Verwaltungsvorschrift zur Umsetzung des NIS-2 Richtlinie in der saarländischen Landesregierung
Diese Verwaltungsvorschrift (VV) setzt die Vorgaben der RICHTLINIE (EU) 2022/2555 DES EUROPÄI- SCHEN PARLAMENTS UND DES RATES vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-RL) für die Landesverwaltung des Saarlandes um. Hierfür werden Maßnahmen festgelegt, mit denen in der Landesverwaltung des Saarlandes ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll.
Die Verwaltungsvorschrift verwendet die Begriffe in der in Artikel 6 der NIS-2-Richtlinie bestimmten Bedeutung.
a) Identifikation und Registrierung wichtiger Ein richtungen der Landesverwaltung Die wichtigen Einrichtungen der Landesverwaltung des Saarlandes (wELv) sind gemäß Artikel 2 der NIS-2-Richtlinie festzulegen. Ihre Identifikation erfolgt nach dem Verfahren, das der IT-Planungsrat gesamtstaatlich zu diesem Zweck verabschiedet hat und das zugleich den risikobasierten Ansatz des Artikels 2 Absatz 2 Buchstabe f Nummer ii der NIS-2-Richtlinie umsetzt (Identifizierungskonzept). Die landesrechtliche Umsetzung der NIS-2-Richtlinie erfolgt hinsichtlich der in der zu erstellenden Liste der wELv entsprechend hervorgehobenen Einrichtungen unter Bezugnahme auf die einschlägigen bundesrechtlichen Bestimmungen durch die vorliegende VV. Die Liste der wELv wird erstmalig spätestens zum 17. April 2025 von der Landesregierung erstellt und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) übermittelt. Danach wird sie regelmäßig, mindestens jedoch nach dem Ablauf von je zwei Jahren überprüft und aktualisiert. Über Ausnahmen von der Aufnahme in die Liste der wELv entscheidet das jeweils zuständige Ressort. Neben dem Namen der Einrichtung werden dem BSI in der Liste der wELv die Anschrift, aktuelle Kontaktdaten einschließlich E-Mail-Adresse und Telefonnummern, Internet-Protokoll-Adressbereiche, der Sektor „Öffentliche Verwaltung“ und gegebenenfalls die Mitgliedstaaten der Diensterbringung übermittelt. Änderungen dieser Informationen sind unverzüglich der gemäß Ziffer 4 zuständigen Zentralstelle für Informations- und Cybersicherheit (ZIC) zu melden. b) Risikomanagementmaßnahmen, Melde und Berichtspflichten Die Leitung der wichtigen Einrichtung der Landesverwaltung trägt die Verantwortung für die Cybersicherheit. Sie ist mindestens verpflichtet, aa) ein angemessenes Informationssicherheitsmanagementsystem (ISMS) einzurichten und dauerhaft zu betreiben, das sich an der ISO 27001 auf der Basis vom IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ausrichtet, insbesondere aaa) eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten (ISB), qualifizierter Vertreterin oder qualifiziertem Vertreter, zu benennen, aus- und fortzubilden, bbb) ein Informationssicherheitsmanagementteam einzurichten, ccc) ein Sicherheitskonzept zu erstellen und fortzuschreiben, ddd) sich regelmäßig, mindestens jedoch einmal pro Jahr über Risiken, Maßnahmen, Umsetzung, Stand des Sicherheitskonzeptes und Sicherheitsvorfälle berichten zu lassen sowie eee) Maßnahmen im Bereich Cybersicherheit zu unterstützen und die Umsetzung zu überwachen; bb) an Schulungen im Bereich Cybersicherheit teilzunehmen; cc) ihren Mitarbeitenden zielgruppengerechte Schulungen anzubieten und zu ermöglichen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben; dd) ein angemessenes IT-Notfallmanagementsystem nach BSI Standard 200-4 (BCMS – Business Continuity Management System) einzurichten und dauerhaft zu betreiben, insbesondere eine Beauftragte oder einen Beauftragten für Notfallmanagement (BCB), mitsamt qualifizierter Vertreterin oder qualifiziertem Vertreter, zu benennen, aus- und fortzubilden; ee) erhebliche Sicherheitsvorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme als Frühwarnung und spätestens innerhalb 72 Stunden nach Kenntnisnahme als Vorfallsmeldung gemäß Meldestandard, an das Computer Emergency Response Team Saarland (CERT-SL) zu melden und ff) auf Ersuchen der Zentralstelle für Informations- und Cybersicherheit (ZIC) oder des CERT-SL einen Zwischenbericht über erhebliche Sicherheitsvorfälle und spätestens einen Monat nach der Vorfallsmeldung eines erheblichen Sicherheitsvorfalls einen Abschlussbericht oder im Falle eines noch andauernden erheblichen Sicherheitsvorfalls einen Fortschrittsbericht zu geben. Die Leitungen der wELv können entscheiden, dass weitere Risikomanagementmaßnahmen für ihre Einrichtung getroffen werden sollen.
Cybersicherheit a) Identifikation und Veröffentlichung Die Landesregierung weist in der Geschäftsverteilung der obersten Landesbehörden eine Zentralstelle für Informations- und Cybersicherheit (ZIC) aus. Die ZIC ist die zuständige Aufsichtsstelle im Sinne von Artikel 8 Absatz 1 der NIS-2-Richtlinie und der für diese Regelung umsetzenden bundesgesetzlichen Bestimmung für Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene, die in der gemäß § 3 a zu erstellenden Liste der wELv festgelegt werden. Die ZIC teilt dem BSI erstmalig spätestens zum 17. Oktober 2024 alle für Cybersicherheit zuständigen Behörden der Landesverwaltung sowie deren Aufgaben mit. Danach übermittelt sie anlassbezogen oder auf Anforderung durch das BSI etwaige Änderungen oder Aktualisierungen dieser Angaben. Die Identität der ZIC wird den wELv bekannt gemacht. b) Aufgaben der ZIC Die ZIC überwacht die Anwendung und Umsetzung dieser VV. Die ZIC ist die Verbindungsstelle des Saarlandes zum BSI. Zu ihren Aufgaben zählt, aa) die Liste der wELv und bb) die Identitäten aller zuständigen Behörden für Cybersicherheit inklusive deren Aufgaben regelmäßig an das BSI zu übermitteln. Darüber hinaus hat die ZIC folgende Aufgaben: cc) Sie meldet den Erlass dieser Verwaltungsvorschrift an die zuständige Stelle des Bundes, welche die Europäische Kommission darüber in Kenntnis setzt. dd) Sie leitet für das BSI notwendige Informationen an das BSI weiter und wirkt bei der Erstellung von Berichten sowie bei der Überprüfung oder Evaluation der NIS-2-Richtlinie für die Europäische Kommission mit. c) Befugnisse der ZIC aa) Im Rahmen von Aufsichts- und Durchsetzungsmaßnahmen ist die ZIC in Bezug auf die wELv berechtigt, aaa) Vor-Ort-Kontrollen und externe nachträgliche Aufsichtsmaßnahmen, die von geschulten Fachkräften durchgeführt werden, bbb) gezielte Sicherheitsprüfungen, die von einer unabhängigen Stelle, der ZIC oder einer zuständigen Behörde durchgeführt werden, ccc) Sicherheitsscans auf der Grundlage objektiver, nicht diskriminierender, fairer und transparenter Risikobewertungskriterien, erforderlichenfalls auch in Zusammenarbeit mit der betreffenden wichtigen Einrichtung der Landesverwaltung, ddd) Anforderung von Informationen, die für die nachträgliche Bewertung der von der betreffenden wichtigen Einrichtung der Landesverwaltung ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit, einschließlich dokumentierter Cybersicherheitskonzepte, eee) Anforderung des Zugangs zu Daten, Dokumenten und sonstigen Informationen, die zur Erfüllung ihrer Aufsichtsaufgaben erforderlich sind, sowie fff) Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, z. B. der Ergebnisse von einem qualifizierten Prüfer durchgeführten Sicherheitsprüfungen und der entsprechenden zugrunde liegenden Nachweise, durchzuführen beziehungsweise zu stellen. Die Ergebnisse von Sicherheitsüberprüfungen sind der ZIC zur Verfügung zu stellen. Die Kosten für die sich aus den Überprüfungen ergebenden Mängelbeseitigungsmaßnahmen werden von der Einrichtung getragen. Die ZIC darf auf der Grundlage eines risikobasierten Ansatzes bestimmten Maßnahmen gemäß Ziffer 4 c aa – ff Vorrang einräumen. bb) Die ZIC ist befugt, aaa) Warnungen über Verstöße gegen diese Verwaltungsvorschrift durch eine wELv herauszugeben, bbb) verbindliche Anweisungen oder Anordnungen zu erlassen, um die wELv aufzufordern, die festgestellten Mängel oder den Verstoß gegen diese Verwaltungsvorschrift zu beheben, ccc) die wELv anzuweisen, das gegen die Verwaltungsvorschrift verstoßende Verhalten einzustellen und von Wiederholungen abzusehen, ddd) die wELv anzuweisen, entsprechend bestimmter Vorgaben und innerhalb einer bestimmten Frist sicherzustellen, dass ihre Risikomanagementmaßnahmen, Berichts- und Meldepflichten mit § 3 im Einklang stehen und erfüllt werden, eee) die wELv anzuweisen, die natürlichen oder juristischen Personen, für die sie Dienste erbringen oder Tätigkeiten ausüben und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten, die von diesen natürlichen oder juristischen Personen als Reaktion auf diese Bedrohung ergriffen werden können, fff) die wELv anzuweisen, die im Rahmen einer Sicherheitsüberprüfung formulierten Empfehlungen innerhalb einer angemessenen Frist umzusetzen und ggg) die wELv anzuweisen, Aspekte der Verstöße gegen die Verwaltungsvorschrift entsprechend bestimmter Vorgaben öffentlich bekannt zu machen. Stellt die ZIC im Zuge der Beaufsichtigung oder Durchsetzung fest, dass der Verstoß einer wELv gegen die in § 3 der Verwaltungsvorschrift festgelegten Verpflichtungen eine gemäß Artikel 33 der Datenschutz-Grundverordnung meldepflichtige Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (Abl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2; L 074 vom 4.3.2021, S. 35) in der jeweils geltenden Fassung zur Folge haben kann, unterrichten sie unverzüglich die Landesbeauftragte oder den Landesbeauftragten für Datenschutz und Informationsfreiheit des Saarlandes. Die ZIC darf die Anwendung des Identifizierungskonzepts auf eine Einrichtung der Landesverwaltung überprüfen und der Landesregierung Vorschläge zur Registrierung oder De-Registrierung von wELv unterbreiten. Gegenüber wELv, die Teil der Justiz sind, oder gegenüber sonstigen wELv, soweit diese für die Justiz IT-Dienstleistungen erbringen, nimmt die ZIC die vorstehenden Befugnisse nur unter Wahrung der Grundsätze der richterlichen Unabhängigkeit, der sachlichen Unabhängigkeit der Rechtspflegerinnen und Rechtspfleger, des Legalitätsprinzips in der Strafverfolgung und der Gewaltenteilung, der Integrität und der Vertraulichkeit der Entscheidungsprozesse in der Justiz sowie im Einvernehmen mit dem Ministerium der Justiz wahr.
Das Computer-Notfallteam (CSIRT) des Saarlandes ist das Computer Emergency Response Team Saarland (CERT-SL). Das CERT-SL stellt seine Kontaktdaten und Kommunikationskanäle auf der internen Informationssicherheitsplattform (https://informationssicherheit.saarland.de1)) zur Verfügung. Das CERT-SL wird in Zusammenarbeit mit dem Land Rheinland-Pfalz (CERT-rlp) betrieben. Die Kopfstelle der sogenannten Single Point of Contact (SPoC) befindet sich im IT-Dienstleistungszentrum (IT-DLZ). Das CERT-SL ist zentrale Anlaufstelle in der Landesverwaltung für präventive und reaktive Maßnahmen in Bezug auf informationssicherheitsrelevante Vorfälle. Die CERTs gewährleisten einen hohen Grad der Verfügbarkeit ihrer Kommunikationskanäle und müssen zur Sicherstellung ihrer Dienste über Redundanzsysteme sowie Ausweicharbeitsräume verfügen. Die Räumlichkeiten der CERTs sowie die unterstützenden Informationssysteme werden an sicheren Standorten eingerichtet. Die CERTs betreiben verschiedene IT-Systeme und Tools wie ein Ticket-System oder ein Vorfallbearbeitungssystem, um ihre Aufgaben effektiv und sicher zu erfüllen. Die CERTs gewährleisten eine ständige Bereitschaft ihrer Dienste und richten dafür eine Rufbereitschaft auch außerhalb ihrer gewöhnlichen Betriebszeiten ein, die nach Bedarf aktiviert werden kann. Das CERT-rlp ist hierbei aktiver Teilnehmer am Verwaltungs-CERT-Verbund (VCV) und stellt dafür die Kommunikations- und Informationsinfrastruktur bereit, um effizient, sicher und wirksam mit anderen CERTs des VCV, insbesondere dem CERT-Bund des BSI, zusammenzuarbeiten. Zu den Aufgaben der CERTs zählen: a) Überwachung und Analyse von Cyberbedrohungen, Schwachstellen und Sicherheitsvorfällen und auf Anfrage Bereitstellung von Unterstützung für wichtige Einrichtungen hinsichtlich der Überwachung ihrer Netz- und Informationssysteme in Echtzeit oder nahezu in Echtzeit, b) Ausgabe von Frühwarnungen und Alarmmeldungen sowie Bekanntmachung und Weitergabe von Informationen über Cyberbedrohungen, Schwach1) Zugriff ausschließlich über das Landesdatennetz Saarland möglich stellen und Sicherheitsvorfälle an wichtige Einrichtungen sowie an die zuständigen Behörden und andere einschlägige Interessenträger, möglichst echtzeitnah, c) Reaktion auf Sicherheitsvorfälle und gegebenenfalls Unterstützung der betreffenden wichtigen Einrichtungen, d) Erhebung und Analyse forensischer Daten sowie dynamische Analyse von Risiken und Sicherheitsvorfällen sowie Lagebeurteilung im Hinblick auf die Cybersicherheit, e) auf Ersuchen einer wichtigen Einrichtung der Landesverwaltung eine proaktive Überprüfung der Netz- und Informationssysteme der betreffenden Einrichtung auf Schwachstellen mit potenziell signifikanten Auswirkungen (Schwachstellenscan), f) Beteiligung am VCV und – im Rahmen ihrer Kapazitäten und Kompetenzen – auf Gegenseitigkeit beruhende Unterstützung anderer Mitglieder des VCVs auf deren Ersuchen, g) Proaktive, nicht intrusive Überprüfung öffentlich zugänglicher Netz- und Informationssysteme von wichtigen Einrichtung der Landesverwaltung, Die CERTs dürfen auf der Grundlage eines risikobasierten Ansatzes bestimmten Aufgaben Vorrang einräumen. Die CERTs nehmen Meldungen zu Schwachstellen vertraulich entgegen und können diese an das zuständige koordinierende CSIRT im Sinne Artikel 12 Absatz 1 der NIS-2-Richtlinie anonymisiert weiterleiten. Die CERTs sind verpflichtet, Meldungen von erheblichen Sicherheitsvorfällen, Cyberbedrohungen und Beinahe-Vorfällen an das BSI oder dessen CERT-Bund unmittelbar zu übermitteln. Gegenüber wELv, welche Teil der Justiz sind oder der Justiz IT-Dienstleistungen erbringen, gelten die in § 4 c letzter Absatz getroffenen Bestimmungen auch für die Tätigkeit der CERTs.
unter bundesrechtlicher Regulierung Für wELv, die in der Liste der wELv unter Bezugnahme auf die einschlägigen bundesrechtlichen Bestimmungen entsprechend hervorgehoben sind, gelten folgende zusätzliche Bestimmungen: a) Im Fall eines erheblichen Sicherheitsvorfalls kann die ZIC solche Einrichtungen anweisen, die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnten. b) Die ZIC kann solche Einrichtungen verpflichten, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen zur Prüfung der Erfüllung der Anforderungen nach § 3 b durchführen zu lassen. c) Die ZIC darf nach Anhörung der betroffenen Einrichtungen und im Einvernehmen mit dem betroffenen Ressort für solche Einrichtungen bestimmen, welche IKT-Produkte, IKT-Dienste und IKT-Prozesse über eine Cybersicherheitszertifizierung gemäß europäischer Schemata nach Artikel 49 der Verordnung (EU) 2019/881 verfügen müssen.
Die Landesregierung gewährleistet, dass die ZIC, die wELv sowie das CERT-SL über angemessene Ressourcen verfügen, damit sie die auferlegten Aufgaben wirksam erfüllen können.
Diese Verwaltungsvorschrift tritt am Tage nach der Verkündung im Amtsblatt des Saarlandes in Kraft. Sie wird nach spätestens 3 Jahren überprüft. Die Regierung des Saarlandes: Die Ministerpräsidentin Rehlinger Der Minister für Wirtschaft, Innovation, Digitales und Energie Barke Der Minister der Finanzen und für Wissenschaft von Weizsäcker Der Minister für Inneres, Bauen und Sport Jost Der Minister für Arbeit, Soziales, Frauen und Gesundheit Dr. Jung Die Ministerin für Bildung und Kultur Streichert-Clivot Die Ministerin für Umwelt, Klima, Mobilität, Agrar und Verbraucherschutz Die Ministerin der Justiz Berg