Erhebliche Cyberbedrohung

Was ist eine erhebliche Cyberbedrohung?

Eine erhebliche Cyberbedrohung ist eine Cyberbedrohung mit dem Potenzial, informationstechnische Systeme, Komponenten und Prozesse aufgrund ihrer besonderen technischen Merkmale erheblich zu beeinträchtigen und dadurch erheblichen materiellen oder immateriellen Schaden zu verursachen.

Rechtliche Einordnung: § 2 Nummer 10 BSIG enthält eine zweistufige Definition. Zunächst muss eine Cyberbedrohung im Sinne von § 2 Nummer 6 BSIG in Verbindung mit Artikel 2 Nummer 8 der Verordnung (EU) 2019/881 vorliegen. Diese muss aufgrund ihrer besonderen technischen Merkmale ein erhebliches Beeinträchtigungspotenzial besitzen. Die mögliche Beeinträchtigung ist nur erheblich, wenn sie erheblichen materiellen oder immateriellen Schaden verursachen kann.

Der Normwortlaut

„erhebliche Cyberbedrohung“ eine Cyberbedrohung, die das Potenzial besitzt, die informationstechnischen Systeme, Komponenten und Prozesse aufgrund der besonderen technischen Merkmale der Cyberbedrohung erheblich zu beeinträchtigen; eine Beeinträchtigung ist erheblich, wenn sie erheblichen materiellen oder immateriellen Schaden verursachen kann;

Amtlicher Wortlaut aus § 2 Nummer 10 BSIG. Beide Halbsätze gehören zusammen; der zweite Halbsatz bestimmt die erforderliche mögliche Schadensfolge.

Wie unterscheidet sich die erhebliche Cyberbedrohung von einem Sicherheitsvorfall?

Die erhebliche Cyberbedrohung beschreibt ein qualifiziertes Potenzial: Die Beeinträchtigung muss noch nicht eingetreten sein. Ein Sicherheitsvorfall nach § 2 Nummer 40 BSIG setzt dagegen ein Ereignis voraus, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der angebotenen beziehungsweise zugänglichen Dienste bereits beeinträchtigt. Eine erhebliche Cyberbedrohung ist deshalb weder mit einem eingetretenen Sicherheitsvorfall noch mit einer bloßen Schwachstelle gleichzusetzen.

Wann entsteht wegen einer erheblichen Cyberbedrohung eine Unterrichtungspflicht?

Die Pflicht aus § 35 Absatz 2 BSIG entsteht nur, wenn sämtliche Voraussetzungen erfüllt sind: Es handelt sich um eine besonders wichtige oder wichtige Einrichtung aus einem ausdrücklich genannten Sektor, eine erhebliche Cyberbedrohung betrifft potenziell Empfänger ihrer Dienste und bei der Abwägung der Interessen der Einrichtung und des Empfängers überwiegen die Interessen des Empfängers. Maßnahmen oder Abhilfemaßnahmen sind Inhalt der Unterrichtung, aber kein zusätzlicher Erheblichkeitstatbestand.

Welche Einrichtungen sind von § 35 Absatz 2 BSIG erfasst?

Die besondere Unterrichtungspflicht gilt nur für besonders wichtige und wichtige Einrichtungen aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste. Ob eine Einrichtung als besonders wichtig oder wichtig gilt, richtet sich grundsätzlich nach § 28 BSIG. Der definierte Begriff der erheblichen Cyberbedrohung ist demgegenüber nicht auf diese Sektoren beschränkt, sondern eine allgemeine Begriffsbestimmung des BSIG.

Wer ist worüber zu unterrichten?

Wenn § 35 Absatz 2 BSIG vollständig greift, muss die Einrichtung potenziell betroffene Empfänger ihrer Dienste unverzüglich über Maßnahmen oder Abhilfemaßnahmen unterrichten, die diese als Reaktion ergreifen können, und sie zugleich über die erhebliche Cyberbedrohung selbst informieren. Zugleich ist das Bundesamt für Sicherheit in der Informationstechnik zu unterrichten. Ohne überwiegende Empfängerinteressen gelten die Unterrichtungspflichten nach § 35 Absatz 2 Satz 1 oder 2 nicht.

Welche Frist und welche Erheblichkeitsschwelle gelten?

Für die Unterrichtung nach § 35 Absatz 2 BSIG gilt das Modalwort „unverzüglich“; die Vorschrift nennt keine feste Stunden- oder Tagesfrist. Die Erheblichkeitsschwelle ist qualitativ: Die mögliche Beeinträchtigung muss erheblichen materiellen oder immateriellen Schaden verursachen können. Die 24- und 72-Stunden-Fristen des § 32 Absatz 1 BSIG betreffen erhebliche Sicherheitsvorfälle und dürfen nicht auf eine erhebliche Cyberbedrohung als solche übertragen werden.

Welche Ausnahmen und Spezialregime sind zu prüfen?

§ 35 Absatz 2 BSIG ist bereits durch die genannten Sektoren und die Interessenabwägung begrenzt. Zusätzlich nehmen § 28 Absätze 5 und 6 bestimmte Telekommunikations- und Energiesachverhalte, Finanzunternehmen im Anwendungsbereich der DORA sowie bestimmte Akteure der Telematikinfrastruktur unter den jeweiligen gesetzlichen Voraussetzungen von § 35 aus. Bei § 28 Absatz 5 müssen auch die Rückausnahmen der Sätze 2 und 3 geprüft werden, insbesondere bei weiteren kritischen Anlagen oder Tätigkeiten; für eine nur als Nebentätigkeit betriebene Energieanlage gilt die Ausnahme nach Maßgabe von Satz 3 nicht. § 29 Absatz 3 enthält außerdem eine Sonderregel für die dort genannten Bereiche der Bundesverwaltung. Die Anwendbarkeit ist jeweils anhand des konkreten Einrichtungs- und Regulierungstatbestands zu bestimmen.

Welche rechtliche Verantwortung hat die Geschäftsleitung?

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen nach § 38 Absatz 1 BSIG die von der Einrichtung nach § 30 zu ergreifenden Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Daraus folgt nicht, dass jede erhebliche Cyberbedrohung automatisch eine Unterrichtung auslöst: Dafür müssen zusätzlich alle Voraussetzungen des § 35 Absatz 2 erfüllt sein und die Ausnahmen nach §§ 28 und 29 dürfen nicht entgegenstehen. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung gehören nach § 2 Nummer 13 BSIG nicht zu dem dort definierten Begriff der Geschäftsleitung.

Häufige Fehlannahmen

• „Eine erhebliche Cyberbedrohung ist bereits ein Sicherheitsvorfall.“ Nein. Die Bedrohung bezeichnet ein qualifiziertes Beeinträchtigungspotenzial; der Sicherheitsvorfall setzt eine bereits eingetretene Beeinträchtigung voraus.
• „Jede Schwachstelle ist eine erhebliche Cyberbedrohung.“ Nein. Erforderlich sind eine Cyberbedrohung, besondere technische Merkmale, das Potenzial einer erheblichen Beeinträchtigung und die Möglichkeit erheblichen materiellen oder immateriellen Schadens.
• „Jede Einrichtung muss bei jeder erheblichen Cyberbedrohung Empfänger informieren.“ Nein. § 35 Absatz 2 gilt nur für die genannten Einrichtungen und Sektoren, bei potenziell betroffenen Diensteempfängern und überwiegenden Empfängerinteressen.
• „Für die Unterrichtung gelten immer 24 oder 72 Stunden.“ Nein. § 35 Absatz 2 verlangt eine unverzügliche Unterrichtung ohne numerische Frist; die festen Fristen des § 32 Absatz 1 betreffen erhebliche Sicherheitsvorfälle.
• „Sektorale Spezialregime spielen keine Rolle.“ Nein. Die Ausnahmen und Rückausnahmen aus § 28 Absätze 5 und 6 sowie die Sonderregel des § 29 Absatz 3 müssen im Einzelfall geprüft werden.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte unterstützen eine belastbare Entscheidung, begründen aber keine zusätzlichen Rechtspflichten.

• Unverzüglich dokumentieren lassen, ob eine Cyberbedrohung, besondere technische Merkmale, ein erhebliches Beeinträchtigungspotenzial und eine mögliche erhebliche materielle oder immaterielle Schadensfolge vorliegen.
• Den Einrichtungsstatus, den betroffenen Sektor sowie die Ausnahmen und Rückausnahmen nach §§ 28 und 29 prüfen lassen.
• Potenziell betroffene Empfänger eigener Dienste bestimmen und die Interessen der Einrichtung und der Empfänger nachvollziehbar abwägen.
• Konkrete Reaktions- oder Abhilfemaßnahmen, die Bedrohungsinformation sowie gegebenenfalls die gleichzeitige Unterrichtung des BSI freigabefähig vorbereiten.
• Für anwendbare Pflichten nach § 30 klare Zuständigkeiten und Nachweise schaffen und deren Umsetzung gemäß § 38 Absatz 1 überwachen.

Für die Geschäftsleitung

Entscheidend sind drei getrennte Prüfungen: Zuerst ist das qualifizierte technische Beeinträchtigungs- und Schadenspotenzial festzustellen. Danach sind persönlicher und sektoraler Anwendungsbereich, Spezialregime und potenziell betroffene Diensteempfänger zu bestimmen. Erst anschließend ist über die Interessenabwägung und eine gegebenenfalls unverzügliche Unterrichtung zu entscheiden. Der Nachweis sollte Definition, Tatsachengrundlage, Ausnahmen, Abwägung, Entscheidung, Verantwortlichkeiten und freigegebene Abhilfemaßnahmen erkennen lassen.

Quellen

• § 2 Nummern 6, 10, 13 und 40 BSIG – Begriffsbestimmungen
• § 28 BSIG – besonders wichtige und wichtige Einrichtungen sowie Ausnahmen
• § 29 Absatz 3 BSIG – Sonderregel für Bereiche der Bundesverwaltung
• § 30 BSIG – Risikomanagementmaßnahmen
• § 32 Absatz 1 BSIG – Meldung erheblicher Sicherheitsvorfälle
• § 35 Absatz 2 BSIG – Unterrichtung bei erheblichen Cyberbedrohungen
• § 38 Absatz 1 BSIG – Pflichten der Geschäftsleitung
• Artikel 2 Nummer 8 Verordnung (EU) 2019/881 – Cyberbedrohung