Bußgelder in KRITIS

• Betreiber kritischer Anlagen: Nachweise über Erfüllung der Anforderungen werden nicht richtig oder nicht vollständig erbracht. §39 (1) Satz 1 i.V.m. VO nach §58 (4) Satz 1
• Betreiber kritischer Anlagen: Nachweise über Erfüllung der Anforderungen werden nicht erbracht. §39 (1) Satz 1 i.V.m. VO nach §58 (4) Satz 1
• besonders wichtige Einrichtungen: Vorkehrungen zur Cybersicherheit nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig getroffen. §30 (1) i.V.m. § VO nach 58 (4) Satz 1
  wenn Umsatz größer 500 Mio. Euro: Bußgeldhöhe 2% vom weltweiten Umsatz
• besonders wichtige Einrichtungen: Meldungen werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. §32 (1)
  wenn Umsatz größer 500 Mio. Euro: Bußgeldhöhe 2% vom weltweiten Umsatz

• wichtige Einrichtungen: Vorkehrungen zur Cybersicherheit nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig getroffen. §30 (1) i.V.m. § VO nach 58 (4) Satz 1
  wenn Umsatz größer 500 Mio. Euro: Bußgeldhöhe 1,4% vom weltweiten Umsatz
• wichtige Einrichtungen: Meldungen werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. §32 (1)
  wenn Umsatz größer 500 Mio. Euro: Bußgeldhöhe 1,4% vom weltweiten Umsatz

• Hersteller von IT-Systemen: durch das BSI angewiesene Mitwirkung an der Wieder­herstellung der Sicherheit oder Funktionsfähigkeit eines IT-Systems wird verweigert. §11 (6)
• TK-Anbieter: durch das BSI angewiesene Maßnahmen zur Abwehr konkreter erheblicher Gefahren werden nicht getroffen. §16 (1) 1 auch i.V.m. §16 (3)
• TMD-Anbieter: durch das BSI angewiesene Maßnahmen zur Abwehr konkreter erheblicher Gefahren werden nicht getroffen. §17
• Betreiber kritischer Anlagen: ein geeigneter Nachweises über die erfolgte Mängelbeseitigung wird nicht vorgelegt. §39 (1) Satz 6
  

Hinweis: Anwendung von §30 (2) 3 OWiG

• Hersteller von IT-Systemen: durch das BSI angewiesene Mitwirkung an der Beseitigung oder Vermeidung von erheblichen Sicherheitsvorfällen bei betroffenen IKT-Produkten wird verweigert. §18
• besonders wichtige und wichtige Einrichtungen: durch das BSI angewiesene erforderliche Maßnahmen zur Verhütung oder Behebung eines Sicherheitsvorfalls oder Mangels oder die Berichterstattung darüber werden verweigert. §65 (6) Satz 1-2 oder i.V.m. §66
• besonders wichtige und wichtige Einrichtungen: ein durch das BSI geforderter Nachweis wird nicht oder nicht rechtzeitig erbracht. §65 (3) Satz 1 oder i.V.m. §66
• Angabe oder Änderung bei Registrierung wird nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. §33 (1) oder (2) i.V.m. VO nach §58 (4) Satz 1, oder §34 (1)
• Das BSI wird über Änderungen an Registrierungsdaten nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterichtet. §34 (2)
• Betreiber kritischer Anlagen: Nachweise über Erfüllung der Anforderungen werden nicht rechtzeitig erbracht. §39 (1) Satz 1 i.V.m. VO nach §58 (4) Satz 1
• Ein Nachweis ggü. dem BSI über eine vollständige Datenbank wird nicht erbracht. §51 (1)
• Auf Anträge wird nicht oder nicht rechtzeitig geantwortet oder der Zugang nicht gewährt. §52 Satz 1
• Erforderliche Angaben werden nicht öffentlich gemacht. §51 (3)(4), §52 (2) Satz 1
• Vorgabe, Inhaber einer Sicherheits- oder Personenzertifizierung oder einer Zertifizierung als IT-Sicherheitsdienstleister zu sein, ohne dass diese besteht. §54 (2)
• Vorgabe, Aussteller einer Konformitätserklärung zu sein, obwohl diese nicht besteht, widerrufen oder für ungültig erklärt wurde. §55 (1)
• Tätigwerden als Konformitätsbewertungsstelle ohne Erlaubnis. §55 (3) Satz 2
• Vorsätzlicher oder fahrlässiger Verstoß gegen die Verordnung (EU) 2019/881 über die ENISA und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik: eine Angabe wird nicht, nicht richtig, nicht vollständig oder nicht binnen eines Monats nach Ausstellung zugänglich gemacht oder eine Information wird nicht, nicht richtig, nicht vollständig oder nicht unverzüglich nach Feststellung einer Schwachstelle oder Unregelmäßigkeit gegeben oder Vorgabe, Inhaber eines europäischen Cybersicherheitszertifikats oder Aussteller einer EU-Konformitätserklärung zu sein, obwohl diese nicht besteht, widerrufen oder für ungültig erklärt wurde.

• Zuwiderhandlung durch Hersteller gegen Anordnung zur Auskunft zu Produkten und Sytemen, insb. auch technischen Details. §14 (2) Satz 1
• Zuwiderhandlung gegen Anordnung zur Unterrichtung von Kunden und Einsetzung eines Überwachungs­beauftragen. §64 (8) oder i.V.m. §66
• Zuwiderhandlung gegen Anordnung nach §40 (4) Satz 1
  Ggf. ein Fehler im Entwurf – vermutlich ist §40 (5) gemeint: "durch das BSI zur Bewältigung einer Störung verlangte notwendige Informationen inkl. personenbezogenen Daten nicht herausgegeben".
• besonders wichtige und wichtige Einrichtungen: Zuwiderhandlung gegen Anordnung zur Umsetzung von im Rahmen einer Sicherheitsprüfung formulierten Empfehlungen. §65 (7) Satz 2 oder i.V.m. §66
• Kontaktstelle ist nicht erreichbar. §33 (2) Satz 2
• Tätigwerden als Konformitätsbewertungsstelle ohne Erlaubnis. §56 (2) Satz 2
• Betreiber kritischer Anlagen: Fahrlässig einen Nachweis nicht richtig oder nicht vollständig erbringen. §39 (1) Satz 1