It Sicherheitsgesetz Wiki

Im Verwaltungsbereich selbst werden über das administrative CERT-Netzwerk (VCV) gemäß der IT-Sicherheitsrichtlinie des IT-Planungsrates die entsprechenden Sicherheitsinformationen zwischen dem Bund und den Bundesländern untereinander getauscht. Der Gesetzgeber will Anbieter besonders bedrohter Infrastruktureinrichtungen (sogenannte kritische Infrastrukturen) wie z. B. in den Bereichen Strom, Wasserversorgung, Gesundheits- und Telekommunikationsnetze verpflichten, ihre Netzwerke besser vor Hackerangriffen zu sichern. Zusätzlich zur Meldepflicht für IT-Sicherheitsvorfälle werden dann für die Anwender solcher Systeme branchenweite Mindestanforderungen an die IT-Sicherheit gestellt.

Zur Verdeutlichung sind für jede einschlägige Industrie in den Branchen der Bereiche Energetik, Informationstechnologie und Nachrichtenübermittlung, Transportwesen und -wesen, Gesundheitswesen, Wasser, Ernährungswirtschaft sowie Finanzen und Versicherungen gesonderte gesetzliche Regelungen zu erarbeiten.

Aufgrund der EU-Richtlinie zur Netz- und Informationssicherheit zu Beginn des Jahres 2016 musste das IT-Sicherheitsgesetz jedoch wohl noch einmal erweitert werden, da allgemein grössere Online-Plattformen noch nicht unter das IT-Sicherheitsgesetz fallen. Deutschland hatte zwei Jahre Zeit, um die NUS-Richtlinie in innerstaatliches Recht umzuwandeln. Das IT-Sicherheitsgesetz, das im Juni 2015 in Kraft getreten ist, soll in diesem Gesetzentwurf erhalten bleiben und es werden nur die notwendigen Änderungen aufgrund der NIS-Richtlinie durchgeführt.

In seiner Beratung richtete der Deutsche Bundesrat Prüfaufträge an die Regierung, deren Ergebnisse die Regierung jedoch nicht zur Novellierung des Gesetzentwurfs veranlassten[4]. Nach dem BMI soll das IT-Sicherheitsgesetz aktualisiert werden (IT-Sicherheitsgesetz 2.0). Die Aktualisierung zielt auch darauf ab, große industrielle Produzenten und Produzenten kritischer Infrastrukturkomponenten der Meldepflicht zu unterwerfen[6].

Schon in der letzten Wahlperiode hatte die damals zuständige Bundesverwaltung einen ersten Gesetzentwurf zur IT-Sicherheit auf den Weg gebracht. 2. Das will die Politik nun mit einem geänderten Gesetzentwurf von Jahresmitte 2014 in den meisten Faellen zugeben - und zwar dann, wenn ein Unternehmen einen Cyber-Angriff feststellt, aber dadurch keine groesseren Stoerungen auftritt.

Ist die kritische Netzinfrastruktur hingegen beeinträchtigt oder gar ausgefallen, muss der Netzbetreiber den entsprechenden Eintrag in der Mitteilung machen. Außerdem soll die Stelle einmal jährlich einen Report über den Zustand der IT-Sicherheit in Deutschland einreichen. Darüber hinaus sollten Unternehmen aus diesen empfindlichen KRITIS-Bereichen zwei Jahre Zeit haben, um für ihre Industrie Mindestanforderungen an die IT-Sicherheit zu definieren.

Fernmeldedienstanbieter werden auch aufgefordert, Benutzer auf Sicherheitslücken in ihren Endgeräten aufmerksam zu machen, wenn sie beispielsweise die entsprechenden Kommunikationsverbindungen zu Malware erkennen[7]. Zudem sind mehr Mittel (über 20 Mio. Euro) und Mitarbeiter für die verantwortlichen Behörden (BSI, BKA, BfV, BBK) vorgesehen. Mit der Androhung von Sanktionen gegen die in der Novelle der Fraktionen von CDU/CSU und SPD enthaltenen Firmen und dem Hinweis, dass auch die hausinternen IT-Einheiten der Bundesverwaltung Protokoll- und Schnittstellen-Daten an das BSI weiterleiten müssen, hat der Deutsche Bundestag am 12. Juni 2015 das IT-Sicherheitsgesetz verabschiedet[9].

Nach vier Jahren soll das Recht bewertet werden. Die Gruenen hatten bisher erfolglos probiert, das Recht zu stoppen[10]. In der Zwischenzeit hat auch der Schweizerische Nationalrat dem Bundesgesetz trotz einiger Vorbehalte zugestimmt[11]. Ein IT-Sicherheitsgesetz wird damit nicht mehr grundsätzlich zurückgewiesen. Die Neufassung des Gesetzentwurfs wird auch vom Cyber-Sicherheitsrat Deutschland e. V. als unzureichend[12] und verfassungswidrig[13] angesehen.

Das IT-Sicherheitsgesetz wird in wissenschaftlichen Kreisen (vgl. Prof. Dr. Dirk Heckmann, Lehrstuhl für öffentliches Recht, Sicherheits- und Urheberrecht am Lehrstuhl für IT-Sicherheit und -Recht an der Uni Passau und Prof. Dr. Alexander Roßnagel vom Lehrstuhl für Unternehmensrecht an der Uni Kassel) zwar begrüsst, aber es besteht großer Bedarf an technischen Verbesserungen.

Es war also nicht vorhersehbar, wer als Anbieter einer "kritischen Infrastruktur" dem Recht unterliegen würde. Weil beispielsweise sicherheitsrelevante Ereignisse nach dem Telemedien- und Fernmeldegesetz bereits an die Datenschutzbehörde gemeldet werden müssen, sollte eine Harmonisierung der Meldewege durchgesetzt werden. Einige Bundesländer verweisen auf unbefristete rechtliche Begriffe (bei Berichtspflichten, Differenzierung von "unkritischen" Infrastrukturen) und Interpretationsbedarf hinsichtlich der Auswirkungen auf den Öffentlichen Sektor (z.B. bei Stadtwerken, Landeskliniken).

Aus diesem Grund sind die Bundesländer verpflichtet, der Verordnung, die die Gruppe der Critical Infrastructures definiert, zuzustimmen. Eine Verbindung zu wichtigen Infrastruktureinrichtungen ist hier zu sehen. Letztlich entspricht der Vorschlag nicht den Anforderungen des EU-Richtlinienvorschlags zur Netz- und Datensicherheit. Durch das IT-Sicherheitsgesetz soll nun aber auch 100 Abs. 1 TKG dahingehend ergänzt werden, dass den Telekommunikationsanbietern erweiterte Möglichkeiten gegeben werden, "Nutzungsdaten zu sammeln und zu nutzen, um Mängel oder Irrtümer in TK-Anlagen zu entdecken, zu begrenzen oder zu beseitigen".

Auf den Entwurf der Regierung hat zwar die Firma BIKOM eine positive Antwort gegeben, kritisiert aber den Umfang der kritischen Infrastruktur, der nur durch eine mangelnde Regulierung bestimmt wurde. Nach wie vor stellt der Bundesverband der deutschen Wirtschaft im Zusammenhang mit der EU-Netzrichtlinie und[16] die Frage nach kritischen Infrastruktureinrichtungen. Informationssicherheit Der BDI ruft die Regierung auf, um jeden Preis verschiedene Bestimmungen des IT-Sicherheitsgesetzes und der NIS-Richtlinie, besonders im Hinblick auf den Umfang der Anwendung und die Strafen sowie teilweise mit Publikationen, zu unterlassen.

Der KRITIS-Anwender beklagt, dass er allein überhaupt nicht in der Lage ist, ein Software-Update zu erstellen, z.B. bei einer Lücke. Der CCC wies bei einer mündlichen Verhandlung auf die Unklarheit der im Gesetzesentwurf verwendeten Begriffe "Stand der Technik" bzw. "Berücksichtigung des Stands der Technik" und "wesentlicher Sicherheitsvorfall" sowie auf die länderübergreifende Bedeutung des Problems hin.

Demgegenüber begrüßten der SVSW und Telekom das neue IT-Sicherheitsgesetz als ersten Baustein, um den jährlichen Anstieg der Internetkriminalität in Deutschland auf kurze Sicht zu begrenzen und auf mittlere Sicht zu reduzieren[19][20]. Große IT-Sicherheitsvorfälle sollten auch an die Fachstelle berichtet werden, aber im Gegensatz zum vorgesehenen IT-Sicherheitsgesetz kann die Fachstelle die Vorgänge auch selbst prüfen und den Betreiber der IT-Infrastrukturen verpflichten.

Eine weitere gravierende Abweichung zum IT-Sicherheitsgesetz ist die Zielgruppe. Das IT-Sicherheitsgesetz gilt auch für die Bereiche Wasser wirtschaft und Lebensmittel, nicht aber für Telemedienanbieter. Das bedeutet, dass Kernpunkte der Richtlinie (Artikel 14 und 15) nur für Firmen gelten und dass auch das geplante deutsche IT-Sicherheitsgesetz aufgenommen werden kann.

Dagegen will der EU-Rat nicht vollständig dazu zwingen, Sicherheits- und Datenschutzausfälle sowie IT-Angriffe zu berichten. Den gemeinsamen Vorschlag von EU-Kommission, EU-Rat und EU-Parlament haben wir Ende 2015 vorgestellt. Der IT-Bereich der Betreiber von kritischen Infrastruktureinrichtungen und der großen Online-Dienstleister soll abgesichert werden. Betroffene Unternehmen aus den Branchen Strom, Wasser, Verkehr, Finanzen, Gesundheitswesen und Internetzugang sind zur Meldung von IT-Angriffen sowie von Sicherheits- und Datenschutzausfällen angehalten.

Insbesondere werden Verkehrsknotenpunkte, Domainregistrierungen, Online-Marktplätze wie eBay oder Amazon, Google und Cloud-Provider aufgelistet, nicht aber Anbieter von sozialen Netzwerken wie z. B. Google. Die Öffentliche Hand ist nach wie vor definitiv ausgeschlossen (analog zum IT-Sicherheitsgesetz). Die Rechtsseite beklagte den bisherigen Gesetzentwurf, dass trotz markanter inhaltlicher Überschneidungen mit der kürzlich im Bundesrat diskutierten EU-Richtlinie zur Informations- und Netzwerksicherheit kein Vergleich oder Verweis erfolgt sei.

Auch die Bezeichnungen "Betreiber wichtiger Infrastrukturen" und "bedeutende Sicherheitsvorfälle" müssen wahrscheinlich ausgefüllt werden. Darüber hinaus ist für Anbieter von informationskritischen Infrastruktureinrichtungen die vom GG geforderte Nennung von Grundrechtsbeschränkungen in Bezug auf Besitz und Berufspraxis nicht vorgesehen. Einige Bundesländer haben in diesem Kontext (analog zum umstrittenen E-Government-Gesetz) argumentiert, dass dies vielleicht auch Behörden der Bundesländer und Gemeinden umfassen könnte, beispielsweise in den Sektoren Transport, Gesundheitswesen, Wasser- oder Ernährungswirtschaft, sofern diese Behörden für den Betreiben von wichtigen Infrastruktureinrichtungen mitverantwortlich seien.

So wurden zum Beispiel städtische Versorgungsunternehmen mit Energie- und Wasserversorgungsaufgaben sowie städtische und staatliche Spitäler und Praxen genannt. Der Cyber Security Council Germany e. V. (nicht zu verwechseln mit dem National Cyber Security Council im Bundesinnenministerium) sieht auch einige Aspekte des Gesetzentwurfs als sicherheitspolitisch fragwürdig an[27]. Hinzu kam die Task Force IT-Sicherheit in der Volkswirtschaft, die unter der Leitung des BMWi gebildet wurde.

"Kurzfassung der Kernpunkte des Gesetzentwurfs" "Pressemitteilung der EU-Komission über die NIS-Richtlinie vom 14. Mai 2014" BDI-Studie " IT-Sicherheit in Deutschland - Empfehlungen für eine gezielte Implementierung des IT-Sicherheitsgesetzes " Änderung der Fraktionen von CDU/CSU und SPD zum "Gesetzentwurf der Bundesverwaltung über das IT-Sicherheitsgesetz".