„Zei­ten­wen­de für die inne­re Sicherheit“

Auf der Ebe­ne der Euro­päi­schen Uni­on wur­de die zwei­te Richt­li­nie zur Netz­werk- und Infor­ma­ti­ons­si­cher­heit (NIS‑2) bereits Ende 2022 beschlos­sen, nun wur­de sie auch durch ein Gesetz zur Stär­kung der Cyber­si­cher­heit in deut­sches Recht über­führt. Ziel ist es, das deut­sche IT-Sicher­heits­recht zu moder­ni­sie­ren und neu zu struk­tu­rie­ren. Bun­des­in­nen­mi­nis­te­rin Nan­cy Fae­ser, deren Minis­te­ri­um mit dem Gesetz­ent­wurf betraut war, erklär­te: „Die Bedro­hungs­la­ge im Bereich der Cyber­si­cher­heit ist unver­min­dert hoch. Wir erle­ben durch den rus­si­schen Angriffs­krieg gegen die Ukrai­ne und sei­ne Fol­gen auch eine Zei­ten­wen­de für die inne­re Sicher­heit. Mit unse­rem Gesetz erhö­hen wir den Schutz vor Cyber­an­grif­fen, egal ob sie staat­lich gelenkt oder kri­mi­nell moti­viert sind. Künf­tig müs­sen mehr Unter­neh­men in mehr Sek­to­ren Min­dest­vor­ga­ben für die Cyber­si­cher­heit und Mel­de­pflich­ten bei Cyber­vor­fäl­len erfül­len. Wir stei­gern das Sicher­heits­ni­veau – und sen­ken damit das Risi­ko für Unter­neh­men, Opfer von Cyber­an­grif­fen zu werden.“

Die Pflich­ten zur Umset­zung von Cyber­si­cher­heits­maß­nah­men und Mel­dung von Cyber­an­grif­fen wer­den auf mehr Unter­neh­men in mehr Sek­to­ren aus­ge­wei­tet und die Cyber­si­cher­heit der Bun­des­ver­wal­tung gestärkt. Zu den Pflich­ten gehö­ren bei­spiels­wei­se die Erstel­lung von Risi­ko­ana­ly­se­kon­zep­ten, Maß­nah­men zur Auf­recht­erhal­tung des Betriebs, Back­up-Manage­ment und Kon­zep­te zum Ein­satz von Ver­schlüs­se­lung. Außer­dem müs­sen Unter­neh­men zukünf­tig nicht nur ein­mal beim Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) vor­stel­lig wer­den, wenn ein Cyber­an­griff auf ihren Betrieb gestar­tet wur­de. Zukünf­tig müs­sen sich die Unter­neh­men in drei zeit­li­chen Stu­fen – bin­nen 24 Stun­den, via Update bin­nen 72 Stun­den und per Abschluss­be­richt bin­nen eines Monats – beim BSI mel­den. Wer sich nicht an die neu­en Regeln hält, dem dro­hen Finanz­stra­fen. Mit dem neu­en Gesetz bekommt das BSI neue Instru­men­te, um die Unter­neh­men zur Umset­zung ihrer Pflich­ten zu bewe­gen. Hier­zu zäh­len u. a. die neu­en Buß­geld­rah­men, die sich gege­be­nen­falls pro­zen­tu­al am welt­wei­ten Jah­res­um­satz eines Unter­neh­mens bemes­sen, wenn Unter­neh­men wesent­li­che Pflich­ten zur Cyber­si­cher­heit ver­let­zen – zum Bei­spiel, wenn Män­gel in der Umset­zung von Cyber­si­cher­heits­maß­nah­men nicht abge­stellt wer­den. Betrof­fen von den Maß­nah­men sind alle Unter­neh­men im Gesund­heits­we­sen mit mehr als 50 Mit­ar­bei­ten­den oder einem jähr­li­chen Umsatz von 10 Mil­lio­nen Euro.

„Künf­tig wer­den rund 29.500 Unter­neh­men zur Umset­zung von Cyber­si­cher­heits­maß­nah­men ver­pflich­tet sein. Sie gewähr­leis­ten die Ver­sor­gungs­si­cher­heit der Bevöl­ke­rung und bil­den das Rück­grat der Cyber­na­ti­on Deutsch­land. Daher wird das BSI sie dabei best­mög­lich unter­stüt­zen und die Umset­zung der gesetz­li­chen Vor­ga­ben so rei­bungs­los wie mög­lich gestal­ten“, erklärt BSI-Prä­si­den­tin Clau­dia Plattner.