Artikel 2 - Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (2. ITSiG k.a.Abk.)

G. v. 18.05.2021 BGBl. I S. 1122, 4304 (Nr. 25); Geltung ab 28.05.2021, abweichend siehe Artikel 7

Artikel 2 Änderung des Telekommunikationsgesetzes

Das Telekommunikationsgesetz vom 22. Juni 2004 (BGBl. I S. 1190), das zuletzt durch Artikel 6 des Gesetzes vom 19. April 2021 (BGBl. I S. 771) geändert worden ist, wird wie folgt geändert:

1. In der Inhaltsübersicht werden in der Angabe zu § 109 nach dem Wort „Technische" die Wörter „und organisatorische" eingefügt.

2. § 109 wird wie folgt geändert:

a) In der Überschrift werden nach dem Wort „Technische" die Wörter „und organisatorische" eingefügt.

b) Absatz 2 wird wie folgt geändert:

aa) In Satz 2 werden nach dem Wort „Nutzer" ein Komma und die Wörter „für Dienste" eingefügt.

bb) Nach Satz 3 wird folgender Satz eingefügt:

„Kritische Komponenten im Sinne von § 2 Absatz 13 des BSI-Gesetzes dürfen von einem Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem Gefährdungspotential nur eingesetzt werden, wenn sie vor dem erstmaligen Einsatz von einer anerkannten Zertifizierungsstelle überprüft und zertifiziert wurden."

cc) In dem neuen Satz 7 wird die Angabe „§ 11" durch die Angabe „§ 62" ersetzt.

c) Absatz 4 Satz 1 Nummer 3 wird wie folgt gefasst:

„3. welche technischen Vorkehrungen oder sonstigen Schutzmaßnahmen zur Erfüllung der durch die Vorgaben des Katalogs von Sicherheitsanforderungen nach Absatz 6 konkretisierten Verpflichtungen aus den Absätzen 1 und 2 getroffen oder geplant sind; sofern der Katalog lediglich Sicherheitsziele vorgibt, ist darzulegen, dass mit den ergriffenen Maßnahmen das jeweilige Sicherheitsziel vollumfänglich erreicht wird."

d) Absatz 5 wird wie folgt geändert:

aa) In Satz 5 werden die Wörter „Europäische Agentur für Netz- und Informationssicherheit" durch die Wörter „Agentur der Europäischen Union für Cybersicherheit" ersetzt.

bb) In Satz 8 werden die Wörter „Europäische Agentur für Netz- und Informationssicherheit" durch die Wörter „Agentur der Europäischen Union für Cybersicherheit" ersetzt.

e) Absatz 6 wird wie folgt geändert:

aa) Satz 1 wird wie folgt gefasst:

„Die Bundesnetzagentur legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit durch Verfügung in einem Katalog von Sicherheitsanforderungen für das Betreiben von Telekommunikations- und Datenverarbeitungssystemen sowie für die Verarbeitung personenbezogener Daten fest:

1. Einzelheiten der nach den Absätzen 1 und 2 zu treffenden technischen Vorkehrungen und sonstigen Maßnahmen unter Beachtung der verschiedenen Gefährdungspotenziale der öffentlichen Telekommunikationsnetze und öffentlich zugänglichen Telekommunikationsdienste,

2. welche Funktionen kritische Funktionen im Sinne von § 2 Absatz 13 Satz 1 Nummer 3 Buchstabe b des BSI-Gesetzes sind, die von kritischen Komponenten im Sinne von § 2 Absatz 13 des BSI-Gesetzes realisiert werden, und

3. wer als Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem Gefährdungspotenzial einzustufen ist."

bb) Nach Satz 2 wird folgender Satz eingefügt:

„Die nach den Absätzen 1, 2 und 4 Verpflichteten haben die Vorgaben des Katalogs spätestens ein Jahr nach dessen Inkrafttreten zu erfüllen, es sei denn, in dem Katalog ist eine davon abweichende Umsetzungsfrist festgelegt worden."

f) Absatz 7 wird wie folgt geändert:

aa) Nach Satz 1 werden die folgenden Sätze eingefügt:

„Unbeschadet von Satz 1 haben sich Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem Gefährdungspotenzial alle zwei Jahre einer Überprüfung durch eine qualifizierte unabhängige Stelle oder eine zuständige nationale Behörde zu unterziehen, in der festgestellt wird, ob die Anforderungen nach den Absätzen 1 bis 3 erfüllt sind. Die Bundesnetzagentur legt den Zeitpunkt der erstmaligen Überprüfung nach Satz 2 fest."

bb) In dem neuen Satz 4 wird die Angabe „Satz 1" durch die Wörter „den Sätzen 1 und 2" ersetzt und werden nach dem Wort „Bundesnetzagentur" die Wörter „und an das Bundesamt für Sicherheit in der Informationstechnik, sofern dieses die Überprüfung nicht vorgenommen hat," eingefügt.

cc) Folgender Satz wird angefügt:

„Die Bewertung der Überprüfung sowie eine diesbezügliche Feststellung von Sicherheitsmängeln im Sicherheitskonzept erfolgt durch die Bundesnetzagentur im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik."

3. § 113 Absatz 3 wird wie folgt geändert:

a) In Nummer 7 wird der Punkt am Ende durch ein Komma ersetzt.

b) Folgende Nummer 8 wird angefügt:

„8. an das Bundesamt für Sicherheit in der Informationstechnik zum Schutz der Versorgung der Bevölkerung in den Bereichen des § 2 Absatz 10 Satz 1 Nummer 1 des BSI-Gesetzes oder der öffentlichen Sicherheit, um damit eine Beeinträchtigung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme einer Kritischen Infrastruktur oder eines Unternehmens im besonderen öffentlichen Interesse abzuwenden, wenn Tatsachen den Schluss auf ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen zulassen, das auf die informationstechnischen Systeme bestimmbarer Infrastrukturen oder Unternehmen abzielen wird, und die in die Auskunft aufzunehmenden Daten im Einzelfall erforderlich sind, um den Betreiber der betroffenen Kritischen Infrastruktur oder das betroffene Unternehmen im besonderen öffentlichen Interesse vor dieser Beeinträchtigung zu warnen, über diese zu informieren oder bei deren Beseitigung zu beraten oder zu unterstützen."

4. § 113 Absatz 5 wird wie folgt geändert:

a) In Nummer 8 wird der Punkt am Ende durch ein Komma ersetzt.

b) Folgende Nummer 9 wird angefügt:

„9. das Bundesamt für Sicherheit in der Informationstechnik zum Schutz der Versorgung der Bevölkerung in den Bereichen des § 2 Absatz 10 Satz 1 Nummer 1 des BSI-Gesetzes oder der öffentlichen Sicherheit, um damit eine Beeinträchtigung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme einer Kritischen Infrastruktur oder eines Unternehmens im besonderen öffentlichen Interesse abzuwenden, wenn Tatsachen den Schluss auf ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen zulassen, das auf die informationstechnischen Systeme bestimmbarer Infrastrukturen oder Unternehmen abzielen wird, und die in die Auskunft aufzunehmenden Daten im Einzelfall erforderlich sind, um den Betreiber der betroffenen Kritischen Infrastruktur oder das betroffene Unternehmen im besonderen öffentlichen Interesse vor dieser Beeinträchtigung zu warnen, über diese zu informieren oder bei deren Beseitigung zu beraten oder zu unterstützen."