Title: § 8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen

Paragraph: 8a

Content:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen

(1) Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens
bis zum ersten Werktag, der darauf folgt, dass diese erstmalig oder
erneut als Betreiber einer Kritischen Infrastruktur nach der
Rechtsverordnung nach § 10 Absatz 1 gelten, angemessene
organisatorische und technische Vorkehrungen zur Vermeidung von
Störungen der Verfügbarkeit, Integrität, Authentizität und
Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten
oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen
betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der
Stand der Technik eingehalten werden. Organisatorische und technische
Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand
nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer
Beeinträchtigung der betroffenen Kritischen Infrastruktur steht.

(1a) Die Verpflichtung nach Absatz 1 Satz 1, angemessene
organisatorische und technische Vorkehrungen zu treffen, umfasst ab
dem 1. Mai 2023 auch den Einsatz von Systemen zur Angriffserkennung.
Die eingesetzten Systeme zur Angriffserkennung müssen geeignete
Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und
automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein,
fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für
eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen.
Absatz 1 Satz 2 und 3 gilt entsprechend.

(2) Betreiber Kritischer Infrastrukturen und ihre Branchenverbände
können branchenspezifische Sicherheitsstandards zur Gewährleistung der
Anforderungen nach den Absätzen 1 und 1a vorschlagen. Das Bundesamt
stellt auf Antrag fest, ob diese geeignet sind, die Anforderungen nach
den Absätzen 1 und 1a zu gewährleisten. Die Feststellung erfolgt

1.  im Benehmen mit dem Bundesamt für Bevölkerungsschutz und
    Katastrophenhilfe,

2.  im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes.

(3) Betreiber Kritischer Infrastrukturen haben die Erfüllung der
Anforderungen nach den Absätzen 1 und 1a spätestens zwei Jahre nach
dem in Absatz 1 genannten Zeitpunkt und anschließend alle zwei Jahre
dem Bundesamt nachzuweisen. Der Nachweis kann durch Sicherheitsaudits,
Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln
dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder
Zertifizierungen einschließlich der dabei aufgedeckten
Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation,
die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei
Sicherheitsmängeln im Einvernehmen mit der zuständigen
Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen
Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen.

(4) Das Bundesamt kann beim Betreiber Kritischer Infrastrukturen die
Einhaltung der Anforderungen nach den Absätzen 1 und 1a überprüfen; es
kann sich bei der Durchführung der Überprüfung eines qualifizierten
unabhängigen Dritten bedienen. Der Betreiber Kritischer
Infrastrukturen hat dem Bundesamt und den in dessen Auftrag handelnden
Personen zum Zweck der Überprüfung das Betreten der Geschäfts- und
Betriebsräume während der üblichen Betriebszeiten zu gestatten und auf
Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und
sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu
erteilen und die erforderliche Unterstützung zu gewähren. Für die
Überprüfung erhebt das Bundesamt Gebühren und Auslagen bei dem
jeweiligen Betreiber Kritischer Infrastrukturen nur, sofern das
Bundesamt auf Grund von Anhaltspunkten tätig geworden ist, die
berechtigte Zweifel an der Einhaltung der Anforderungen nach den
Absätzen 1 und 1a begründeten.

(5) Das Bundesamt kann zur Ausgestaltung des Verfahrens der
Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3
Anforderungen an die Art und Weise der Durchführung, an die hierüber
auszustellenden Nachweise sowie fachliche und organisatorische
Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der
betroffenen Betreiber und der betroffenen Wirtschaftsverbände
festlegen.

Source: https://www.gesetze-im-internet.de/bsig_2009/__8a.html
Directory: bsig_2009
Level: 2.0