Cyberangriffe auf Störfallanlagen

Gemäß Art. 5 der Seveso-III-Richtlinie (Richtlinie 2012/18/EU des Europäischen Parlaments und des Rates vom 4. Juli 2012 zur Beherrschung der Gefahren schwerer Unfälle mit gefährlichen Stoffen, zur Änderung und anschließenden Aufhebung der Richtlinie 96/82/EG des Rates, ABl. EU NR. L 197, S. 1 ff.) muss der Betreiber einer Störfallanlage der Behörde nachweisen, dass er alle notwendigen Maßnahmen ergriffen hat, um schwere Unfälle zu verhüten und deren Folgen für die menschliche Gesundheit und die Umwelt zu begrenzen. Umgesetzt wurden diese störfallrechtlichen Grundpflichten in § 3 Abs. 1 und Abs. 3 Störfall-Verordnung (12. Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (Störfall-Verordnung – 12. BImSchV) i. d. F. der Bek. vom 15.03.2017, BGBl. I S. 483, zuletzt geändert durch Art. 1a Abs. 5 der Verordnung vom 08.12.2017, BGBl. I S. 3882), einer auf §§ 7 Abs. 1 und 4, 23 Abs. 1, 23b Abs. 5, 48a Abs. 3 BImSchG und § 19 Abs. 1 und 3 ChemG beruhenden Rechtsverordnung des Bundes. Der deutsche Gesetzgeber hat den Terminus des Störfalls beibehalten, was dem schweren Unfall im Sinne der Seveso-III-Richtlinie entspricht (Hansmann/König 2018, § 2 12. BImSchV Rn. 18). Was dies für die Abwehr von Cyberangriffen bedeutet, untersucht dieser Beitrag.