Unternehmen im besonderen öffentlichen Interesse sind:

1. Unternehmen, „die Güter nach § 60 Absatz 1 Nummer 1 und 3 der Außenwirtschaftsverordnung in der jeweils geltenden Fassung herstellen oder entwickeln.“ Darunter fallen die Unternehmen, die im Bereich Waffen, Munition und Rüstungsmaterial oder im Bereich von Produkten mit IT-Sicherheitsfunktionen zur Verarbeitung staatlicher Verschlusssachen oder für die IT-Sicherheitsfunktion wesentliche Komponenten solcher Produkte tätig sind. (UBI 1)
2. Unternehmen, „die nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind“. Damit sind die größten Unternehmen Deutschlands gemeint. Die genauen wirtschaftlichen Kennzahlen zur Identifizierung der größten Unternehmen werden noch per Rechtsverordnung festgelegt (UBI 2). Nach Vorliegen dieser Verordnung und Feststehen des Betroffenenkreises dieser Kategorie von UBI kann das BMI in einer weiteren Verordnung bestimmen, welche Alleinstellungsmerkmale maßgeblich dafür sind, dass Zulieferer für diese Unternehmen von wesentlicher Bedeutung sind und daher ebenfalls unter die gesetzlichen Bestimmungen des BSI-Gesetzes fallen.
3. Betreiber „eines Betriebsbereichs der oberen Klasse im Sinne der Störfall-Verordnung in der jeweils geltenden Fassung" oder Betreiber, die, "nach § 1 Absatz 2 der Störfall-Verordnung diesen gleichgestellt sind.“ Das sind Unternehmen, die einen Bereich betreiben, in dem gefährliche Stoffe in Mengen vorhanden sind, die die in Spalte 5 der Stoffliste in Anhang I der Störfall-Verordnung genannten Mengenschwellen erreichen oder überschreiten. (UBI 3)

Hiervon ausgenommen sind Unternehmen, die Betreiber Kritischer Infrastrukturen sind, siehe hierzu die nachfolgenden Fragen. Ebenfalls ausgenommen sind Kleine und Kleinstunternehmen nach § 8d Absatz 1a BSIG. Dies umfasst Unternehmen die weniger als 50 Mitarbeitende beschäftigen und deren Jahresumsatz bzw. Jahresbilanz 10 Mio. EUR nicht übersteigt.

Die vorgenannten Vorschriften werden derzeit durch das BMI im Zuge der Umsetzung der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) umfassend überarbeitet. Nähere Informationen können dem Diskussionspapier des BMI zu wirtschaftsbezogenen Regelungen zur Umsetzung der NIS-2-Richtlinie in Deutschland entnommen werden, verfügbar unter https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/diskussionspapier-NIS-2-umsetzung.html

Nein. Unternehmen, die Betreiber Kritischer Infrastrukturen (KRITIS) gemäß BSI-Gesetz sind, unterliegen den Bestimmungen des BSI-Gesetzes als KRITIS-Betreiber und nicht denen als Unternehmen im besonderen öffentlichen Interesse. Ein Unternehmen kann jedoch nicht gleichzeitig ein Betreiber einer Kritischen Infrastruktur und ein Unternehmen im besonderen öffentlichen Interesse sein.

Hierbei betrachten wir jedes Unternehmen (i.S.d. juristischen Person) separat. Ist nur ein Unternehmen eines aus mehreren Unternehmen bestehenden Konzerns Betreiber einer Anlage einer Kritischen Infrastruktur, ist dieses Unternehmen Betreiber einer Kritischen Infrastruktur und unterliegt den entsprechenden Bestimmungen als KRITIS-Betreiber und nicht denen als Unternehmen im besonderen öffentlichen Interesse. So können innerhalb einer derartigen Organisation jedoch sowohl Unternehmen vorhanden sein, die KRITIS-Betreiber sind als auch solche, die UBI sind. In Konzernen kann es z.B. Töchter geben, die KRITIS-Betreiber sind, während andere Töchter UBI sind.

UBI 1

(Bsp.: Wehrtechnik, Verarbeitung staatlicher Verschlusssachen m. BSI-Zulassung etc.)

Registrierung/ Kontaktstelle

Pflicht zur Registrierung zur Benennung einer Kontaktstelle (§ 8f Abs. 5)

Meldepflicht bei Sicherheitsvorfällen

Störungen der IT-Systeme, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung geführt haben oder erheblichen Störungen, die zu Beeinträchtigung der Erbringung der Wertschöpfung führen können (§ 8f Abs. 7)

Pflicht zur Selbsterklärung zur IT-Sicherheit

Vorlage einer Selbsterklärung zur IT-Sicherheit (alle 2 Jahre) (§ 8f Abs. 1 Nr. 1 bis 3)

Inhalt Selbsterklärung:

• IT-Sicherheitszertifizierungen in letzten 2 Jahren
• sonstige IT-Sicherheitsaudits und -Prüfungen in letzten 2 Jahren
• Informationen über Schutz besonders schützenswerter IT-Systeme, Komponenten & Prozesse
  

Frist

Ab 1. Mai 2023 registrieren, Selbsterklärung zur IT-Sicherheit abgeben und Störungen melden (§ 8f Abs. 1 und 4 Satz 1 und Abs. 7 BSIG).

UBI 2

Registrierung/ Kontaktstelle

Pflicht zur Registrierung zur Benennung einer Kontaktstelle (§ 8f Abs. 5)

Meldepflicht bei Sicherheitsvorfällen

Störungen der IT-Systeme, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung geführt haben oder erheblichen Störungen, die zu Beeinträchtigung der Erbringung der Wertschöpfung führen können (§ 8f Abs. 7)

Pflicht zur Selbsterklärung zur IT-Sicherheit

Vorlage einer Selbsterklärung zur IT-Sicherheit (alle 2 Jahre) (§ 8f Abs. 1 Nr. 1 bis 3)

Inhalt Selbsterklärung:

• IT-Sicherheitszertifizierungen in letzten 2 Jahren
• sonstige IT-Sicherheitsaudits und -Prüfungen in letzten 2 Jahren
• Informationen über Schutz besonders schützenswerter IT-Systeme, Komponenten & Prozesse

Frist

Frühestens 2 Jahre nach Inkrafttreten d. UBI-VO registrieren, Selbsterklärung zur IT-Sicherheit abgeben u. Störungen melden (§ 8f Abs. 1 und 4 Satz 2 und Abs. 7 BSIG).

UBI 3

Registrierung/ Kontaktstelle

nur freiwillig, ab sofort (§ 8f Abs. 6)

Meldepflicht bei Sicherheitsvorfällen

Störungen der Verfügbarkeit, der Integrität, der Authentizität und der Vertraulichkeit ihrer IT- Systeme, Komponenten oder Prozesse, die zu einem Störfall nach der Störfall-VO geführt haben und erheblichen Störungen, die zu Störfall führen können (§ 8f Abs. 8)

Pflicht zur Selbsterklärung zur IT-Sicherheit

Keine

Frist

Ab dem 1. November 2021 haben diese Unternehmen Störungen an das BSI zu melden (§ 8f Abs. 8 BSIG).

Für Betreiber Kritischer Infrastrukturen sowie Unternehmen im besonderen öffentlichen Interesse gelten unterschiedliche Voraussetzungen, wann Störungen an das BSI gemeldet werden müssen. Dies begründet sich aus dem unterschiedlichen Schutzziel, das aus Sicht des Gesetzgebers relevant ist.

KRITIS

• Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen geführt haben, ODER erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen führen können.

UBI 1 und 2

• Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung geführt haben, ODER erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung führen können.

UBI 3

• Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse die zu einem Störfall nach der Störfall-Verordnung in der jeweils geltenden Fassung geführt haben. ODER erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Störfall nach der Störfall-Verordnung in der jeweils geltenden Fassung führen können.

Besonderheit UBI 3: Hier steht nicht die Funktionalität der Anlage insgesamt im Fokus, sondern nur der Schutz im Hinblick auf einen Störfall.

Der aktuelle Handlungsbedarf unterscheidet sich für die drei UBI-Kategorien:

1. UBI 1, also Hersteller/Entwickler von Gütern im Sinne von § 60 AWV müssen zum 1. Mai 2023 eine Selbsterklärung und eine Registrierung beim BSI einreichen.
2. Für UBI 2, also Unternehmen von erheblicher volkswirtschaftlicher Bedeutung wird das BMI eine Verordnung erstellen, welche Unternehmen in diese Gruppe fallen. Bis zum Inkrafttreten der Verordnung besteht vorerst kein Handlungsbedarf.
3. UBI 3, also Störfall-UBI müssen ab dem 1. November 2021 Vorfälle melden. An sie richten sich die nachfolgenden FAQ unter „Störfall-UBI (UBI 3): FAQ zur Meldepflicht“.

Unbenommen von der gesetzlichen Regulierung durch das BSI-Gesetz sowie damit zusammenhängenden Verordnungen und Fristen empfiehlt das BSI auf Grund der IT-Sicherheitslage jederzeit und für jedes Unternehmen, das eigene IT-Sicherheitsniveau kontinuierlich zu verbessern und zu erhöhen.

• Das BSI unterstützt UBI u.a. mit dem Angebot der Allianz für Cyber-Sicherheit (ACS). Dieses Angebot umfasst beispielsweise:

  • Warnmeldungen (zusätzlich zu den frei verfügbaren Cyber-Sicherheitswarnungen (CSW) auch nach TrafficLight-Protocol eingestufte CSW)
  • Lagebildprodukte, wie den BSI-Monatsbericht zur IT-Sicherheitslage
  • Cyber-Sicherheitsempfehlungen
  • Partnerangebote aus dem Netzwerk der ACS
  • Veranstaltungen zu aktuellen Themen der Cyber-Sicherheit
  • Austauschformaten wie ERFA- und Expertenkreise

  • Weitere Publikationen wie beispielsweise die IT-Notfallkarte

• Das BSI wird zeitnah Formate für einen dauerhaften und vertrauensvollen Austausch mit UBI etablieren, um Informationen auszutauschen und um zu einem gemeinsamen Verständnis zu gelangen.
• Weiterhin stellt das BSI mit dem IT-Grundschutz relevante Informationen zur Informationssicherheit zur Verfügung.

• Weitere grundlegende Informationen zum Schutz von industriellen Anlagen sind hier verfügbar.

Alle Informationen (FAQ, Kontakt, etc.) für die neu regulierte Gruppe der UBI sind hier zu finden.

Ja, unabhängig von gesetzlichen Vorgaben ist die Implementierung eines ISMS empfehlenswert.

Der Einsatz eines ISMS wird unabhängig von den gesetzlichen Anforderungen dringend empfohlen. Als BSI empfehlen wir hierfür den IT-Grundschutz. Alternativ kann aber auch nach der ISO 27000er-Reihe vorgegangen werden.

Die getrennten Regulierungs-Regime sind im BSI-Gesetz so festgeschrieben. Veränderungen kann es im Zuge der Umsetzung der NIS2-Richtlinie geben. Letztere befindet sich Anfang 2022 im Trilog zwischen Europäischer Kommission, Europäischem Parlament und Europäischem Rat. Mit einer Umsetzung kann 2023/24 gerechnet werden.

Es gibt kein öffentliches Register zu UBI.

Ja. Große Rüstungsunternehmen, z. B., können sogar unter alle drei Kategorien fallen. Bzgl. der damit verbundenen Pflichten sind die unterschiedlichen Fristen, Unterschiede in den Meldepflichten, der Pflicht zur Selbsterklärung und zur Registrierung zu beachten.

Ja, bitte wenden Sie sich gerne an das UBI-Büro.

Die Mobile Incident Response Teams (MIRT) des BSI können in herausgehobenen Fällen auch bei Vorfällen bei UBI ausrücken, siehe § 5b Absatz 1 BSIG.

Die Präsentationsfolien der Veranstaltung sind hier zu finden.