Bundestag verabschiedet IT-Sicherheitsgesetz

Berlin, 15.06.2015 — Der Bundestag hat am 12. Juni das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, kurz IT-Sicherheitsgesetz, verabschiedet. Das Gesetz sieht die Festlegung von Mindeststandards für die IT-Sicherheit in Deutschland vor.

Betreiber sogenannter kritischer Infrastrukturen – das sind Einrichtungen, die für das Funktionieren des Gemeinwesens zentral sind - aus den Bereichen Energie, Informationstechnik und Telekommunikation, Ernährung, Wasser, Transport und Verkehr, Gesundheit sowie Finanz- und Versicherungswesen - sollen künftig einen Mindeststandard an IT-Sicherheit einhalten und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden.

Neu im Vergleich zum ursprünglichen Gesetzentwurf ist, dass Betreiber von kritischen Infrastrukturen bis zu 100.000 Euro Strafe zahlen sollen, wenn sie schwerwiegende IT-Sicherheitsvorfälle nicht den Behörden melden oder die geplanten Mindeststandards bei der IT-Sicherheit unterlaufen.

Zudem soll künftig auch die Bundesverwaltung unter den Geltungsbereich des Gesetzes fallen. Dies bewertet DER MITTELSTANDSVERBUND positiv. Einrichtungen der Regierung und der Verwaltung gehören per Definition zu den kritischen Infrastrukturen. "Dass im öffentlichen Sektor höhere Sicherheitsstandards bei der IT-Sicherheit notwendig sind, zeigt uns aktuell der Hacker-Angriff auf den Deutschen Bundestag", so Sebastian Bauknecht, Referent für Mittelstandspolitik beim MITTELSTANDSVERBUND.

Das Bundesinnenministerium soll im Rahmen einer Rechtsverordnung, nach Anhörung von Vertretern der Wissenschaft, der betroffenen Betreiber sowie der Wirtschaftsverbände bestimmen, welche Einrichtungen, Anlagen oder Teile davon als kritische Infrastrukturen gelten. Das Anhörungsverfahren soll dabei zweigeteilt werden: Ende 2015 sollen die Vertreter der Sektoren Energie, Informationstechnik und Telekommunikation, Ernährung und Wasser angehört werden. 2016 folgen dann die Vertreter der Sektoren Transport und Verkehr, Gesundheit sowie Finanz- und Versicherungswesen. Die Zahl der meldepflichtigen Betreiber kritischer Infrastrukturen soll bei maximal 2.000 Betreibern liegen.

Darüber hinaus können auch branchenspezifische Sicherheitsstandards durch Verbände vorgeschlagen werden. Sofern Verbundgruppen in die künftigen Verordnungen aufgenommen werden, wird DER MITTELSTANDSVERBUND ihnen auch bei der Festlegung der Standards zur Seite stehen.

Das Gesetz stößt beim MITTELSTANDSVERBUND wegen der unklaren Auswirkungen auf die Mitgliedsunternehmen weiter auf Kritik. So sei das Bestreben der Bundesregierung nach einem IT-Sicherheitsgesetz zwar verständlich, weil der technische Fortschritt die Gesellschaft auch verwundbarer gemacht habe, kritisiert Bauknecht. Es sei allerdings nicht zu befürchten, dass es in den Kooperationen des Mittelstandes Versorgungsengpässe geben werde.

Weitere Informationen:

IT-Sicherheitsgesetz auf dem Weg