Situation ab 2026
Umgang mit kritischen Komponenten
Mit der Öffnung des Geltungsbereiches aus § 41 BSIG können kritische Komponenten künftig in allen KRITIS-Sektoren wie in der Energiewirtschaft und anderen KRITIS-Sektoren bestimmt werden.
- Das Bundesministerium des Innern (BMI) kann durch Rechtsverordnung im Einvernehmen mit den betroffenen Ressorts kritische Komponenten bestimmen.
- Darauf aufbauend kann das BMI durch § 41 BSIG im Benehmen mit den Ressorts den Einsatz konkreter kritischer Komponenten untersagen oder beschränken.
Neuerungen durch NIS2
In der finalen NIS2-Umsetzung ergeben sich Änderungen für den Umgang mit kritischen Komponenten. Die bisherige Untersagungsbefugnis aus §9b BSIG wird in §41 BSIG in NIS2 überführt, Verschiebungen ergeben sich aus Definitionen und einem vereinfachten Ablauf.
- Entfernen der Garantieerklärung, vormals in §9b (3) BSIG, mit denen Hersteller eine Erklärung über seine Vertrauenswürdigkeit abgeben mussten.
- Wegfall der ex ante-Anzeigepflicht aus §9b Abs. 1 BSIG, nach der Betreiber den geplanten erstmaligen Einsatz kritischer Komponenten vorab beim BMI anzeigen mussten. Die bei einem Betreiber zum Einsatz kommenden Typen kritischer Komponenten werden künftig im Rahmen der Registrierung nach §33 BSIG gemeldet; Untersagungen erfolgen ex-post nach §41 BSIG
- Vereinfachte Begriffserklärung und Prüfmöglichkeit kritischer Komponenten: Nach §2 (23) BSIG sind kritische Komponenten IKT-Produkte, die in einer Rechtsverordnung nach §56 (7) BSIG bestimmt werden. Die Kriterien dafür bleiben nah an der Definition des alten BSIG in §2 (13)
- Umstellung der kritischen Komponenten von KRITIS-Sektorenen auf die kritische Dienstleistung.
- Erweiterung der Drittstaatenregelung für kritische Komponenten in §41 (4) BSIG
- Eine Untersagung, die auf der (un-)mittelbaren Kontrolle des Herstellers durch einen Drittstaat sowie sicherheitsrelevanten Aktivitäten beruht, bleibt in §41 (2) BSIG inhaltlich unverändert.
Sektoren
Neben den Änderungen im BSIG verankert das novellierte EnWG eine Konkretisierung der Regulierung kritischer Komponenten im Energiesektor. Nach §5c (6) EnWG legt die BNetzA mit dem BSI nach §29 (1) EnWG in einem Katalog für Energieversorgungsnetzen und Energieanlagen fest, welche Komponenten oder Funktionen nach §2 (23) BSIG kritisch sind.
Registrierung
Definitionen
Kritische Komponenten werden als Begriff in §2 (23) BSIG definiert als IKT-Produkte, die in einer Rechtsverordnung nach §56 (7) BSIG bestimmt werden. Diese Komponenten kann es in allen kritischen Sektoren mit kritischen Dienstleistungen geben.
Anzeigepflicht
Mit der Novellierung entfällt die bisherige ex-ante-Anzeigepflicht für den erstmaligen Einsatz kritischer Komponenten nach §9b (1) BSIG inklusive der bisherigen Garantieerklärung. Statt einer vorgelagerten Einzelanzeige beim BMI melden Betreiber die Typen kritischer Komponenten nun im Rahmen der Registrierung nach §33 (2) BSIG und über regelmäßige Aktualisierungen.
Für Betreiber bedeutet dies zwar eine Entlastung von formalen Anzeige- und Rückmeldeprozessen gegenüber dem BMI, andererseits entfällt ein frühzeitiger, formalisierter Austausch zwischen beiden.
In der Praxis müssen Betreiber eigenständig, in Zusammenarbeit mit Herstellern, prüfen, ob eingesetzte Komponenten unter die Definition kritischer Komponenten fallen und welche sicherheitspolitischen Risiken mit bestimmten Herstellern verbunden sind. Für den Einsatz verschiebt sich die Entscheidung von einer ex-ante-Anzeige hin zu einer ex-post-Kontrolle mit potenziell weitreichenden Folgen, sollte das BMI zu einer abweichenden Risikoeinschätzung gelangen als der Betreiber.
Registrierungsweg
Kritische Komponenten müssen seit 2026 mit der Registrierung als Betreiber kritischer Anlagen nach §33 (2) BSIG an das BSI übermittelt werden, konkret die zum Einsatz kommenden Typen von kritischen Komponenten.
Der Übermittlungsweg und dessen Form ist dabei noch offen.
Das KRITIS-Dachgesetz erweitert die Regulierung von Betreibern kritischer Anlagen und ändert in dem Zuge auch die Registrierung dieser Betreiber in §33 (2) BSIG, welche dann auf §8 KRITIS-DachG verweist. Dort müssen sich Betreiber beim BBK und BSI registrieren, und kritische Komponenten nach §8 (1) Nr. 7 KRITIS-DachG melden.
Änderungen müssen innerhalb von zwei Wochen mitgeteilt werden. §8 (6) KRITIS-DachG
Der tatsächliche Weg zur Übermittlung im Portal ist noch unklar, das Dachgesetz spricht von einer gemeinsam vom BSI und BBK eingerichteten Registrierungsmöglichkeit.