Source: https://www.gesetze-im-internet.de/bsig_2009/__8c.html
Legislation: bsig_2009

Title: § 8c Besondere Anforderungen an Anbieter digitaler Dienste

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8c Besondere Anforderungen an Anbieter digitaler Dienste

Paragraph: 8c

Full Text:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8c Besondere Anforderungen an Anbieter digitaler Dienste

(1) Anbieter digitaler Dienste haben geeignete und verhältnismäßige
technische und organisatorische Maßnahmen zu treffen, um Risiken für
die Sicherheit der Netz- und Informationssysteme, die sie zur
Bereitstellung der digitalen Dienste innerhalb der Europäischen Union
nutzen, zu bewältigen. Sie haben Maßnahmen zu treffen, um den
Auswirkungen von Sicherheitsvorfällen auf innerhalb der Europäischen
Union erbrachte digitale Dienste vorzubeugen oder die Auswirkungen so
gering wie möglich zu halten.

(2) Maßnahmen zur Bewältigung von Risiken für die Sicherheit der Netz-
und Informationssysteme nach Absatz 1 Satz 1 müssen unter
Berücksichtigung des Stands der Technik ein Sicherheitsniveau der
Netz- und Informationssysteme gewährleisten, das dem bestehenden
Risiko angemessen ist. Dabei ist folgenden Aspekten Rechnung zu
tragen:

1.  der Sicherheit der Systeme und Anlagen,

2.  der Erkennung, Analyse und Eindämmung von Sicherheitsvorfällen,

3.  dem Betriebskontinuitätsmanagement,

4.  der Überwachung, Überprüfung und Erprobung,

5.  der Einhaltung internationaler Normen.

Die notwendigen Maßnahmen werden durch Durchführungsrechtsakte der
Kommission nach Artikel 16 Absatz 8 der Richtlinie (EU) 2016/1148
näher bestimmt.

(3) Anbieter digitaler Dienste haben jeden Sicherheitsvorfall, der
erhebliche Auswirkungen auf die Bereitstellung eines von ihnen
innerhalb der Europäischen Union erbrachten digitalen Dienstes hat,
unverzüglich dem Bundesamt zu melden. Die Voraussetzungen, nach denen
Auswirkungen eines Sicherheitsvorfalls erheblich sind, werden durch
Durchführungsakte der Kommission nach Artikel 16 Absatz 8 der
Richtlinie (EU) 2016/1148 unter Berücksichtigung insbesondere der
folgenden Parameter näher bestimmt:

1.  die Zahl der von dem Sicherheitsvorfall betroffenen Nutzer,
    insbesondere der Nutzer, die den Dienst für die Bereitstellung ihrer
    eigenen Dienste benötigen,

2.  die Dauer des Sicherheitsvorfalls,

3.  das von dem Sicherheitsvorfall betroffene geographische Gebiet,

4.  das Ausmaß der Unterbrechung der Bereitstellung des Dienstes,

5.  das Ausmaß der Auswirkungen auf wirtschaftliche und gesellschaftliche
    Tätigkeiten.

Die Pflicht zur Meldung eines Sicherheitsvorfalls entfällt, wenn der
Anbieter keinen ausreichenden Zugang zu den Informationen hat, die
erforderlich sind, um die Auswirkung eines Sicherheitsvorfalls
gemessen an den Parametern nach Satz 2 zu bewerten. Für den Inhalt der
Meldungen gilt § 8b Absatz 4 entsprechend, soweit nicht
Durchführungsakte der Kommission nach Artikel 16 Absatz 9 der
Richtlinie (EU) 2016/1148 etwas anderes bestimmen. Über nach Satz 1
gemeldete Sicherheitsvorfälle, die Auswirkungen in einem anderen
Mitgliedstaat der Europäischen Union haben, hat das Bundesamt die
zuständige Behörde dieses Mitgliedstaats zu unterrichten.

(4) Liegen Anhaltspunkte dafür vor, dass ein Anbieter digitaler
Dienste die Anforderungen des Absatzes 1 in Verbindung mit den
Durchführungsrechtsakten der Kommission nach Artikel 16 Absatz 8 der
Richtlinie (EU) 2016/1148 und des Absatzes 2 in Verbindung mit den
Durchführungsrechtsakten der Kommission nach Artikel 16 Absatz 9 der
Richtlinie (EU) 2016/1148 nicht erfüllt, kann das Bundesamt von dem
Anbieter digitaler Dienste folgende Maßnahmen verlangen:

1.  die Übermittlung der zur Beurteilung der Sicherheit seiner Netz- und
    Informationssysteme erforderlichen Informationen, einschließlich
    Nachweisen über ergriffene Sicherheitsmaßnahmen,

2.  die Beseitigung von Mängeln bei der Erfüllung der in den Absätzen 1
    und 2 bestimmten Anforderungen.

Die Anhaltspunkte können sich auch aus Feststellungen ergeben, die dem
Bundesamt von den zuständigen Behörden eines anderen Mitgliedstaats
der Europäischen Union vorgelegt werden.

(5) Hat ein Anbieter digitaler Dienste seine Hauptniederlassung, einen
Vertreter oder Netz- und Informationssysteme in einem anderen
Mitgliedstaat der Europäischen Union, so arbeitet das Bundesamt bei
der Erfüllung der Aufgaben nach Absatz 4 mit der zuständigen Behörde
dieses Mitgliedstaats zusammen. Diese Zusammenarbeit kann das Ersuchen
umfassen, die Maßnahmen in Absatz 4 Satz 1 Nummer 1 und 2 zu
ergreifen.

Collections: bundestag_gesetze
BSIG-2009
Level: 2.0