IT-Sicherheitsgesetz: Bundestag gibt grünes Licht

In unserem Blogbeitrag vom 06.02.2015 hatten wir bereits über das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) berichtet. Der  Gesetzentwurf wurde nunmehr in der vom Innenausschuss zuletzt geänderten Fassung beschlossen. Dies gab der Bundestag mit seiner Pressemitteilung vom 10.06.2015 bekannt. Was kommt auf Unternehmen zu?
Die Entwurfsverabschiedung erfolgte gegen die Stimmen der Opposition.  Kritisiert wurde unter anderem, dass der Gesetzentwurf angesichts der massiven Sicherheitslücken im IT-Bereich nicht früher vorgelegt worden sei. Problematisch sei ebenfalls der Bereich der Speicherung von Daten aus Telekommunikationsvorgängen durch die Telekommunikationsanbieter (TK-Anbieter), soweit diese zur Erkennung, Eingrenzung und Beseitigung von Störungen an Telekommunikationsanlagen dienen sollen. Es wird befürchtet, dass dies gegebenenfalls einer Art von Vorratsdatenspeicherung gleichkomme.
Im Fokus des Gesetzesentwurfes steht die Verbesserung der Sicherheit informationstechnischer Systeme (IT-Systeme). Betreiber sogenannter „Kritischer Infrastrukturen“, also Einrichtungen, die für das Funktionieren des Gemeinwesens von zentraler Bedeutung sind, wird demnach ein Mindestniveau an IT-Sicherheit auferlegt. Sie werden verpflichtet sein,  IT- Sicherheitsvorfälle dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Diese Informationen sollen vom BSI ausgewertet und sodann den Betreibern zur Verbesserung des Schutzes ihrer IT-Infrastrukturen zur Verfügung gestellt werden. Ferner sollen zur Stärkung des Schützes der Bürger, TK-Anbieter verpflichtet werden, IT-Sicherheit „nach dem Stand der Technik“ zu gewährleisten und IT-Sicherheitsvorfälle, die zu einem unerlaubten Zugriff auf Systeme der Nutzer oder einer Beeinträchtigung der Verfügbarkeit führen können, direkt über die Bundesnetzagentur an das BSI zu melden. Daneben haben die TK-Anbieter die betroffenen Nutzer unmittelbar über die bekannten Störungen zu unterrichten, die durch Schadprogramme auf den datenverarbeitenden Systemen verursacht werden. Unter anderem soll auch das Bundeskriminalamt „im Bereich Cyberkriminalität angesichts der zunehmenden Zahl von IT-Angriffen gegen Bundeseinrichtungen und gegen bundesweite Kritische Infrastrukturen in seinen Rechten gestärkt“ werden.
Mit dem Änderungsantrag sollen die Betreiber kritischer Infrastrukturen bei der Sicherung ihrer Systeme, Komponenten und Prozesse stärker als bisher auf die Einhaltung des Standes der Technik verpflichtet werden. Zudem sollen dem Antrag zufolge in dem Gesetz unter anderem Bußgeldvorschriften festgeschrieben werden. Neben der Kritik der Opposition sieht vor allem die Wirtschaft durch die Einführung der Meldepflicht eine erhebliche finanzielle Belastung. So werden die Kosten für Meldepflichten auf 1,1 Milliarden Euro pro Jahr für die deutsche Wirtschaft geschätzt. Die gab der Branchenverband Bitkom in seiner Pressemitteilung vom 07.07.2015 bekannt 
Bildnachweis: cherezoff – Fotolia