Source: https://www.gesetze-im-internet.de/bsig_2009/__8b.html
Legislation: bsig_2009

Title: § 8b Zentrale Stelle für die Sicherheit in der Informationstechnik Kritischer Infrastrukturen

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8b Zentrale Stelle für die Sicherheit in der Informationstechnik Kritischer Infrastrukturen

Paragraph: 8b

Full Text:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8b Zentrale Stelle für die Sicherheit in der Informationstechnik Kritischer Infrastrukturen

(1) Das Bundesamt ist die zentrale Meldestelle für Betreiber
Kritischer Infrastrukturen in Angelegenheiten der Sicherheit in der
Informationstechnik.

(2) Das Bundesamt hat zur Wahrnehmung dieser Aufgabe

1.  die für die Abwehr von Gefahren für die Sicherheit in der
    Informationstechnik wesentlichen Informationen zu sammeln und
    auszuwerten, insbesondere Informationen zu Sicherheitslücken, zu
    Schadprogrammen, zu erfolgten oder versuchten Angriffen auf die
    Sicherheit in der Informationstechnik und zu der dabei beobachteten
    Vorgehensweise,

2.  deren potentielle Auswirkungen auf die Verfügbarkeit der Kritischen
    Infrastrukturen in Zusammenarbeit mit den zuständigen
    Aufsichtsbehörden und dem Bundesamt für Bevölkerungsschutz und
    Katastrophenhilfe zu analysieren,

3.  das Lagebild bezüglich der Sicherheit in der Informationstechnik der
    Kritischen Infrastrukturen oder der Unternehmen im besonderen
    öffentlichen Interesse kontinuierlich zu aktualisieren und

4.  unverzüglich

    a)  die Betreiber Kritischer Infrastrukturen und die Unternehmen im
        besonderen öffentlichen Interesse über sie betreffende Informationen
        nach den Nummern 1 bis 3,

    b)  die zuständigen Aufsichtsbehörden und die sonst zuständigen Behörden
        des Bundes über die zur Erfüllung ihrer Aufgaben erforderlichen
        Informationen nach den Nummern 1 bis 3,

    c)  die zuständigen Aufsichtsbehörden der Länder oder die zu diesem Zweck
        dem Bundesamt von den Ländern als zentrale Kontaktstellen benannten
        Behörden über die zur Erfüllung ihrer Aufgaben erforderlichen
        Informationen nach den Nummern 1 bis 3 sowie

    d)  die zuständigen Behörden eines anderen Mitgliedstaats der Europäischen
        Union über nach Absatz 4 oder nach vergleichbaren Regelungen gemeldete
        erhebliche Störungen, die Auswirkungen in diesem Mitgliedstaat haben,

    zu unterrichten.

(3) Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens
bis zum ersten Werktag, der darauf folgt, dass diese erstmalig oder
erneut als Betreiber einer Kritischen Infrastruktur nach der
Rechtsverordnung nach § 10 Absatz 1 gelten, die von ihnen betriebenen
Kritischen Infrastrukturen beim Bundesamt zu registrieren und eine
Kontaktstelle zu benennen. Die Registrierung eines Betreibers einer
Kritischen Infrastruktur kann das Bundesamt auch selbst vornehmen,
wenn der Betreiber seine Pflicht zur Registrierung nicht erfüllt.
Nimmt das Bundesamt eine solche Registrierung selbst vor, informiert
es die zuständige Aufsichtsbehörde des Bundes darüber. Die Betreiber
haben sicherzustellen, dass sie über die benannte oder durch das
Bundesamt festgelegte Kontaktstelle jederzeit erreichbar sind. Die
Übermittlung von Informationen durch das Bundesamt nach Absatz 2
Nummer 4 erfolgt an diese Kontaktstelle.

(3a) Rechtfertigen Tatsachen die Annahme, dass ein Betreiber seine
Pflicht zur Registrierung nach Absatz 3 nicht erfüllt, so hat der
Betreiber dem Bundesamt auf Verlangen die für die Bewertung aus Sicht
des Bundesamtes erforderlichen Aufzeichnungen, Schriftstücke und
sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu
erteilen, soweit nicht Geheimschutzinteressen oder überwiegende
Sicherheitsinteressen entgegenstehen.

(4) Betreiber Kritischer Infrastrukturen haben die folgenden Störungen
unverzüglich über die Kontaktstelle an das Bundesamt zu melden:

1.  Störungen der Verfügbarkeit, Integrität, Authentizität und
    Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten
    oder Prozesse, die zu einem Ausfall oder zu einer erheblichen
    Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen
    Kritischen Infrastrukturen geführt haben,

2.  erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und
    Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten
    oder Prozesse, die zu einem Ausfall oder zu einer erheblichen
    Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen
    Kritischen Infrastrukturen führen können.

Die Meldung muss Angaben zu der Störung, zu möglichen
grenzübergreifenden Auswirkungen sowie zu den technischen
Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen
Ursache, der betroffenen Informationstechnik, der Art der betroffenen
Einrichtung oder Anlage sowie zur erbrachten kritischen Dienstleistung
und zu den Auswirkungen der Störung auf diese Dienstleistung
enthalten. Die Nennung des Betreibers ist nur dann erforderlich, wenn
die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung
der Funktionsfähigkeit der Kritischen Infrastruktur geführt hat.

(4a) Während einer erheblichen Störung gemäß Absatz 4 Satz 1 Nummer 2,
§ 8f Absatz 7 Satz 1 Nummer 2 oder Absatz 8 Satz 1 Nummer 2 kann das
Bundesamt im Einvernehmen mit der jeweils zuständigen Aufsichtsbehörde
des Bundes von den betroffenen Betreibern Kritischer Infrastrukturen
oder den Unternehmen im besonderen öffentlichen Interesse die
Herausgabe der zur Bewältigung der Störung notwendigen Informationen
einschließlich personenbezogener Daten verlangen. Betreiber Kritischer
Infrastrukturen und Unternehmen im besonderen öffentlichen Interesse
sind befugt, dem Bundesamt auf Verlangen die zur Bewältigung der
Störung notwendigen Informationen einschließlich personenbezogener
Daten zu übermitteln, soweit dies zur Bewältigung einer erheblichen
Störung gemäß Absatz 4 Satz 1 Nummer 2, § 8f Absatz 7 Satz 1 Nummer 2
oder Absatz 8 Satz 1 Nummer 2 erforderlich ist.

(5) Zusätzlich zu ihrer Kontaktstelle nach Absatz 3 können Betreiber
Kritischer Infrastrukturen, die dem gleichen Sektor angehören, eine
gemeinsame übergeordnete Ansprechstelle benennen. Wurde eine solche
benannt, erfolgt der Informationsaustausch zwischen den Kontaktstellen
und dem Bundesamt in der Regel über die gemeinsame Ansprechstelle.

(6) Soweit erforderlich kann das Bundesamt vom Hersteller der
betroffenen informationstechnischen Produkte und Systeme die
Mitwirkung an der Beseitigung oder Vermeidung einer Störung nach
Absatz 4, oder § 8f Absatz 7 oder 8 verlangen. Satz 1 gilt für
Störungen bei Betreibern und Genehmigungsinhabern im Sinne von § 8d
Absatz 3 entsprechend.

(7) Soweit im Rahmen dieser Vorschrift personenbezogene Daten
verarbeitet werden, ist eine über die vorstehenden Absätze
hinausgehende Verarbeitung zu anderen Zwecken unzulässig. § 5 Absatz 7
Satz 3 bis 8 ist entsprechend anzuwenden.

Collections: bundestag_gesetze
BSIG-2009
Level: 2.0