Verpflichtend für UBI 3 nach § 8f Absatz 8 BSIG

Für UBI 3 (Störfall-UBI), dies sind:

• Betreiber eines Betriebsbereichs der oberen Klasse im Sinne der Störfall-Verordnung in der jeweils geltenden Fassung oder
• Betreiber, die nach § 1 Absatz 2 der Störfall-Verordnung diesen gleichgestellt sind

besteht seit dem 01. November 2021 die Pflicht zur Meldung von:

1. Störungen der Verfügbarkeit, der Integrität, der Authentizität und der Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Störfall nach der Störfall-Verordnung in der jeweils geltenden Fassung geführt haben,
2. erheblichen Störungen der Verfügbarkeit, der Integrität, der Authentizität und der Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Störfall nach der Störfall-Verordnung in der jeweils geltenden Fassung führen können.

Verpflichtend für UBI 1 nach § 8f Absatz 7 BSIG ab 01. Mai 2023

Für UBI 1 (AWV-UBI), dies sind:

• Unternehmen, die Güter nach § 60 Absatz 1 Nummer 1 und 3 der Außenwirtschaftsverordnung in der jeweils geltenden Fassung herstellen oder entwickeln. Darunter fallen die Unternehmen, die im Bereich Waffen, Munition und Rüstungsmaterial oder im Bereich von Produkten mit IT-Sicherheitsfunktionen zur Verarbeitung staatlicher Verschlusssachen oder für die IT-Sicherheitsfunktion wesentliche Komponenten solcher Produkte tätig sind.

besteht die freiwillige Möglichkeit und ab dem 1. Mai 2023 die Pflicht zur Meldung von:

1. Störungen der Verfügbarkeit, der Integrität, der Authentizität und der Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung geführt haben,
2. erhebliche Störungen der Verfügbarkeit, der Integrität, der Authentizität und der Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Erbringung der Wertschöpfung führen können.

Häufig gestellte Fragen zur Meldung von Sicherheitsvorfällen beantworten wir folgend und in den Abschnitten zur Meldepflicht unserer FAQ.

Melden einer Störung

Die Meldung einer IT / OT Störung bei Störfall-UBI (UBI 3) erfolgt an die zentrale Meldestelle des nationalen IT-Lagezentrums im BSI. Für Meldungen von Störfall-UBI (UBI 3) wurde das E-Mail-Postfach meldungen-ubi@bsi.bund.de eingerichtet.

Die Meldung muss:

1. Angaben zu der Störung,
2. zu den technischen Rahmenbedingungen, insbesondere zu der vermuteten oder tatsächlichen Ursache,
3. der betroffenen Informationstechnik und der Art der betroffenen Einrichtung oder Anlage

enthalten. In den u. g. Meldeformularen werden alle für eine Meldung notwendigen Angaben abgefragt.

Verschlüsselte Kommunikation

Die Meldung von Sicherheitsvorfällen an das E-Mail-Postfach meldungen-ubi@bsi.bund.de sollte möglichst verschlüsselt erfolgen. Dies ist sowohl per S/MIME als auch per PGP möglich.

S/MIME

Für die S/MIME-verschlüsselte E-Mail-Kommunikation verwenden Sie bitte die entsprechenden Zertifikate aus der gezippten Datei. In der ZIP-Datei finden Sie die folgenden Zertifikate:

• Wurzelzertifikat der Verwaltungs-PKI:
  CN=PCA-1-Verwaltung-20,O=PKI-1-Verwaltung,C=DE
• Zertifikat des IVBB:
  CN=CA IVBB Deutsche Telekom AG 20,OU=Bund,O=PKI-1-Verwaltung,C=DE
• Zertifikat meldungen-ubi@bsi.bund.de:
  CN=GRP: Meldestelle UBI,OU=BSI,O=Bund,C=DE
• sha2_fpr:
  F8:AD:9B:6D:4D:8A:F2:E5:4C:D9:BA:E6:71:69:02:C7:77:82:E0:69:6F:0A:1C:5D:13:83:AD:4B:57:08:2C:A1
• sha1_fpr:
  C8:7E:8E:C4:EA:E1:F1:5A:56:75:5B:B2:54:F9:C4:D9:4C:D7:3C:76
• md5_fpr:
  F6:65:16:EF:C3:EA:93:51:41:92:2E:B0:08:C8:BF:77

Gültig bis: 2024-10-04 23:59:59

PGP

Für die PGP-verschlüsselte E-Mail-Kommunikation mit dem E-Mail-Postfach meldungen-ubi@bsi.bund.de verwenden Sie bitte diesen PGP-Schlüssel:

Ablauf: 11.08.2025 10:38
Fingerabdruck: B425FE5B7554E237AA4046C321E8948C581E5A46

Formular für die Meldung

Um einen Sicherheitsvorfall zu melden, können Sie das folgende Formular verwenden, dass inhaltsgleich als PDF- oder Office-Dokument verfügbar ist:

Meldung gemäß § 8f BSIG für Unternehmen im besonderen öffentlichen Interesse

Meldung gemäß § 8f BSIG für Unternehmen im besonderen öffentlichen Interesse (docx-Format)

Meldepflichtige IT / OT Störungen sollen unverzüglich gemeldet werden. Hierbei gilt der Grundsatz Schnelligkeit vor Vollständigkeit. Die Inhalte des Formulars müssen daher bei der ersten Meldung nicht vollständig sein; fehlende Informationen können im Nachgang durch eine weitere Meldung ergänzt werden.

Hinweis: Die neue Meldepflicht gegenüber dem BSI entbindet nicht von anderen Meldepflichten gegenüber anderen Behörden.

Datenschutz

Die erhobenen Daten und Informationen werden ausschließlich zur Erfüllung der gesetzlichen Aufgaben des BSI verarbeitet und gespeichert. Insbesondere sind dies die Befugnisse gemäß § 8f Absatz 8 BSIG sowie § 8e BSIG.

Bitte beachten Sie für den Fall, dass Ihre Meldung personenbezogene Daten enthält, die Datenschutzerklärung des BSI.

Für die Meldung einer IT / OT Störung bzw. eines Sicherheitsvorfalls an das BSI ist die Angabe personenbezogener Daten in der Regel nicht erforderlich. Als Kontakt für Rückfragen sollte möglichst ein Funktions-/Organisationskontakt angegeben werden. Dies dient nicht nur dem Datenschutz, sondern auch der besseren Erreichbarkeit. Sollten Sie als Kontakt eine Person angegeben haben, setzen Sie diese bitte über die oben genannten Datenschutzhinweise in Kenntnis.