Bundesamt für Sicherheit in der Informationstechnik

Fragen und Antworten zur BSI-Kritisverordnung

Meine Anlage liegt über den in der BSI-KritisV genannten Schwellenwerten. Die Anlage versorgt aber nachweislich keine 500.000 Personen, liegt also unter dem sogenannten Regelschwellenwert. Ist die Anlage dann eine Kritische Infrastruktur? Was ist mit dem umgekehrten Fall?

Ihre Anlage gilt dann als Kritische Infrastruktur, wenn sie den Schwellenwert erreicht oder übersteigt, der sich aus der BSI-KritisV für die jeweilige Anlagenkategorie ergibt. Die Regelschwelle von 500.000 ist lediglich eine Orientierungsgröße, die nicht zur konkreten Bemessung heranzuziehen ist.

Neben dem Zeitpunkt der tatsächlich erbrachten Leistung, Produktion, etc., gibt es abweichend vertraglich oder anderweitig festgelegte Zeitpunkte, an denen meine Leistung, Produktion, etc. zu verbuchen oder zu berechnen ist. Welches ist der ausschlaggebende Zeitpunkt für die Bemessung der Schwellenwerte?

Zur Bemessung der Schwellenwerte ist das Kalenderjahr, in dem die Leistung, Produktion, tatsächlich erbracht wird. Buchhalterische oder etwa schuldrechtliche Gesichtspunkte sind nicht zu berücksichtigen.

Ist ein Standort oder ein Betriebsstandort eine Anlage?

Die BSI-KritisV identifiziert Anlagen als Kritische Infrastrukturen im Sinne des BSIG , keine Standorte. Der Betriebstandort kann indes ein tatsächliches Kriterium bei der Bewertung sein, ob es sich um eine sog. gemeinsame Anlage i.S. der BSI-KritisV handelt. Daraus folgt aber nicht, dass ein Betriebsstandort in Gänze als Kritische Infrastruktur i.S.d. BSI-KritisV gilt. Maßgeblich sind insoweit ausschließlich die in den Anhängen benannten Voraussetzungen für das Vorliegen einer gemeinsamen Anlage.

Sind ein Konzern, ein Unternehmen, ein Betrieb oder ein Standort als Kritische Infrastruktur im Sinne des BSIG einzustufen, wenn die betriebenen Anlagen zusammen über den Schwellenwert kommen?

Die Schwellenwerte der BSI-KritisV gelten jeweils pro Anlage (strikter Anlagenbezug). Konzerne, Unternehmen, Betriebe oder Standorte selbst sind keine Kritischen Infrastrukturen. D.h., wenn keine Anlage im Einzelnen den Schwellenwert überschreitet, liegt auch keine Kritische Infrastruktur vor. Eine Ausnahme bildet die sogenannte „gemeinsame Anlage“, die für jeden Sektor im entsprechenden Anhang der BSI-KritisV definiert ist.

Was ist mit "gemeinsamer Leitung" im Zusammenhang mit der Feststellung, ob eine gemeinsame Anlage vorliegt, gemeint?

Der Begriff der gemeinsamen Leitung bezieht sich nicht auf physikalische Steuer- oder Leiteinrichtungen, sondern gewährleistet, dass zwei Anlagen nur dann als gemeinsame Anlage gelten, wenn diese einem Betreiber unterstehen (Grundsatz der Betreiberidentität). Die Voraussetzung ist unproblematisch gegeben, wenn die Anlage von einer (natürlichen oder juristischen) Person betrieben wird. Ein gemeinsames Management, das beide Anlagen führt, spricht somit für eine gemeinsame Leitung im Sinne der Verordnung. Die Voraussetzung ist aber auch dann gegeben, wenn mehrere Anlagen unterschiedlichen juristischen Personen zuzurechnen sind, diese aber in einem konzernrechtlichen Abhängigkeitsverhältnis zueinander stehen.

Wenn einzelne Anlagen Kritische Infrastrukturen im Sinne der BSI-KritisV sind, welche Teile des Unternehmens fallen dann unter die Verpflichtungen, die sich aus dem BSIG ergeben?

Betroffen sind all diejenigen IT-Systeme, die unmittelbar für die Funktionsfähigkeit der jeweiligen Anlagen notwendig sind. Welche einzelnen Bereiche eines Unternehmens davon betroffen sind, ist eine Frage der individuellen Bewertung durch den Betreiber.

Ein Teil der Produktion einer Anlage wird in das Ausland verkauft, bzw. befindet sich bereits direkt im Besitz einer ausländischen Gesellschaft. Können erzeugte, produzierte oder verarbeitete Mengen, die nachweislich in das Ausland verkauft werden, aus der Berechnung der jeweiligen Jahresumschlagmengen herausgerechnet werden?

In der Bundesrepublik Deutschland produzierte Mengen, die in das Ausland versendet werden, bzw. im Eigentum einer ausländischen Gesellschaft sind, müssen mitberücksichtigt werden. Sie dürfen nicht aus den Jahresumschlagmengen herausgerechnet werden.

Bei der Gewinnung, Produktion oder Verarbeitung von Lebensmitteln werden Stoffe gewonnen, produziert oder verarbeitet, die sowohl als Lebensmittel weiterverwertet werden, wie auch als Futtermittel. Können Mengen, die als Futtermittel weiterverwertet werden bei der Berechnung des Schwellenwerts herausgerechnet werden?

Futtermittel sind nicht von der BSI-KritisV umfasst. Mengen, die nachweislich als Futtermittel weiterverarbeitet werden, dürfen bei der Berechnung des Schwellenwerts unberücksichtigt bleiben.

Wie wird die relevante Anzahl der vollstationären Fälle ermittelt/berechnet?

Die BSI-Kristisverordnung verweist im Hinblick auf die Anlagenkategorie "Krankenhaus" auf § 108 SGB V. Anknüpfungspunkt für die Identifikation des Standortes und der Betriebsstätten eines Krankenhauses im Sinne der Verordnung ist damit die (Landes-)Krankenhausplanung. Die BSI-Kritisverordnung definiert die Anlagenkategorie „Krankenhaus“ als „Standort oder Betriebsstätte eines nach § 108 des Fünften Sozialgesetzbuches […] zugelassenen Krankenhauses [...]“ (s. Anhang 5, Teil 1 Nr. 1a BSI-KritisV). Die Definition beinhaltet also zwei alternative Tatbestände:

1. „Ein Krankenhaus ist der Standort eines nach § 108 […] zugelassenen Krankenhauses.“ und

2. „Ein Krankenhaus sind die Betriebsstätten (und zwar alle) eines nach § 108 […] zugelassenen Krankenhauses.“.

Im Falle von Nummer 2 sind alle Betriebsstätten, die im Sinne des (jeweiligen) Landeskrankenhausplans als ein Krankenhaus behandelt werden (Feststellungsbescheid), in Anwendung der Verordnung als eine Anlage zu betrachten. In diesem Fall sind die vollstationären Fälle der einzelnen Betriebsstätten zu summieren. Diese Berechnungsbasis steht dabei in keinem weiteren Zusammenhang mit den IK-Nummern. Bitte prüfen Sie auf dieser Basis die Anzahl der ggf. zu kumulierenden, stationären Fälle.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK