Title: § 2 Begriffsbestimmungen

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 2 Begriffsbestimmungen

Paragraph: 2

Content:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 2 Begriffsbestimmungen

(1) Die Informationstechnik im Sinne dieses Gesetzes umfasst alle
technischen Mittel zur Verarbeitung von Informationen.

(2) Informationen sowie informationsverarbeitende Systeme, Komponenten
und Prozesse sind besonders schützenswert. Der Zugriff auf diese darf
ausschließlich durch autorisierte Personen oder Programme erfolgen.
Die Sicherheit in der Informationstechnik und der damit verbundene
Schutz von Informationen und informationsverarbeitenden Systemen vor
Angriffen und unautorisierten Zugriffen im Sinne dieses Gesetzes
erfordert die Einhaltung bestimmter Sicherheitsstandards zur
Gewährleistung der informationstechnischen Grundwerte und Schutzziele.
Sicherheit in der Informationstechnik im Sinne dieses Gesetzes
bedeutet die Einhaltung bestimmter Sicherheitsstandards, die die
Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen
betreffen, durch Sicherheitsvorkehrungen

1.  in informationstechnischen Systemen, Komponenten oder Prozessen oder

2.  bei der Anwendung von informationstechnischen Systemen, Komponenten
    oder Prozessen.

(3) Kommunikationstechnik des Bundes im Sinne dieses Gesetzes ist die
Informationstechnik, die von einer oder mehreren Bundesbehörden oder
im Auftrag einer oder mehrerer Bundesbehörden betrieben wird und der
Kommunikation oder dem Datenaustausch innerhalb einer Bundesbehörde,
der Bundesbehörden untereinander oder der Bundesbehörden mit Dritten
dient. Kommunikationstechnik des Bundesverfassungsgerichts, der
Bundesgerichte, soweit sie nicht öffentlich-rechtliche
Verwaltungsaufgaben wahrnehmen, des Bundestages, des Bundesrates, des
Bundespräsidenten und des Bundesrechnungshofes ist nicht
Kommunikationstechnik des Bundes, soweit sie ausschließlich in deren
eigener Zuständigkeit betrieben wird.

(4) Schnittstellen der Kommunikationstechnik des Bundes im Sinne
dieses Gesetzes sind sicherheitsrelevante Netzwerkübergänge innerhalb
der Kommunikationstechnik des Bundes sowie zwischen dieser und der
Informationstechnik der einzelnen Bundesbehörden, Gruppen von
Bundesbehörden oder Dritter. Dies gilt nicht für die Komponenten an
den Netzwerkübergängen, die in eigener Zuständigkeit der in Absatz 3
Satz 2 genannten Gerichte und Verfassungsorgane betrieben werden.

(5) Schadprogramme im Sinne dieses Gesetzes sind Programme und
sonstige informationstechnische Routinen und Verfahren, die dem Zweck
dienen, unbefugt Daten zu nutzen oder zu löschen oder die dem Zweck
dienen, unbefugt auf sonstige informationstechnische Abläufe
einzuwirken.

(6) Sicherheitslücken im Sinne dieses Gesetzes sind Eigenschaften von
Programmen oder sonstigen informationstechnischen Systemen, durch
deren Ausnutzung es möglich ist, dass sich Dritte gegen den Willen des
Berechtigten Zugang zu fremden informationstechnischen Systemen
verschaffen oder die Funktion der informationstechnischen Systeme
beeinflussen können.

(7) Zertifizierung im Sinne dieses Gesetzes ist die Feststellung durch
eine Zertifizierungsstelle, dass ein Produkt, ein Prozess, ein System,
ein Schutzprofil (Sicherheitszertifizierung), eine Person
(Personenzertifizierung) oder ein IT-Sicherheitsdienstleister
bestimmte Anforderungen erfüllt.

(8) Protokolldaten im Sinne dieses Gesetzes sind Steuerdaten eines
informationstechnischen Protokolls zur Datenübertragung, die
unabhängig vom Inhalt eines Kommunikationsvorgangs übertragen oder auf
den am Kommunikationsvorgang beteiligten Servern gespeichert werden
und zur Gewährleistung der Kommunikation zwischen Empfänger und Sender
notwendig sind. Protokolldaten können Verkehrsdaten gemäß § 3 Nummer
70 des Telekommunikationsgesetzes und Nutzungsdaten nach § 2 Absatz 2
Nummer 3 des Telekommunikation-Telemedien-Datenschutz-Gesetzes
enthalten.

(8a) Protokollierungsdaten im Sinne dieses Gesetzes sind
Aufzeichnungen über technische Ereignisse oder Zustände innerhalb
informationstechnischer Systeme.

(9) Datenverkehr im Sinne dieses Gesetzes sind die mittels technischer
Protokolle übertragenen Daten. Der Datenverkehr kann
Telekommunikationsinhalte nach § 3 Absatz 1 des Telekommunikation-
Telemedien-Datenschutz-Gesetzes und Nutzungsdaten nach § 2 Absatz 2
Nummer 3 des Telekommunikation-Telemedien-Datenschutz-Gesetzes
enthalten.

(9a) IT-Produkte im Sinne dieses Gesetzes sind Software, Hardware
sowie alle einzelnen oder miteinander verbundenen Komponenten, die
Informationen informationstechnisch verarbeiten.

(9b) Systeme zur Angriffserkennung im Sinne dieses Gesetzes sind durch
technische Werkzeuge und organisatorische Einbindung unterstützte
Prozesse zur Erkennung von Angriffen auf informationstechnische
Systeme. Die Angriffserkennung erfolgt dabei durch Abgleich der in
einem informationstechnischen System verarbeiteten Daten mit
Informationen und technischen Mustern, die auf Angriffe hindeuten.

(10) Kritische Infrastrukturen im Sinne dieses Gesetzes sind
Einrichtungen, Anlagen oder Teile davon, die

1.  den Sektoren Energie, Informationstechnik und Telekommunikation,
    Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und
    Versicherungswesen sowie Siedlungsabfallentsorgung angehören und

2.  von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil
    durch ihren Ausfall oder ihre Beeinträchtigung erhebliche
    Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit
    eintreten würden.

Die Kritischen Infrastrukturen im Sinne dieses Gesetzes werden durch
die Rechtsverordnung nach § 10 Absatz 1 näher bestimmt.

(11) Digitale Dienste im Sinne dieses Gesetzes sind Dienste im Sinne
von Artikel 1 Absatz 1 Buchstabe b der Richtlinie (EU) 2015/1535 des
Europäischen Parlaments und des Rates vom 9. September 2015 über ein
Informationsverfahren auf dem Gebiet der technischen Vorschriften und
der Vorschriften für die Dienste der Informationsgesellschaft (ABl. L
241 vom 17.9.2015, S. 1), und die

1.  es Verbrauchern oder Unternehmern im Sinne des Artikels 4 Absatz 1
    Buchstabe a beziehungsweise Buchstabe b der Richtlinie 2013/11/EU des
    Europäischen Parlaments und des Rates vom 21. Mai 2013 über die
    alternative Beilegung verbraucherrechtlicher Streitigkeiten und zur
    Änderung der Verordnung (EG) Nr. 2006/2004 und der Richtlinie
    2009/22/EG (Richtlinie über alternative Streitbeilegung in
    Verbraucherangelegenheiten) (ABl. L 165 vom 18.6.2013, S. 63)
    ermöglichen, Kaufverträge oder Dienstleistungsverträge mit
    Unternehmern entweder auf der Webseite dieser Dienste oder auf der
    Webseite eines Unternehmers, die von diesen Diensten bereitgestellte
    Rechendienste verwendet, abzuschließen (Online-Marktplätze);

2.  es Nutzern ermöglichen, Suchen grundsätzlich auf allen Webseiten oder
    auf Webseiten in einer bestimmten Sprache anhand einer Abfrage zu
    einem beliebigen Thema in Form eines Stichworts, einer Wortgruppe oder
    einer anderen Eingabe vorzunehmen, die daraufhin Links anzeigen, über
    die der Abfrage entsprechende Inhalte abgerufen werden können (Online-
    Suchmaschinen);

3.  den Zugang zu einem skalierbaren und elastischen Pool gemeinsam
    nutzbarer Rechenressourcen ermöglichen (Cloud-Computing-Dienste),

und nicht zum Schutz grundlegender staatlicher Funktionen eingerichtet
worden sind oder für diese genutzt werden.

(12) „Anbieter digitaler Dienste“ im Sinne dieses Gesetzes ist eine
juristische Person, die einen digitalen Dienst anbietet.

(13) Kritische Komponenten im Sinne dieses Gesetzes sind IT-Produkte,

1.  die in Kritischen Infrastrukturen eingesetzt werden,

2.  bei denen Störungen der Verfügbarkeit, Integrität, Authentizität und
    Vertraulichkeit zu einem Ausfall oder zu einer erheblichen
    Beeinträchtigung der Funktionsfähigkeit Kritischer Infrastrukturen
    oder zu Gefährdungen für die öffentliche Sicherheit führen können und

3.  die auf Grund eines Gesetzes unter Verweis auf diese Vorschrift

    a)  als kritische Komponente bestimmt werden oder

    b)  eine auf Grund eines Gesetzes als kritisch bestimmte Funktion
        realisieren.

Werden für einen der in Absatz 10 Satz 1 Nummer 1 genannten Sektoren
keine kritischen Komponenten und keine kritischen Funktionen, aus
denen kritische Komponenten abgeleitet werden können, auf Grund eines
Gesetzes unter Verweis auf diese Vorschrift bestimmt, gibt es in
diesem Sektor keine kritischen Komponenten im Sinne dieses Gesetzes.

(14) Unternehmen im besonderen öffentlichen Interesse sind
Unternehmen, die nicht Betreiber Kritischer Infrastrukturen nach
Absatz 10 sind und

1.  die Güter nach § 60 Absatz 1 Nummer 1 und 3 der
    Außenwirtschaftsverordnung in der jeweils geltenden Fassung herstellen
    oder entwickeln,

2.  die nach ihrer inländischen Wertschöpfung zu den größten Unternehmen
    in Deutschland gehören und daher von erheblicher volkswirtschaftlicher
    Bedeutung für die Bundesrepublik Deutschland sind oder die für solche
    Unternehmen als Zulieferer wegen ihrer Alleinstellungsmerkmale von
    wesentlicher Bedeutung sind oder

3.  die Betreiber eines Betriebsbereichs der oberen Klasse im Sinne der
    Störfall-Verordnung in der jeweils geltenden Fassung sind oder nach §
    1 Absatz 2 der Störfall-Verordnung diesen gleichgestellt sind.

Die Unternehmen im besonderen öffentlichen Interesse nach Satz 1
Nummer 2 werden durch die Rechtsverordnung nach § 10 Absatz 5
bestimmt, in der festgelegt wird, welche wirtschaftlichen Kennzahlen
maßgeblich dafür sind, dass ein Unternehmen zu den größten Unternehmen
in Deutschland im Sinne der Nummer 2 gehört und welche
Alleinstellungsmerkmale maßgeblich dafür sind, dass Zulieferer für
solche Unternehmen von wesentlicher Bedeutung sind.

Source: https://www.gesetze-im-internet.de/bsig_2009/__2.html
Directory: bsig_2009
Level: 2.0