Warum sind Gesetze zur IT-Sicherheit sinnvoll?
Gerade in der heutigen Zeit, in der die Welt immer digitaler wird, steigen Kriminelle oftmals nicht mehr in die „Fenster“ der Opfer ein, sondern virtuell in deren „digitalen Raum“. Die sog. Hacker attackieren die Computer, Smartphones und Co mit unterschiedlichen Methoden und „rauben“ die so erhaltenen Daten. Eine Gefahr insbesondere für Unternehmen, die mit sensiblen Daten arbeiten!
Das ist auch dem Gesetzgeber nicht verborgen geblieben. Deshalb wurde das sog. IT-Sicherheitsgesetz entwickelt. Den Inhalt und die Folgen möchten wir Ihnen im Folgenden erklären.
Auf der ganzen Welt steigt die Anzahl von Cyberattacken oder Straftaten im Internet. Das ist für Privatpersonen eine Gefahr zum Beispiel im Fall von Identitätsmissbrauch und Online-Shopping.
Bei Unternehmen zählen jedoch die vorhandenen Daten und Informationen mit zu deren wertvollstem Kapital. Oft handelt es sich hierbei um sensible Daten. Sollten diese in falsche bzw. kriminelle Hände fallen, kann dies oftmals weitläufige und teilweise geschäftsschädigende Folgen haben. Dies kann bis zum Ruin eines Unternehmens führen.
IT-Sicherheitsgesetz wurde schon vor Jahren eingeführt
Bereits seit längerer Zeit versucht der Staat für eine optimale Sicherung von Daten zu sorgen. Deshalb wurde bereits vor Jahren das sog. IT-Sicherheitsgesetz ins Leben gerufen. Seit 2016 wird hierbei ein verstärkter Fokus auf die IT-Sicherheit im Cyberraum gelegt.
IT-Sicherheitsgesetz 2.0: Inkrafttreten und Fokus
Im Frühjahr 2021 wurde das IT-Sicherheitsgesetz 2.0 vom Bundesrat gebilligt. Es soll sichergestellt werden, dass sich alle an bestimmte Sicherheitsstandards halten. Prinzipiell ist es Sinn und Zweck des Gesetzes IT-Systeme sowie deutsche, digitale Infrastrukturen zu den weltweit sichersten zu machen.
Konkrete Ziele des IT-Sicherheitsgesetzes 2.0
Mit Inkrafttreten des IT-Sicherheitsgesetzes 2.0 soll unter anderem die Verbesserung der Sicherheit mithilfe des Schutzes von IT-Systemen und Diensten erreicht werden. Dies gilt insbesondere für die sog. kritischen Infrastrukturen (KRITIS). Hierzu zählen zum Beispiel das Finanzwesen, das Gesundheitswesen, die Wasser- sowie Stromversorgung sowie die Telekommunikation.
Gut zu wissen: Gerade und besonders in den Bereichen der KRITIS hätte eine Beeinträchtigung oder sogar ein Ausfall von Versorgungsdienstleistungen drastische Folgen für den deutschen Staat, die Wirtschaft sowie die Gesellschaft im Allgemeinen. Damit stellt die Regelung zur Sicherheit der IT-Systeme besonders im KRITIS-Bereich einen elementaren Teil des IT- Sicherheitsgesetzes dar.
Warum wurde das IT-Sicherheitsgesetz 2.0 eingeführt?
Dank der Digitalisierung gestalten sich viele Prozesse in Unternehmen einfacher, schneller und kostengünstiger. Der digitale Wandel verschafft auch Flexibilität und Wachstum. Dabei sollte man jedoch bedenken, dass durch die Digitalisierung immer mehr Sicherheitslücken in der IT-Sicherheit entstehen können.
Deshalb gibt es eine untrennbare Verbindung zwischen der Digitalisierung sowie der Informationssicherheit. Auch das hat der Bundesrat sowie der Bundestag erkannt und mit dem IT-Sicherheitsgesetz 2.0 ein deutliches sowie dringendes Update hinsichtlich der deutschen Informationssicherheit vollbracht.
IT-Sicherheitsgesetz: Inhalt aktualisiert
Diese Rechtsverordnung musste aufgrund steigender Digitalisierung entsprechend angepasst bzw. erweitert werden. Inhalt des Gesetzes in der neuen Fassung ist unter anderem, dass Betreiber sog. kritischer Infrastrukturen ab 01.05.2023 Systeme zur Angriffserkennung (bei Cyberangriffen) nutzen müssen. Zudem müssen sich diese unmittelbar beim BSI registrieren.
Das BSI stellt die übergeordnete Stelle bzw. Prüfstelle für die Einhaltung des IT-Sicherheitsgesetz dar. Dorthin müssen evtl. Beeinträchtigungen sowie IT-Störungen gemeldet werden. Das BSI überwacht die Umsetzung der IT-Sicherheit anhand dem „Stand der Technik“.
IT-Sicherheitsgesetz: Was bedeutet es für Unternehmen?
Mit Inkrafttreten des IT-Sicherheitsgesetz 2.0 ergeben sich für Unternehmen einige Änderungen. Hierin definiert sind bspw. die sog. Unternehmen mit besonderem öffentlichen Interesse. Zu diesen Unternehmen, den sogenannten UBI, zählen u.a. Unternehmen im Bereich Rüstungsmaterial, Waffen oder Munition.
Weiterhin gehören Unternehmen im Bereich der IT-Sicherheitsfunktion zur Verarbeitung staatlicher Verschlusssachen oder Unternehmen der IT-Sicherheitsfunktion solcher relevanten Komponente hierzu.
Bereits in der ersten Fassung dieser Rechtsverordnung galten für Unternehmen, die zum sog. KRITIS Bereich zählen, spezielle Anforderungen. Bei Unternehmen im KRITIS Bereich handelt es sich um Einrichtungen oder Organisationen mit relevanter Bedeutung für das staatliche Gemeindewesen.
Worauf müssen die sogenannten UBI achten?
Die sog. UBI werden wiederum unterteilt in UBI 1, UBI 2 sowie UBI 3. Aufgrund des IT Sicherheitsgesetzes 2.0 müssen sich Unternehmen, welche der UBI 1 Kategorie angehören, unmittelbar beim BSI registrieren und eine Kontaktstelle benennen.
Sollten Sicherheitsvorfälle eingetreten sein, müssen derartige Unternehmen die Störung umgehend melden. Zudem müssen diese Unternehmen alle 2 Jahre zur IT-Sicherheit eine Selbsterklärung vorlegen.
Entsprechende IT-Sicherheitszertifizierungen, anderweitige IT-Prüfungen sowie IT Sicherheitsaudits der letzten beiden Jahre sind ebenso vorzulegen wie Informationen zum Schutz speziell zu schützender IT-Systeme, Prozesse oder Komponenten. Somit haben Unternehmen der Kategorie UBI 1 derzeit noch keinen direkten Bedarf zum Handeln.
Gut zu wissen: Sollte Ihr Unternehmen in die Kategorie “UBI 2” fallen, müssen Sie vorerst noch nichts weiter machen. Sie müssen zunächst auf das Inkrafttreten der UBI Verordnung warten. Trotzdem sollten Sie das Ganze im Auge behalten.
Allerdings wird durch das BSI für UBI 1 und UBI 2 dringend empfohlen, die IT-Sicherheit im jeweiligen Unternehmen stetig zu kontrollieren, zu steigern und zu verbessern. Denn auch Hacker sind stets auf dem neuesten Stand. Nur so können derartige Unternehmen Cyberangriffen einen Schritt voraus sein.
Unternehmen der Kategorie UBI 3 hingegen sind bereits seit dem 01.11.2021 verpflichtet, etwaige Störungen umgehend gegenüber dem BSI anzuzeigen. Werden Meldungen über Störungen nicht, nicht vollständig oder auch nicht zeitnah an das BSI weitergegeben, müssen derartige Unternehmen mit empfindlichen Geldstrafen rechnen. Diese können bis zu 500.000 € betragen.
Möchten Sie Ihr Unternehmen auch vor Cyberangriffen und Co schützen? Mit unserer Sicherheitsanalyse und unserem IT-Support haben Sie mögliche Sicherheitslücken im Blick und können rechtzeitig Handeln.
