Was ist ein Sicherheitsvorfall?
Ein Sicherheitsvorfall ist ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit der im BSIG bezeichneten Daten oder Dienste beeinträchtigt.
Das ist die Legaldefinition des allgemeinen Begriffs in § 2 Nummer 40 BSIG. Sie verlangt weder einen Angriff noch einen Personenbezug. „Cyber Incident“ ist hier ein Suchbegriff, aber kein eigenständiger Rechtsbegriff des BSIG. Ein erheblicher Sicherheitsvorfall ist ein qualifizierter Unterfall.
Der Normwortlaut
Im Sinne dieses Gesetzes ist oder sind
40.
„Sicherheitsvorfall“ ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt;
Quelle des Normtextes: § 2 Eingangssatz und Nummer 40 BSIG.
Wann liegt ein Sicherheitsvorfall vor?
Der Grundbegriff setzt eine tatsächliche Beeinträchtigung mindestens eines der drei Schutzziele Verfügbarkeit, Integrität oder Vertraulichkeit voraus. Maßgeblich sind die in § 2 Nummer 40 bezeichneten Daten oder IT-gestützten Dienste.
Ein Ereignis, das diese Werte hätte beeinträchtigen können, dessen Eintritt aber erfolgreich verhindert wurde oder aus anderen Gründen nicht erfolgte, ist nach § 2 Nummer 1 BSIG ein Beinahevorfall. Diese Einordnung ist von der späteren Frage zu trennen, ob ein eingetretener Sicherheitsvorfall zusätzlich erheblich ist.
Wann ist ein Sicherheitsvorfall erheblich?
Erheblich ist ein Sicherheitsvorfall nach § 2 Nummer 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Diese Begriffsbestimmung gilt unter dem Vorbehalt, dass keine konkretisierende Begriffsbestimmung durch eine Rechtsverordnung nach § 56 Absatz 5 BSIG erfolgt. An diese zusätzliche Erheblichkeitsschwelle knüpft § 32 BSIG für erfasste besonders wichtige und wichtige Einrichtungen – vorbehaltlich der gesetzlichen Anwendungsgrenzen – die Meldepflicht; ein beliebiger Sicherheitsvorfall genügt nicht.
Wer muss einen erheblichen Sicherheitsvorfall melden?
§ 32 BSIG richtet die Meldepflicht an besonders wichtige und wichtige Einrichtungen. Ob eine Einrichtung dazu gehört, bestimmt sich nach § 28 BSIG. Einrichtungen der Bundesverwaltung werden nach § 29 Absatz 2 grundsätzlich entsprechend behandelt.
Die Definition des Sicherheitsvorfalls gilt innerhalb des BSIG allgemein; daraus folgt jedoch keine allgemeine Meldepflicht für jede Person, jedes Unternehmen oder jeden Vorfall.
Welche Meldefristen gelten?
Für jeden Sicherheitsvorfall gibt es keine allgemeine BSIG-Meldefrist. Bei einem erheblichen Sicherheitsvorfall müssen erfasste besonders wichtige und wichtige Einrichtungen unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, eine frühe Erstmeldung und unverzüglich, spätestens 72 Stunden nach Kenntniserlangung, eine weitere Meldung abgeben.
Grundsätzlich ist spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung eine Abschlussmeldung fällig. Dauert der Vorfall zu diesem Zeitpunkt an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle; die Abschlussmeldung folgt nach der abschließenden Bearbeitung. Auf Ersuchen des Bundesamts ist außerdem eine Zwischenmeldung über relevante Statusaktualisierungen abzugeben. Die Verpflichtung gilt frühestens ab Einrichtung des Meldewegs.
Welche Ausnahmen und Spezialregime sind zu prüfen?
Die allgemeine Definition bleibt bestehen, auch wenn einzelne BSIG-Pflichten nicht anwendbar sind. Für die §§ 30 und 32 sind insbesondere § 28 Absätze 5 bis 8 einschließlich der dortigen Rückausnahmen sowie mögliche Ausnahmebescheide nach § 37 gesondert zu prüfen.
§ 28 Absatz 5 betrifft bestimmte Telekommunikations- und Energietätigkeiten und enthält Rückausnahmen für weitere kritische Anlagen oder Tätigkeiten sowie für bloße Nebentätigkeiten. § 28 Absatz 6 nimmt unter anderem dort bezeichnete Finanzunternehmen im DORA-Anwendungsbereich und bestimmte Akteure der Telematikinfrastruktur von ausdrücklich aufgeführten Pflichten einschließlich der §§ 30 und 32 aus. Für Betreiber kritischer Anlagen gilt zusätzlich § 28 Absatz 7.
§ 28 Absatz 8 ordnet die Nichtanwendung des gesamten BSIG für rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und für juristische Personen an, die ausschließlich von Gebietskörperschaften mit Ausnahme des Bundes gehalten werden, sofern sie jeweils überwiegend Tätigkeiten der öffentlichen Verwaltung ausüben und keine Waren oder Dienstleistungen auf einem Markt im Wettbewerb mit privaten Unternehmen anbieten.
Ausnahmebescheide nach § 37 Absätze 1 bis 3 kommen nur für die dort bezeichneten Einrichtungen und nur für die dort erfassten Tätigkeiten oder Dienste in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung in Betracht. Sie können ausschließlich von den jeweils dort aufgeführten Pflichten befreien; im hier dargestellten Zusammenhang sind insbesondere die §§ 30 und 32 BSIG relevant. Ein Bescheid setzt außerdem die gesetzlichen Bedingungen voraus, darunter gleichwertige Vorgaben sowie eine anderweitig gewährleistete und beaufsichtigte Sicherheit in der Informationstechnik. Vertrauensdiensteanbieter können nach § 37 Absatz 4 nicht durch einen solchen Bescheid ausgenommen werden. Auch die Einordnung nach DSGVO oder DORA ist getrennt zu prüfen; sie folgt nicht allein aus der Bezeichnung „Sicherheitsvorfall“.
Wie wird ein Sicherheitsvorfall technisch eingeordnet?
Für die technische Erstklassifikation ist festzustellen, ob Verfügbarkeit, Integrität oder Vertraulichkeit tatsächlich beeinträchtigt wurde. Die gesetzliche Definition erfasst nicht nur böswillige Cyberangriffe. Entscheidend ist die Auswirkung auf die geschützten Daten oder Dienste, nicht die Motivation oder Herkunft des Ereignisses.
Diese Klassifikation beantwortet noch nicht, ob die zusätzliche Erheblichkeitsschwelle erreicht ist oder eine konkrete Meldepflicht besteht.
Häufige Fehlannahmen
Die folgenden Korrekturen trennen den Grundbegriff von seinen gesetzlichen Qualifikationen und Rechtsfolgen:
- „Jeder Sicherheitsvorfall muss binnen 24 Stunden gemeldet werden.“ Nein. Die Fristen des § 32 betreffen erhebliche Sicherheitsvorfälle bei erfassten Einrichtungen und gelten frühestens ab Einrichtung des Meldewegs.
- „Ein Sicherheitsvorfall setzt einen Cyberangriff voraus.“ Nein. § 2 Nummer 40 verlangt eine Beeinträchtigung der genannten Schutzziele, aber keinen Angriff.
- „Ein verhinderter möglicher Vorfall ist bereits ein Sicherheitsvorfall.“ Nicht nach der BSIG-Abgrenzung: Wurde der Eintritt erfolgreich verhindert oder trat er aus anderen Gründen nicht ein, liegt ein Beinahevorfall vor.
- „Sicherheitsvorfall und erheblicher Sicherheitsvorfall bedeuten dasselbe.“ Nein. Die Erheblichkeit verlangt zusätzlich mindestens eine Folgenalternative des § 2 Nummer 11 und steht unter dem dortigen Verordnungsvorbehalt.
- „Cyber Incident ist ein eigener BSIG-Rechtsbegriff.“ Nein. Der definierte deutsche Begriff lautet „Sicherheitsvorfall“.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Praxisempfehlungen. Soweit §§ 30 und 38 BSIG auf eine besonders wichtige oder wichtige Einrichtung anwendbar sind, bestehen daneben die dort geregelten gesetzlichen Pflichten:
- Den Einrichtungsstatus nach § 28 sowie Bereichsausnahmen, Rückausnahmen, Ausnahmebescheide und vorrangige Spezialanforderungen nachvollziehbar prüfen.
- Einen dokumentierten Prozess einrichten, der tatsächliche Beeinträchtigung, Beinahevorfall und zusätzliche Erheblichkeit getrennt bewertet.
- Vorfallbewältigung, Betriebsaufrechterhaltung, Backup-Management, Wiederherstellung und Krisenmanagement vorbereiten.
- Den Meldeweg, Verantwortlichkeiten und Eskalationen so organisieren, dass die unverzüglichen 24- und 72-Stunden-Meldungen, eine Zwischenmeldung auf Ersuchen, bei fortdauerndem Vorfall die Fortschrittsmeldung anstelle der zunächst fälligen Abschlussmeldung sowie nach abschließender Bearbeitung die Abschlussmeldung möglich sind.
- Geeignete, verhältnismäßige und wirksame Maßnahmen festlegen, überwachen und dokumentieren; dabei Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere sowie gesellschaftliche und wirtschaftliche Auswirkungen berücksichtigen.
- Die Umsetzung und Überwachung der nach § 30 erforderlichen Maßnahmen auf Leitungsebene verankern und regelmäßig Schulungen absolvieren. § 38 Absatz 3 nennt dafür keine starre Zeitspanne.
Bei § 30 sind außerdem vorrangige technische oder methodische Anforderungen aus den in dessen Absätzen 3 und 4 genannten Durchführungsrechtsakten zu beachten.
Für die Geschäftsleitung
Die zentrale Entscheidung lautet nicht nur, ob ein Sicherheitsvorfall vorliegt, sondern auch, ob er erheblich ist und ob die betroffene Einrichtung der jeweiligen Pflicht unterliegt. Der belastbare Nachweis umfasst deshalb die dokumentierte Schutzzielbeeinträchtigung, die Erheblichkeitsprüfung, den geprüften Anwendungsbereich sowie – soweit die jeweilige Pflicht anwendbar ist – eingehaltene Meldezeitpunkte und die Umsetzung und Überwachung geeigneter, verhältnismäßiger und wirksamer Risikomanagementmaßnahmen.
