Was ist sichere Beschaffung, Entwicklung und Wartung?
Sichere Beschaffung, Entwicklung und Wartung ist der nach § 30 BSIG erforderliche Maßnahmenkomplex für Erwerb, Entwicklung und Wartung dienstbezogener IT-Systeme, Komponenten und Prozesse einschließlich Schwachstellenmanagement und -offenlegung.
Er gehört zu den Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen. Diese Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Sie dienen dazu, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit zu vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
Der Normwortlaut
„Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“
„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,“
Normkontext: Bei der Verhältnismäßigkeit sind Risikoexposition, Größe und Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Pflicht aus § 30 Abs. 1 Satz 1 BSIG ist zu dokumentieren. Außerdem sind die Vorrangregeln des § 30 Abs. 3 und 4 BSIG zu beachten.
Für wen gilt der Maßnahmenkomplex?
Er gilt für besonders wichtige und wichtige Einrichtungen im Sinne von § 28 BSIG und nur für die IT-Systeme, Komponenten und Prozesse, die sie zur Erbringung ihrer Dienste nutzen. Die Einstufung hängt von der Einrichtungsart und gegebenenfalls von Beschäftigten-, Umsatz- und Bilanzmerkmalen ab. Für sonstige Einrichtungen nach § 28 Abs. 1 Satz 1 Nr. 4 gelten insbesondere die Zuordnung zu Anlage 1 und entweder mindestens 250 Beschäftigte oder ein Jahresumsatz von mehr als 50 Millionen Euro bei zugleich mehr als 43 Millionen Euro Jahresbilanzsumme. Für sonstige Einrichtungen nach § 28 Abs. 2 Satz 1 Nr. 3 gelten die Zuordnung zu Anlage 1 oder 2 und entweder mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.
Das ist keine allgemeine Pflicht für jedes Unternehmen. Einrichtungsart, Größenmerkmale sowie die Ausnahmen und Rückausnahmen des § 28 Abs. 5 und 6 müssen im Einzelfall zusammen geprüft werden.
Wann wird die Pflicht ausgelöst?
Auslöser ist die Nutzung des betreffenden Systems, der Komponente oder des Prozesses für die Dienste einer erfassten Einrichtung. Es bedarf weder eines neuen Beschaffungsvorgangs noch einer bereits entdeckten Schwachstelle. Die Einrichtung muss fortlaufend einen risikogerechten Maßnahmenbestand einrichten, einhalten und dokumentieren. Dazu gehören der gefahrenübergreifende Ansatz, die Berücksichtigung einschlägiger europäischer und internationaler Normen sowie die gesetzlich genannten Verhältnismäßigkeitsfaktoren.
Welche Ausnahmen und Spezialregime gelten?
Gesetzliche Abgrenzung: § 28 Abs. 5 und 6 BSIG enthält Bereichsausnahmen für bestimmte Telekommunikations-, Energie-, Finanz- und Telematikinfrastruktur-Konstellationen. Die in § 28 Abs. 5 geregelten Rückausnahmen für weitere kritische Anlagen oder Tätigkeiten und die dafür erforderlichen IT-Systeme bleiben zwingend zu prüfen.
Unionsrechtlicher Vorrang: Für die in § 30 Abs. 3 BSIG genannten Einrichtungen haben die Anforderungen der Durchführungsverordnung (EU) 2024/2690 Vorrang. Das betrifft die von der Verordnung benannten DNS-, TLD-, Cloud-, Rechenzentrums-, CDN-, Managed-Service-, Managed-Security-Service-, Online-Marktplatz-, Online-Suchmaschinen-, soziale-Netzwerk- und Vertrauensdiensteanbieter, nicht sämtliche verpflichteten Einrichtungen. Weitere Rechtsakte nach Art. 21 Abs. 5 Unterabs. 2 der NIS-2-Richtlinie gehen entgegenstehenden Anforderungen vor.
Eine einzelne Anforderung des Anhangs der Verordnung darf bei fehlender Angemessenheit, Anwendbarkeit oder Durchführbarkeit unangewendet bleiben; die betreffende Einrichtung muss dies verständlich dokumentieren und begründen. Diese Möglichkeit beseitigt nicht die Grundpflicht zu einem angemessenen Sicherheitsniveau.
Welche Fristen und Schwellenwerte gelten?
§ 30 BSIG nennt für diesen Maßnahmenkomplex weder eine allgemeine zahlenmäßige Umsetzungsfrist noch eine eigene Beschaffungsschwelle. Im persönlichen Anwendungsbereich der Verordnung (EU) 2024/2690 sind Sicherheitspatches innerhalb einer angemessenen Frist nach ihrer Verfügbarmachung anzuwenden. Von der Patch-Anwendung darf nur aufgrund einer dokumentierten und begründeten Abwägung abgesehen werden, wenn ihre Nachteile die Vorteile für die Cybersicherheit überwiegen. Als betriebsrelevant kritisch eingestufte Schwachstellen sind unverzüglich zu beheben.
Was bedeutet die Vorgabe technisch?
Technische Einordnung für den Anwendungsbereich der Verordnung (EU) 2024/2690: Die Konkretisierung umfasst insbesondere dokumentiertes Änderungsmanagement, eine Risikobewertung und Tests vor der Umsetzung von Änderungen, Integritätsprüfungen von Patches sowie die Abstimmung von Schwachstellen-, Patch-, Risiko- und Vorfallsmanagement. Diese Detailanforderungen gelten nicht pauschal für jede Einrichtung nach § 30 BSIG. Der Maßnahmenkomplex ist zudem keine Garantie für fehlerfreie Software.
Häufige Fehlannahmen
- „Die Pflicht gilt für jedes Unternehmen.“ Nein. Adressaten sind besonders wichtige und wichtige Einrichtungen nach § 28 BSIG; Bereichsausnahmen und Rückausnahmen sind mitzulesen.
- „Nur neue Beschaffungen sind betroffen.“ Nein. Erfasst ist der fortlaufende Lebenszyklus der zur Diensterbringung genutzten Systeme, Komponenten und Prozesse.
- „§ 30 BSIG schreibt eine feste Patchfrist vor.“ Nein. Eine allgemeine Zahlenfrist fehlt; konkrete Vorgaben wie „innerhalb einer angemessenen Frist“ und „unverzüglich“ stammen für ihren begrenzten Adressatenkreis aus der Verordnung (EU) 2024/2690.
- „Die EU-Verordnung gilt für alle wichtigen Einrichtungen.“ Nein. Sie gilt nur für die in Art. 1 benannten betreffenden Einrichtungen.
- „Sichere Entwicklung garantiert schwachstellenfreie Software.“ Nein. Gefordert ist ein geeigneter, verhältnismäßiger und wirksamer Risikomanagementprozess, keine Fehlerfreiheitsgarantie.
Was die Geschäftsleitung tun sollte
Gesetzliche Pflicht: Geschäftsleitungen erfasster Einrichtungen müssen die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Sie müssen außerdem regelmäßig geeignete Schulungen zu IT-Sicherheitsrisiken und Risikomanagementpraktiken besuchen. Diese Schulungen müssen ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken vermitteln und die Beurteilung ihrer Auswirkungen auf die von der Einrichtung erbrachten Dienste ermöglichen; einen festen Turnus nennt § 38 BSIG nicht.
Praxisempfehlungen:
- den persönlichen und sachlichen Anwendungsbereich einschließlich Bereichsausnahmen, Rückausnahmen und möglicher EU-Spezialregime dokumentiert klären;
- Verantwortlichkeiten für Beschaffung, Entwicklung, Änderungen, Patches und Schwachstellen eindeutig zuweisen;
- risikobasierte Freigabe-, Test-, Patch- und Eskalationsprozesse samt begründeten Ausnahmen festlegen;
- Entscheidungen, Kontrollen, Schulungen und Wirksamkeitsprüfungen prüffähig nachweisen.
Eine Haftung nach § 38 Abs. 2 BSIG setzt eine schuldhafte Pflichtverletzung, einen Schaden und die Verursachung dieses Schadens voraus.
Für die Geschäftsleitung
Zuerst ist zu entscheiden und nachzuweisen, ob die Einrichtung und ihre dienstbezogenen Systeme in den Anwendungsbereich fallen und ob Ausnahmen oder ein unionsrechtliches Spezialregime eingreifen. Danach sind geeignete, verhältnismäßige und wirksame Lebenszyklusmaßnahmen festzulegen, umzusetzen und zu überwachen. Der belastbare Nachweis umfasst insbesondere Zuständigkeiten, Risikobewertungen, Freigaben, Tests, Patch- und Schwachstellenentscheidungen, begründete Abweichungen, Wirksamkeitskontrollen und Schulungen.
Quellen
- § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen
- § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen
- § 38 BSIG – Umsetzungs-, Überwachungs-, Haftungs- und Schulungsregelungen für Geschäftsleitungen
- Durchführungsverordnung (EU) 2024/2690, insbesondere Art. 1 und Anhang Nr. 6.4, 6.6 und 6.10
