Nach § 8b Absatz 3 BSIG müssen Betreiber Kritischer Infrastrukturen, spätestens zwei Jahre nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 1 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

Die Betreiber sollen dabei den Stand der Technik umsetzen (§ 8b Absatz 3 BSIG). Dies kann durch die Anwendung von „branchenspezifische[n] Sicherheitsstandards (B3S) zur Gewährleistung der Anforderungen“ geschehen, die von den Betreibern der Kritischen Infrastrukturen oder Fachverbänden erarbeitet und dem BSI zur Eignungsfeststellung vorgelegt werden.

Die gesetzliche Anforderung aus § 8b Absatz 3 BSIG betrifft das Meldeverfahren der Betreiber Kritischer Infrastrukturen, wodurch die Betreiber Kritischer Infrastrukturen dazu verpflichtet werden, dem BSI eine Kontaktstelle (sog. Single Point of Contact (SPOC)) zu benennen. Hiernach müssen Betreiber Kritischer Infrastrukturen binnen sechs Monaten eine Kontaktstelle benennen, über die sie jederzeit (Funktions-Mail bzw. Funktionspostfach mit einer 24/7 Erreichbarkeit) erreichbar sind. Die Übermittlung von IT-Sicherheitsinformationen durch das BSI erfolgt ebenfalls an diese Kontaktstelle.

 Die Betreiber sollen dabei den Stand der Technik umsetzen (§ 8a Absatz 3 BSIG). Dies kann durch die Anwendung von „branchenspezifische[n] Sicherheitsstandards (B3S) zur Gewährleistung der Anforderungen“ geschehen, die von den Betreibern der Kritischen Infrastrukturen oder Fachverbänden erarbeitet und dem BSI zur Eignungsfeststellung vorgelegt werden.

„Die Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen nach Absatz 1 auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen.“

Nach § 8a Absatz 3 BSIG müssen Betreiber Kritischer Infrastrukturen, spätestens zwei Jahre nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 1 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

Nach § 8a Absatz 3 BSIG muss der Betreiber einer Kritischen Infrastruktur dem Bundesamt für Sicherheit in der Informationstechnik eine „Kontaktstelle für die Kommunikationsstrukturen“ nennen, über die Störungen der kritischen Dienstleistung dem Bundesamt als „zentrale Meldestelle“ zu melden sind.

Nein, die Aussage ist falsch.

Ja, die Aussage ist richtig.

Nein, die Aussage ist falsch.

Ja, die Aussage ist richtig.

Ja, die Aussage ist richtig

Nein, die Aussage ist falsch

Ja, die Aussage ist richtig.

Nein, die Aussage ist falsch.

Nach § 8a Absatz 1 BSIG müssen Betreiber Kritischer Infrastrukturen, spätestens zwei Jahre nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 1 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

Nach § 8a Absatz 1 BSIG müssen Betreiber Kritischer Infrastrukturen, spätestens nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 1 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

Nach § 8a Absatz 2 BSIG (modifiziert durch IT-SiG 1.0) können Betreiber Kritischer Infrastrukturen, spätestens zwei Jahre nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 1 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

Nach § 8a Absatz 2 BSIG müssen Betreiber Kritischer Infrastrukturen, spätestens zwei Jahre nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 2 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

(§ 8b Absatz 2 Satz 2 BSIG

(§ 8b Absatz 3 Satz 1 BSIG

(§ 8b Absatz 4 Satz 1 BSIG

(§ 8a Absatz 3 Satz 2 BSIG