Cybersecurity
Mit der NIS2-Umsetzung Ende 2025 fielen UBI als separate Gruppe wieder weg und werden in die besonders wichtigen und wichtigen Einrichtungen integriert. Die separaten UBI-Pflichten entfallen damit auch.
UBI 1: Rüstung und Verschlusssachen
Für Hersteller von Rüstung, Waffen und Produkten für staatliche Verschlusssachen (UBI 1: Rüstung) bestanden ab 1. Mai 2023 die folgenden UBI-Pflichten von der Identifikation bis zur Selbsterklärung IT-Sicherheit. Mit der NIS2-Umsetzung Ende 2025 fallen die eigenen UBI-Pflichten weg. Betroffene Unternehmen müssen als Einrichtung NIS2-Pflichten umsetzen.
Identifikation und Registrierung
Unternehmen müssen sich selbst als UBI identifizieren. Zurzeit ist noch keine Methodik zur Identifikation definiert. Kriterien könnten die Entwicklung und Herstellung von Rüstung §60 (1) 1 und 3 AWV und Produkten für staatliche Verschlusssachen (VS) nach sein. Die Pflicht zur Registrierung und Selbsterklärung galt ab dem 1. Mai 2023.
Selbsterklärung IT-Sicherheit
Unternehmen müssen nach Feststellung der Betroffenheit eine Selbsterklärung zur IT-Sicherheit beim BSI vorlegen. Diese beinhaltet Erklärungen zu:
- Zertifizierungen der IT-Sicherheit der letzten zwei Jahre samt Prüfgrundlage und Geltungsbereich
- Sicherheitsaudits und Prüfungen der IT-Sicherheit der letzten zwei Jahre samt Prüfgrundlage und Geltungsbereich
- Sicherheitsmaßnahmen für
besonders schützenswerte IT-Systeme, Komponenten und Prozesse
und den Stand der Technik
Die Selbsterklärung muss dann alle zwei Jahre dem BSI vorgelegt werden. Das BSI kann für die Selbsterklärung Formulare einführen und Unternehmen auf Grundlage der eingereichten Erklärungen Hinweise zu technischen und organisatorischen Maßnahmen geben.
Vorfallsmeldungen
Unternehmen müssen Störungen unverzüglich an das BSI melden.
Dies betrifft Störungen der IT, Komponenten und Prozesse, die zu
einem Ausfall oder erheblichen Beeinträchtigung
der Wertschöpfung geführt haben oder führen können.
Die Meldung an das BSI muss Informationen zur von der Störung betroffenen IT, der Ursache und der Art der betroffenen Einrichtung oder Anlage
enthalten.
Störungsmeldungen sind ab dem Zeitpunkt der Frist zur Selbsterklärung notwendig, über die vom Unternehmen benannte Stelle ans BSI.
UBI 2: Wertschöpfung und Zulieferer
Für UBI der Gruppe Wertschöpfung und deren Zulieferer bestanden alle Pflichten von der Identifikation bis zur Selbsterklärung IT-Sicherheit. Mit der NIS2-Umsetzung Ende 2025 fallen die eigenen UBI-Pflichten weg. Betroffene Unternehmen müssen als Einrichtung NIS2-Pflichten umsetzen.
Identifikation und Registrierung
Unternehmen müssen sich selbst als UBI identifizieren. Zurzeit ist noch keine Methodik zur Identifikation definiert, Kriterien und Schwellenwerte könnten sich an der Arbeit der Monopolkommission nach §44 Absatz 1 GWB orientieren.
Die Pflicht zur Registrierung und Selbsterklärung gilt frühestens zwei Jahre nach Verkündung der UBI-Verordnung (UBI-VO), die nicht (nie) verabschiedet wurde.
Unternehmen müssen sich mit Vorlage der ersten Selbsterklärung zur IT-Sicherheit beim BSI registrieren.
Dabei müssen sie eine zu den üblichen Geschäftszeiten erreichbare Stelle
benennen.
Selbsterklärung IT-Sicherheit
Unternehmen müssen nach Feststellung der Betroffenheit eine Selbsterklärung zur IT-Sicherheit beim BSI vorlegen. Diese beinhaltet Erklärungen zu:
- Zertifizierungen der IT-Sicherheit der letzten zwei Jahre samt Prüfgrundlage und Geltungsbereich
- Sicherheitsaudits und Prüfungen der IT-Sicherheit der letzten zwei Jahre samt Prüfgrundlage und Geltungsbereich
- Sicherheitsmaßnahmen für
besonders schützenswerte IT-Systeme, Komponenten und Prozesse
und den Stand der Technik
Die Selbsterklärung muss dann alle zwei Jahre dem BSI vorgelegt werden. Das BSI kann für die Selbsterklärung Formulare einführen und Unternehmen auf Grundlage der eingereichten Erklärungen Hinweise zu technischen und organisatorischen Maßnahmen geben.
Vorfallsmeldungen
Unternehmen müssen Störungen unverzüglich an das BSI melden.
Dies betrifft Störungen der IT, Komponenten und Prozesse, die zu
einem Ausfall oder erheblichen Beeinträchtigung
der Wertschöpfung geführt haben oder führen können.
Die Meldung an das BSI muss Informationen zur von der Störung betroffenen IT, der Ursache und der Art der betroffenen Einrichtung oder Anlage
enthalten.
Störungsmeldungen sind ab dem Zeitpunkt der Frist zur Selbsterklärung notwendig, über die vom Unternehmen benannte Stelle ans BSI.
Darlegung
Unternehmen müssen im Zweifel dem BSI die eigene (Nicht-)Betroffenheit als Unternehmen im besonderen öffentlichen Interesse nach §2 Abs. 14 Nr. 2 BSIG darlegen, durch
- Berechnung der inländischen Wertschöpfung nach der in der KRITIS-Verordnung definierten Methode
Bestätigung einer anerkannten Wirtschaftsprüfungsgesellschaft,
dass das Unternehmen kein UBI ist
UBI 3: Gefahrstoffe und Chemie
Für Betreiber von Betriebsbereichen der oberen Klasse mit gefährlichen Stoffen und Chemie (UBI 3 Gefahrstoffe) bestehen teilweise freiwillige Pflichten. Mit der NIS2-Umsetzung Ende 2025 fallen die eigenen UBI-Pflichten weg. Betroffene Unternehmen müssen als Einrichtung NIS2-Pflichten umsetzen.
Identifikation und Registrierung
Unternehmen müssen sich selbst als UBI identifizieren. Zurzeit ist noch keine Methodik zur Identifikation definiert. Ein Kriterium könnten Betriebsbereiche der oberen Klasse mit gefährlichen Stoffen im Sinne der Störfall-Verordnung sein.
Unternehmen können sich ab sofort freiwillig beim BSI registrieren und eine zu den üblichen Geschäftszeiten erreichbare Stelle
benennen.
Die Registrierung erfolgt per Mail an das BSI UBI-Büro — siehe zum genauen Prozedere die BSI FAQ.
Vorfallsmeldungen
Unternehmen müssen Störungen unverzüglich an das BSI melden.
- Dies betrifft Störungen der IT, Komponenten und Prozesse, die zu einem
Störfall nach der Störfall-Verordnung
geführt haben oder führen können. - Die Meldung an das BSI muss Informationen zur von der Störung betroffenen IT, der Ursache und der
Art der betroffenen Einrichtung oder Anlage
enthalten.
Störfall-Meldungen können über ein BSI-Formular an das BSI gesendet werden. Siehe für das PDF und Mail-Adresse ebenfalls die BSI-FAQ.
Bußgelder für UBI
Für Unternehmen im besonderen öffentlichen Interesse gibt es analog zu KRITIS-Betreibern bei Versößen gegen die Regulierung und Security Pflichten Bußgelder:
- Registrierung beim BSI fehlt oder ist nicht rechtzeitig
- Kontaktstelle zum BSI wurde nicht oder nicht rechtzeitig benannt
- Selbsterklärung IT-Sicherheit fehlt oder unvollständig beim BSI abgegeben
- Vorfallsmeldungen nicht oder nicht rechtzeitig ans BSI gemeldet