Deutsches IT-Sicherheitsgesetz: Mindeststandards für wichtige Firmen
Die Regierung beschloss am Mittwoch den Entwurf des IT-Sicherheitsgesetzes von Innenminister Thomas de Maiziere (CDU). Er sieht vor, dass sich wichtige Infrastruktureinrichtungen wie etwa Energieversorger künftig besser vor Cyberangriffen schützen.
Meldepflicht bei “erheblichen” Vorfällen
Gleiches soll für Telekommunikationsunternehmen gelten. “Mit diesem Gesetz sind wir europaweit Vorreiter und Vorbild”, erklärte de Maiziere. In Zukunft sollen Betreiber wichtiger Infrastruktureinrichtungen einen Mindeststandart an IT-Sicherheit einhalten und “erhebliche” Sicherheitsvorfälle in ihren IT-Systemen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) melden, wie das Innenministerium mitteilte.
Das BSI wertet die Störungen dann aus. Betroffen sind unter anderem die Branchen Informationstechnik, aber auch Energie, Verkehr, Transport, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen.
Kunden müssen in Kenntnis gesetzt werden
Auch für Telekommunikationsanbieter werden die Sicherheitsanforderungen erhöht. Der Gesetzentwurf sieht für die Anbieter außerdem vor, ihre Kunden zu warnen, wenn ihnen auffällt, dass etwa der Internetanschluss für Cyber-Angriffe missbraucht wird. Darüber hinaus soll die Zuständigkeit des Bundeskriminalamts bei Computerdelikten ausgeweitet werden.
Wirtschaft und Industrie reagierten weitgehend positiv auf den Entwurf. Der Bundesverband der Deutschen Industrie (BDI) teilte mit, sich dafür einzusetzen, die Regelungen des IT-Sicherheitsgesetzes mit der EU-Richtlinie für Netz- und Informationssicherheit kompatibel zu gestalten. Unterschiedliche nationale und europäische Vorgaben wären ein “Worst-Case-Szenario” für die Unternehmen.
Wer wird als “kritisch” eingestuft?
Der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (Bitkom) begrüßte zwar das Vorhaben, befürchtete aber Unsicherheiten bei der Umsetzung des Gesetzes. Noch sei etwa unklar, welche Unternehmen als Betreiber kritischer Infrastruktureinrichtungen eingestuft würden. Das gelte auch für die Frage, welche IT-Sicherheitsvorfälle als relevant oder schwerwiegend und damit als meldepflichtig eingestuft würden. (red/APA)
