Fragen und Antworten zu NIS-2
Anwendungsbereich und Betroffenheit
- Wie bestimme ich den NACE-Code meines Unternehmens?
Der NACE-Code ist auf der im BSIG referenzierten Gliederungsebene der Abteilungen bzw. Kategorien identisch mit der WZ-Nummer der Klassifikation der Wirtschaftszweige, Ausgabe 2008 (WZ 2008), wie sie etwa bei Statistikmeldungen zum Einsatz kommt.
- Was ist mit "Stand der Technik" gemeint?
Im BSIG finden sich an mehreren Stellen (vgl. die §§ 3, 30, 31 und 44 BSIG) Verweise auf den „Stand der Technik“, das Gesetz selbst trifft zur Definition der Begrifflichkeit jedoch keine Aussage.Im Handbuch der Rechtsförmlichkeit des Bundesministeriums der Justiz und für Verbraucherschutz (BMJV) wird „Stand der Technik“ wie folgt definiert:„Als Stand der Technik gilt der Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen und Betriebsweisen, der nach herrschender Auffassung führender Fachleute das Erreichen des gesetzlich vorgegebenen Zieles gesichert erscheinen lässt. Verfahren, Einrichtungen und Betriebsweisen oder vergleichbare Verfahren, Einrichtungen und Betriebsweisen müssen sich in der Praxis bewährt haben oder sollten – wenn dies noch nicht der Fall ist – möglichst in der Praxis mit Erfolg erprobt worden sein.“Das BSI hat rund um dieses Thema auch einen eigenen Artikel veröffentlicht, auf welchen wir an dieser Stelle gerne verweisen möchten:Zusätzlich hat das BSI auf GitHub eine eigene „Stand der Technik Bibliothek“ veröffentlicht die als Orientierung herangezogen werden kann. Sie basiert auf dem bewährten IT-Grundschutz des BSI.
- Kann ein Unternehmen auch reguliert werden, wenn die einschlägigen Dienstleistungen nicht in DE erbracht werden?
Ja, ausschlaggebend ist, ob ein Unternehmen in der Bundesrepublik Deutschland niedergelassen ist oder hier einen Vertreter benannt hat (vgl. §§ 59 und 60 BSIG).
- Sind kommunale Eigenbetriebe von NIS-2 betroffen?
Grundsätzlich gilt: Im Beschluss 2023/39 des IT-Planungsrats wurde entschieden, von der Option, den Anwendungsbereich der NIS-2-Richtlinie auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen zu erstrecken, keinen Gebrauch zu machen. Eine mögliche Umsetzung in einer separaten Gesetzgebung ist von diesem Beschluss nicht betroffen. Die Gesetzgebungskompetenz für die Cybersicherheit der Verwaltung von Ländern, Landkreisen und Kommunen liegt bei den Ländern und Kommunen selbst (vgl. Artikel 70 Absatz 1, 28 Absatz 2 Grundgesetz). Die jeweilige Landesverwaltung entscheidet über die Umsetzung der NIS-2 Richtlinie und bestimmt, welche Organisationen innerhalb einer Landkreis- oder Kommunalverwaltung betroffen sind. Aus diesem Grund würden wir Sie bitten, sich bei Fragen zu NIS-2 primär an die zuständige Aufsichtsbehörde in Ihrer Landesverwaltung zu wenden. Zusätzlich steht es Kommunen frei, die eigene Betroffenheit rechtlich prüfen zu lassen.Kommunale Eigen- und Regiebetriebe unterliegen regulär der Aufsicht ihrer Gemeindevertretung oder der zuständigen Verwaltung. Da für sie vorrangig Landesrecht gilt, fallen sie normalerweise nicht unter das NIS-2-Umsetzungsgesetz und damit auch nicht unter die Aufsicht des BSI. Anders verhält es sich jedoch, wenn diese Betriebe kritische Anlagen betreiben oder die Schwellenwerte für wichtige (wE) beziehungsweise besonders wichtige Einrichtungen (bwE) überschreiten. In diesem Fall fallen sie trotz ihrer kommunalen Einbindung in den Anwendungsbereich des NIS-2-Umsetzungsgesetzes bzw. des BSIG. Damit wird das BSI zur zuständigen Aufsichtsbehörde. Das Gesetz sieht in § 28 BSIG ausdrücklich vor, dass auch rechtlich unselbstständige Organisationseinheiten als Betreiber gewertet werden können.Hinsichtlich der Frage zur gesamten Kommunalverwaltung lässt sich festhalten, dass die potenzielle Betroffenheit eines solchen Betriebs nicht automatisch dazu führt, dass die gesamte Stadtverwaltung unter die NIS-2-Regelungen fällt. Die lokale Verwaltungsebene wurde durch den IT-Planungsrat explizit ausgenommen.Weitere Informationen zur NIS-2-Betroffenheit von Einrichtungen der Bundes-, Landes- und Kommunalverwaltung sowie der Justiz finden Sie unter NIS-2 für die Verwaltung.
- Wenn ein Mutter- und Tochterunternehmen mit gemeinsamer IT jeweils einer der erfassten Einrichtungsarten zuordnen sind und (gemeinsam) die Size-Cap-Rule erfüllen, werden dann beide Unternehmen erfasst, oder reicht es, wenn die Anforderungen durch den Mutterkonzern erfüllen werden?
Beide Unternehmen werden erfasst und unterliegen den Anforderungen von §§ 30 ff. BSIG. Zu beachten ist jedoch, ob im Einzelfall die Voraussetzungen des § 28 Absatz 4 Satz 2 BSIG vorliegen.
- Sind Verbundene Unternehmen, die nicht in Deutschland beziehungsweise nicht in der EU tätig sind, bei der Berechnung der Size-Cap-Kennzahlen einzubeziehen?
Ja, auch Verbundene Unternehmen, die nicht in Deutschland oder der EU tätig sind, werden bei der Berechnung der Size-Cap-Kennzahlen einbezogen, vgl. § 28 Absatz 4 BSIG sowie die darin referenzierte Empfehlung der Kommission 2003/361/EG vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (ABl. L 124 vom 20. Mai 2003, S. 36).
- Bezieht sich die Anzahl der Beschäftigten sowie die Höhe des Umsatzvolumens auf einen einzelnen (Filial-) Betrieb oder unter Umständen das gesamte Unternehmen?
Die Anzahl der Beschäftigten sowie die Höhe des Umsatzvolumens bezieht sich auf das gesamte Unternehmen, einschließlich verbundener Unternehmen (vgl. die Empfehlung der Kommission 2003/361/EG vom 6. Mai 2003 mit Ausnahme von Artikel 3 Absatz 4 des Anhangs). Ein einzelner (Filial-) Betrieb ist nur dann nicht hinzuzurechnen, wenn er ein eigenständiges Partner- oder verbundenes Unternehmen ist und unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist, siehe § 28 Absatz 4 Satz 2 BSIG.
- Wie werden digitale Dienste definiert?
Der Ausdruck „digitaler Dienst“ bezeichnet einen Dienst im Sinne des Artikels 1 Absatz 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates.Gemäß der o.g. Richtline bezeichnet „Dienst“ eine Dienstleistung der Informationsgesellschaft, d. h. jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung.Im Sinne dieser Definition bezeichnet der Ausdruck
- „im Fernabsatz erbrachte Dienstleistung“ eine Dienstleistung, die ohne gleichzeitige physische Anwesenheit der Vertragsparteien erbracht wird;
- „elektronisch erbrachte Dienstleistung“ eine Dienstleistung, die mittels Geräten für die elektronische Verarbeitung (einschließlich digitaler Kompression) und Speicherung von Daten am Ausgangspunkt gesendet und am Endpunkt empfangen wird und die vollständig über Draht, über Funk, auf optischem oder anderem elektromagnetischem Wege gesendet, weitergeleitet und empfangen wird;
- „auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“ eine Dienstleistung, die durch die Übertragung von Daten auf individuelle Anforderung erbracht wird.
- Fällt im Sektor "Produktion, Herstellung und Handel mit chemischen Stoffen" bezüglich des "Handels mit chemischen Stoffen" jeglicher Handel mit Endprodukten, die aus chemischen Stoffen bestehen, in den Anwendungsbereich
In den Anwendungsbereich des Sektors „Produktion, Herstellung und Handel mit chemischen Stoffen“ fällt nicht jeglicher Handel mit Endprodukten, die aus chemischen Stoffen bestehen.Erfasst sind nur solche Unternehmen, die unter die Definition von Herstellern oder Importeuren gemäß Artikel 3 Nummer 9 und 11 der REACH-Verordnung (Verordnung (EG) Nr. 1907/2006) fallen. Das betrifft Unternehmen, die chemische Stoffe oder Gemische in die EU einführen oder in der EU herstellen – nicht jedoch reine Händler von fertigen Produkten.Zusätzlich gilt:Diese Unternehmen müssen mit ihren Tätigkeiten in die Kategorie 20 der NACE Rev. 2 (das ist die statistische Systematik der Wirtschaftszweige in der EU) fallen und eine Registrierungspflicht nach Artikel 6 der REACH-Verordnung haben.
Pflichten und Anforderungen
- Müssen Unternehmen das Einhalten der Vorgaben nachweisen?
Unternehmen müssen nur auf Anfrage im Falle einer Anordnung durch das BSI nachweisen, dass sie die Vorgaben des Gesetzes umgesetzt haben. Der Nachweis kann zum Beispiel durch Dokumentationen, Prüfberichte, Audits oder Zertifizierungen erfolgen. Zum Nachweis des Einhaltens von Meldepflichten können z.B. die Meldeberichte als Nachweis dienen.Sonderfall:KRITIS-Betreiber müssen auch ohne Aufforderung Nachweise in Form von Sicherheitsaudits, Prüfungen oder Zertifizierungen einreichen.
- Wie kann ich nachweisen, dass mein Unternehmen die geforderten Ma0nahmen umsetzt?
Nach dem NIS-2-Umsetzungsgesetz sind Unternehmen verpflichtet, die Umsetzung ihrer Risikomanagementmaßnahmen nachvollziehbar zu dokumentieren. Dazu gehört insbesondere, dass Prozesse, Zuständigkeiten und getroffene Sicherheitsmaßnahmen schriftlich festgehalten und regelmäßig überprüft werden.Nachweise (Aufzählung nicht abschließend) könnten z. B. durch folgende Mittel erbracht werden:
- interne Dokumentation und Berichte,
- Zertifizierungen nach anerkannten Standards (z. B. ISO/IEC 27001 oder BSI-IT-Grundschutz)*,
- Nachweise über Schulungen und Awareness-Maßnahmen,
- Auditberichte oder interne Kontrollverfahren.
*Eine Zertifizierung nach ISO 27001 oder IT-Grundschutz kann den Nachweis erleichtern, muss aber im Hinblick auf den gesetzlich vorgegebenen Maßnahmenkatalog geprüft und gegebenenfalls ergänzt werden.Kennen Sie schon das Infopaket #nis2know: ISO/IEC 27001? Schauen Sie sich gerne unsere Webseite an. - Wir haben unsere IT vollständig an externe Dienstleister vergeben. Welche Pflichten müssen wir als wichtige Einrichtung dann überhaupt wahrnehmen?
Auch wenn die IT komplett ausgelagert ist, bleiben Sie als besonders wichtige oder wichtige Einrichtung selbst verantwortlich. Sie müssen sicherstellen, dass Ihre Dienstleister die nötigen NIS-2-Vorgaben umsetzen, diese regelmäßig überprüft werden und dass Vorfälle ordnungsgemäß gemeldet werden. Verträge allein genügen nicht – die Geschäftsleitung bleibt in der Pflicht, das Risikomanagement zu steuern und umzusetzen.
- Ist der BSI-IT-Grundschutz verpflichtend für alle von NIS-2 betroffenen Einrichtungen?
Nein, der BSI-IT-Grundschutz ist im Rahmen der NIS-2-Umsetzung nicht für alle verpflichtend. Bestehende Managementsysteme nach dem BSI-IT-Grundschutz können eine wertvolle Grundlage für betroffene Einrichtungen sein, müssen aber im Hinblick auf den gesetzlich vorgegebenen Maßnahmenkatalog geprüft und gegebenenfalls ergänzt werden.
- Ist neben der ISO 27001 und BSI-Grundschutz auch eine Unternehmenszertifizierung nach VDS 10000 ausreichend um die Anforderungen des NIS-2-Umsetzungsgesetzes zu erfüllen?
Pflichten für Einrichtungen, die als "besonders wichtige Einrichtung" oder "wichtige Einrichtung" gelten, ergeben sich aus dem BSIG. Hierunter fallen bspw. geeignete Risikomanagementmaßnamen, die Pflicht IT-Störungen zu melden und weitere Anforderungen, die sich in §§ 30ff. BSIG finden. Eine Unternehmenszertifizierung alleine ist nicht ausreichend, um sämtliche Anforderungen des BSIG zu erfüllen, kann aber ein Baustein für die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG sein.Kennen Sie schon das Infopaket #nis2know: ISO/IEC 27001? Schauen Sie sich gerne unsere Webseite an.
- Ab wann zählt die Photovoltaik-Anlage auf dem Dach des Unternehmens als kritische Infrastruktur?
1. Bin ich betroffen, wenn ich eine PV-Anlage auf dem Dach habe?
Das kommt darauf an, wie leistungsstark die PV-Anlage ist. Handelt es sich bei der PV-Anlage um eine sog. „Nebentätigkeit“ des Unternehmens (vgl. § 28 Absatz 5 Satz 4 BSIG), so kann diese unberücksichtigt bleiben. Mögliche Anhaltspunkte für diese Bewertung können etwa die Anzahl der in diesem Bereich tätigen Mitarbeiter, der durch diese Geschäftstätigkeit erwirtschaftete Umsatz oder die Bilanzsumme für diesen Bereich sein. Ein Indiz, dass die Geschäftstätigkeit nicht bloße Nebentätigkeit ist, kann ihre Nennung in einem Gesellschaftervertrag, einer Satzung oder einem vergleichbaren Gründungsdokument der Einrichtung sein.2. Kann ich durch die PV-Anlage zu einem KRITIS-Betreiber werden?
Wenn eine PV-Anlage eine installierte Nennleistung von mindestens 104 Megawatt erreicht, gilt sie als besonders kritisch für die Energieversorgung und fällt, wie bereits jetzt, unter die KRITIS-Regelungen.
Registrierung und Meldepflicht
- Wie kann ein Unternehmen kritische Komponente registrieren?
Die Registrierung kritischer Komponenten erfolgt nach folgendem Verfahren:Sektor EnergieBetreiber aus dem Sektor Energie werden gebeten, die Daten kritischer Komponenten unter Nutzung des zur Verfügung gestellten Excel-Musters mithilfe des PGP-Schlüssels oder des S/MIME-Zertifikates verschlüsselt an das BSI KRITIS-Büro zu senden. Den PGP-Schlüssel bzw. das S/MIME-Zertifikat finden Sie auf unserer Webseite: https://www.bsi.bund.de/dok/kontakt-kritis.Hinweis:Das Excel-Muster für Betreiber aus dem Sektor Energie entnehmen Sie bitte der Verlinkung im ersten Absatz. Das Excel-Muster für Betreiber aus dem TK-Sektor wurde an die spezifischen Anforderungen angepasst und ist auf der Webseite für öffentliche 5G-Telekommunikationsnetze (s. u.) zu finden.TK-SektorBetreiber aus dem TK-Sektor werden gebeten, die Angaben mithilfe des bereitgestellten Excel-Musters aufzubereiten und anschließend unter Verwendung des PGP-Schlüssels oder des S/MIME-Zertifikates verschlüsselt an: registrierung-tk-komponenten@bsi.bund.de zu übermitteln. Betreiber öffentlicher 5G-Mobilfunknetze finden hierzu weitere Informationen auf unserer Webseite: https://www.bsi.bund.de/dok/5G.Hinweis:Sobald eine noch zu erlassende Rechtsverordnung zur Identifizierung kritischer Anlagen nach KRITISDachG gilt und die heutige BSI-KritisV ablöst, geht die Zuständigkeiten für die Registrierung an das BBK über, zu den dann erforderlichen Prozessänderungen informieren wir zu gegebener Zeit an selber Stelle.
- Was passiert, wenn ein verpflichtetes Unternehmen einen Vorfall nicht rechtzeitig oder gar nicht an die zuständige Behörde meldet? Wer überprüft, ob meldepflichtige Vorfälle ordnungsgemäß gemeldet wurden?
Es sind Bußgelder für Verstöße gegen die Meldepflichten im Sinne des NIS-2-Umsetzungsgesetzes möglich.Je nach Einrichtung sind Bußgelder bis zu 7 Mio bzw. 10 Mio Euro oder 1,4% bzw. 2% des Gesamtumsatzes der Einrichtung möglich.Das BSI als zuständige Aufsichtsbehörde überwacht die Einhaltung der Meldepflichten. Das BSI kann dazu u.a. Informationen anfordern, Prüfungen durchführen und Anordnungen erlassen.
- Bei der Registrierung im BSI-Portal muss man EU-Mitgliedsstaaten angeben, in welchen man einen „Dienst“ erbringt. Was ist damit gemeint?
Für die Angabe der Mitgliedstaaten ist relevant, in welchen Staaten die maßgebliche Tätigkeit der Einrichtung erbracht wird, nicht, in welchen Ländern Produkte genutzt werden oder einzelne Serviceleistungen erfolgen.Gemäß des BSIG ist der Begriff der Erbringung von Diensten im Rahmen der Registrierungspflicht einrichtungsbezogen zu verstehen. Er knüpft an diejenige Tätigkeit an, die zur Einstufung als wichtige oder besonders wichtige Einrichtung führt, mithin an die jeweils einschlägige Einrichtungsart nach Anlage 1 oder 2 BSIG. Maßgeblich ist insoweit die Kerntätigkeit, aufgrund derer die Einordnung nach dem BSIG erfolgt.Entscheidend ist, wo diese Kerntätigkeit tatsächlich ausgeübt wird. Begleitende Leistungen wie Wartung, Reparatur oder sonstiger Kundenservice gelten nicht als eigenständige Diensterbringung im Sinne der Registrierungspflicht, solange sie nicht selbst die einrichtungsbegründende Tätigkeit darstellen.
- Muss ich mich als durch DORA regulierte Einrichtung beim BSI registrieren?
Ja, die Registrierung ist erforderlich. Von DORA betroffene Einrichtungen sind hingegen von weitergehenden Pflichten für besonders wichtige oder wichtige Einrichtungen nach BSIG ausgenommen (vgl. § 28 Absatz 6 BSIG).
Lieferkette und Sicherheit
- Was raten Sie gemäß BSIG betroffenen Unternehmen, was sie von Software-Herstellern und -Dienstleistern einfordern sollen?
Informationen zu Kryptographischen Verfahren finden Sie in unseren Infopaketen.So, wie Unternehmen Anforderungen an die Funktionsfähigkeit oder Wirtschaftlichkeit stellen, sollten sie auch möglichst konkrete Anforderungen an die Cybersicherheit der eingesetzten Software-/Hardware-Produkte oder der beauftragten Dienstleister stellen. Idealerweise sollten die Cybersicherheitseigenschaften durch den Hersteller, Vertreiber oder Auftragnehmer belegbar sein. Dazu können europäische und internationale Normen genutzt werden.Wir begrüßen aktuelle Vorstöße der Wirtschaft, einen einheitlichen Fragenkatalog für Lieferanten zu erarbeiten, der die Erfüllung der Anforderungen belegt. Auf diese Weise kann ein hohes Sicherheitsniveau mit angemessenem Dokumentationsaufwand erreicht werden.Erste Orientierung bietet auch die Veröffentlichung der UP KRITIS:
Best-Practice-Empfehlungen für Anforderungen an Lieferanten zur Gewährleistung der Informationssicherheit in Kritischen Infrastrukturen - Kann die Anforderung gemäß § 30 Absatz 2 Nr. 4 BSIG bzgl. Sicherheit der Lieferkette durch die Forderung von Zertifikaten (ISO 27001, TISAX, etc.) von unmittelbaren Anbietern oder Diensteanbietern erfüllt werden?
Informationen zur Sicheren Lieferkette und zu Risikomanagementmaßnahmen finden Sie in unseren Infopaketen.Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht. Betreiber müssen sicherstellen, dass sie gemäß §30 BSIG technische und organisatorische Maßnahmen ergreifen, um Störungen bei der Erbringung ihrer Dienste zu vermeiden. Dazu sind mindestens die Maßnahmen gemäß §30 Abs. 2 BSIG umzusetzen und die Maßnahmen sollen den Stand der Technik einhalten. Europäische und internationale Normen sollen dazu berücksichtigt werden. Auch die ISO 27001 kann hier berücksichtigt werden, muss aber von jeder Einrichtung individuell im Rahmen ihre Risikomanagements beurteilt werden.Wir begrüßen aktuelle Vorstöße der Wirtschaft, einen einheitlichen Fragenkatalog für Lieferanten zu erarbeiten, der die Erfüllung der Anforderungen belegt. Auf diese Weise kann ein hohes Sicherheitsniveau mit angemessenem Dokumentationsaufwand erreicht werden.Erste Orientierung bietet auch die Veröffentlichung der UP KRITIS:
Best-Practice-Empfehlungen für Anforderungen an Lieferanten zur Gewährleistung der Informationssicherheit in Kritischen InfrastrukturenFür Anbieter Digitaler Infrastrukturen und Anbieter digitaler Dienste stellt das BSI hier weitere Informationen zur Umsetzung der NIS-2-Vorgaben bereit.Kennen Sie schon das Infopaket #nis2know: ISO/IEC 27001? Schauen Sie sich gerne unsere Webseite an.
Geschäftsleitung
- Im BSIG steht, dass Schulungen für den Geschäftsführer verpflichtend sind. Welche Schulungen betrifft das? Sind diese dann wiederholend zu absolvieren und wenn ja, in welchem Intervall?
Informationen zu den Geschäftsleitungsschulungen finden Sie hier.Das BSIG sieht vor, dass Geschäftsleitungen regelmäßig an Cybersicherheitsschulungen teilnehmen. Das NIS-2-Umsetzungsgesetz gibt keine Intervalle zur Durchführung vor, aber in der Gesetzesbegründung ist eine Orientierung enthalten, wie oft Schulungen mindestens durchgeführt werden müssen. Schulungen im Sinne des NIS-2-Umsetzungsgesetzes sollten innerhalb von drei Jahren über eine Dauer von mindestens 4 Stunden durchgeführt werden.
- Trägt die Geschäftsleitung persönliche Verantwortung, wenn Cybersicherheitsmaßnahmen nicht oder nicht ausreichend umgesetzt werden?
Im NIS-2-Umsetzungsgesetz ist ausdrücklich geregelt, dass die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet sind, die Risikomanagementmaßnahmen nach diesem Gesetz umzusetzen und deren Umsetzung zu überwachen. Außerdem ist vorgesehen, dass die Geschäftsleitungen regelmäßig an Schulungen teilnehmen müssen, um über ausreichende Kenntnisse im Bereich Cybersicherheit zu verfügen. Eine mögliche persönliche Haftung von Geschäftsführungen für schuldhaft verursachte Schäden richtet sich nach den einschlägigen zivilrechtlichen Regelungen. Wenn solche fehlen sollten, kann sich eine Rechtsgrundlage für eine Haftung auch unmittelbar aus dem NIS-2-Umsetzungsgesetz ergeben.
- Reicht es bei mehreren Geschäftsleitungen, wenn sich von diesen nur eine Person schulen lässt?
Die Schulungspflicht gilt für jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist. Ziel ist es, dass jedes Mitglied der Geschäftsleitung über ausreichende Kenntnisse im Bereich Cybersicherheit verfügt, um seiner Verantwortung nachkommen zu können.
- Dauer der Schulung
1. Für die Dauer der Schulung nennt die Handreichung des BSI einen Zeitrahmen von 4 Stunden. Wird hierbei eine Unterscheidung zwischen wichtigen Einrichtungen (wE) und besonders wichtigen Einrichtungen (bwE) getroffen oder gilt die Empfehlung für beide Einrichtungsarten?§ 38 Absatz 3 BSIG unterscheidet nicht zwischen bwE und wE. Der Zeitrahmen von 4 Stunden ist keine Empfehlung, sondern eine Annahme aus der Gesetzesbegründung zur durchschnittlichen Dauer von Schulungen.
Das BSI schreibt in der Handreichung dazu Folgendes: „Die Dauer einer Schulung kann je nach Risikoexposition der Einrichtung und individuellen Fähigkeiten der Geschäftsleitungen die vom Gesetzgeber veranschlagten vier Stunden auch deutlich überschreiten. Es ist entscheidend, dass alle geforderten Kenntnisse und Fähigkeiten sinnvoll übermittelt werden“. In den allermeisten Fällen wird eine 4-stündige Schulung nicht ausreichend sein.2. Könnte man die empfohlenen 4 Stunden aufteilen und über drei Jahre verteilen?Die Schulungen können grundsätzlich aufgeteilt werden.