Änderung Anhang 4 BSI-KritisV vom 30.06.2017

Anhang 4 BSI-KritisV a.F. (alte Fassung)
in der vor dem 30.06.2017 geltenden Fassung

Anhang 4 BSI-KritisV n.F. (neue Fassung)
in der am 30.06.2017 geltenden Fassung
durch Artikel 1 V. v. 21.06.2017 BGBl. I S. 1903

(Textabschnitt unverändert)

Anhang 4 (zu § 1 Nummer 4 und 5, § 5 Absatz 4 Nummer 1 und 2) Anlagenkategorien und Schwellenwerte im Sektor Informationstechnik und Telekommunikation

Teil 1 Grundsätze und Fristen

1. Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Telekommunikationsgesetzes in der jeweils geltenden Fassung.

(Text alte Fassung)

2. Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt zum 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur. Hat der Versorgungsgrad einer Anlage den in Teil 3 Spalte D genannten Schwellenwert im Kalenderjahr 2015 erreicht oder überschritten, gilt die Anlage mit Inkrafttreten dieser Verordnung als Kritische Infrastruktur.

3. Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr bis zum 31. März des Folgejahres zu ermitteln.

4. Ist der Versorgungsgrad für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 unmittelbar anhand der Anzahl versorgter Personen zu ermitteln, ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich.

5. Ist der Versorgungsgrad der genannten Anlagenkategorie anhand der Kapazität (installierte Leistung) einer Anlage zu ermitteln, ist auf den rechtlich und tatsächlich möglichen Betriebsumfang der durch denselben Betreiber betriebenen Anlage abzustellen.

(Text neue Fassung)

2. Im Sinne von Anhang 4 ist oder sind

a) Ortsgebundenes Zugangsnetz

eine Anlage, über die der Zugang zu einem öffentlichen Telefondienst, zu einem öffentlichen Datenübermittlungsdienst oder zu einem Internetzugangsdienst erfolgt (zum Beispiel Glasfaseranschlüsse und Mobilfunk-Zugangsnetze).

b) Übertragungsnetz

eine Anlage zur Übertragung von Sprache und Daten für öffentlich zugängliche Telefondienste und Datenübermittlungsdienste oder für Internetzugangsdienste (zum Beispiel Backbone- und Core-Netze).

c) IXP

eine Anlage, die mehr als zwei unabhängige autonome Systeme direkt verbindet, so dass der Netzwerkverkehr zwischen zwei angeschlossenen autonomen Systemen direkt ohne Nutzung eines intermediären autonomen Systems fließt.

d) DNS-Resolver, die zur Nutzung öffentlich zugänglicher Telefondienste, Datenübermittlungsdienste oder Internetzugangsdienste angeboten werden

eine Anlage oder ein System im Zugangsnetz eines Internet Service Providers zur Beantwortung von Anfragen zur Namensauflösung, die bei Unkenntnis der Antwort die Anfragen an übergeordnete DNS-Instanzen weiterreicht.

e) Autoritative DNS-Server

eine Anlage oder ein System zur Beantwortung von Anfragen zur Namensauflösung gemäß Kapitel 5 des RFC 7719, in der oder in dem durch lokal vorliegende Informationen über den Inhalt einer DNS-Zone Anfragen über diese DNS-Zone beantwortet werden oder die Anfragen an andere Server delegiert werden.

f) Rechenzentrum (Housing)

ein oder mehrere Gebäude, zumindest aber ein geschlossener Raum mit dem vorrangigen Zweck, eine geeignete Umgebung für die Unterbringung und den Betrieb von zentralen IT-Komponenten, zum Beispiel Server oder Netzwerktechnik, in mindestens zehn Racks bereitzustellen.

g) Serverfarm (Hosting)

zwei oder mehrere Computer, die im IT-Netzwerk Dienste bereitstellen, wobei virtuelle Server als virtuelle Maschinen gelten, die auf einem physischen Server betrieben werden und wie ein eigenständiger Computer agieren.

h) Content Delivery Netzwerk

ein Netz regional verteilter und über das Internet verbundener Server, mit dem Inhalte, insbesondere große Mediendateien, ausgeliefert werden.

i) Anlage zur Erbringung von Vertrauensdiensten

eine vertrauenswürdige dritte Instanz (Trusted Third Party), die in elektronischen Kommunikationsprozessen die jeweilige Identität des Kommunikationspartners bescheinigt.

3. Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur.

4. Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr bis zum 31. März des Folgejahres zu ermitteln.

5. Ist der Versorgungsgrad für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 unmittelbar anhand der Anzahl versorgter Teilnehmer zu ermitteln, ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres jeweils maßgeblich.

(Textabschnitt unverändert)

6. Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als Kritische Infrastruktur. Ein enger betrieblicher Zusammenhang ist unabhängig von der räumlichen Distanz der Anlagen gegeben, wenn die Anlagen

(Text alte Fassung)

a) auf demselben Betriebsgelände liegen,

b) mit gemeinsamen Betriebseinrichtungen oder untereinander verbunden sind,

c) einem vergleichbaren technischen Zweck dienen und

d) unter gemeinsamer Leitung oder Steuerung stehen.

(Text neue Fassung)

a) mit gemeinsamen Betriebseinrichtungen oder untereinander verbunden sind,

b) einem vergleichbaren technischen Zweck dienen und

c) unter gemeinsamer Leitung oder Steuerung stehen.

(Textabschnitt unverändert)

Teil 2 Berechnungsformeln zur Ermittlung der Schwellenwerte

7. Der für die Anlagenkategorien des Teils 3 Nummer 1.1 bis 1.2 genannte Schwellenwert ergibt sich aus § 1 Absatz 1 Nummer 2 des Post- und Telekommunikationssicherstellungsgesetzes vom 24. März 2011 (BGBl. I S. 506, 941) in der jeweils geltenden Fassung.

8. Der für die Anlagenkategorie des Teils 3 Nummer 1.3.1 genannte Schwellenwert ist unter Annahme einer Anzahl von 50.000 Autonomen Systemen aus allen Netzen und einer Bedarfsabdeckung von 500.000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:

300 ≈ 500.000 / 80.000.000 x 50.000

(Text alte Fassung)

9. Der für die Anlagenkategorie des Teils 3 Nummer 1.4.1 genannte Schwellenwert ist unter Annahme der Benutzung von 5 IP-Endgeräten durch eine Person und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

2.500.000 = 5 x 500.000

10. Der für die Anlagenkategorie des Teils 3 Nummer 1.4.2 genannte Schwellenwert ist unter Annahme von 40 Millionen in der Bundesrepublik Deutschland verwalteten Domains und einer Bedarfsabdeckung von 500.000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:

(Text neue Fassung)

9. Der für die Anlagenkategorie des Teils 3 Nummer 1.4.2 genannte Schwellenwert ist unter Annahme von 40 Millionen in der Bundesrepublik Deutschland verwalteten Domains und einer Bedarfsabdeckung von 500.000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:

(Textabschnitt unverändert)

250.000 ≈ 500.000 / 80.000.000 x 40.000.000

(Text alte Fassung)

11. Der für die Anlagenkategorie des Teils 3 Nummer 2.2.1 genannte Schwellenwert ist unter Annahme von 4 Millionen in der Bundesrepublik Deutschland verwalteten Servern und einer Bedarfsabdeckung von 500.000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:

(Text neue Fassung)

10. Der für die Anlagenkategorie des Teils 3 Nummer 2.2.1 genannte Schwellenwert ist unter Annahme von 4 Millionen in der Bundesrepublik Deutschland verwalteten Servern und einer Bedarfsabdeckung von 500.000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:

(Textabschnitt unverändert)

25.000 = 500.000 / 80.000.000 x 4.000.000

(Text alte Fassung)

12. Der für die Anlagenkategorie des Teils 3 Nummer 2.2.2 genannte Schwellenwert ist unter Annahme eines Transportvolumens von 11.826.000 Terabyte/Jahr und einer Bedarfsabdeckung von 500.000 versorgten Personen bei 80 Millionen Personen Gesamtbevölkerung wie folgt berechnet:

(Text neue Fassung)

11. Der für die Anlagenkategorie des Teils 3 Nummer 2.2.2 genannte Schwellenwert ist unter Annahme eines Transportvolumens von 11.826.000 Terabyte/Jahr und einer Bedarfsabdeckung von 500.000 versorgten Personen bei 80 Millionen Personen Gesamtbevölkerung wie folgt berechnet:

(Textabschnitt unverändert)

75.000 TByte/Jahr ≈ 500.000 / 80.000.000 x 11.826.000 TByte/Jahr

Teil 3 Anlagenkategorien und Schwellenwerte


Spalte A | Spalte B | Spalte C | Spalte D

Nr. | Anlagenkategorie | Bemessungskriterium | Schwellenwert

1. | Sprach- und Datenübertragung | |

1.1 | Zugang | |

1.1.1 | Ortsgebundene Zugangsnetze, über
die Zugang zu einem öffentlichen
Telefondienst, zu einem öffentlichen
Datenübermittlungsdienst oder
Internetzugangsdienst erfolgt | Teilnehmeranschlüsse des Zugangsnetzes
(§ 3 Nummer 21 TKG in der jeweils
geltenden Fassung) | 100.000
(§ 1 Absatz 1
Nummer 2 PTSG
in der jeweils
geltenden
Fassung)

1.2. | Übertragung | |

1.2.1 | Übertragungsnetze für öffentlich
zugängliche Telefondienste und Daten-
übermittlungsdienste oder Internet-
zugangsdienste
(ohne Nummer 1.1.1) | Teilnehmer des jeweiligen Dienstes | 100.000
(§ 1 Absatz 1
Nummer 2 PTSG
in der jeweils
geltenden
Fassung)

1.3 | Vermittlung | |

1.3.1 | IXP für öffentlich zugängliche Telefon-
dienste, Datenübermittlungsdienste
oder Internetzugangsdienste | Anzahl angeschlossener autonomer
Systeme (Jahresdurchschnitt) | 300

1.4. | Steuerung | |

(Text alte Fassung)

1.4.1 | DNS-Resolver, die zur Nutzung
öffentlich zugänglicher Telefondienste,
Datenübermittlungsdienste oder
Internetzugangsdienste angeboten
werden | Anzahl der abfragenden IP-Adressen pro Tag
(Jahresdurchschnitt) | 2.500.000

1.4.2 | Autoritative DNS-Server, die zur
Nutzung öffentlich zugänglicher
Telefondienste, Datenübermittlungs-
dienste oder Internetzugangsdienste
angeboten werden | Anzahl der Domains, für die der Server
autoritativ ist oder die aus der Zone delegiert
werden | 250.000

(Text neue Fassung)

1.4.1 | DNS-Resolver, die zur Nutzung
öffentlich zugänglicher Telefon-
dienste, Datenübermittlungsdienste
oder Internetzugangsdienste
angeboten werden | Anzahl Teilnehmer des Zugangsnetzes,
in welchem der DNS-Resolver betrieben
wird | 100.000

1.4.2 | Autoritative DNS-Server | Anzahl der Domains, für die der Server
autoritativ ist oder die aus der Zone delegiert
werden | 250.000

(Textabschnitt unverändert)

2. | Datenspeicherung und -verarbeitung | |

2.1 | Housing | |

2.1.1 | Rechenzentrum | vertraglich vereinbarte Leistung in MW
(am 30. Juni eines Kalenderjahres) | 5

2.2. | IT-Hosting | |

2.2.1 | Serverfarm | Anzahl der laufenden Instanzen
(Jahresdurchschnitt) | 25.000

2.2.2 | Content Delivery Netzwerk | ausgeliefertes Datenvolumen (in TByte/Jahr) | 75.000

2.3. | Vertrauensdienste | |

2.3.1 | Anlage zur Erbringung von Vertrauens-
diensten | Anzahl der ausgegebenen qualifizierten
Zertifikate oder | 500.000

Anzahl von Zertifikaten zur Authentifizierung
öffentlich zugänglicher Server
(Serverzertifikate, z. B. für Webserver,
E-Mailserver, Cloudserver (z. B. TLS/SSL-
Zertifikate)) | 10.000