Source: https://www.gesetze-im-internet.de/bsig_2009/__8f.html
Legislation: bsig_2009

Title: § 8f Sicherheit in der Informationstechnik bei Unternehmen im besonderen öffentlichen Interesse

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8f Sicherheit in der Informationstechnik bei Unternehmen im besonderen öffentlichen Interesse

Paragraph: 8f

Full Text:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 8f Sicherheit in der Informationstechnik bei Unternehmen im besonderen öffentlichen Interesse

(1) Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz
14 Satz 1 Nummer 1 und 2 sind verpflichtet, spätestens bis zum ersten
Werktag, der darauf folgt, dass diese erstmalig oder erneut als
Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz 14
Satz 1 Nummer 1 oder 2 gelten, und danach mindestens alle zwei Jahre
eine Selbsterklärung zur IT-Sicherheit beim Bundesamt vorzulegen, aus
der hervorgeht,

1.  welche Zertifizierungen im Bereich der IT-Sicherheit in den letzten
    zwei Jahren durchgeführt, welche Prüfgrundlage und welcher
    Geltungsbereich hierfür festgelegt wurden,

2.  welche sonstigen Sicherheitsaudits oder Prüfungen im Bereich der IT-
    Sicherheit in den letzten zwei Jahren durchgeführt, welche
    Prüfgrundlage und welcher Geltungsbereich hierfür festgelegt wurden
    oder

3.  wie sichergestellt wird, dass die für das Unternehmen besonders
    schützenswerten informationstechnischen Systeme, Komponenten und
    Prozesse angemessen geschützt werden, und ob dabei der Stand der
    Technik eingehalten wird.

(2) Das Bundesamt kann für die Selbsterklärung nach Absatz 1 zu
verwendende Formulare einführen.

(3) Das Bundesamt kann auf Grundlage der Selbsterklärung nach Absatz 1
Hinweise zu angemessenen organisatorischen und technischen
Vorkehrungen nach Absatz 1 Nummer 3 zur Einhaltung des Stands der
Technik geben.

(4) Für Unternehmen im besonderen öffentlichen Interesse nach § 2
Absatz 14 Satz 1 Nummer 1 gilt die Pflicht nach Absatz 1 nicht vor dem
1\. Mai 2023. Für Unternehmen im besonderen öffentlichen Interesse nach
§ 2 Absatz 14 Nummer 2 gilt diese Pflicht frühestens zwei Jahre nach
Inkrafttreten der Rechtsverordnung nach § 10 Absatz 5.

(5) Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz
14 Satz 1 Nummer 1 und 2 sind verpflichtet, sich gleichzeitig mit der
Vorlage der ersten Selbsterklärung zur IT-Sicherheit nach Absatz 1
beim Bundesamt zu registrieren und eine zu den üblichen
Geschäftszeiten erreichbare Stelle zu benennen. Die Übermittlung von
Informationen durch das Bundesamt nach § 8b Absatz 2 Nummer 4 erfolgt
an diese Stelle.

(6) Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz
14 Satz 1 Nummer 3 können eine freiwillige Registrierung beim
Bundesamt und die Benennung einer zu den üblichen Geschäftszeiten
erreichbaren Stelle vornehmen. Die Übermittlung von Informationen
durch das Bundesamt nach § 8b Absatz 2 Nummer 4 erfolgt an diese
Stelle.

(7) Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz
14 Satz 1 Nummer 1 und 2 haben ab dem Zeitpunkt, zu dem eine Pflicht
zur Vorlage der Selbsterklärung zur IT-Sicherheit nach Absatz 1
besteht, die folgenden Störungen unverzüglich über die nach Absatz 5
benannte Stelle an das Bundesamt zu melden:

1.  Störungen der Verfügbarkeit, der Integrität, der Authentizität und der
    Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten
    oder Prozesse, die zu einem Ausfall oder zu einer erheblichen
    Beeinträchtigung der Erbringung der Wertschöpfung geführt haben,

2.  erhebliche Störungen der Verfügbarkeit, der Integrität, der
    Authentizität und der Vertraulichkeit ihrer informationstechnischen
    Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer
    erheblichen Beeinträchtigung der Erbringung der Wertschöpfung führen
    können.

Die Meldung muss Angaben zu der Störung, zu den technischen
Rahmenbedingungen, insbesondere zu der vermuteten oder tatsächlichen
Ursache, der betroffenen Informationstechnik und der Art der
betroffenen Einrichtung oder Anlage enthalten.

(8) Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz
14 Satz 1 Nummer 3 haben spätestens ab dem 1. November 2021 die
folgenden Störungen unverzüglich an das Bundesamt zu melden:

1.  Störungen der Verfügbarkeit, der Integrität, der Authentizität und der
    Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten
    oder Prozesse, die zu einem Störfall nach der Störfall-Verordnung in
    der jeweils geltenden Fassung geführt haben,

2.  erhebliche Störungen der Verfügbarkeit, der Integrität, der
    Authentizität und der Vertraulichkeit ihrer informationstechnischen
    Systeme, Komponenten oder Prozesse, die zu einem Störfall nach der
    Störfall-Verordnung in der jeweils geltenden Fassung führen können.

Die Meldung muss Angaben zu der Störung, zu den technischen
Rahmenbedingungen, insbesondere zu der vermuteten oder tatsächlichen
Ursache, der betroffenen Informationstechnik und der Art der
betroffenen Einrichtung oder Anlage enthalten.

(9) Rechtfertigen Tatsachen die Annahme, dass ein Unternehmen ein
Unternehmen im besonderen öffentlichen Interesse nach § 2 Absatz 14
Satz 1 Nummer 2 ist, aber seine Pflichten nach Absatz 5 nicht erfüllt,
so kann das Bundesamt verlangen:

1.  eine rechnerische Darlegung, wie hoch die vom Unternehmen erbrachte
    inländische Wertschöpfung nach der in der Rechtsverordnung nach § 10
    Absatz 5 festgelegten Berechnungsmethode ist, oder

2.  eine Bestätigung einer anerkannten Wirtschaftsprüfungsgesellschaft,
    dass das Unternehmen nach der in der Rechtsverordnung nach § 10 Absatz
    5 festgelegten Berechnungsmethode kein Unternehmen im besonderen
    öffentlichen Interesse nach § 2 Absatz 14 Satz 1 Nummer 2 ist.

Collections: bundestag_gesetze
BSIG-2009
Level: 2.0