Unternehmen im besonderen öffentlichen Interesse (UNBÖFI)

Begründung

Die Unternehmen im besonderen öffentlichen Interesse sind im IT-Sicherheitsgesetz 2.0 definiert. Der Gesetzgeber will dadurch Unternehmen schützen, die keine KRITIS-Betreiber, aber für die IT-Sicherheit in Deutschland besonders schützenswürdig sind. Die Bedeutung ist im Vergleich zu KRITIS deutlich abgestuft, die Rechts­folgen nicht vergleichbar.

Die Begründung für die Aufnahme der UNBÖFI in das IT-Sicherheitsgesetz ist in der Bundes­tagsfassung (1926106) von Januar 2021 ausführlicher beschrieben, zu den Herstellern von Rüstung und VS-IT heisst es, dass ein Ausfall der Herstellungs- und Entwicklungs­tätigkeiten [...] wesentliche Sicherheits­interessen der Bundesrepublik Deutsch­land gefährden könnte.

Bei den größten Unternehmen nach inländischer Wertschöpfung hätte ein Ausfall oder Störung gesamtgesellschaftliche Bedeutung, wenn diese ihrer Geschäftstätigkeit für einen längeren Zeitraum nicht nachgehen können. Die Begründung verweist auf das Haupt­gutachten der Monopolkommission (100), an denen sich Schwellenwerte und Methodik orientieren sollen.

Die Betreiber von Betriebsbereichen der oberen Klassen werden nicht weiter begründet.

Identifikation

Die betroffenen Unternehmen identifizieren sich nach produzierten Gütern (Gruppe 1 und 3) oder ihrer Wirtschaftsleistung (Gruppe 2) selbst. Die Methodik und Schwellenwerte vor allem für Gruppe 2 müssen noch durch eine weitere oder geänderte Verordnung definiert werden.

1. Rüstung: Hersteller von bestimmten Rüstungsgütern und VS-IT, die in der Aussenwirtschafts­verordnung §60 (1) 1 und 3 AWV aufgelistet sind.
2. Volkswirtschaftliche Bedeutung: Unternehmen nach ihrer inländischen Wirtschafts­leistung, deren Berechnung sich an der Monopolkommission und ihrem Hauptgutachten (Top 100) orientieren soll, sowie deren Zulieferer von wesentlicher Bedeutung mit Alleinstellungs­merkmal. Beides muss noch genauer definiert werden, der Entwurf vom Gesetz spricht von Berechnungsmethodik und Schwellenwerten, mit denen Unternehmen anhang von eigenen Kennzahlen die Betroffenheit ermitteln können.
3. Gefahrstoffe: Unternehmen, die in Betriebsbereichen der oberen Klasse gefährlichen Stoffen nach der Störfall-Verordnung produzieren, verarbeiten oder lagern.

Pflichten

UNBÖFI unterliegen mit dem IT-Sicherheitsgesetz 2.0 UNBÖFI Cyber Security Pflichten für das eigene Unternehmen — Unternehmen der Gruppe 1 ab dem 1. Mai 2023, der Gruppe 2 zwei Jahre nach Inkrafttreten der Rechtsverordnung.

1. Identifikation und Registrierung: Unternehmen müssen sich selbst identifizieren und beim BSI registrieren.
2. Selbsterklärung IT-Sicherheit: Unternehmen müssen dem BSI eine Erklärung über die IT-Sicherheit zu Zertifizierungen, Sicherheitsaudits und Sicherheitsmaßnahmen vorlegen.
3. Vorfallsmeldungen: Unternehmen müssen bestimmte Störungen an das BSI melden.

Die UNBÖFI-Pflichten unterscheiden sich je nach Gruppe.

Rüstung und VS-IT

UNBÖFI Gruppe 1

Die erste Gruppe von UNBÖFI umfasst nach §2 (14) 1 BSIG-E Rüstungsfirmen und Komponenten­hersteller, deren Ausfall wesentliche Sicherheits­interessen der Bundesrepublik Deutschland gefährden würde. Diese Unternehmen müssen die UNBÖFI Cyber Security Pflichten ab dem 1. Mai 2023 umsetzen.

Produzierte Güter

Betroffen sind Unternehmen, die Rüstung und IT für Verschlusssachen (VS-IT) nach §60 (1) 1 und 3 AWV entwickeln und produzieren.

Kriterien

Es sind keine Schwellenwerte oder Kriterien für Unternehmen definiert — die Zuordnung zur UNBÖFI Gruppe 1 könnte abschließend über die obige Liste an Gütern erfolgen.

Volkswirtschaftliche Bedeutung und Zulieferer

UNBÖFI Gruppe 2

Die zweite Gruppe von UNBÖFI sind nach §2 (14) 2 BSIG-E Unternehmen von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland — Großkonzerne und Industrie. Diese Unternehmen müssen die UNBÖFI Cyber Security Pflichten zwei Jahre nach Inkrafttreten der Rechtsverordnung (noch nicht geschehen) umsetzen.

UNBÖFI Gruppe 2.5

Zusätzlich gehören auch Zulieferer in diese Gruppe bzw. zu den Unternehmen, falls sie von wesentlicher Bedeutung für diese Unternehmen sind. Kriterien sind das Vorliegen von Alleinstellungs­merkmalen, weswegen sie von wesentlicher Bedeutung für eines der größten Unternehmen sind.

Kriterien

Die Kennzahlen, Schwellenwerte und Methodik für die Gruppe Volkswirtschaftliche Bedeutung aber auch die Alleinstellungsmerkmale der Gruppe Zulieferer müssen noch durch eine Rechts­verordnung definiert werden — der letzte Entwurf der KRITIS-Verordnung 2.0 tat dies noch nicht. Die Berechnungsmethodik für die Unternehmen soll sich an der Arbeit der Monopol­kommission nach §44 (1) GWB orientieren, welche die hundert größten Unternehmen in Deutschland identifiziert (weiter unten verlinkt).

Gefahrstoffe und Chemie

UNBÖFI Gruppe 3

Betreiber von Betriebsbereichen der oberen Klasse im Sinne der Störfall-Verordnung sind UNBÖFI nach §2 (14) 3 BSIG-E. Dies betrifft Unternehmen die in ihren entsprechenden Betriebsbereichen gefährliche Stoffe produzieren, verarbeiten und lagern — Chemie-Konzerne, produzierende Unternehmen, Lager und Speicher.

Kriterien

Das Kriterium zur Zugehörigkeit sind Betriebsbereiche der oberen Klasse mit gefährlichen Stoffen im Sinne der Störfall-Verordnung. Die Schwellenwerte und Kategorien ergeben sich aus Spalte 5 der Stoffliste in Anhang I BImSchV.

Literatur

1. Hauptgutachten XXIII: Wettbewerb 2020, Hauptgutachten gemäß § 44 Abs. 1 Satz 1 GWB, Monopolkommission, 29. Juli 2020
2. Die nach inländischer Wertschöpfung 100 größten Unternehmen im Berichtsjahr (XLS), Tabelle II.1 aus Kapitel II Hauptgutachten, Monopolkommission, 29. Juli 2020, Excel

Quellen

1. Zweites Gesetz zur Erhöhung der Sicherheit informations­technischer Systeme, IT-Sicherheits­gesetz 2.0, Bundesgesetzblatt, 2021 Nr. 25, 27. Mai 2021
2. Anlage 1: Entwurf einer zweiten Verordnung zur Änderung der BSI-Kritisverordnung mit Vorblatt und Begründung, Intrapol.org, 26.4.2021
3. Entwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme vom 25.01.2021 (IT-Sicherheitsgesetz 2.0), Gesetzentwurf der Bundesregierung, Drucksache 19/26106
4. Außenwirtschaftsverordnung (AWV) vom 2. August 2013 (BGBl. I S. 2865), die zuletzt durch Artikel 1 der Verordnung vom 26. Oktober 2020 (BAnz AT 28.10.2020 V1) geändert worden ist
5. Teil I Abschnitt A der Ausfuhrliste, Bundesministerium für Wirtschaft und Energie, 8.7.2015
6. Störfall-Verordnung - 12. BImSchV vom 15. März 2017 (BGBl. I S. 483), die zuletzt durch Artikel 107 der Verordnung vom 19. Juni 2020 (BGBl. I S. 1328) geändert worden ist
7. Anhang I Mengenschwellen Störfall-Verordnung - 12. BImSchV, BGBl. I 2017, 494-500