Kerninhalte | Das BSIG verpflichtet insb. besonders wichtige und wichtige Einrichtungen zur Einhaltung von Risikomanagement, Melde-, Registrierungs-, Nachweis- und Unterrichtungsmaßnahmen zur Sicherung eines hohen gemeinsamen Cybersicherheitsniveaus und Resilienz gegenüber den Gefahren krimineller oder staatlicher Angriffe. Betreiber kritischer Anlagen (= zählen selbst bereits als besonders wichtige Einrichtungen) sind von zusätzlichen Pflichten betroffen. Zu den besonders wichtigen Einrichtungen zählen:
-> Betreiber kritischer Anlagen,
-> qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter,
-> Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
--> mindestens 50 Mitarbeiter beschäftigen oder
--> einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen,
-> sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in ANLAGE 1 bestimmten Einrichtungsarten zuzuordnen sind, und
--> mindestens 250 Mitarbeiter beschäftigen oder
--> einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen
Euro aufweisen. Davon ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind. Zu den in ANLAGE 1 genannten Sektoren und Branchen zählen die folgenden:
-> Energie: Stromversorgung, Fernwärmeversorgung oder Fernkälteversorgung, Kraftstoff- und Heizölversorgung, Gasversorgung
-> Transport und Verkehr: Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr
-> Finanzwesen: Bankwesen, Finanzmarktinfrastrukturen
-> Gesundheit, z.B. Erbringer von Gesundheitsdienstleistungen, Unternehmen, die bestimmte Medizinprodukte oder bestimmte pharmazeutische Erzeugnisse herstellen, etc.
-> Wasser: Trinkwasserversorgung, Abwasserbeseitigung
-> Digitale Infrastruktur, z.B. Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Managed Services Provider etc.
-> Weltraum Zu den wichtigen Einrichtungen zählen:
-> Vertrauensdiensteanbieter,
-> Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
--> weniger als 50 Mitarbeiter beschäftigen und
--> einen Jahresumsatz oder eine Jahresbilanzsumme von jeweils 10 Millionen Euro oder weniger aufweisen,
-> sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den ANLAGEN 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und
--> mindestens 50 Mitarbeiter beschäftigen oder
--> einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen. Davon ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung. Zu den o.g. Sektoren und Branchen der ANLAGE 1 zählen daher hier auch die der ANLAGE 2:
-> Transport und Verkehr: Post- und Kurierdienste
-> Abfallbewirtschaftung
-> Produktion, Herstellung und Handel mit chemischen Stoffen
-> Produktion, Verarbeitung und Vertrieb von Lebensmitteln
-> Verarbeitendes Gewerbe/Herstellung von Waren: Herstellung von Medizinprodukten und In-vitro-Diagnostika, Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, Herstellung von elektrischen Ausrüstungen, Maschinenbau, Herstellung von Kraftwagen und Kraftwagenteilen, Sonstiger Fahrzeugbau
-> Anbieter digitaler Dienste, z.B. Anbieter von Online-Marktplätzen, Anbieter von Plattformen für Dienste sozialer Netzwerke, etc.
-> Forschung, z.B. Forschungseinrichtungen Zur Abgrenzung:
-> Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.
-> Dieses Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie
--> zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und
--> durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden. |