Cybersicherheits-Anforderungen für Weltraumakteure

EU NIS-2-RL, BSIG, TKG

Die zweite Richtlinie zur Sicherung von Netz- und Informationssystemen (NIS-2-RL) der EU gehört zum Kernbereich des Cybersicherheitsrechts. Als Richtlinie ist/war sie von den EU-Mitgliedstaaten in nationales Recht umzusetzen – der deutsche Umsetzungsrechtsakt aus dem Jahr 2025 hat allem voran das BSI-Gesetz (BSIG) neu gefasst.

Anwendungsbereich

Das BSIG verpflichtet „wichtige“ und „besonders wichtige“ Einrichtungen sowie die meisten „Einrichtungen der Bundesverwaltung“ zu bestimmten Cybersicherheitsmaßnahmen. Wichtige und besonders wichtige Einrichtungen sind in § 28 Abs. 1 und 2 BSIG definiert (zum Teil i. V. m. Anlage 1 oder Anlage 2 BSIG). Als solche Einrichtungen betroffen sind besonders auch entgeltlich Waren oder Dienstleistungen anbietende mittlere und große Unternehmen (Schwellenwerte siehe § 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3 BSIG) des Sektors „Weltraum“, § 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3 BSIG i.V.m Anlage 1 Nr. 7 BSIG.

Zum Weltraumsektor gehören in diesem Zusammenhang gemäß Anlage 1 Nr. 7.1.1 BSIG allerdings nur Betreiber von Bodeninfrastrukturen, welche die Erbringung von weltraumgestützten Diensten unterstützen (ausgenommen unionseigene Infrastrukturen sowie Anbieter öffentlicher elektronischer Kommunikationsnetze). Aber auch wenn Weltraumakteure keine entsprechende Bodeninfrastruktur betreiben, können sie als wichtige oder besonders wichtige Einrichtungen in den Anwendungsbereich des BSIG fallen: Dazu müssen sie zu einer der übrigen in § 28 Abs. 1 und 2 BSIG genannten – nicht dem Sektor „Weltraum“ zugehörigen – Einrichtungen zählen.

Dies ist zum Beispiel bei Unternehmen der Fall, die entgeltlich Waren oder Dienstleistungen aus dem Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ anbieten (wichtige Einrichtungen nach § 28 Abs. 2 Nr. 3 BSIG i. V. m. Anlage 2 Nr. 5 BSIG). Hierzu gehören unter anderem Hersteller von Raumfahrzeugen, deren einzelnen Teilen, Zubehör und Abschusseinrichtungen, Satelliten, Planetensonden, Raumstationen sowie Raumfähren (Anlage 2 Nr. 5.6.1 BSIG i. V. m. Klasse 30.30 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft – NACE Rev. 2).

Auch der Betrieb einer kritischen Anlage im Sinne des § 2 Nr. 3 KRITIS-Dachgesetzes (KRITISDachG) führt zur Einstufung von Weltraumakteuren als besonders wichtige Einrichtung (§§ 28 Abs. 1 Nr. 1, 2 und 22 BSIG). Die Schwelle zur kritischen Anlage ist dabei hoch. Gegenwärtig betroffen ist aber zumindest die deutsche Bodenstation des europäischen Satellitennavigationssystems GALILEO (§ 9 Abs. 3 BSI-KritisV i. V. m. Anhang 7 Teil 3 Nr. 1.7.2 BSI-KritisV, vgl. S. 8, 12 Fn. 4 in [1]). Der Referentenentwurf des BMI vom Mai 2026 der KritisV [2] würde den Kreis bestehender kritischer Anlagen mit Bezug zum Weltraum allerdings erweitern.

Auf den ersten Blick sind ferner Betreiber (auch satellitengestützter) öffentlicher Telekommunikationsnetze vom Anwendungsbereich des BSIG umfasst (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG) – allerdings sind gemäß § 28 Abs. 5 BSIG die meisten aus dem BSIG resultierenden Pflichten auf sie grundsätzlich nicht anwendbar. An ihre Stelle treten jedoch vergleichbare Pflichten aus dem Telekommunikationsgesetz (TKG, bes. § 165 TKG).

Es sei darauf hingewiesen, dass für die Eröffnung des Anwendungsbereichs des BSIG in den von § 28 Abs. 3 BSIG bestimmten Fällen solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit einer Einrichtung vernachlässigbar sind (siehe [3]).

Pflichten

Die Pflichten wichtiger und besonders wichtiger Einrichtungen unterscheiden sich kaum – die Differenzierung zwischen diesen Einrichtungsarten hat hauptsächlich Bedeutung im Rahmen der Aufsicht und etwaiger Sanktionen (siehe [3,4]). Allerdings treffen Betreiber kritischer Anlagen im Vergleich zu „normalen“ besonders wichtigen Einrichtungen teilweise umfangreichere Pflichten.

Zentrale Pflicht wichtiger und besonders wichtiger Einrichtungen ist es, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen […] zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten“ (§ 30 Abs. 1 S. 1 BSIG). Dies wird von § 30 Abs. 2 Satz 2 BSIG konkretisiert, der in zehn Punkten bestimmt, was diese Maßnahmen zumindest zu umfassen haben. Gemäß § 30 Abs. 2 Satz 1 BSIG sollen dabei der „Stand der Technik“ eingehalten und „die einschlägigen europäischen und internationalen Normen berücksichtig[t]“ werden.

Ferner bestehen etwa Melde- sowie Registrierungspflichten, §§ 32, 33 BSIG [5]. Mit den von § 38 BSIG aufgestellten Umsetzungs-, Überwachungs- und Schulungspflichten existieren zudem unmittelbar an die Geschäftsleitung gerichtete Compliance-Anforderungen [5,6]. Für Einrichtungen der Bundesverwaltung ist allem voran § 44 BSIG maßgeblich.

EU CER-RL, KRITISDachG

Ziel der EU-Richtlinie zur Resilienz kritischer Einrichtungen (CER-RL) und besonders des im deutschen Umsetzungsrechtsakt enthaltenen KRITISDachG ist die Stärkung der physischen Resilienz kritischer Anlagen. Auch dies lässt sich jedoch im weiteren Sinne dem Bereich der Cybersicherheit zuordnen – denn Cybersicherheit lässt sich nicht eindeutig von physischer Sicherheit trennen [5].

Das KRITISDachG verpflichtet Betreiber „kritischer Anlagen“: Die Bedeutung dieses Begriffs ist identisch zu dessen Bedeutung im Sinne des BSIG, das zur Definition auf das KRITISDachG verweist. Das zur Bestimmung kritischer Anlagen Gesagte gilt daher auch an dieser Stelle.

Die Pflichten aus dem KRITISDachG umfassen im Wesentlichen Registrierung, Risikoanalyse und -bewertung, Maßnahmen zur Gewährleistung der Resilienz sowie die Meldung von Vorfällen (§§ 8, 12 13, 18 KRITISDachG). Zudem sind Umsetzungs- und Überwachungspflichten direkt an die Geschäftsleitung gerichtet (§ 20 KRITISDachG).

SatDSiG

Das Satellitendatensicherheitsgesetz (SatDSiG) stellt Cybersicherheitsanforderungen in Zusammenhang mit hochwertigen Erdfernerkundungssystemen auf. Der Betrieb eines solchen Systems erfordert eine Genehmigung, die unter anderem voraussetzt, dass Befehlsfolgen und Übermittlung der erzeugten Daten durch ein vom BSI geprüftes und für geeignet erklärtes Verfahren gegen Veränderung durch Dritte respektive unbefugte Kenntnisnahme geschützt werden (§§ 3 Abs. 1, 4 Abs. 1 Nr. 2 und 3 SatDSiG).

Überdies werden technische und organisatorische Maßnahmen vorausgesetzt, die den Zugang Unbefugter zu den beim Betrieb des Erdfernerkundungssystems genutzten Anlagen und Betriebsräumen verhindern (§ 4 Abs. 1 Nr. 4 SatDSiG). Ferner bestehen Dokumentations- und Anzeigepflichten nach den §§ 5, 6 SatDSiG. Ob ein Erdfernerkundungssystem „hochwertig“ ist, richtet sich dabei nach § 2 Abs. 1 Nr. 4, Abs. 2 SatDSiG in Verbindung mit § 1 SatDSiV.

SÜG & Co.

Raumfahrt erfordert nicht selten die Kenntnis von Verschlusssachen. In Bezug auf solche Verschlusssachen verpflichtet das Sicherheitsüberprüfungsgesetz (SÜG) öffentliche Stellen des Bundes zu bestimmten Cybersicherheitsmaßnahmen (§§ 4 Abs. 4, 35 SÜG i. V. m. der Verschlusssachenanweisung des BMI). Diese werden vom BSI konkretisiert.

Private Unternehmen können ebenfalls diesbezügliche Pflichten treffen: So müssen sie sich etwa vor Eröffnung des Zugangs zu Verschlusssachen ab der Stufe „VS-VERTRAULICH“ im Wege eines öffentlich-rechtlichen Vertrags zur Befolgung des vom Bundesministerium für Wirtschaft und Energie (BMWE) herausgegebenen Geheimschutzhandbuchs verpflichten (vgl. [7]). Dieses verlangt gemäß dessen Nr. 6.11 teils strenge Cybersicherheitsmaßnahmen (siehe www.bmwe-sicherheitsforum.de/handbuch/text/?fk_menu=131).

Außergesetzliches

Die Cybersicherheit ist auch im Bereich der Raumfahrt von einer Vielzahl außergesetzlicher Normen, Standards, Frameworks, Guidelines und Best-Practices geprägt. Zwar sind solche Instrumente nicht unmittelbar verbindlich, können aber dennoch auf verschiedenem Wege rechtliche Relevanz erlangen. So können sie beispielsweise den „Stand der Technik“ widerspiegeln oder „einschlägige europäische und internationale Normen“ darstellen und damit beispielsweise im Rahmen der Risikomanagementmaßnahmen nach § 30 BSIG zu beachten sein. Auch im Zivilrecht können sie Bedeutung entfalten – zumindest dann, wenn ihre Einhaltung vertraglich vereinbart wird.

Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat in ihrer 2025 veröffentlichten „Space Threat Landscape“ ein Cybersecurity-Control-Framework erstellt [8], das die Bestimmungen verschiedener außergesetzlicher Instrumente erfasst und kategorisiert. Es kann insofern als Referenzwerk für die Cybersecurity-Compliance dienen.

Der vom BSI veröffentlichte IT-Grundschutz enthält Empfehlungen und Best-Practices im Bereich der Cybersicherheit (vgl. [9]). Für Einrichtungen der Bundesverwaltungen ist die Erfüllung der darin enthaltenen Mindestanforderungen im Grundsatz sogar ausdrücklich gesetzlich vorgeschrieben (§ 44 Abs. 1 BSIG). Das BSI hat zudem – besonders in Zusammenarbeit mit Vertretern der deutschen Raumfahrtindustrie – IT-Grundschutz-Profile für Weltrauminfrastrukturen erstellt, die als Schablonen für die Implementierung des IT-Grundschutzes bei Satelliten und ihren Bodenstationen dienen und zum Teil über dessen Anforderungen hinaus gehen [1,10]. Ergänzt werden sie durch die technischen Richtlinien BSI TR-03184 und BSI TR-03184-2 (siehe www.bsi.bund.de/dok/TR-03184).

Darüber hinaus gibt es eine Vielzahl weiterer außergesetzlicher Guidelines und Best-Practices, die zum Teil von den zuvor genannten Instrumenten einbezogen werden. Teilweise sind sie auf Weltraumakteure oder -infrastrukturen zugeschnitten: Hierzu gehören beispielsweise Werke der European Cooperation for Space Standardization (ECSS, z. B. ECSS-E-ST-80C „Space engineering – Security in space systems lifecycles“), des Consultative Committee for Space Data Systems (CCSDS, z. B. CCSDS 355.0-B-2 „Space Data Link Security Protocol“), des Institute of Electrical and Electronics Engineers (IEEE, z. B. IEEE 3536-2026 „Standard for Space System Cybersecurity Design“) und der International Organization for Standardization (ISO, z. B. ISO/TS 20517:2024 „Space systems — Cybersecurity management requirements and recommendations“). Auch etwa Dokumente des US-amerikanischen National Institute of Standards and Technology (NIST, z. B. NIST IR 8401 „Satellite Ground Segment: Applying the Cybersecurity Framework to Satellite Command and Control“) zählen hierzu. Andere Instrumente sind hinsichtlich ihres Anwendungsbereichs breiter angelegt – beispielsweise die wohlbekannte Normenreihe ISO/IEC 27000.

Fazit und Ausblick

Das Cybersicherheitsrecht ist dynamisch und unterliegt stetiger Weiterentwicklung; auch Weltraumakteure werden von diesen Entwicklungen betroffen sein. Besonders der ab 11. Dezember 2027 vollständig geltende EU Cyber Resilience Act (CRA) sowie die Gesetzesvorhaben EU Space Act und EU Cybersecurity Act 2 (CSA-2) werden die Compliance-Anforderungen weiter verschärfen.

Weltraumakteure sehen sich im Bereich der Cybersicherheit damit einer Vielzahl von rechtlichen Anforderungen unterschiedlicher Verbindlichkeit gegenüber. Ihre Beachtung erfordert erheblichen Aufwand, der in Zukunft noch steigen wird. Erschwert wird dies dadurch, dass die Rahmenbedingungen nicht aus einem einheitlichen Regelwerk stammen.

Prof. Dr. Dennis-Kenji Kipker ist Research Director am cyberintelligence.institute in Frankfurt am Main und Berlin. Timm Schnorr ist Wissenschaftlicher Mitarbeiter an der Universität Bremen.

Literatur

_{[1] Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Profil für Weltrauminfrastrukturen – Teil 1: Raumsegment, Mindestabsicherung für den Satelliten über den gesamten Lebenszyklus, Juni 2022, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Weltrauminfrastrukturen.pdf}

_{[2] Bundesministerium des Innern (BMI), Verordnung zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz (Kritisverordnung – KritisV), Referentenentwurf, Mai 2026, abrufbar unter https://cms.cyberintelligence.institute/api/media/file/260526_entwurfkritisverordnung.pdf}

_{[3] Stefan Hessel, BSIG: Wer ist (besonders) wichtig?, Beilage zu MMR – Zeitschrift für das Recht der Digitalisierung, Datenwirtschaft und IT 03/2026, S. 258, März 2026, https://beck-online.beck.de/?vpath=bibdata%2Fzeits%2FMMR%2F2026%2Fcont%2FMMR.2026.H9001.gl2.htm (kostenpflichtig)}

_{[4] Dr. Daniel A. Pauly, Dr. Thomas Kienle, Die Umsetzung der NIS-2-Richtlinie im neuen BSIG – Vorgaben für die Privatwirtschaft, Neue Juristische Online-Zeitschrift (NJOZ) 4/2026, S. 65, Januar 2026, https://beck-online.beck.de/?vpath=bibdata%2Fzeits%2FNJOZ%2F2026%2Fcont%2FNJOZ%2e2026%2eH04%2eNAMEINHALTSVERZEICHNIS%2ehtm (kostenpflichtig)}

_{[5] Prof. Dr. Dennis-Kenji Kipker, Tilmann Dittrich, Die Umsetzung der NIS-2-Richtlinie in nationales Recht, Neue Juristische Wochenschrift (NJW) 4/2026, S. 193, Januar 2026, https://beck-online.beck.de/?vpath=bibdata%2Fzeits%2FNJW%2F2026%2Fcont%2FNJW%2e2026%2eH04%2eNAMEINHALTSVERZEICHNIS%2ehtm (kostenpflichtig)}

_{[6] Dr. Dr. Fabian Teichmann, Haftungsfalle Cybersecurity: NIS2-Schulungspflicht als persönliche Verantwortung der Geschäftsleiter, Corporate Compliance (CCZ) 11/2025, S. 265, November 2025, https://beck-online.beck.de/?vpath=bibdata%2Fzeits%2FCCZ%2F2025%2Fcont%2FCCZ%2e2025%2eH11%2eNAMEINHALTSVERZEICHNIS%2ehtm (kostenpflichtig)}

_{[7] Gunter Warg, Kommentar zu § 24 Sicherheitsprüfungsgesetz (SÜG), in: Prof. Dr. Wolf-Rüdiger Schenke, Prof. Dr. Kurt Graulich, Prof. Dr. Josef Ruthig (Hrsg.), Sicherheitsrecht des Bundes, C. H. Beck, 2. Auflage, 2019, ISBN 978-3-406-71602-7, https://beck-online.beck.de/?vpath=bibdata%2Fkomm%2FScheGrauRuthKoB-SiR_2%2FSUEG%2Fcont%2FScheGrauRuthKoB-SiR%2ESUEG%2Ep24%2Ehtm (kostenpflichtig)}

_{[8] European Union Agency for Cybersecurity (ENISA), Space Threat Landscape, März 2025, www.enisa.europa.eu/publications/enisa-space-threat-landscape-2025}

_{[9] Christian Djeffal, IT-Sicherheit 3.0: Der neue IT-Grundschutz, MMR – Zeitschrift für das Recht der Digitalisierung, Datenwirtschaft und IT 5/2019, S. 289, Mai 2019, https://beck-online.beck.de/?vpath=bibdata%2fzeits%2fMMR%2f2019%2fcont%2fMMR%2e2019%2eH05%2eNAMEINHALTSVERZEICHNIS%2ehtm (kostenpflichtig)}

_{[10] Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Profil für Weltrauminfrastrukturen – Teil 2: Bodensegment – Mindestabsicherung über den gesamten Lebenszyklus, April 2024, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Bodensegment-Satellit.pdf}