|
(1) Das Bundesministerium des Innern bestimmt nach Anhörung der betroffenen
Wirtschaftsverbände im Einvernehmen mit dem Bundesministerium für Wirtschaft
und Energie durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates
bedarf, das Nähere über das Verfahren der Erteilung von
Sicherheitszertifikaten und Anerkennungen nach § 52 und deren Inhalt.
(2) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die
nicht der Zustimmung des Bundesrates bedarf, nach Anhörung der betroffenen
Wirtschaftsverbände im Einvernehmen mit dem Bundesministerium für Wirtschaft
und Energie und dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz
und nukleare Sicherheit die Einzelheiten der Gestaltung, des Inhalts und der
Verwendung des IT-Sicherheitskennzeichens nach § 55, um eine einheitliche
Gestaltung des Kennzeichens und eine eindeutige Erkennbarkeit der
gekennzeichneten informationstechnischen Produkte zu gewährleisten, sowie
die Einzelheiten des Verfahrens zur Feststellung der Eignung
branchenabgestimmter IT-Sicherheitsvorgaben und des Antragsverfahrens auf
Freigabe einschließlich der diesbezüglichen Fristen und der beizufügenden
Unterlagen sowie das Verfahren und die Gestaltung des Verweises auf
Sicherheitsinformationen.
(3) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die
nicht der Zustimmung des Bundesrates bedarf, im Einvernehmen mit dem
Bundesministerium für Wirtschaft und Energie, dem Bundesministerium der
Finanzen, dem Bundesministerium der Justiz und für Verbraucherschutz, dem
Bundesministerium für Arbeit und Soziales, dem Bundesministerium der
Verteidigung, dem Bundesministerium für Landwirtschaft, Ernährung und
Heimat, dem Bundesministerium für Gesundheit, dem Bundesministerium für
Verkehr, dem Bundesministerium für Forschung, Technologie und Raumfahrt, dem
Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare
Sicherheit und dem Bundesministerium für Digitales und Staatsmodernisierung
welche durch eine besonders wichtige Einrichtung oder eine wichtige
Einrichtung eingesetzten Produkte, Dienste oder Prozesse gemäß § 30 Absatz 6
über eine Cybersicherheitszertifizierung verfügen müssen, da sie für die
Erbringung der Dienste der Einrichtung maßgeblich sind und Art und Ausmaß
der Risikoexposition der Einrichtung einen verpflichtenden Einsatz von
zertifizierten Produkten, Diensten oder Prozessen in diesem Bereich
erforderlich machen.
(4) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die
nicht der Zustimmung des Bundesrates bedarf, im Einvernehmen mit dem
Bundesministerium für Wirtschaft und Energie, dem Bundesministerium der
Finanzen, dem Bundesministerium der Justiz und für Verbraucherschutz, dem
Bundesministerium für Arbeit und Soziales, dem Bundesministerium der
Verteidigung, dem Bundesministerium für Landwirtschaft, Ernährung und
Heimat, dem Bundesministerium für Gesundheit, dem Bundesministerium für
Verkehr, dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und
nukleare Sicherheit, dem Bundesministerium für Forschung, Technologie und
Raumfahrt und dem Bundesministerium für Digitales und Staatsmodernisierung
unter Festlegung der in § 2 Nummer 24 genannten Sektoren wegen ihrer
Bedeutung als kritisch anzusehenden Dienstleistungen und deren als bedeutend
anzusehenden Versorgungsgrads, welche Anlagen als kritische Anlagen im Sinne
dieses Gesetzes gelten. Der als bedeutend anzusehende Versorgungsgrad ist
anhand branchenspezifischer Schwellenwerte für jede als kritisch anzusehende
Dienstleistung zu bestimmen. Zugang zu Akten, die die Erstellung oder
Änderung dieser Verordnung betreffen, wird nicht gewährt.
(5) Das Bundesministerium des Innern kann im Einvernehmen mit dem
Bundesministerium für Wirtschaft und Energie und im Benehmen mit dem
Bundesministerium der Justiz und für Verbraucherschutz, dem
Bundesministerium der Finanzen, dem Bundesministerium für Arbeit und
Soziales, dem Bundesministerium für Landwirtschaft, Ernährung und Heimat,
dem Bundesministerium für Gesundheit, dem Bundesministerium für Verkehr, dem
Bundesministerium der Verteidigung, dem Bundesministerium für Umwelt,
Klimaschutz, Naturschutz und nukleare Sicherheit, dem Bundesministerium für
Forschung, Technologie und Raumfahrt und dem Bundesministerium für Digitales
und Staatsmodernisierung durch Rechtsverordnung, die nicht der Zustimmung
des Bundesrates bedarf, bestimmen, wann ein Sicherheitsvorfall im Hinblick
auf seine technischen oder organisatorischen Ursachen oder im Hinblick auf
seine Auswirkungen auf die Einrichtung, den Staat, die Wirtschaft oder die
Anzahl der von den Auswirkungen Betroffenen als erheblich im Sinne von § 2
Nummer 11 anzusehen ist. Das Bundesministerium kann diese Ermächtigung durch
Rechtsverordnung auf das Bundesamt übertragen. Etwaige
Durchführungsrechtsakte der Europäischen Kommission gemäß Artikel 23 Absatz
11 Unterabsatz 2 der NIS-2-Richtlinie, die die Voraussetzungen eines
erheblichen Sicherheitsvorfalls bestimmen, gehen der Rechtsverordnung nach
den Sätzen 1 und 2 insoweit vor.
(6) Das Bundesministerium des Innern kann durch Rechtsverordnung, die nicht
der Zustimmung des Bundesrates bedarf, im Einvernehmen mit dem
Bundesministerium für Gesundheit bestimmen, dass das Bundesamt gegenüber
zugelassenen Krankenhäusern nach § 108 des Fünften Buches Sozialgesetzbuch
zu einem früheren als dem in § 61 Absatz 3 Satz 5 genannten Zeitpunkt die
Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in § 61
Absatz 1 genannten Verpflichtungen anordnen kann.
(7) Das Bundesministerium des Innern kann durch Rechtsverordnungen, die nicht
der Zustimmung des Bundesrates bedürfen, für jeweils einen der in § 2 Nummer
24 aufgeführten Sektoren im Einvernehmen mit dem in § 41 Absatz 1 für den
jeweiligen Sektor genannten Bundesministerium kritische Komponenten im Sinne
des § 2 Nummer 23 bestimmen. In der Rechtsverordnung kann eine Komponente
als kritische Komponente bestimmt werden, wenn
- 1.
-
es sich bei der Komponente um ein IKT-Produkt handelt,
- 2.
-
die Komponente in kritischen Anlagen eingesetzt wird,
- 3.
-
die Komponente eine kritische Funktion realisiert und
- 4.
-
eine Störung der Verfügbarkeit, Integrität, Authentizität oder
Vertraulichkeit der Komponente zu einer Beeinträchtigung der
Funktionsfähigkeit kritischer Anlagen oder zu anderen Beeinträchtigungen der
öffentlichen Ordnung oder Sicherheit führen könnte.
(8) Die in § 41 Absatz 1 genannten Bundesministerien können dem
Bundesministerium des Innern einen Vorschlag für den Erlass einer
Rechtsverordnung im Sinne des Absatzes 7 vorlegen. Das Vorschlagsrecht
betrifft nur den Sektor im Sinne des § 2 Nummer 24, für den das jeweilige
Bundesministerium in § 41 Absatz 1 genannt wird.
|