POSITION | DIGITALISIERUNG | CYBERSICHERHEIT
Zweite Verordnung zur Änderung der BSI-Kritisverordnung IT-Sicherheitsgesetz praxisnah implementieren.
17. Mai 2021 Executive Summary Die deutsche Industrie begrüßt die frühzeitige Einbeziehung von Wirtschaftsverbänden und Unternehmen in die Überarbeitung der Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSIGesetz (BSI-Kritisverordnung). Allerdings wäre es begrüßenswert gewesen, zur Kommentierung eine bereits zwischen den Ressorts abgestimmte Fassung zu erhalten. Die ganzheitliche Stärkung der Cyberresilienz verlangt zudem einen kooperativen Ansatz von Staat und Wirtschaft. Die Einbeziehung weiterer Wirtschaftsakteure sowie neuer technischer Einheiten kann nur erfolgreich sein, wenn der Staat die unter die BSI-Kritisverordnung fallenden Unternehmen effektiv und effizient durch ▪
ein tagesaktuelles Lagebild über die Cybersicherheit im unternehmerischen Kontext sowie
▪
das Anbieten von Sicherheitsüberprüfungen von in besonders sicherheitskritischen Unternehmensbereichen tätigen Mitarbeitenden unterstützt.
Handlungsempfehlungen des BDI: ▪
Übergangsfrist: Betreibern Kritischer Infrastrukturen, die erstmalig in den Anwendungsbereich der KRITIS-VO fallen – auch jene, bei denen dies aufgrund der Senkung von Schwellenwerten erfolgt – muss eine angemessene Implementierungsfrist von mind. 24 Monaten gewährt werden, da diese technische und organisatorische Maßnahmen umsetzen müssen.
▪
Anlagenbegriff: Die Erweiterung des Anlagenbegriffs um „Software und IT-Dienste“ ist nachvollziehbar, um der steigenden Relevanz softwarebasierter Lösungen für die Erbringung kritischer Dienste Rechnung zu tragen. Gleichzeitig wirft er zahlreiche Fragen für die Umsetzung in der unternehmerischen Praxis auf, die dringend geklärt werden müssen.
▪
Zusammenspiel Kritis-Betreiber und Zulieferer: Der Gesetzgeber muss sicherstellen, dass Zulieferer von Komponenten, die in Kritis zum Einsatz kommen, Kenntnis darüber haben, dass diese als Teil der Kritis-Anlage gewertet werden. Nur mit ausreichender Normenklarheit können Zulieferer Kritis-Betreiber bei der Umsetzung der Anforderungen unterstützen.
▪
Evaluierung: Die deutsche Industrie begrüßt ausdrücklich die regelmäßige Evaluierung, in die jedoch zwingend auch die betroffenen Wirtschaftsakteure und deren Verbände eng eingebunden werden sollten.
Steven Heckler | Digitalisierung und Innovation | T: +49 30 2028-1523 | S.Heckler@bdi.eu | www.bdi.eu
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Inhaltsverzeichnis Executive Summary ............................................................................................................................ 1 Kooperativen Ansatz stärken ............................................................................................................. 3 Kommentierung im Einzelnen ............................................................................................................ 4 § 1 – Begriffsbestimmungen.................................................................................................................. 4 § 2 – Sektor Energie (inkl. Anlagenkategorien und Schwellenwerte) ................................................... 5 § 5 – Sektor Informationstechnik und Telekommunikation (inkl. Anlagenkategorien und Schwellenwerten) .................................................................................................................................. 8 § 8 – Sektor Transport und Verkehr (inkl. Anlagenkategorien und Schwellenwerten) ......................... 9 § 9 – Evaluierung ................................................................................................................................ 11 Artikel 2 – In-Kraft-Treten .................................................................................................................... 11 Impressum ......................................................................................................................................... 12
2
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Kooperativen Ansatz stärken Das störungsfreie Funktionieren Kritischer Infrastrukturen ist Grundlage für eine moderne Lebensführung. Daher erkennt die deutsche Industrie die Notwendigkeit zur Umsetzung angemessener organisatorischer und technischer Vorkehrungen zur Absicherung informationstechnischer Systeme in Kritischen Infrastrukturen an. Bereits heute investieren Betreiber Kritischer Infrastrukturen hohe personelle und finanzielle Ressourcen, um die Cyberresilienz ihrer Kritis-Anlagen zu schützen. Gleichzeitig muss konstatiert werden, dass ein einhundertprozentiger Schutz vor Cyberangriffen nie erreicht, geschweige denn garantiert werden kann. Die ganzheitliche Stärkung der Cyberresilienz verlangt daher einen kooperativen Ansatz von Staat und Wirtschaft. Die Einbeziehung weiterer Wirtschaftsakteure sowie neuer technischer Einheiten kann nur erfolgreich sein, wenn der Staat die unter die BSI-Kritisverordnung fallenden Unternehmen wie folgt effektiv und effizient unterstützt: 1. Realisierung eines ganzheitlichen Ansatzes: Eine ausschließliche Fokussierung auf organisatorische und technische Sicherheit ist nicht zielführend. Unternehmen sollten auch die Möglichkeit erhalten, die Vertrauenswürdigkeit von Beschäftigten und Bewerbern, die in besonders sicherheitskritisch Bereichen tätig sind, untersuchen zu können. Für die Durchführung der Sicherheitsüberprüfung (Ü1) sollte das Bundesministerium des Innern, für Bau und Heimat rasch die notwendigen personellen Ressourcen vorhalten. Dies gilt umso mehr, als dass die Fraktionen von Union und SPD in ihrem gemeinsamen Entschließungsantrag (BundestagAusschussdrucksache 19(4)812) den Einsatz vertrauenswürdiger Mitarbeiter in den sicherheitsrelevanten Bereichen als notwendige Maßnahmen eines ganzheitlichen Ansatzes betont haben. 2. Meldepflichten müssen in tagesaktuelles Lagebild münden: Der BDI erkennt an, dass die Meldung von erheblichen IT-Sicherheitsvorfällen zu einem besseren Verständnis über aktuelle Bedrohungsszenarien führen kann. Allerdings haben die mit dem ersten IT-Sicherheitsgesetz eingeführte Meldepflicht von Cybersicherheitsvorfällen bei Kritischen Infrastrukturen bisher keine wahrnehmbare Verbesserung für deutsche Unternehmen im Lagebild gebracht. Die deutsche Industrie fordert daher (1) die Schaffung eines effizienten, harmonisierten Meldewegs an eine zentrale Meldestelle (One-Stop-Shop); (2) die Einführung eines verbesserten tagesaktuellen Lagebilds sowie tagesaktuelle, branchenspezifische Warnungen, damit die deutsche Industrie aus dem beim BSI aggregierten Datenschatz auch einen Nutzen ziehen und ihre Anlagen und Systeme besser schützen kann sowie (3) eine personalisierte Unterstützung durch das BSI für Unternehmen, wenn diese Cybersicherheitsvorfälle melden. Die deutsche Industrie begrüßt ausdrücklich die evidenzbasierte Überarbeitung der BSI-Kritisverordnung. Es wäre jedoch angezeigt gewesen, dass der Ergebnisbericht der Evaluation parallel zur Veröffentlichung des Änderungsentwurfs der Verordnung veröffentlicht wird. Hier sollte sich der bundesdeutsche Gesetzgeber an den Verfahrensweisen der EU-Gesetzgebung orientieren, die einen deutlich höheren Grad an Transparenz und Nachvollziehbarkeit ermöglichen.
3
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Kommentierung im Einzelnen § 1 – Begriffsbestimmungen Die Änderungsverordnung sieht eine Erweiterung des Anlagenbegriffs, der bisher (1) Betriebsstätten und sonstige ortsfeste Einrichtungen sowie (2) Maschinen, Geräte und sonstige ortsveränderliche Einrichtungen umfasste, um „Software und IT-Dienste, die für die Erbringung einer kritischen Dienstleistung notwendig sind“, vor. Der Anlagenbegriff wird durch diese Erweiterung inhaltlich deutlich weiter als bisher gefasst. Die Änderungsverordnung zielt damit darauf ab, der stetig steigenden Relevanz von Software und IT-Diensten bei der Erbringung kritischer Dienste Rechnung zu tragen. Die deutsche Industrie kann grundsätzlich diese Begriffserweiterung nachvollziehen, da sie dem ganzheitlich organisatorisch-technischen Ansatz zur Wahrung der Cyberresilienz Kritischer Infrastrukturen Rechnung trägt. Allerdings ergeben sich aus dieser Erweiterung des Anlagenbegriffs zahlreiche Fragen, die es zu beantworten gilt, um eine praktikable Anwendbarkeit der BSI-Kritisverordnung zu gewährleisten: ▪
Sektoren Energie, Wasser, Gesundheit, Logistik: Die Aufnahme der (Steuerungs-)Software von Anlagen im Bereich der Kritis-Sektoren Energie, Wasser, Gesundheit, Logistik in das KRITIS-Regime ist nachvollziehbar, da moderne Anlagen in den genannten Sektoren auf der engen Verzahnung von Hard- und Software basieren. Jedoch sollten über die Verordnung direkt kritikalitätsbezogene Kriterien eingeführt werden, welche Software unter den Anlagenbegriff der BSI-Kritisverordnung fällt. So wäre beispielsweise zu klären, inwiefern Komponenten im Bereich der Gebäudeautomatisierung (z.B. elektrische, automatische Türen und deren Steuerungssoftware) Teil der Kritischen Infrastruktur „Krankenhaus“ sind. Der aktuelle Entwurf berücksichtigt dies nicht hinreichend.
▪
Sektor IKT: Der Sektor „Informationstechnik und Telekommunikation“ liegt horizontal über den anderen Kritis-Sektoren, da er vielfach grundlegende Dienstleistungen für die anderen Sektoren anbietet. Dieser Umstand wird durch die Einbeziehung von Software und IT-Diensten in den Anlagenbegriff verstärkt. Daher sind folgende Punkte durch den Gesetzgeber vor Verabschiedung der Änderungsverordnung zwingend rechtssicher zu klären: -
Rechenzentren: Der Software- und Dienste-Layer wird im Annex für den IKT-Sektor nicht explizit genannt. Daher stellt sich die Frage, ob Software, Dienste und Anwendungen, die in Rechenzentren laufen, die den Schwellenwert überschreiten, in das Kritis-Regime einbezogen werden. Aus Sicht der deutschen Industrie sollte für den Bereich Rechenzentren gelten, dass die Software, die in Rechenzentren für die Anwender läuft und nicht „notwendig ist zur Erbringung der Dienstleistung Rechenzentrum“, aus dem Anwendungsbereich der Verordnung fallen sollte. Andernfalls wäre zu klären, wie im Bereich des Software-Layers rasch für jede denkbare Anwendung Mindeststandards definiert werden können.
Der Gesetzgeber muss sicherstellen, dass Zulieferer von Komponenten, die in Kritis zum Einsatz kommen, Kenntnis darüber haben, dass diese Komponenten als Teil der Kritis-Anlage gewertet werden. Nur mit ausreichend Normenklarheit können Zulieferer Kritis-Betreiber bei der Umsetzung der Anforderungen zielgerichtet unterstützen. In Ergänzung wären zum einen die Etablierung eines Austauschformats ähnlich dem UP KRITIS, an dem neben Betreibern Kritischer Infrastrukturen dezidiert auch Zulieferer von Komponenten, die in Kritis zum Einsatz kommen, teilnehmen und zum anderen ein strukturierter bilateraler Austausch zwischen Zulieferern und Kritis-Betreibern anzustreben. Nur mit einem hohen Maß an Transparenz und Kommunikation zwischen den Betreibern Kritischer
4
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Infrastrukturen und deren Zulieferern wird es möglich sein, die Ausweitung der Begriffsdefinition auf „Software und IT-Dienste“ sowie den ganzheitlichen Anlagen-Begriff umzusetzen. Dies gilt umso mehr, wenn für weitere Sektoren in Zukunft „Kritische Komponenten“ i.S. des IT-SiG 2.0 Artikel 1 § 2 Abs. 13 eingeführt werden. Die Änderungsverordnung stellt klar, dass mehrere Anlagen, die durch einen betriebstechnischen Zusammenhang verbunden sind, als gemeinsame Anlage gelten, wenn sie gemeinsam zur Erbringung derselben kritischen Dienstleistung notwendig sind. Dies kann die aufzubringenden Aufwände für Dokumentation, Schnittstellenmanagement, Audits etc. reduzieren, insbesondere hinsichtlich des Zusammenwirkens von Software und IT-Diensten in Maschinen, Geräten und sonstigen ortsveränderlichen Einrichtungen, die zusammen eine Anlage bilden. Insgesamt kann festgestellt werden, dass die „Regelungslandkarte“ immer präziser wird und entsprechend an Komplexität und Umfang zunimmt und zu einem unüberschaubaren Gesamtkonstrukt werden kann, deren Interdependenzen nicht abzusehen sind. Alle „neuen“ Schnittstellen sind zu dokumentieren und entsprechend zu managen. Holistisch betrachtet kann das nur funktionieren, wenn wenigstens alle Player eine gemeinsame Sprache sprechen, bzw. sich an internationale Standards wie Information Security Management System (ISMS) oder Business Continuity Management System (BCMS) halten. Föderale und sektorspezifische Vorgaben behindern eher das gesteckte Ziel. Darüber hinaus wird in § 1 Punkt 2 die Aufnahme einer Ergänzung vorgeschlagen, nach der mehrere Betreiber, wenn diese gemeinsam eine Anlage betreiben, alle für die Erfüllung der Pflichten im Sinne der BSI-Kritisverordnung verantwortlich sein sollen. Laut Begründung sind diese Änderungen rein redaktionell und beabsichtigen keine inhaltliche Wirkung. Wir weisen darauf hin, dass eine derartige gemeinsame Verantwortung mehrerer Betreiber einer Anlage auf Seiten der Wirtschaft zu Doppelbelastungen führen wird. Dieses wird Betreibermodelle in mehreren Branchen betreffen. Wir schlagen daher vor, nur denjenigen Betreiber im Sinne der BSI-Kritisverordnung zu verpflichten, der im Beteiligungsverhältnis an einer Anlage die Mehrheit hält und auf die Beschaffenheit und den Betrieb einer Anlage Einfluss ausübt. Um Wettbewerbsnachteile für deutsche Anbieter von Kritis-Dienstleistungen auszuschließen, bedarf es zudem einer zügigen EU-weiten Harmonisierung der Anforderungen. § 2 – Sektor Energie (inkl. Anlagenkategorien und Schwellenwerten) Die Wahrung der Cyberresilienz im Kritis-Sektor „Energie“ ist von herausgehobener Bedeutung, da die Coronapandemie verdeutlich hat, welche fundamentale Bedeutung eine verlässliche und qualitativ hochwertige Versorgung mit Energie, Wasser, Gesundheitsleistungen, Logistik und IKT-Dienstleistungen hat. Daher ist das Absenken der Schwellenwerte im Kritis-Sektor Energie grundsätzlich nachvollziehbar, da dadurch weitere Unternehmen weitreichende Cybersicherheitsmaßnahmen ergreifen müssen und somit die Resilienz des Gesamtsystems gestärkt wird. Allerdings bedarf es einer Anpassung der Schwellenwerte mit Augenmaß sowie einer wissenschaftlichen Basis für etwaige Änderungen. Mit Blick auf die Änderungsverordnung empfiehlt die deutsche Industrie, vom Gebrauch des Begriffs „Allgemeinheit“ Abstand zu nehmen. Betreiber Kritischer Infrastrukturen im Sektor „Energie“ versorgen grundsätzlich nur jene Kundinnen und Kunden mit denen bilaterale Verträge abgeschlossen wurden sowie jene, die über die Grundversorgung versorgt werden. Die Verwendung des Begriffs „Allgemeinheit“ ist aufgrund der Wahlfreiheit, die Kundinnen und Kunden im Sektor Energie in Deutschland genießen, folglich nicht sachlich zutreffend.
5
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Ferner wäre bei 2.9 zu klären, ob es sich bei der Anlage zur zentralen standortübergreifenden Steuerung lediglich um Anlagen für die Steuerung im Energie-Sub-Sektor „Gas“ handelt oder auch um Steuerungsanlagen in anderen Energie-Sub-Sektoren. Durch die Begriffsbestimmung für Anlagen zur zentralen standortübergreifenden Steuerung im Bereich der Gasförderung (Anhang 1, Teil 1, Nr. 2r) BSIKritisV; Anhang 1, Teil 1, Nr. 2.9, Anhang 1, Teil 3, Nr. 2.1.2 des Entwurfs), entsteht zudem der Eindruck, dass auch automatisch solche Anlagen erfasst werden, die keine überregionalen Energiesicherungsaufgaben erfüllen. Im Bereich der Erdgasförderung betrifft das die sog. ständig besetzten Stellen (SBS), die nach § 10 Abs. 3 BVOT jeder Betrieb einzurichten hat. Erdgasförderanlagen sind aber steuerungstechnisch eigensicher aufgebaut und fördern auch dann weiter, wenn die zentrale Steuerungsanlage ausfällt. Die Versorgung mit Erdgas wäre somit auch im Falle einer Störung zu keinem Zeitpunkt unterbrochen. Hinzu kommt, dass die Einspeisung dezentral ins Fernleitungsnetz stattfindet und nicht direkt an einen Verbraucher. Ein Ausfall einer SBS führt auch deshalb nicht zu einem Entsorgungsengpass. Einer Sicherung durch die Mechanismen und Instrumente des BSIG bzw. der BSIKritisverordnung bedarf es daher nicht. Es handelt sich bei den SBS nicht um Kritische Infrastrukturen i.S.v. § 2 Abs. 10 BSIG. Unverhältnismäßig hohe Aufwände wären das Ergebnis, wenn die SBS der Erdgasförderbetriebe durch die BSIKritisverordnung erfasst würden. Durch den neu eingeführten Grenzwert für zentrale Steueranlagen (Anhang 1, Teil 3, Nr. 2.1.2 des Entwurfs) wird die Ungenauigkeit nicht beseitigt. Er stellt zwar sicher, dass Ständig Besetzte Stellen, die nur kleinere Förderanlagen überwachen, nicht mehr unter die BSI-Kritisverordnung fallen. Da im Bereich der Gasförderung aber häufig mehrere Betriebsbereiche eines Förderunternehmens von einer zentralen SBS überwacht werden, hat das noch nicht den erforderlichen Effekt. Der Grenzwert müsste deutlich höher veranschlagt werden. Zusätzlich sollte auch die bestehende Definition in Anhang 1, Teil 1, Nr. 2r angepasst werden, damit diese zukünftig nur solche Anlagen eindeutig erfasst, deren Ausfall tatsächlich einen überregionalen Einfluss auf die Versorgungssicherheit haben kann. Nur dann handelt es sich bei der Anlage tatsächlich um eine kritische Infrastruktur i.S.v. § 2 Abs. 10 BSIG, denn nur dann können durch den Ausfall der Anlage oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten, wie es die gesetzliche Definition vorsieht, § 2 Abs. 10 Nr. 2 BSIG. Der BDI erachtet es als nicht sachgerecht, dass es laut 2.24 Nummer 3 bis zu einem Jahr dauert, dass eine Anlage im Bereich Fernwärme nicht mehr als Kritische Infrastruktur im Sinne der BSI-Kritisverordnung gewertet wird, wenn sie die Schwellenwerte unterschreitet. Wir fordern eine Reduktion dieses Zeitraums auf drei Monate. Angesichts der engen Verzahnung von Erzeugung, Übertragung und Verteilung im Bereich Strom ist es nicht verständlich, warum der Gesetzgeber ausschließlich im Bereich der Stromerzeugung eine massive Absenkung des Schwellenwerts um mehr als 90 Prozent vorsieht. Wenn der Gesetzgeber eine solche Reduktion für notwendig erachtet, bedürfte es einer umfangreichen technischen Begründung, die jedoch dem Entwurf der Änderungsverordnung nicht beiliegt. Die deutsche Industrie ist jedoch offen dafür, sich substantiierte technische Begründungen seitens des Gesetzgebers anzuhören und dann einer ggf. gerechtfertigten Absenkung nicht zu widersprechen.
6
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Der BDI empfiehlt folgende Anpassungen am Entwurf der Änderungsverordnung: (1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Energie kritische Dienstleistungen im Sinne des § 10 Absatz 1 Satz 1 des BSI-Gesetzes: 1. die Versorgung von Kundinnen und Kunden der Allgemeinheit mit Elektrizität (Stromversorgung); 2. die Versorgung von Kundinnen und Kunden der Allgemeinheit mit Gas (Gasversorgung); 3. die Versorgung von Kundinnen und Kunden der Allgemeinheit mit Kraftstoff und Heizöl (Kraftstoff- und Heizölversorgung); 4. die Versorgung von Kundinnen und Kunden der Allgemeinheit mit Fernwärme (Fernwärmeversorgung). (5) Die Fernwärmeversorgung wird in den Bereichen Erzeugung von Fernwärme, Steuerung und Überwachung der Erzeugung und Verteilung von Fernwärme Steuerung und Überwachung von Fernwärme sowie Verteilung von Fernwärme erbracht. 2.24) Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur. Nicht mehr als Kritische Infrastruktur gilt eine solche Anlage ab dem 3. Monat 1. April des Kalenderjahres, der auf den Monat das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet, wenn dies dem Bundesamt angezeigt wurde. zu Teil 3 Anlagenkategorien und Schwellenwerte Spalte A
Spalte B
Spalte C
Spalte D
Nr.
Anlagenkategorie
Bemessungskriterium
Schwellenwert
1.
Stromversorgung
1.1
Stromerzeugung
1.1.1
Erzeugungsanlage
Installierte Maximalkapazität (elektrisch oder direkt mit Wärmeauskopplung verbundene elektrische Wirkleistung bei Wärmenennleistung ohne Kondensationsanteil) in MW
420 36
1.1.2.
Dezentrale Energieerzeugungsanlage
Installierte Maximalkapazität (elektrisch) in MW
420 36
2.
Gasversorgung
2.1
Gasförderung
2.1.2
Anlage zur zentralen Energie des geförderten Gases in GWh/Jahr standortübergreifenden Steuerung
51.900 51 90
7
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Anhang 1, Teil 1, Nr. 2r – Anlage zur zentralen standortübergreifenden Steuerung: Eine Anlage oder ein IT-System, durch das eine oder mehrere Anlagen standortübergreifend gesteuert oder überwacht werden, wenn durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden. § 5 – Sektor Informationstechnik und Telekommunikation (inkl. Anlagenkategorien und Schwellenwerten) Durch die Änderungsverordnung wird im Bereich Housing und Hosting die Stichtagsregelung zur Messung der vertraglich vereinbarten Leistung wegfallen. Dadurch wäre zukünftig in allen betroffenen Sektoren, bei jeder größeren Vertragsänderung, eine Korrektur der Schwellenwerte notwendig. Dies könnte zu umfangreichen zusätzlichen bürokratischen Aufwänden führen. Hier bedarf es eines pragmatischeren Ansatzes. Die Änderungsverordnung unterscheidet zwischen physischen und virtuellen Instanzen, stellt jedoch nicht eindeutig klar, dass damit auch Cloud-Lösungen im Fokus der BSI-Kritisverordnung sind. Dies muss dringend präzisiert werden. Die im Unterpunkt 2 genannten Schwellenwerte für den Bereich „Datenspeicherung und -verarbeitung“ sind aus Sicht der deutschen Industrie viel zu niedrig bemessen. Die Annahme der Gesamtzahl an physischen Servern weicht aus Sicht der deutschen Industrie wesentlich vom tatsächlichen Lagebild in Deutschland ab und würde bei Einführung eine sehr hohe Anzahl von IT-Gesellschaften (darunter auch Klein- und Kleinstunternehmen) als Kritische Infrastruktur kennzeichnen. Im Jahr 2016 gab es bereits 2,3 Millionen Rechenzentren1. Diese Zahl dürfte angesichts der zunehmenden Digitalisierung seither deutlich gestiegen sein. Legt man selbst nur die 2,3 Millionen Rechenzentren zu Grunde, sollte der Schwellenwert mindestens 14.375 betragen – wahrscheinlich sogar noch deutlich höher. Zudem geht die deutsche Industrie ebenfalls von einem deutlich höheren Virtualisierungsgrad aus und spricht sich entsprechend für einen höheren Schwellenwert aus. Der BDI empfiehlt folgende Anpassungen am Entwurf der Änderungsverordnung: Spalte A
Spalte B
Spalte C
Spalte D
Nr.
Anlagenkategorie
Bemessungskriterium
Schwellenwert
2.
Datenspeicherung und -verarbeitung
2.2
IT-Hosting
2.2.1
Serverfarm (Hosting) Anzahl der für Nutzer betriebenen physischen Instanzen (Jahresdurchschnitt) Anzahl der für Nutzer betriebenen virtuellen Instanzen (Jahresdurchschnitt)
14.375 10.000 zwischen 55.500 und 260.000 15.000
1
Bitkom. URL: https://www.bitkom.org/sites/default/files/file/import/Kurzstudie-RZ-Markt-Bitkom-final20-11-2017.pdf
8
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
§ 8 – Sektor Transport und Verkehr (inkl. Anlagenkategorien und Schwellenwerten) Einführung des zusätzlichen Bemessungskriteriums „Anzahl der Sendungen pro Jahr“ Zur Kritikalitätsbemessung sind ausschließlich Kriterien heranzuziehen, die verkehrsübergreifend eindeutig bestimmbar sind und eine objektive Vergleichbarkeit erlauben. Das im Verordnungsentwurf eingebrachte neue Bemessungskriterium „Anzahl der Sendungen pro Jahr“ ist für die Kritikalitätsbestimmung von Logistikanlagen generell ungeeignet. Auch wenn die Einführung als vermeintliche Erleichterung für die Betreiber gedacht ist, hätte sie für die gesamte Logistikbranche weitreichende Folgen. Alle Betreiber müssten ihre operativen Logistikdienstleistungen auch anhand der Sendungsmenge abbilden, unabhängig davon, ob es sinnvoll und praktikabel ist. Sie wären dann gezwungen, etwas zu erfassen, was nicht einheitlich definiert ist und selbst innerhalb betrieblicher Abläufe unterschiedlich erfasst sein kann. Enorme Rechtsunsicherheiten wären die Folge. Da durch logistische Produktions- und Verarbeitungsprozesse, bspw. Konsolidierungen, Umverpackungen, Palettierung etc., die Erfassung einer Stückzahl oder Sendungsmenge selbst innerhalb von einzelnen Bearbeitungsprozessen und somit innerhalb von Logistikzentren extremen Schwankungen unterliegt, ließe sich diese Messgröße nicht übergreifend, einheitlich und vergleichbar erfassen. Die BSI-Kritisverordnung unterscheidet die operativen logistischen Dienstleistungen nicht nach qualitativen Kriterien und/oder nach den transportierten kritischen Warengruppen. Jede transportierte Ware ist Teil der Berechnung des bestehenden Schwellenwertes „Gütermenge in Tonnen/Jahr“. Erst dadurch entsteht der relativ hohe Schwellenwert von 17 Mio. Tonnen pro Jahr. Er berechnet sich auf der Basis, dass jede Person pro Jahr 34 Tonnen an logistischen Gütern erhält und jede Anlage zur Versorgung von 500.000 Personen beiträgt. Die Einführung der Sendungsmenge als zusätzliches Bemessungskriterium konterkariert diese Logik: Die Gütermenge lässt sich nicht mit Hilfe einer unterkomplexen Sendungsdefinition in ein qualitativ anderes Bemessungskriterium umrechnen. Das angenommene Durchschnittsgewicht von 330 Kilogramm pro Stückgutsendung, das maßgeblich für die Berechnung des neuen Bemessungskriteriums ist, ist willkürlich. Der Verordnungsgeber stellt nicht nachvollziehbar dar, auf welcher Datenbasis dieser Wert ermittelt wurde und warum er allgemein zur Bemessung aller Anlagen oder Systeme zur Erbringung operativer Logistikleistungen herangezogen werden kann. Die BSI-Kritisverordnung definiert einen einheitlichen Logistik-Anlagenbegriff, unter dem alle operativen logistischen Dienstleistungen (Massengut-, Ladungs-, Stückgut-, Kontrakt-, Seeoder Luftfrachtlogistik) subsumiert sind. Es ist unverständlich, warum ein zusätzliches Bemessungskriterium, welches sich eindimensional am Gewicht einer Stückgutsendung orientiert, notwendig ist und angewendet werden soll. Die „Anzahl der Sendungen pro Jahr“ als Bemessungskriterium wurde bereits im Rahmen des kooperativen Ansatzes beraten und ist im Ergebnis vom Verordnungsgeber als ungeeignet erachtet worden, da weder eine logistik- noch branchenweite Datenbasis für die Ableitung eines derartigen Schwellenwertes existiert. Branchenvertreter haben wiederholt auf diese Problematik hingewiesen. Es ist daher nicht nachvollziehbar, warum im nun vorliegenden Änderungsentwurf dieses Kriterium erneut aufgegriffen wird. Erweiterung des Bemessungskriteriums „Gütermengen in Tonnen/Jahr“ um „Transportmengen im Export, der Transitverkehre sowie Leercontainer in Tonnen/Jahr“ Im BSI-Gesetz § 2 Absatz 10 wird ausdrücklich vom Gesetzgeber darauf verwiesen, dass Kritische Infrastrukturen solche sind, deren Ausfall eine Gefahr für die Sicherheit oder Versorgung der Bevölkerung in Deutschland darstellen. Beide Risiken sind bei Transitverkehren offensichtlich nicht gegeben,
9
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
da sie nicht für die Versorgung in Deutschland bestimmt sind. Gleichwohl droht durch Überregulierung ein wirtschaftlicher Standortnachteil für deutsche Logistikunternehmen im europäischen und internationalen Vergleich, ohne – in Bezug auf den Transitverkehr – einen Beitrag zur Versorgungssicherheit zu leisten. Gleiches gilt für Exporte, die nicht für die Versorgung Deutschlands bestimmt sind und daher auch keine unmittelbare Auswirkung auf die Versorgung mit kritischen Waren haben können. Daher sollten diese Gütermengen nicht bei der Bemessung der Kritikalität einer Anlage oder eines Systems zur Erbringung operativer Logistikleistungen berücksichtigt werden. Auch Leercontainer sollten nicht in den Schwellenwerten erfasst werden. Der Umgang mit Leercontainern ist eine Herausforderung bei der Organisation logistischer Prozesse, die von professionellen Unternehmen und ihren Experten tagtäglich in Deutschland gemeistert wird. Das BSI-Gesetz hat nicht das Regelungsziel, logistische Prozesse auf ihre Effizienz hin zu überprüfen. Dazu bietet das Gesetz auch nicht das richtige Instrumentarium. Den betroffenen Betreibern sollte es ermöglicht werden, die für den Export oder Transitverkehr bestimmte Transportmengen sowie die Leercontainer bei der Berechnung einer möglichen Kritikalität zu exkludieren. Der BDI empfiehlt folgende Anpassungen am Entwurf der Änderungsverordnung: Spalte A
Spalte B
Spalte C
Spalte D
Nr.
Anlagenkategorie
Bemessungskriterium
Schwellenwert
1.6 1.6.1
1.6.2
Logistik Anlage oder System zum Betrieb eines Logistikzentrums in den Segmenten Massengut-, Ladungs-, Stückgut-, Kontrakt-, See- oder Luftfrachtlogistik
Gütermengen in Tonnen/Jahr 17 000 000 Transportmengen im Im- und Export, der Transitverkehre sowie Leercontainer in Tonnen/Jahr oder
Anlage oder IT-System zur Logistiksteuerung- oder Verwaltung in den Segmenten Massengut-, Ladungs-, Stückgut-, Kontrakt-, See- oder Luftfrachtlogistik
Gütermengen in Tonnen/Jahr 17 000 000 Transportmengen im Im- und Export, der Transitverkehre sowie Leercontainer in Tonnen/Jahr
Anzahl der Sendungen pro Jahr
Anzahl der Sendungen pro Jahr
51 500 000
51 500 000
10
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
§ 9 – Evaluierung Die BSI-Kritis-Verordnung soll auch zukünftig alle zwei Jahre unter Federführung des Bundesministeriums des Innern, für Bau und Heimat im Einvernehmen mit den zuständigen Ressorts evaluiert werden. Die deutsche Industrie begrüßt ausdrücklich diese regelmäßige Evaluierung, da nur so sichergestellt werden kann, dass die ergriffenen Maßnahmen zielgerichtet sind. In die Evaluation sollten jedoch verpflichtend auch Wirtschaftsverbände und die unter die BSI-Kritis-Verordnung fallenden Kritis-Unternehmen einbezogen werden. Insbesondere vor dem Hintergrund der partnerschaftlichen Zusammenarbeit innerhalb des UP KRITIS bietet sich diese Vorgehensweise an. Der BDI empfiehlt folgende Anpassungen am Entwurf der Änderungsverordnung: Zwei Jahre nach Inkrafttreten dieser Rechtsverordnung und danach alle zwei Jahre sind unter Beteiligung der in §10 Absatz 1 Satz 1 des BSI-Gesetzes genannten Ressorts sowie der Vertreter der Wissenschaft, der betroffenen Betreiber und der betroffenen Wirtschaftsverbände zu evaluieren … Artikel 2 – In-Kraft-Treten Die Änderungsverordnung der BSI-Kritis-Verordnung tritt am Tag nach der Verkündung in Kraft, sieht jedoch keine Übergangsfristen vor. Das BMI stellt in seinem Referentenentwurf der Änderungsverordnung fest, dass mit über die Änderungsverordnung vorgenommene Anpassung der Bezeichnungen einzelner Anlagenkategorien, einzelner Bemessungskriterien und einzelner Schwellenwerte geschätzte 270 zusätzliche Betreiber von den Pflichten des BSIG erfasst werden. Die deutsche Industrie sieht die zwingende Notwendigkeit, dass die BSI-Kritisverordnung ausreichend lange Implementierungsfristen von mindestens 24 Monaten vorsieht. Betreiber Kritischer Infrastrukturen, deren Anlagen bisher nicht in den Geltungsbereich der Verordnung gefallen sind, müssen hinreichende Implementierungsfristen eingeräumt werden, um die Anforderungen, die aus der Verordnung und dem IT-Sicherheitsgesetz 2.0 erwachsenden, umsetzen zu können. Selbiges muss für geänderte Anlage gelten. So muss Unternehmen ein ausreichend langer Zeitraum gewährt werden, um sich zum Beispiel beim BSI zu registrieren sowie die notwendigen technischen und organisatorischen Anforderungen umzusetzen. Die Notwendigkeit für hinreichend lange Übergangsfristen ist umso relevanter, als dass viele der gesetzlich vorgesehen Pflichten nach §14 IT-SiG 2.0 bußgeldbewährt sind. Der BDI empfiehlt die Aufnahme folgender Ergänzung in Artikel 2 der Änderungsverordnung: ▪
Betreibern Kritischer Infrastrukturen, die aufgrund dieser Änderungsverordnung erstmals in den Geltungsbereich der BSI-Kritis-V und des BSIG fallen, wird eine Übergangsfrist von 24 Monaten gewährt, in den die Anforderungen an Betreiber Kritischer Infrastrukturen gemäß BSIG nicht gelten und in denen die Bußgeldvorschriften nach § 14 keine Anwendung finden.
11
Zweite Verordnung zur Änderung der BSI-Kritisverordnung
Impressum Bundesverband der Deutschen Industrie e.V. (BDI) Breite Straße 29, 10178 Berlin www.bdi.eu T: +49 30 2028-0 Redaktion Steven Heckler Stellvertretender Abteilungsleiter Digitalisierung und Innovation T: +49 30 2028-1523 S.Heckler@bdi.eu
BDI Dokumentennummer: D 1375
12