Begriffsbestimmungen

Im Sinne dieses Gesetzes 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf eine kritische Anlage, wer die tatsächliche Sachherrschaft ausübt, wobei die rechtlichen und wirtschaftlichen Umstände insoweit unberücksichtigt bleiben; 2. ist „Anlage“ eine Betriebsstätte, sonstige ortsfeste Installation, Maschine, Gerät, sonstige ortsveränderliche technische Installation oder Software und IT-Dienste; für Software und IT-Dienste, die nicht unmittelbar der Steuerung, Überwachung oder Unterstützung physischer Prozesse der Erbringung kritischer Dienstleistungen dienen, gelten ausschließlich die Vorgaben des BSI-Gesetzes; 3. ist „kritische Anlage“ eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist; 4. ist „kritische Dienstleistung“ eine Dienstleistung zur Versorgung der Allgemeinheit in den Sektoren Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum oder Siedlungsabfallentsorgung, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde; 5. ist „Resilienz“ die Fähigkeit einer kritischen Anlage, einen Vorfall zu verhindern, sich vor einem Vorfall zu schützen, einen Vorfall abzuwehren, auf einen Vorfall zu reagieren, die Folgen eines Vorfalls zu begrenzen, einen Vorfall aufzufangen und zu bewältigen und sich von einem Vorfall zu erholen; 6. ist „Risiko“ das Potenzial für Ausfälle oder Beeinträchtigungen, die durch einen Vorfall verursacht werden, das als eine Kombination des Ausmaßes eines Ausfalls oder einer Beeinträchtigung und der Wahrscheinlichkeit des Eintretens des Vorfalls zum Ausdruck gebracht wird; 7. ist „Risikoanalyse“ das systematische Verfahren zur Bestimmung eines Risikos; 8. ist „Risikobewertung“ der Prozess, in dem Risiken in Bezug auf deren Wirkung auf die kritische Dienstleistung verglichen und priorisiert werden und entschieden wird, ob Maßnahmen zur Risikobehandlung zu ändern und zu ergänzen sind; 9. ist „Vorfall“ ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte, mit Ausnahme von Ereignissen, die ausschließlich Sicherheitsvorfälle im Sinne des § 2 Nummer 40 des BSI-Gesetzes oder § 3 Nummer 53 des Telekommunikationsgesetzes sind; 10. sind „Einrichtungen der Bundesverwaltung“ das Bundeskanzleramt, die Bundesministerien und der Beauftragte der Bundesregierung für Kultur und Medien; 11. ist „Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung eines Betreibers kritischer Anlagen berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach Nummer 10 sowie Leiterinnen und Leiter von Behörden gelten nicht als Geschäftsleitung; 12. sind „maritime Infrastrukturen“ Anlagen auf oder unter See im Küstenmeer und der ausschließlichen Wirtschaftszone der Bundesrepublik Deutschland.