IT-Sicherheitsgesetz 2.0

IT-Sicherheitsgesetz 2.0 ist in aller Munde

Der Gesetzgeber veröffentlichte im Jahr 2015 das IT-Sicherheitsgesetz in der ersten Fassung. Darin sind kritische Versorgungsdienstleistungen definiert und Anforderungen zur Erhöhung der Informationssicherheit aufgeführt, welche die betroffenen Organisationen erfüllen müssen.

Unter anderem wurden folgende Forderungen definiert:

• Etablierung eines ISMS durch die Betreiber
• Herstellung des Stands der Technik in Bezug auf Informationssicherheit
• Regelmäßige Durchführung von Audits und Zertifizierungen
• Erfüllung von Melde- und Informationspflichten
• Möglichkeit der Erstellung von Branchenspezifischen Sicherheitsstandards (B3S)

Gleichzeitig wurde mit dem ersten IT-Sicherheitsgesetz die Möglichkeit geschaffen, Bußgeldern bis zu 100.000 Euro zu verhängen. Im Gesetzentwurf zum IT-Sicherheitsgesetz 2.0 soll der Bußgeldrahmen nun bis auf 20 Mio. € bzw. 4% des jährlichen Unternehmensumsatzes erweitert werden, gleichzeitig soll der Katalog zu den Tatbeständen erweitert werden. Darüber hinaus sind weitere Änderungen geplant, die in den folgenden Beispielen dargestellt werden:

Das BSI soll weitreichende zusätzliche Kompetenzen erhalten und soll u.a. Risiken in öffentlich zugänglichen IT-Systemen detektieren, Krisenreaktionspläne und Festlegung von Mindeststandards für die IT-Sicherheit des Bundes aufstellen können.

Der Kreis der durch das Gesetz Betroffenen soll erweitert werden. So werden auch Unternehmen der Entsorgungswirtschaft und auch Infrastrukturen im besonderen öffentlichen Interesse (z.B. Rüstungs- und Chemiebranche), Betreiber mit „Cyberkritikalität“ (z.B. IT-Dienstleister) oder auch Anbieter von Telekommunikationsdiensten adressiert.

Auch Hersteller von IT-Komponenten sollen mit dem neuen Gesetz verpflichtet werden können. Dies betrifft u. a. IT-Produkte, die von hoher Bedeutung für das Funktionieren des Gemeinwesens sind. Die Hersteller sollen dabei eine Vertrauenswürdigkeitserklärung vorlegen, die die gesamte Lieferkette umfasst. Weiterhin sollen bedeutsame Dienstleister eine solche Vertrauenswürdigkeitserklärung vorlegen.

Die Themen Sicherheit in 5G-Netzen und der Verbraucherschutz werden im Gesetzentwurf ebenso adressiert. Darüber hinaus fordert der Gesetzgeber im aktuellen Referentenentwurf auch technische Werkzeuge bzw. Systeme zur Angriffserkennung.

Eine Menge von Änderungen, mit teilweise erheblichen Auswirkungen für die Betroffenen.

Es deutet vieles darauf hin, dass eine Verabschiedung des neuen IT-Sicherheitsgesetzes kurz bevor steht.