IT-Sicherheitsgesetz 2.0: Neue Pflichten für Unternehmen

Nicht KRITIS, aber UBI

Obwohl zweifellos KRITIS-Einrichtungen von „besonderem öffentlichen Interesse“ sind, zählen per Definition die Unternehmen, die unter die KRITIS-Verordnung fallen, nicht zu den Unternehmen im besonderen öffentlichen Interesse. Wer also zu KRITIS gehört, ist nicht Teil von UBI.

In Kürze dargestellt sind UBI Unternehmen, die im Bereich Waffen, Munition und Rüstungsmaterial oder im Bereich von Produkten mit IT-Sicherheitsfunktionen zur Verarbeitung staatlicher Verschlusssachen oder für die IT-Sicherheitsfunktion wesentliche Komponenten solcher Produkte tätig sind (UBI 1), sowie Unternehmen, „die nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind“ (UBI 2), und die einen Bereich betreiben, in dem gefährliche Stoffe in Mengen vorhanden sind, die die „in Spalte 5 der Stoffliste in Anhang I der Störfall-Verordnung genannten Mengenschwellen erreichen oder überschreiten“ (UBI 3).

Während die Zuordnung zur Rüstungsindustrie keine Probleme darstellen sollte, müssen sich die anderen Unternehmensgruppen durchaus klar machen, ob sie nun dazu gehören oder nicht.

Als Beispiel seien Unternehmen genannt, die Produkte mit IT-Sicherheitsfunktionen zur Verarbeitung staatlicher Verschlusssachen oder für die IT-Sicherheitsfunktion wesentliche Komponenten solcher Produkte herstellen. Dies betrifft nicht jeden IT-Sicherheitsanbieter, aber solche, die Kunden, die staatliche Verschlusssachen verarbeiten, mit Schutzlösungen bedienen, oder aber die Komponenten für Lösungen anderer IT-Sicherheitsanbieter herstellen, die solche Kunden haben.

An dieser Stelle wird die Bedeutung der Lieferkette für die IT-Sicherheit deutlich. Hersteller im Bereich IT-Sicherheit müssen also prüfen, ob sie Kunden haben, die staatliche Verschlusssachen verarbeiten, oder Teil solcher Lösungen sind.

Was Unternehmen im besonderen öffentlichen Interesse tun müssen

Wenn nun ein IT-Sicherheitsunternehmen zur Gruppe UBI 1 gehört, resultieren daraus bestimmte Pflichten, die man kennen und einhalten sollte:

• Pflicht zur Registrierung beim BSI und Benennung einer Kontaktstelle
• Meldepflicht bei Sicherheitsvorfällen (Störungen der IT-Systeme, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung geführt haben oder erheblichen Störungen, die zu Beeinträchtigung der Erbringung der Wertschöpfung führen können)
• Vorlage einer Selbsterklärung zur IT-Sicherheit (alle 2 Jahre), mit den IT-Sicherheitszertifizierungen in letzten 2 Jahren, sonstigen IT-Sicherheitsaudits und -Prüfungen in letzten 2 Jahren sowie Informationen über den Schutz besonders schützenswerter IT-Systeme, Komponenten und Prozesse.

Als Frist wird der 1. Mai 2023 genannt, dann gilt es sich als Unternehmen der Gruppe UBI 1 zu registrieren, eine Selbsterklärung zur IT-Sicherheit abzugeben und anlassbezogen entsprechende Störungen an das BSI zu melden. Bis dahin sollte man aber nicht abwarten, sondern insbesondere auch an den IT-Sicherheitszertifizierungen und sonstigen IT-Sicherheitsaudits und -Prüfungen arbeiten.

Unternehmen der Gruppe UBI 2 haben bis zum Inkrafttreten der noch nicht vorhandenen UBI-Verordnung vorerst keinen Handlungsbedarf, sollten das Thema aber im Blick behalten.

Unternehmen der Gruppe UBI 3 dagegen müssen bereits seit dem 1. November 2021 entsprechende Störungen an das BSI melden. Hier sei erwähnt, dass Bußgelder von bis zu 500.000 Euro drohen, wenn eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gegenüber dem BSI abgegeben wird.

Wer zu UBI 1 und UBI 2 zählt, hat also dadurch keinen direkten Handlungsbedarf, aber das BSI betont: Unbenommen von der gesetzlichen Regulierung durch das BSI-Gesetz sowie damit zusammenhängenden Verordnungen und Fristen empfiehlt das BSI auf Grund der IT-Sicherheitslage jederzeit und für jedes Unternehmen, das eigene IT-Sicherheitsniveau kontinuierlich zu verbessern und zu erhöhen.