
- im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel.
(4) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die hierüber auszustellenden Nachweise sowie fachliche und organisatorische Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der betroffenen Betreiber und der betroffenen Wirtschaftsverbände festlegen.
§ 8b Zentrale Stelle für die Sicherheit in der Informationstechnik Kritischer Infrastrukturen(1) Das Bundesamt ist die zentrale Meldestelle für Betreiber Kritischer Infrastrukturen in Angelegenheiten der Sicherheit in der Informationstechnik.(2) Das Bundesamt hat zur Wahrnehmung dieser Aufgabe- 1.
- die für die Abwehr von Gefahren für die Sicherheit in der Informationstechnik wesentlichen Informationen zu sammeln und auszuwerten, insbesondere Informationen zu Sicherheitslücken, zu Schadprogrammen, zu erfolgten oder versuchten Angriffen auf die Sicherheit in der Informationstechnik und zu der dabei beobachteten Vorgehensweise,
- 2.
- deren potentielle Auswirkungen auf die Verfügbarkeit der Kritischen Infrastrukturen in Zusammenarbeit mit den zuständigen Aufsichtsbehörden und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe zu analysieren,
- 3.
- das Lagebild bezüglich der Sicherheit in der Informationstechnik der Kritischen Infrastrukturen kontinuierlich zu aktualisieren und
- 4.
- unverzüglich
- a)
- die Betreiber Kritischer Infrastrukturen über sie betreffende Informationen nach den Nummern 1 bis 3,
- b)
- die zuständigen Aufsichtsbehörden und die sonst zuständigen Behörden des Bundes über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3 sowie
- c)
- die zuständigen Aufsichtsbehörden der Länder oder die zu diesem Zweck dem Bundesamt von den Ländern als zentrale Kontaktstellen benannten Behörden über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3
(3) Die Betreiber Kritischer Infrastrukturen haben dem Bundesamt binnen sechs Monaten nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1 eine Kontaktstelle für die Kommunikationsstrukturen nach § 3 Absatz 1 Satz 2 Nummer 15 zu benennen. Die Betreiber haben sicherzustellen, dass sie hierüber jederzeit erreichbar sind. Die Übermittlung von Informationen durch das Bundesamt nach Absatz 2 Nummer 4 erfolgt an diese Kontaktstelle.(4) Betreiber Kritischer Infrastrukturen haben erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen- 1.
- führen können oder
- 2.
- geführt haben,
(5) Zusätzlich zu ihrer Kontaktstelle nach Absatz 3 können Betreiber Kritischer Infrastrukturen, die dem gleichen Sektor angehören, eine gemeinsame übergeordnete Ansprechstelle benennen. Wurde eine solche benannt, erfolgt der Informationsaustausch zwischen den Kontaktstellen und dem Bundesamt in der Regel über die gemeinsame Ansprechstelle.(6) Soweit erforderlich kann das Bundesamt vom Hersteller der betroffenen informationstechnischen Produkte und Systeme die Mitwirkung an der Beseitigung oder Vermeidung einer Störung nach Absatz 4 verlangen. Satz 1 gilt für Störungen bei Betreibern und Genehmigungsinhabern im Sinne von § 8c Absatz 3 entsprechend.(7) Soweit im Rahmen dieser Vorschrift personenbezogene Daten erhoben, verarbeitet oder genutzt werden, ist eine über die vorstehenden Absätze hinausgehende Verarbeitung und Nutzung zu anderen Zwecken unzulässig. § 5 Absatz 7 Satz 3 bis 8 ist entsprechend anzuwenden. Im Übrigen sind die Regelungen des Bundesdatenschutzgesetzes anzuwenden.
§ 8c Anwendungsbereich(1) Die §§ 8a und 8b sind nicht anzuwenden auf Kleinstunternehmen im Sinne der Empfehlung 2003/361/EC der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (ABl. L 124 vom 20.5.2003, S. 36). Artikel 3 Absatz 4 der Empfehlung ist nicht anzuwenden.(2) § 8a ist nicht anzuwenden auf- 1.
- Betreiber Kritischer Infrastrukturen, soweit sie ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen,
- 2.
- Betreiber von Energieversorgungsnetzen oder Energieanlagen im Sinne des Energiewirtschaftsgesetzes vom 7. Juli 2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 3 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung,
- 3.
- Genehmigungsinhaber nach § 7 Absatz 1 des Atomgesetzes in der Fassung der Bekanntmachung vom 15. Juli 1985 (BGBl. I S. 1565), das zuletzt durch Artikel 2 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung für den Geltungsbereich der Genehmigung sowie
- 4.
- sonstige Betreiber Kritischer Infrastrukturen, soweit sie auf Grund von Rechtsvorschriften Anforderungen erfüllen müssen, die mit den Anforderungen nach § 8a vergleichbar oder weitergehend sind.
(3) § 8b Absatz 3 bis 5 ist nicht anzuwenden auf- 1.
- Betreiber Kritischer Infrastrukturen, soweit sie ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen,
- 2.
- Betreiber von Energieversorgungsnetzen oder Energieanlagen im Sinne des Energiewirtschaftsgesetzes,
- 3.
- Genehmigungsinhaber nach § 7 Absatz 1 des Atomgesetzes für den Geltungsbereich der Genehmigung sowie
- 4.
- sonstige Betreiber Kritischer Infrastrukturen, die auf Grund von Rechtsvorschriften Anforderungen erfüllen müssen, die mit den Anforderungen nach § 8b Absatz 3 bis 5 vergleichbar oder weitergehend sind.
(1) Das Bundesamt kann Dritten auf Antrag Auskunft zu den im Rahmen von § 8a Absatz 2 und 3 erhaltenen Informationen sowie zu den Meldungen nach § 8b Absatz 4 nur erteilen, wenn schutzwürdige Interessen des betroffenen Betreibers Kritischer Infrastrukturen dem nicht entgegenstehen und durch die Auskunft keine Beeinträchtigung wesentlicher Sicherheitsinteressen zu erwarten ist. Zugang zu personenbezogenen Daten wird nicht gewährt.(2) Zugang zu den Akten des Bundesamtes in Angelegenheiten nach den §§ 8a und 8b wird nur Verfahrensbeteiligten gewährt und dies nach Maßgabe von § 29 des Verwaltungsverfahrensgesetzes." - 8.
- § 10 wird wie folgt geändert:
- a)
- Dem Absatz 1 wird folgender Absatz 1 vorangestellt:„(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, nach Anhörung von Vertretern der Wissenschaft, der betroffenen Betreiber und der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie, dem Bundesministerium der Justiz und für Verbraucherschutz, dem Bundesministerium der Finanzen, dem Bundesministerium für Arbeit und Soziales, dem Bundesministerium für Ernährung und Landwirtschaft, dem Bundesministerium für Gesundheit, dem Bundesministerium für Verkehr und digitale Infrastruktur, dem Bundesministerium der Verteidigung und dem Bundesministerium für Umwelt, Naturschutz, Bau und Reaktorsicherheit unter Festlegung der in den jeweiligen Sektoren im Hinblick auf § 2 Absatz 10 Satz 1 Nummer 2 wegen ihrer Bedeutung als kritisch anzusehenden Dienstleistungen und deren als bedeutend anzusehenden Versorgungsgrads, welche Einrichtungen, Anlagen oder Teile davon als Kritische Infrastrukturen im Sinne dieses Gesetzes gelten. Der nach Satz 1 als bedeutend anzusehende Versorgungsgrad ist anhand von branchenspezifischen Schwellenwerten für jede wegen ihrer Bedeutung als kritisch anzusehende Dienstleistung im jeweiligen Sektor zu bestimmen. Zugang zu Akten, die die Erstellung oder Änderung dieser Verordnung betreffen, wird nicht gewährt."
- b)
- Der bisherige Absatz 1 wird Absatz 2 und die Wörter „Wirtschaft und Technologie durch Rechtsverordnung" werden durch die Wörter „Wirtschaft und Energie durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf," ersetzt.
- c)
- Der bisherige Absatz 2 wird Absatz 3 und in Satz 3 werden nach dem Wort „Rechtsverordnung" ein Komma und die Wörter „die nicht der Zustimmung des Bundesrates bedarf," eingefügt.
- 9.
- Die folgenden §§ 13 und 14 werden angefügt:
„§ 13 Berichtspflichten(1) Das Bundesamt unterrichtet das Bundesministerium des Innern über seine Tätigkeit.(2) Die Unterrichtung nach Absatz 1 dient auch der Aufklärung der Öffentlichkeit durch das Bundesministerium des Innern über Gefahren für die Sicherheit in der Informationstechnik, die mindestens einmal jährlich in einem zusammenfassenden Bericht erfolgt. § 7 Absatz 1 Satz 3 und 4 ist entsprechend anzuwenden.
§ 14 Bußgeldvorschriften(1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig- 1.
- entgegen § 8a Absatz 1 Satz 1 in Verbindung mit einer Rechtsverordnung nach § 10 Absatz 1 Satz 1 eine dort genannte Vorkehrung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig trifft,
- 2.
- einer vollziehbaren Anordnung nach § 8a Absatz 3 Satz 4
- a)
- Nummer 1 oder
- b)
- Nummer 2
- 3.
- entgegen § 8b Absatz 3 Satz 1 in Verbindung mit einer Rechtsverordnung nach § 10 Absatz 1 Satz 1 eine Kontaktstelle nicht oder nicht rechtzeitig benennt oder
- 4.
- entgegen § 8b Absatz 4 Satz 1 Nummer 2 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht.
(2) Die Ordnungswidrigkeit kann in den Fällen des Absatzes 1 Nummer 2 Buchstabe b mit einer Geldbuße bis zu hunderttausend Euro, in den übrigen Fällen des Absatzes 1 mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden.(3) Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist das Bundesamt."
Artikel 2 Änderung des Atomgesetzes
Nach § 40 des Atomgesetzes in der Fassung der Bekanntmachung vom 15. Juli 1985 (BGBl. I S. 1565), das zuletzt durch Artikel 2 Absatz 14 des Gesetzes vom 1. April 2015 (BGBl. I S. 434) geändert worden ist, wird folgender § 44b eingefügt:
- „§ 44b Meldewesen für die Sicherheit in der Informationstechnik
Genehmigungsinhaber nach den §§ 6, 7 und 9 haben Beeinträchtigungen ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einer Gefährdung oder Störung der nuklearen Sicherheit der betroffenen kerntechnischen Anlage oder Tätigkeit führen können oder bereits geführt haben, unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik als zentrale Meldestelle zu melden. § 8b Absatz 1, 2 und 7 des BSI-Gesetzes sind entsprechend anzuwenden. Die Meldung muss Angaben zu der Störung sowie zu den technischen Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen Ursache, und der betroffenen Informationstechnik enthalten. Das Bundesamt für Sicherheit in der Informationstechnik leitet diese Meldungen unverzüglich an die für die nukleare Sicherheit und Sicherung zuständigen Genehmigungs- und Aufsichtsbehörden des Bundes und der Länder weiter."
Artikel 3 Änderung des Energiewirtschaftsgesetzes
Artikel 3 wird in 2 Vorschriften zitiert und ändert mWv. 25. Juli 2015 EnWG § 11, § 21e, § 21f, § 21i, § 59
Das Energiewirtschaftsgesetz vom 7. Juli 2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 6 des Gesetzes vom 21. Juli 2014 (BGBl. I S. 1066) geändert worden ist, wird wie folgt geändert:
- 1.
- § 11 wird wie folgt geändert:
- a)
- Absatz 1a wird wie folgt geändert:
- aa)
- In Satz 1 werden nach dem Wort „Datenverarbeitungssysteme," die Wörter „die der Netzsteuerung dienen" durch die Wörter „die für einen sicheren Netzbetrieb notwendig sind" ersetzt.
- bb)
- Nach Satz 2 wird folgender Satz eingefügt:
„Der Katalog der Sicherheitsanforderungen enthält auch Regelungen zur regelmäßigen Überprüfung der Erfüllung der Sicherheitsanforderungen." - cc)
- In dem neuen Satz 4 werden die Wörter „wird vermutet" durch die Wörter „liegt vor" ersetzt.
- dd)
- Der neue Satz 6 wird wie folgt gefasst:
„Zu diesem Zwecke kann die Regulierungsbehörde nähere Bestimmungen zu Format, Inhalt und Gestaltung der Dokumentation nach Satz 4 treffen."
- b)
- Nach Absatz 1a werden die folgenden Absätze 1b und 1c eingefügt:„(1b) Betreiber von Energieanlagen, die durch Inkrafttreten der Rechtsverordnung gemäß § 10 Absatz 1 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 8 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung als Kritische Infrastruktur bestimmt wurden und an ein Energieversorgungsnetz angeschlossen sind, haben binnen zwei Jahren nach Inkrafttreten der Rechtsverordnung gemäß § 10 Absatz 1 des BSI-Gesetzes einen angemessenen Schutz gegen Bedrohungen für Telekommunikations- und elektronische Datenverarbeitungssysteme zu gewährleisten, die für einen sicheren Anlagenbetrieb notwendig sind. Die Regulierungsbehörde erstellt hierzu im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik einen Katalog von Sicherheitsanforderungen und veröffentlicht diesen. Für Telekommunikations- und elektronische Datenverarbeitungssysteme von Anlagen nach § 7 Absatz 1 des Atomgesetzes haben Vorgaben auf Grund des Atomgesetzes Vorrang. Die für die nukleare Sicherheit zuständigen Genehmigungs- und Aufsichtsbehörden des Bundes und der Länder sind bei der Erarbeitung des Katalogs von Sicherheitsanforderungen zu beteiligen. Der Katalog von Sicherheitsanforderungen enthält auch Regelungen zur regelmäßigen Überprüfung der Erfüllung der Sicherheitsanforderungen. Ein angemessener Schutz des Betriebs von Energieanlagen im Sinne von Satz 1 liegt vor, wenn dieser Katalog eingehalten und dies vom Betreiber dokumentiert worden ist. Die Einhaltung kann von der Bundesnetzagentur überprüft werden. Zu diesem Zwecke kann die Regulierungsbehörde nähere Bestimmungen zu Format, Inhalt und Gestaltung der Dokumentation nach Satz 6 treffen.(1c) Betreiber von Energieversorgungsnetzen und Energieanlagen, die durch Inkrafttreten der Rechtsverordnung gemäß § 10 Absatz 1 des BSI-Gesetzes als Kritische Infrastruktur bestimmt wurden, haben dem Bundesamt für Sicherheit in der Informationstechnik unverzüglich erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu melden, die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit des Energieversorgungsnetzes oder der betreffenden Energieanlage führen können oder bereits geführt haben. Die Meldung muss Angaben zu der Störung sowie zu den technischen Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen Ursache und der betroffenen Informationstechnik, enthalten. Die Nennung des Betreibers ist nur dann erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der Kritischen Infrastruktur geführt hat. Das Bundesamt für Sicherheit in der Informationstechnik hat die Meldungen unverzüglich an die Bundesnetzagentur weiterzuleiten. Das Bundesamt für Sicherheit in der Informationstechnik und die Bundesnetzagentur haben sicherzustellen, dass die unbefugte Offenbarung der ihnen nach Satz 1 zur Kenntnis gelangten Angaben ausgeschlossen wird. Zugang zu den Akten des Bundesamtes für Sicherheit in der Informationstechnik sowie zu den Akten der Bundesnetzagentur in Angelegenheiten nach den §§ 11a bis 11c wird nicht gewährt. § 29 des Verwaltungsverfahrensgesetzes bleibt unberührt. § 8d Absatz 1 des BSI-Gesetzes ist entsprechend anzuwenden."
- 2.
- § 21e Absatz 5 wird wie folgt geändert:
- a)
- In Satz 1 in dem Satzteil vor Nummer 1 werden nach den Wörtern „dürfen noch" die Wörter „bis zum Zeitpunkt, den eine Rechtsverordnung nach § 21i Absatz 1 Nummer 11 bestimmt, mindestens jedoch" eingefügt und wird die Angabe „2014" durch die Angabe „2015" ersetzt.
- b)
- Satz 3 wird aufgehoben.
- 3.
- § 21f Absatz 2 wird wie folgt geändert:
- a)
- In Satz 1 werden nach den Wörtern „können noch" die Wörter „bis zum Zeitpunkt, den eine Rechtsverordnung nach § 21i Absatz 1 Nummer 11 bestimmt, mindestens jedoch" eingefügt und wird die Angabe „2014" durch die Angabe „2015" ersetzt.
- b)
- Satz 2 wird aufgehoben.
- 4.
- In § 21i Absatz 1 Nummer 11 werden die Wörter „und eine Verlängerung der genannten Frist" gestrichen.
- 5.
- In § 59 Absatz 1 Satz 2 werden nach dem Wort „Erstellung" die Wörter „und Überprüfung" eingefügt und wird nach der Angabe „§ 11 Absatz 1a" die Angabe „Satz 2" durch die Angabe „und 1b" ersetzt.
Artikel 4 Änderung des Telemediengesetzes
Das Telemediengesetz vom 26. Februar 2007 (BGBl. I S. 179, 251), das zuletzt durch Artikel 2 Absatz 16 des Gesetzes vom 1. April 2015 (BGBl. I S. 434) geändert worden ist, wird wie folgt geändert:
- 1.
- § 13 wird wie folgt geändert:
- a)
- Nach Absatz 6 wird folgender Absatz 7 eingefügt:„(7) Diensteanbieter haben, soweit dies technisch möglich und wirtschaftlich zumutbar ist, im Rahmen ihrer jeweiligen Verantwortlichkeit für geschäftsmäßig angebotene Telemedien durch technische und organisatorische Vorkehrungen sicherzustellen, dass
- 1.
- kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen möglich ist und
- 2.
- diese
- a)
- gegen Verletzungen des Schutzes personenbezogener Daten und
- b)
- gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind,
- b)
- Der bisherige Absatz 7 wird Absatz 8.
- 2.
- In § 16 Absatz 2 Nummer 3 werden nach den Wörtern „§ 13 Abs. 4 Satz 1 Nr. 1 bis 4 oder 5" die Wörter „oder Absatz 7 Satz 1 Nummer 1 oder Nummer 2 Buchstabe a" eingefügt.
Artikel 5 Änderung des Telekommunikationsgesetzes
Artikel 5 wird in 1 Vorschrift zitiert und ändert mWv. 25. Juli 2015 TKG § 100, § 109, § 109a, § 149
Das Telekommunikationsgesetz vom 22. Juni 2004 (BGBl. I S. 1190), das zuletzt durch Artikel 22 des Gesetzes vom 25. Juli 2014 (BGBl. I S. 1266) geändert worden ist, wird wie folgt geändert:
- 1.
- In der Inhaltsübersicht wird die Angabe zu § 109a wie folgt gefasst:
㤠109a Daten- und Informationssicherheit". - 2.
- § 100 Absatz 1 wird wie folgt gefasst:„(1) Soweit erforderlich, darf der Diensteanbieter die Bestandsdaten und Verkehrsdaten der Teilnehmer und Nutzer erheben und verwenden, um Störungen oder Fehler an Telekommunikationsanlagen zu erkennen, einzugrenzen oder zu beseitigen. Dies gilt auch für Störungen, die zu einer Einschränkung der Verfügbarkeit von Informations- und Kommunikationsdiensten oder zu einem unerlaubten Zugriff auf Telekommunikations- und Datenverarbeitungssysteme der Nutzer führen können."
- 3.
- § 109 wird wie folgt geändert:
- a)
- Nach Absatz 2 Satz 2 wird folgender Satz eingefügt:
„Bei Maßnahmen nach Satz 2 ist der Stand der Technik zu berücksichtigen." - b)
- Absatz 4 Satz 7 wird durch die folgenden Sätze ersetzt:
„Die Bundesnetzagentur überprüft regelmäßig die Umsetzung des Sicherheitskonzepts. Die Überprüfung soll mindestens alle zwei Jahre erfolgen." - c)
- Absatz 5 wird wie folgt gefasst:„(5) Wer ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, hat der Bundesnetzagentur unverzüglich Beeinträchtigungen von Telekommunikationsnetzen und -diensten mitzuteilen, die
- 1.
- zu beträchtlichen Sicherheitsverletzungen führen oder
- 2.
- zu beträchtlichen Sicherheitsverletzungen führen können.
- d)
- In Absatz 6 Satz 1 wird das Wort „Benehmen" durch das Wort „Einvernehmen" ersetzt.
- e)
- Folgender Absatz 8 wird angefügt:„(8) Über aufgedeckte Mängel bei der Erfüllung der Sicherheitsanforderungen in der Informationstechnik sowie die in diesem Zusammenhang von der Bundesnetzagentur geforderten Abhilfemaßnahmen unterrichtet die Bundesnetzagentur unverzüglich das Bundesamt für Sicherheit in der Informationstechnik."
- 4.
- § 109a wird wie folgt geändert:
- a)
- Die Überschrift wird wie folgt gefasst:
㤠109a Daten- und Informationssicherheit". - b)
- Nach Absatz 3 wird folgender Absatz 4 eingefügt:„(4) Werden dem Diensteanbieter nach Absatz 1 Störungen bekannt, die von Datenverarbeitungssystemen der Nutzer ausgehen, so hat er die Nutzer, soweit ihm diese bereits bekannt sind, unverzüglich darüber zu benachrichtigen. Soweit technisch möglich und zumutbar, hat er die Nutzer auf angemessene, wirksame und zugängliche technische Mittel hinzuweisen, mit denen sie diese Störungen erkennen und beseitigen können."
- c)
- Der bisherige Absatz 4 wird Absatz 5.
- 5.
- § 149 Nummer 21a wird wie folgt gefasst:
- „21a.
- entgegen § 109 Absatz 5 Satz 1 Nummer 1 eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,".
Artikel 6 Änderung des Bundesbesoldungsgesetzes
Artikel 6 wird in 1 Vorschrift zitiert und ändert mWv. 25. Juli 2015 BBesG Anlage I, BBesO A/B Besoldungsgruppe B 6, Besoldungsgruppe B 7
Die Anlage I des Bundesbesoldungsgesetzes in der Fassung der Bekanntmachung vom 19. Juni 2009 (BGBl. I S. 1434), das zuletzt durch Artikel 2 des Gesetzes vom 13. Mai 2015 (BGBl. I S. 706) geändert worden ist, wird wie folgt geändert:
- 1.
- In der Gliederungseinheit „Besoldungsgruppe B 6" wird die Angabe „Präsident des Bundesamtes für Sicherheit in der Informationstechnik" gestrichen.
- 2.
- In der Gliederungseinheit „Besoldungsgruppe B 7" wird nach der Angabe „Präsident des Bildungszentrums der Bundeswehr" folgende Angabe eingefügt:
„Präsident des Bundesamtes für Sicherheit in der Informationstechnik".
Artikel 7 Änderung des Bundeskriminalamtgesetzes
§ 4 Absatz 1 Satz 1 Nummer 5 des Bundeskriminalamtgesetzes vom 7. Juli 1997 (BGBl. I S. 1650), das zuletzt durch Artikel 3 des Gesetzes vom 20. Juni 2013 (BGBl. I S. 1602) geändert worden ist, wird wie folgt geändert:
- 1.
- In dem Satzteil vor Buchstabe a wird die Angabe „§ 303b" durch die Wörter „den §§ 202a, 202b, 202c, 263a, 303a und 303b" ersetzt.
- 2.
- In Buchstabe b werden vor dem Wort „sicherheitsempfindliche" die Wörter „Behörden oder Einrichtungen des Bundes oder" eingefügt.
Artikel 8 (aufgehoben)
Text in der Fassung des Artikels 5 Gesetz zur Aktualisierung der Strukturreform des Gebührenrechts des Bundes G. v. 18. Juli 2016 BGBl. I S. 1666; zuletzt geändert durch Artikel 3 V. v. 21.07.2021 BGBl. I S. 3182 m.W.v. 23. Juli 2016
Artikel 9 Änderung des Gesetzes zur Strukturreform des Gebührenrechts des Bundes
Artikel 3 Absatz 7 des Gesetzes zur Strukturreform des Gebührenrechts des Bundes vom 7. August 2013 (BGBl. I S. 3154) wird aufgehoben.
Artikel 10 (aufgehoben)
Text in der Fassung des Artikels 6 Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme G. v. 18. Mai 2021 BGBl. I S. 1122, 4304 m.W.v. 28. Mai 2021
Artikel 11 Inkrafttreten
Dieses Gesetz tritt vorbehaltlich des Satzes 2 am Tag nach der Verkündung*) in Kraft.
---
---
- *)
- Anm. d. Red.: Die Verkündung erfolgte am 24. Juli 2015.
Text in der Fassung des Artikels 5 Gesetz zur Aktualisierung der Strukturreform des Gebührenrechts des Bundes G. v. 18. Juli 2016 BGBl. I S. 1666; zuletzt geändert durch Artikel 3 V. v. 21.07.2021 BGBl. I S. 3182 m.W.v. 23. Juli 2016
Schlussformel
Die verfassungsmäßigen Rechte des Bundesrates sind gewahrt.
Das vorstehende Gesetz wird hiermit ausgefertigt. Es ist im Bundesgesetzblatt zu verkünden.
Der Bundespräsident
Joachim Gauck
Die Bundeskanzlerin
Dr. Angela Merkel
Der Bundesminister des Innern
Thomas de Maizière
Das vorstehende Gesetz wird hiermit ausgefertigt. Es ist im Bundesgesetzblatt zu verkünden.
Der Bundespräsident
Joachim Gauck
Die Bundeskanzlerin
Dr. Angela Merkel
Der Bundesminister des Innern
Thomas de Maizière
Link zu dieser Seite: https://www.buzer.de/gesetz/11682/index.htm