Unternehmen besonderen öffentlichen Interesse

Gesetzgebung

Die Unternehmen im besonderen öffentlichen Interesse waren im IT-Sicherheitsgesetz 2021 in drei Gruppen definiert. Der Gesetzgeber will Unternehmen schützen, die keine KRITIS-Betreiber, aber für die IT-Sicherheit in Deutschland besonders schützenswürdig sind. Die Bedeutung war im Vergleich zu KRITIS deutlich abgestuft.

Die Begründung für die Aufnahme der UBI in das IT-Sicherheitsgesetz ist in der Bundes­tagsfassung (1926106) ausführlicher beschrieben, zu den Herstellern von Rüstung und VS-IT heisst es, dass ein Ausfall der Herstellungs- und Entwicklungs­tätigkeiten [...] wesentliche Sicherheits­interessen der Bundesrepublik Deutsch­land gefährden könnte.

Bei den größten Unternehmen nach inländischer Wertschöpfung hätte ein Ausfall oder Störung gesamtgesellschaftliche Bedeutung, wenn diese ihrer Geschäftstätigkeit für einen längeren Zeitraum nicht nachgehen können. Dabei wird auf das Haupt­gutachten der Monopol­kommission verwiesen, an dem sich Schwellenwerte und Methodik orientieren sollen.

Die Betreiber von Betriebsbereichen der oberen Klassen werden nicht weiter begründet.

Die grundlegenden Definitionen der UBI wurden im IT-Sicherheitsgesetz 2.0 von Mai 2021 vorgenommen. In der Rechtsverordnung KritisV 2021 sind die UBI-Details noch offen. In der deutschen Umsetzung von EU NIS2 werden die UBI in die neue Gruppe(n) der besonders wichtigen und wichtigen Einrichtungen integriert und fallen als eigene Gruppe weg.

Rechtsfolgen

UBI unterlagen ab 2021 im IT-Sicherheitsgesetz 2.0 eigenen UBI-Pflichten, die sich mit der NIS2-Umsetzung ab 2024 wieder deutlich ändern. Die (ehemaligen) UBI-Pflichten umfassten:

• Identifikation und Registrierung: Unternehmen müssen sich identifizieren und registrieren.
• Selbsterklärung IT-Sicherheit: Unternehmen müssen dem BSI eine Erklärung über die IT-Sicherheit zu Zertifizierungen, Sicherheitsaudits und Sicherheitsmaßnahmen vorlegen.
• Vorfallsmeldungen: Unternehmen müssen bestimmte Störungen an das BSI melden.

Rüstung und VS-IT

UBI 1

Die erste Gruppe von UBI umfasst nach §2 (14) 1 BSIG Rüstungsfirmen und Komponenten­hersteller, deren Ausfall wesentliche Sicherheits­interessen der Bundesrepublik Deutschland gefährden würde.

Mit der NIS2-Umsetzung werden die UBI als eigene Gruppe und Pflichten aufgehoben und gehen in NIS2-Sektoren auf, die UBI 1 größtenteils im Sektor verarbeitendes Gewerbe.

Änderungen in NIS2

Firmen sind von NIS2 im verarbeitenden Gewerbe betroffen, wenn sie Unternehmens­größen überschreiten und bestimmte Güter nach NACE produzieren. In der Rüstung könnten Produzenten der folgenden Güter von NIS2 betroffen sein, u.a.:

• NACE C 26: Optik, Kommunikation, Elektronik, Radar, GPS, Antennen
• NACE C 27: Elektrik, Schaltungen
• NACE C 30.3: Luft- und Raumfahrzeugbau, Hubschrauber, Flugzeuge, Teile, Raketen, Bodengeräte
• NACE C 30.4: Militärische Kampffahrzeuge, Panzer, Amphibien- und sonstige Fahrzeuge
• und mehr

Produzierte Güter

Betroffen von UB1 waren Unternehmen, die Rüstung und IT für Verschlusssachen (VS-IT) nach §60 (1) 1 und 3 AWV entwickeln und produzieren:

Wertschöpfung und Zulieferer

UBI 2

Die zweite UBI Gruppe waren Unternehmen von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland — Großkonzerne und Industrie. Zusätzlich gehörten auch Zulieferer in diese Gruppe, falls sie von wesentlicher Bedeutung für UBI 2 Unternehmen sind.

Die Kennzahlen, Schwellenwerte und Methodik für UBI 2 Wertschöpfung und die Merkmale der Gruppe Zulieferer wurden nie genau definiert.

Mit der NIS2-Umsetzung werden die UBI als eigene Gruppe und Pflichten aufgehoben und gehen in NIS2-Sektoren auf, die UBI 1 größtenteils im Sektor verarbeitendes Gewerbe.

Änderungen in NIS2

Firmen sind von NIS2 betroffen, wenn sie als Einrichtung bestimmte Größen überschreiten (mit Mitarbeitern oder Umsatz) und dabei in NIS2-Sektoren tätig sind. Dies betrifft einen Großteil der deutschen Wirtschaft – der Gesetzgeber geht von 30 Tsd. betroffenen Unternehmen aus, wozu sehr viele Großkonzerne gehören werden.

Gefahrstoffe und Chemie

UBI 3

Betreiber von Betriebsbereichen der oberen Klasse im Sinne der Störfall-Verordnung sind UBI 3. Dies sind (waren) Unternehmen die in Betriebsbereichen gefährliche Stoffe produzieren, verarbeiten und lagern — Chemie-Konzerne, produzierende Unternehmen, Lager und Speicher.

Das Kriterium war ein eigener Betriebsbereich der oberen Klasse mit gefährlichen Stoffen im Sinne der Störfall-Verordnung. Die Schwellenwerte und Kategorien ergeben sich aus Spalte 5 der Stoffliste in Anhang I BImSchV.

Mit der NIS2-Umsetzung werden die UBI als eigene Gruppe und Pflichten aufgehoben und gehen in NIS2-Sektoren auf, die UBI 3 größtenteils im Sektor Chemie.

Änderungen in NIS2

Firmen sind von NIS2 in der Chemie betroffen, wenn sie Unternehmensgrößen überschreiten und bestimmte Güter produzieren oder handeln:

• Hersteller und Händler von chemischen Stoffen Art. 3 Nr. 9, 14 Verordnung (EG) 1907/2006
• Produzenten von chemischen Erzeugnissen im Sinne Art. 3 Nr. 3 Verordnung (EG) 1907/2006

Literatur

1. Unternehmen im besonderen öffentlichen Interesse - FAQ UBI Bundesamt für Sicherheit in der Informationstechnik, 2022
2. Hauptgutachten XXIII: Wettbewerb 2020, Hauptgutachten gemäß § 44 Abs. 1 Satz 1 GWB, Monopolkommission, 29. Juli 2020
3. Die nach inländischer Wertschöpfung 100 größten Unternehmen im Berichtsjahr (XLS), Tabelle II.1 aus Kapitel II Hauptgutachten, Monopolkommission, 29. Juli 2020, Excel
4. Schutz kritischer Infrastrukturen: Erneuerte KRITIS-Verordnung gilt ab 2022, heise online News 08/2021
5. Webinar Unternehmen im besonderen öffentlichen Interesse (UBI) der Kategorie 1 (AWV-UBI), 9. Cyber-Sicherheits-Web-Talk, Allianz für Cybersicherheit, 2022

Quellen

1. BSI-Kritisverordnung, vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 1 der Verordnung vom 6. September 2021 (BGBl. I S. 4163) geändert worden ist
2. Zweites Gesetz zur Erhöhung der Sicherheit informations­technischer Systeme, IT-Sicherheits­gesetz 2.0, Bundesgesetzblatt, 2021 Nr. 25, 27. Mai 2021
3. Anlage 1: Entwurf einer zweiten Verordnung zur Änderung der BSI-Kritisverordnung mit Vorblatt und Begründung, Intrapol.org, 26.4.2021
4. Entwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme vom 25.01.2021 (IT-Sicherheitsgesetz 2.0), Gesetzentwurf der Bundesregierung, Drucksache 19/26106
5. Außenwirtschaftsverordnung (AWV) vom 2. August 2013 (BGBl. I S. 2865), die zuletzt durch Artikel 1 der Verordnung vom 26. Oktober 2020 (BAnz AT 28.10.2020 V1) geändert worden ist
6. Teil I Abschnitt A der Ausfuhrliste, Bundesministerium für Wirtschaft und Energie, 8.7.2015
7. Störfall-Verordnung - 12. BImSchV vom 15. März 2017 (BGBl. I S. 483), die zuletzt durch Artikel 107 der Verordnung vom 19. Juni 2020 (BGBl. I S. 1328) geändert worden ist
8. Anhang I Mengenschwellen Störfall-Verordnung - 12. BImSchV, BGBl. I 2017, 494-500