Der Deutsche Bundestag hat am 12.06.2015 das IT- Sicherheitsgesetz in der vom Innenausschuss geänderten Fassung beschlossen. Unter anderem schreibt das Gesetz Betreibern kritischer Infrastrukturen wie zum Beispiel Energieunternehmen, Banken, Wasserversorgern und Krankenhäusern vor, einen Mindeststandard an IT-Sicherheit einzuhalten und erhebliche IT- Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Im Gesetzgebungsverfahren wurden auf Anregung von Experten die Untersuchungsbefugnisse des BSI und die Zweckbindung der Datennutzung klarer gefasst. Der DStGB hält mit Blick auf die Vulnerabilität der kritischen Infrastrukturen im kommunalen Bereich eine breitere und auf mehr Verbindlichkeit angelegte Weiterentwicklung der IT-Sicherheit in diesem Bereich für notwendig.
Grundlage des Gesetzesbeschlusses zum IT-Sicherheitsgesetz ist die Entwurfsfassung vom 25.02.2015 (BT-Drs. 18/4096) mit den vom Innenausschuss empfohlenen Änderungen (BT-Drs. 18/5121).
Das IT-Sicherheitsgesetz ist ein „Artikelgesetz“, d. h. es beschränkt sich auf die Änderung bestehender Gesetze. Zentral ist die Änderung des BSI-Gesetzes. Sie erhebt das BSI zur Aufsichtsbehörde über die Betreiber von „kritischen Infrastrukturen“, kurz KRITIS. Hierzu zählen Einrichtungen aus dem Bereich der Versorgung mit Grundbedürfnissen (Energie, Wasser, Ernährung, Gesundheit), sowie den Sektoren Finanz- und Versicherungswesen, Transport, Informationstechnik und Telekommunikation, soweit sie „von hoher Bedeutung für das Funktionieren des Gemeinwesens sind“. Im Vergleich der genannten Branchen zeigte sich bisher ein uneinheitliches IT-Sicherheitsniveau, was auch auf die bislang fehlenden branchenübergreifenden Regelungen zurückzuführen ist.
Künftig müssen Betreiber kritischer Infrastrukturen insbesondere § 8a Abs. 1 BSI-Gesetz n.F. beachten: „Betreiber kritischer Infrastrukturen sind verpflichtet, spätestens zwei Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1 angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Infrastruktur steht.“
Zur Konkretisierung sollen die jeweiligen Verbände branchenspezifische Sicherheitsstandards entwickeln, die das BSI dann prüft und gegebenenfalls billigt (§ 8a Abs. 2 BSI-Gesetz n.F.). Orientierungspunkte die bevorstehende Entwicklung der Branchenstandards werden unter anderem die ISO-Normenreihe 2700x in Verbindung mit den IT- Grundschutz-Katalogen des BSI sein, aber auch entsprechende Empfehlungen anderer Organisationen wie etwa des amerikanischen NIST. Die Erfüllung der Anforderungen des § 8a Abs. 1 BSI-Gesetz n.F. ist im Zwei-Jahres-Rhythmus nachzuweisen. Dafür lässt das Gesetz den Betreibern die Wahl zwischen Sicherheitsaudits, Prüfungen oder Zertifizierungen.
Betreiber kritischer Infrastrukturen unterliegen in Zukunft einer Meldepflicht gegenüber dem BSI nach § 8b Abs. 4 BSI-G n.F.: „Betreiber kritischer Infrastrukturen haben erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen führen können oder geführt haben, über die Kontaktstelle unverzüglich an das Bundesamt zu melden. Die Meldung muss Angaben zu der Störung sowie zu den technischen Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen Ursache, der betroffenen Informationstechnik, der Art der betroffenen Einrichtung oder Anlage sowie zur Branche des Betreibers enthalten.“
Das BSI erhält die Möglichkeit, zur Beseitigung der Störung die Hersteller der von Störungen betroffenen IT-Systeme in die Pflicht zu nehmen (§ 8b Abs. 6 BSI-G n.F.). Diese Kompetenzerweiterung erlaubt somit den Zugriff auf das spezielle Know-How der Hard- und Softwarehersteller.
Erst im Gesetzgebungsverfahren eingefügt wurde der neue Bußgeldtatbestand des § 14 BSI-G n.F., der Verstöße gegen die Pflicht zur Einhaltung angemessener Sicherheitsmaßnahmen und gegen die Meldepflicht zur Ordnungswidrigkeit erhebt, und zwar mit Bußgeldern von bis zu 50.000 Euro (bei Verstößen gegen die Anordnung zur Beseitigung eines Sicherheitsmangels bis zu 100.000 Euro).
Telekommunikationsanbieter, Energieversorger und Betreiber von Atomanlagen sind teilweise von den vorstehenden Änderungen des BSI-Gesetzes ausgenommen. Sie werden allerdings durch Änderungen des Telekommunikationsgesetzes, des Energiewirtschaftsgesetzes oder des Atomgesetzes im Ergebnis vergleichbar verpflichtet und in das neue Meldesystem des BSI eingebunden. Ausgenommen sind ferner pauschal alle Kleinstunternehmen.
Die Betreiber kritischer Infrastrukturen erhalten eine Übergangsfrist, um sich auf die Veränderungen einzustellen. Nach Erlass einer Rechtsverordnung, die näher definiert, welche Infrastrukturen vom Gesetz betroffen sind, haben die Betreiber noch zwei Jahre Zeit, das von § 8a BSI-G n.F. vorgeschriebene Sicherheitsniveau herzustellen. Die Kontaktstellen für die Störungsmeldungen müssen bereits sechs Monate nach Erlass der Verordnung benannt sein.
(Quelle: DStGB Aktuell 2515-01 vom 15. Juni 2015)
