Anhang 6 - BSI-Kritisverordnung (BSI-KritisV)

V. v. 22.04.2016 BGBl. I S. 958 (Nr. 20); zuletzt geändert durch Artikel 1 V. v. 29.11.2023 BGBl. 2023 I Nr. 339
Geltung ab 03.05.2016; FNA: 206-2-2 Öffentliche Informationstechnik

Anhang 6 (zu § 1 Nummer 4 und 5, § 7 Absatz 7 Nummer 1 und 2) Anlagenkategorien und Schwellenwerte im Sektor Finanz- und Versicherungswesen

Teil 1 Grundsätze und Fristen

1. Im Sinne von Anhang 6 ist oder sind

1.1 Autorisierungssystem

ein System, mit dem ein angefragter Transaktionsbetrag bei Transaktionen aus Geldautomatensystemen oder aus dem kartengestützten Zahlungsverkehr nach Prüfung der Kartendaten durch das kontoführende Institut oder den Zahlungsdienstleister genehmigt oder abgelehnt wird.

1.2 System zur Anbindung an ein Autorisierungssystem aus Sicht des Geldautomatenbetreibers

ein System, das der Anbindung des Geldautomatenbetreibers an ein Autorisierungssystem des kontoführenden Instituts dient.

1.3 System zur Aufbereitung durch den Geldautomatenbetreiber

ein System eines Geldautomatenbetreibers, welches Nachrichten oder Transaktionen aus Geldautomatensystemen verarbeitet, um die Transaktion in den Zahlungsverkehr einzubringen.

1.4 System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem

ein System, das den Zahlungsdienstleister an die Interbanken-Zahlungsverkehrssysteme anbindet.

1.5 Clearing-System

ein System, das im Interbankenverkehr die Transaktionsdaten (Clearing-Daten) an das kontoführende Institut weiterleitet.

1.6 Settlement-System

ein System zur Verrechnung von Beträgen zwischen den partizipierenden Instituten.

1.7 Kontoführungssystem

ein System des Zahlungsdienstleisters des Zahlers oder des Zahlungsdienstleisters des Zahlungsempfängers zur elektronischen Führung und Verwaltung der Konten.

1.8 Cash Center

Einrichtungen von Wertdienstleistern, in denen Bargeld geprüft, gezählt, sortiert, gelagert oder wieder ausgegeben wird.

1.9 IT-System für das Cash Management

ein System des Wertdienstleisters zur Berichterstattung, zur Bestellung von Bargeld und zum Cash Management des Wertdienstleisters.

1.10 System zur Anbindung an ein Autorisierungssystem aus Sicht des Terminalbetreibers

ein System, das der Anbindung des Terminalbetreibers (zum Beispiel des Netzbetreibers) an ein Autorisierungssystem dient oder Transaktionen zum zuständigen Autorisierungssystem weiterleitet.

1.11 System zur Aufbereitung durch den POS-Terminalbetreiber

ein System eines Netzbetreibers oder POS-Terminalbetreibers, welches Nachrichten oder Transaktionen von POS-Terminals verarbeitet, um Transaktionen in den Zahlungsverkehr einzubringen.

1.12 System zur Annahme der POS-Transaktionsdaten beim Zahlungsdienstleister des Zahlungsempfängers

ein System, das Transaktionen von einem Acquirer annimmt.

1.13 System zur Annahme einer Überweisung oder Lastschrift

ein System, mit dem Überweisungsaufträge oder Aufträge zum Einzug von Lastschriften durch den Zahlungsdienstleister des Zahlers oder des Zahlungsempfängers als kontoführendes Institut angenommen und verarbeitet werden. Hiervon umfasst sind auch Überweisungsaufträge, die über einen Zahlungsauslösedienstleister im Sinne von Artikel 4 Nummer 18 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 eingereicht werden.

1.14 System einer Clearingstelle oder einer zentralen Gegenpartei zur Verrechnung von Wertpapier- und Derivatgeschäften

ein System der Clearingstelle oder einer zentralen Gegenpartei gemäß § 1 Absatz 31 des Kreditwesengesetzes.

1.15 System zur Anbindung für die Verrechnung und Verbuchung von Wertpapier- und Derivatgeschäften

ein System, das der Anbindung eines Teilnehmers oder einer Handelsplattform zu einer Clearingstelle oder zentralen Gegenpartei sowie von einer Clearingstelle oder zentralen Gegenpartei zu einer Verbuchungsstelle dient.

1.16 Wertpapier-Settlement-System

ein Wertpapierliefer- und -abrechnungssystem gemäß Artikel 2 Absatz 1 Nummer 10 der Verordnung (EU) Nr. 909/2014.

1.17 Depotführungssystem eines Finanzmarktinfrastrukturbetreibers

ein System eines Finanzmarktinfrastrukturbetreibers, das zur Prüfung des Depotbestands und für Transaktionen von Depots genutzt wird.

1.18 System eines Zentralverwahrers

ein System eines Zentralverwahrers gemäß Artikel 2 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 909/2014.

1.19 System zur Aufbereitung von Zahlungsanweisungen

ein System eines Finanzmarktbetreibers, welches Wertpapier- oder Derivattransaktionen mittelbar oder unmittelbar verarbeitet, um die Transaktionen in den Zahlungsverkehr einzubringen.

1.20 System für das Erzeugen und Weiterleiten von Aufträgen zum Handel von Wertpapieren und Derivaten an einen Handelsplatz

ein System, in dem Kundenaufträge zum Handel von Wertpapieren und Derivaten entgegengenommen, aufbereitet und an Handelsplätze weitergeleitet werden.

1.21 System eines Handelsplatzes

System eines Handelsplatzes im Sinne des Artikels 4 Nummer 24 der Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014.

1.22 Sonstiges Depotführungssystem

ein System, das zur Prüfung des Depotbestands und für Transaktionen von Depots genutzt wird und nicht zur unmittelbaren Infrastruktur eines Zentralverwahrers in der Rolle eines Finanzmarktinfrastrukturbetreibers gehört.

1.23 Vertragsverwaltungssystem

ein System zur Speicherung und Verarbeitung von Informationen zum Versicherungsvertragsverhältnis eines Lebensversicherers, einer privaten Krankenversicherung oder einer Kompositversicherung.

1.24 Leistungssystem

ein System zur Bearbeitung von Leistungen im Bereich Lebensversicherung und privater Krankenversicherung oder ein integriertes Anwendungssystem zur Erfassung, Prüfung und Berechnung von sozialversicherungsrechtlichen Entgeltersatzleistungen der gesetzliche Unfall- und Arbeitslosenversicherung, der gesetzlichen Rentenversicherung oder ein IT-System der Bundesagentur für Arbeit zur Erfassung, Speicherung, Berechnung und Bewilligung von Leistungen der Grundsicherung für Arbeitsuchende zur Sicherung des Lebensunterhalts nach dem Zweiten Buch Sozialgesetzbuch.

1.25 Schadensystem (Komposit)

ein System zur Bearbeitung von Schäden im Bereich der Schaden- und Unfallversicherungen.

1.26 Auszahlungssystem

ein System zur Auszahlung der Entschädigung, Versicherungsleistung oder Leistungen der Sozialversicherung oder ein IT-System der Bundesagentur für Arbeit zur Auszahlung von Leistungen der Grundsicherung für Arbeitsuchende zur Sicherung des Lebensunterhaltes nach dem Zweiten Buch Sozialgesetzbuch an den Zahlungsempfänger.

1.27 Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung

ein integriertes Anwendungssystem im Bereich der gesetzlichen Kranken- und Pflegeversicherung.

2. Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur. Nicht mehr als Kritische Infrastruktur gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.

3. Abweichend von Nummer 1 gilt eine Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 5.1.3, 5.1.7 oder 5.1.11 zuzuordnen ist, ab dem 1. April des Kalenderjahres, das auf die drei Kalenderjahre folgt, deren durchschnittlicher Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur.

4. Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.

5. Bei der Ermittlung des Versorgungsgrades einer Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 5.1.1, 5.1.4 oder 5.1.8 zuzuordnen ist, sind nur ablaufende Verträge mit Auszahlung der Versicherungsleistung zu berücksichtigen. Ungeachtet der Auszahlungsweise ist jeder Leistungsfall nur einmalig, bei wiederkehrenden Auszahlungen nur bei der erstmaligen Leistungsbearbeitung zu berücksichtigen.

6. Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als Kritische Infrastruktur. Ein enger betrieblicher Zusammenhang ist gegeben, wenn die Anlagen

a) mit gemeinsamen Betriebseinrichtungen verbunden sind,

b) einem identischen technischen Zweck dienen und

c) unter gemeinsamer Leitung stehen.

Teil 2 Berechnungsformeln zur Ermittlung der Schwellenwerte

7. Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 und 1.3.1 genannte Schwellenwert ist unter Annahme von 30 Transaktionen mit im Inland ausgegebenen Karten an Terminals (Geldautomaten) in- und ausländischer Zahlungsdienstleister pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

15.000.000 Transaktionen/Jahr = 30 Transaktionen/Jahr x 500.000

8. Der für die Anlagenkategorie des Teils 3 Nummer 1.4 genannte Schwellenwert ist unter der Annahme von 187 im Cash-Center bearbeiteten Banknoten zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

93.500.000 Banknoten/Jahr = 187 Banknoten/Jahr x 500.000

9. Der für die Anlagenkategorien des Teils 3 Nummer 1.2.2 bis 1.2.4 und 2.2.3 bis 2.2.5 genannte Schwellenwert ist unter Annahme von 36 Transaktionen als Mittelwert mit im Inland ausgegebenen Karten an POS-Terminals und Geldautomaten in- und ausländischer Zahlungsdienstleister pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

18.000.000 Transaktionen/Jahr = 36 Transaktionen/Jahr x 500.000

10. Der für die Anlagenkategorien des Teils 3 Nummer 2.1.1 bis 2.2.2 und 2.3.1 genannte Schwellenwert ist unter Annahme von 43 Transaktionen mit im Inland ausgegebenen Karten an Terminals (POS) in- und ausländischer Zahlungsdienstleister und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

21.500.000 Transaktionen/Jahr = 43 Transaktionen/Jahr x 500.000

11. Der für die Anlagenkategorien des Teils 3 Nummer 3 genannte Schwellenwert ist unter Annahme von 200 Transaktionen bei Überweisungen und Lastschriften pro versorgter Person und pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

100.000.000 Transaktionen/Jahr = 200 Transaktionen/Jahr x 500.000

12. Der für die Anlagenkategorien des Teils 3 Nummer 4.1.1, 4.1.2, 4.2.1, 4.2.2, 4.2.3, 4.3.1 und 4.5.1 genannte Schwellenwert ist unter Annahme von 1,7 Abwicklungstransaktionen im In- und Ausland pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

850.000 Transaktionen/Jahr = 1,7 Transaktionen/Jahr x 500.000.

13. Der für die Anlagenkategorien des Teils 3 Nummer 4.4.1 und 4.6.1 genannte Schwellenwert ist unter Annahme von 13,5 Transaktionen pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 Personen wie folgt berechnet:

6.750.000 Transaktionen/Jahr = 13,5 Transaktionen/Jahr x 500.000

14. Der für die Anlagenkategorien des Teils 3 Nummer 5.1.1, 5.1.2 und 5.1.4 genannte Schwellenwert für die private Krankenversicherung ist unter Annahme von vier Leistungsfällen pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:

2.000.000 Leistungsfälle/Jahr = 4 Leistungsfälle/Jahr x 500.000

Teil 3 Anlagenkategorien und Schwellenwerte

Spalte A	Spalte B	Spalte C	Spalte D
Nr.	Anlagenkategorie	Bemessungskriterium	Schwellenwert
1	Bargeldversorgung
1.1	Autorisierung einer Abhebung
1.1.1	Autorisierungssystem	Anzahl der Transaktionen/Jahr	15.000.000
1.1.2	System zur Anbindung an ein Autorisierungssystem aus Sicht des Geldautomatenbetreibers	Anzahl der Transaktionen/Jahr	15.000.000
1.2	Einbringen in den Zahlungsverkehr
1.2.1	System zur Aufbereitung durch den Geldautomatenbetreiber	Anzahl der Transaktionen/Jahr	15.000.000
1.2.2	System zur Anbindung an ein Interbanken-Zahlungsverkehrs- system (Clearing und Settlement)	Anzahl der Transaktionen/Jahr	18.000.000
1.2.3	Clearing-System	Anzahl der Transaktionen/Jahr	18.000.000
1.2.4	Settlement-System	Anzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr	18.000.000
1.3	Belastung Kundenkonto
1.3.1	Kontoführungssystem	Anzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung verbuchten Transaktionen	15.000.000
1.4	Bargeldlogistik
1.4.1	Cash Center	Anzahl bearbeiteter Banknoten/Jahr	93.500.000
1.4.2	IT-System für das Cash Manage- ment	Anzahl bearbeiteter Banknoten/Jahr	93.500.000
2	Kartengestützter Zahlungsverkehr
2.1	Autorisierung
2.1.1	Autorisierungssystem	Anzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung autorisierten Transaktionen	21.500.000
2.1.2	System zur Anbindung an ein Autorisierungssystem aus Sicht des Terminalbetreibers	Anzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung autorisierten Transaktionen	21.500.000
2.2	Einbringen in den Zahlungsverkehr
2.2.1	System zur Aufbereitung durch den POS-Terminalbetreiber	Anzahl der Transaktionen/Jahr	21.500.000
2.2.2	System zur Annahme der POS- Transaktionsdaten beim Zah- lungsdienstleister des Zahlungs- empfängers	Anzahl der Transaktionen/Jahr	21.500.000
2.2.3	System zur Anbindung an ein Interbanken-Zahlungsverkehrs- system (Clearing und Settlement)	Anzahl der Transaktionen/Jahr	18.000.000
2.2.4	Clearing-System	Anzahl der Transaktionen/Jahr	18.000.000
2.2.5	Settlement-System	Anzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr	18.000.000
2.3	Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers
2.3.1	Kontoführungssystem	Anzahl der in diesem System bei der Erbringung der jeweiligen kritischen Dienst- leistung verbuchten Transaktionen	21.500.000
3	Konventioneller Zahlungsverkehr
3.1	Annahme einer Überweisung oder Lastschrift
3.1.1	System zur Annahme einer Über- weisung oder Lastschrift	Anzahl der Transaktionen/Jahr	100.000.000
3.2	Einbringen in den Zahlungsverkehr
3.2.1	System zur Anbindung an ein Interbanken-Zahlungsverkehrs- system (Clearing und Settlement)	Anzahl der Transaktionen/Jahr	100.000.000
3.2.2	Clearing-System	Anzahl der Transaktionen/Jahr	100.000.000
3.2.3	Settlement-System	Anzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr	100.000.000
3.3	Belastung und Gutschrift auf Kundenkonten
3.3.1	Kontoführungssystem	Anzahl der Transaktionen/Jahr	100.000.000
4	Handel, Verrechnung und Abwicklung von Wertpapier- und Derivatgeschäften
4.1	Verrechnung von Wertpapier- und Derivatgeschäften
4.1.1	System einer Clearingstelle oder zentralen Gegenpartei zur Ver- rechnung von Wertpapier- und Derivatgeschäften	Anzahl der Transaktionen/Jahr	850.000
4.1.2	System zur Anbindung für die Verrechnung und Verbuchung von Wertpapier- und Derivat- geschäften	Anzahl der Transaktionen/Jahr	850.000
4.2	Verbuchung Wertpapiere
4.2.1	Wertpapier-Settlement-System	Anzahl der Transaktionen/Jahr	850.000
4.2.2	Depotführungssystem eines Finanzmarktinfrastruktur- betreibers	Anzahl der Transaktionen/Jahr	850.000
4.2.3	System eines Zentralverwahrers	Anzahl der Transaktionen/Jahr	850.000
4.3	Verbuchung Geld
4.3.1	System zur Aufbereitung der Zahlungsanweisung	Anzahl der Transaktionen/Jahr	850.000
4.4	Einbringen von Aufträgen in den Handel
4.4.1	System für das Erzeugen von Aufträgen zum Handel von Wert- papieren und Derivaten und Wei- terleiten an einen Handelsplatz	Anzahl der Transaktionen/Jahr	6.750.000
4.5	Ausführung des Handels
4.5.1	System eines Handelsplatzes	Anzahl der Transaktionen/Jahr	850.000
4.6	Bestandsführung für den Kunden
4.6.1	Sonstiges Depotführungssystem Anzahl der Transaktionen/Jahr 6.750.000
5	Versicherungsdienstleistungen und Leistungen der Sozialversicherung sowie der Grund- sicherung für Arbeitsuchende
5.1	Versicherungsdienstleistungen
5.1.1	Vertragsverwaltungssystem	Leistungsfälle Lebensversicherung/Jahr oder	500.000
		Leistungsfälle private Krankenversicherung/ Jahr oder	2.000.000
		Schadensfälle Kompositversicherung/Jahr	500.000
5.1.2	Leistungssystem	Leistungsfälle Lebensversicherung/Jahr oder	500.000
		Leistungsfälle private Krankenversicherung/ Jahr oder	2.000.000
5.1.3	Schadensystem (Komposit)	Schadensfälle Kompositversicherung/Jahr	500.000
5.1.4	Auszahlungssystem	Leistungsfälle Lebensversicherung/Jahr oder	500.000
		Leistungsfälle private Krankenversicherung/ Jahr oder	2.000.000
		Schadensfälle Kompositversicherung/Jahr	500.000
5.2	Leistungen der Sozialversicherung sowie der Grundsicherung für Arbeitsuchende
5.2.1	Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung	Anzahl der Versicherten	500.000
5.2.2	Leistungssystem	Leistungsfälle Sozialversicherungsträger der gesetzlichen Unfall- und Arbeitslosenver- sicherung/Jahr oder	500.000
		Anzahl der Versicherungskonten des Sozial- versicherungsträgers der gesetzlichen Ren- tenversicherung oder	500.000
		Leistungsfälle zur Sicherung des Lebens- unterhalts in der Grundsicherung für Arbeit- suchende nach dem Zweiten Buch Sozial- gesetzbuch	500.000
5.2.3	Auszahlungssystem	Leistungsfälle Sozialversicherungsträger der gesetzlichen Unfall- und Arbeitslosenver- sicherung/Jahr oder	500.000
		Anzahl der Versicherungskonten des Sozial- versicherungsträgers der gesetzlichen Ren- tenversicherung oder	500.000
		Leistungsfälle zur Sicherung des Lebens- unterhalts in der Grundsicherung für Arbeit- suchende nach dem Zweiten Buch Sozial- gesetzbuch	500.000

Text in der Fassung des Artikels 1 Vierte Verordnung zur Änderung der BSI-Kritisverordnung V. v. 29. November 2023 BGBl. 2023 I Nr. 339 m.W.v. 1. Januar 2024