NIS2 in Deutschland: Was Einrichtungen der öffentlichen Verwaltung jetzt umsetzen müssen

Kurze Antwort: Ist die öffentliche Verwaltung vom BSIG erfasst?

Ja – das BSI-Gesetz (BSIG) erfasst Einrichtungen der Bundesverwaltung ausdrücklich. Maßgeblich ist § 29 BSIG, der definiert, welche Stellen als Einrichtungen der Bundesverwaltung im Sinne des Gesetzes gelten; die daran anknüpfenden Pflichten zum Informationssicherheitsmanagement stehen in den §§ 43 bis 48 BSIG. Zugleich nimmt § 28 Absatz 1 Satz 2 BSIG Einrichtungen der Bundesverwaltung von der Kategorie der besonders wichtigen Einrichtung aus, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind, und § 28 Absatz 2 Satz 2 BSIG nimmt sie von der Kategorie der wichtigen Einrichtung aus.

Der erste Schritt: Klären Sie anhand von § 29 BSIG, ob Ihre Stelle eine Einrichtung der Bundesverwaltung ist, und anhand von § 28 BSIG, ob zusätzlich eine Einstufung als besonders wichtige Einrichtung oder wichtige Einrichtung greift. Von diesem Ergebnis hängt ab, welcher Pflichtenkatalog für Sie gilt – und damit auch, ob Bußgelder nach § 65 BSIG in Betracht kommen. Eine strukturierte Selbsteinschätzung entlang dieser beiden Paragrafen ist deshalb der sinnvolle Einstieg, bevor Sie in Technik oder Dokumentation investieren.

So benennt das BSIG den Sektor (§ 29 BSIG)

Das Gesetz beschreibt den Sektor wörtlich so:

> „Einrichtungen der Bundesverwaltung im Sinne dieses Gesetzes sind, mit Ausnahme der Institutionen der Sozialen Sicherung und der Deutschen Bundesbank, 1. Bundesbehörden, 2. öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung sowie 3. weitere Körperschaften, Anstalten und Stiftungen des öffentlichen …“ (§ 29 BSIG)

Zwei Dinge folgen daraus unmittelbar:

• Ausdrücklich ausgenommen sind nach dem Wortlaut die Institutionen der Sozialen Sicherung und die Deutsche Bundesbank.
• Erfasst sind nicht nur Behörden im engeren Sinn, sondern auch öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung sowie weitere Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts.

Eine weitere Ausnahme regelt § 28 Absatz 8 BSIG: Das Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften – ausgenommen der Bund – beteiligt sind, wenn sie zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden.

Für Fragen der Zuordnung im Einzelfall gilt: Bitte bestätigen Sie die Einordnung anhand der veröffentlichten Hinweise des Bundesamtes für Sicherheit in der Informationstechnik (BSI) als offizieller Quelle.

Einrichtungsklassen und Schwellenwerte nach § 28 BSIG

Das BSIG kennt zwei statutarische Klassen: die besonders wichtige Einrichtung (§ 28 Absatz 1 BSIG) und die wichtige Einrichtung (§ 28 Absatz 2 BSIG).

Wichtig für die öffentliche Verwaltung: Nach § 28 Absatz 1 Satz 2 BSIG sind Einrichtungen der Bundesverwaltung von der Klasse der besonders wichtigen Einrichtung ausgenommen, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind; nach § 28 Absatz 2 Satz 2 BSIG sind sie auch von den wichtigen Einrichtungen ausgenommen. Betreibt Ihre Stelle also eine kritische Anlage, greift zusätzlich der Pflichtenkatalog für besonders wichtige Einrichtungen.

Bei der Bestimmung von Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme ist – außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft – die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden (§ 28 Absatz 4 BSIG).

Kernpflichten: Risikomanagement, Leitungsverantwortung, Registrierung

Mindestanforderungen des Bundes. Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der verarbeiteten Informationen erfüllen; diese ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (§ 44 Absatz 1 BSIG). Durch deren Umsetzung ist die Erfüllung der Vorgaben nach § 30 BSIG gewährleistet, soweit nicht ein Durchführungsrechtsakt der Europäischen Kommission darüber hinausgeht (§ 44 Absatz 2 BSIG).

Risikomanagementmaßnahmen (§ 30 Absatz 2 BSIG). Für besonders wichtige und wichtige Einrichtungen gilt derselbe Katalog – es gibt hier keine gesonderten, nur für die Verwaltung geltenden Zusatzmaßnahmen. Er umfasst mindestens:

• Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung, Krisenmanagement)
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, inklusive Schwachstellenmanagement
• Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• grundlegende Schulungen und Sensibilisierungsmaßnahmen
• Konzepte und Prozesse für kryptographische Verfahren
• Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen
• Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Kommunikation

Leitungsverantwortung. Die Leitung der Einrichtung der Bundesverwaltung ist dafür verantwortlich, die Voraussetzungen zur Gewährleistung der Informationssicherheit zu schaffen, und weist deren Erfüllung dem Bundesamt spätestens fünf Jahre nach Inkrafttreten des Gesetzes und anschließend regelmäßig nach (§ 43 Absatz 1 BSIG). Die Leitung muss regelmäßig an Schulungen teilnehmen (§ 43 Absatz 2 BSIG). Für besonders wichtige und wichtige Einrichtungen gilt parallel § 38 BSIG: Umsetzung und Überwachung der Maßnahmen durch die Geschäftsleitung, Haftung für schuldhaft verursachte Schäden sowie regelmäßige Schulungen.

Informationssicherheitsbeauftragte. Jede Leitung einer Einrichtung der Bundesverwaltung bestellt eine oder einen Informationssicherheitsbeauftragten und bestimmt mindestens eine zur Vertretung berechtigte Person (§ 45 Absatz 1 BSIG). Für wesentliche Digitalisierungsvorhaben und Kommunikationsinfrastrukturen des Bundes sind eigene Informationssicherheitsbeauftragte zu bestellen (§ 47 Absatz 1 BSIG).

Registrierung. Die Registrierung nach § 33 BSIG obliegt der Leitung der Einrichtung der Bundesverwaltung (§ 43 Absatz 4 BSIG). Sie erfolgt spätestens drei Monate, nachdem eine Stelle erstmals oder erneut als solche gilt, über die gemeinsam vom BSI und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit (§ 33 Absatz 1 BSIG). Änderungen der Angaben sind unverzüglich, spätestens jedoch zwei Wochen nach Kenntnis, zu übermitteln (§ 33 Absatz 5 BSIG).

Meldepflichten und Fristen gegenüber dem BSI

Erhebliche Sicherheitsvorfälle sind an die gemeinsame Meldestelle des BSI und des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe zu melden (§ 32 Absatz 1 BSIG). Die Fristen:

• Frühe Erstmeldung: unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung – mit Angabe, ob der Verdacht rechtswidriger oder böswilliger Handlungen oder grenzüberschreitender Auswirkungen besteht.
• Meldung: unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung – Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung einschließlich Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
• Zwischenmeldung: auf Ersuchen des Bundesamtes über relevante Statusaktualisierungen.
• Abschlussmeldung: spätestens einen Monat nach der Meldung nach § 32 Absatz 1 Satz 1 Nummer 2 – mit ausführlicher Beschreibung, Ursache, getroffenen und laufenden Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen. Dauert der Vorfall noch an, wird zunächst eine Fortschrittsmeldung vorgelegt (§ 32 Absatz 2 BSIG).

Zusätzlich gilt für Einrichtungen der Bundesverwaltung: Werden ihnen über die Meldepflichten aus § 32 BSIG hinaus Informationen nach § 4 Absatz 2 Nummer 1 BSIG bekannt, die für die Sicherheit der Kommunikationstechnik des Bundes von Bedeutung sind, unterrichten sie das Bundesamt unverzüglich (§ 43 Absatz 5 BSIG). Ausgenommen sind Informationen, die aufgrund von Regelungen zum Geheimschutz oder Vereinbarungen mit Dritten nicht weitergegeben werden dürfen.

Die Einzelheiten des Meldeverfahrens legt das Bundesamt fest und veröffentlicht sie auf seiner Internetseite (§ 32 Absatz 4 BSIG).

Bußgelder und Aufsicht durch das BSI

Zuständige Aufsichtsbehörde für die NIS2-Pflichten ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) – für besonders wichtige und wichtige Einrichtungen mit Niederlassung in Deutschland, für Betreiber kritischer Anlagen sowie für Einrichtungen der Bundesverwaltung (§ 59 BSIG). Das BSI ist zugleich nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle (§ 40 Absatz 1 BSIG).

Gegenüber Einrichtungen der Bundesverwaltung kann das Bundesamt im Einzelfall Maßnahmen anordnen, die zur Abwendung oder Behebung eines gegenwärtigen Sicherheitsvorfalls erforderlich sind, und eine Berichterstattung innerhalb angemessener Frist verlangen (§ 10 BSIG). Für besonders wichtige Einrichtungen gelten die Aufsichts- und Durchsetzungsbefugnisse nach § 61 BSIG (Audits, Nachweise, Anordnungen, Vor-Ort-Prüfungen), für wichtige Einrichtungen nach § 62 BSIG.

Bußgeldrahmen nach § 65 BSIG – die Höchstbeträge knüpfen an die Einstufung nach § 28 BSIG an:

Bei einem Gesamtumsatz von mehr als 500 Millionen Euro kann gegenüber einer besonders wichtigen Einrichtung eine Geldbuße bis zu 2 Prozent (§ 65 Absatz 6 BSIG) und gegenüber einer wichtigen Einrichtung bis zu 1,4 Prozent des weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres verhängt werden (§ 65 Absatz 7 und Absatz 8 BSIG). Verwaltungsbehörde ist in der Regel das Bundesamt (§ 65 Absatz 10 BSIG).