Am 25. Juli 2015 ist das IT-Sicherheitsgesetz in Kraft getreten. Damit will das Bundesamt für Sicherheit in der Informationstechnik (BSI) den digitalen Schutz stärken. Dazu gehört auch eine Meldepflicht für Cyberangriffe. Denn so verschafft sich das BSI einen Überblick über Viren, Trojaner und andere Hacking-Methoden, die im Netz aktiv sind, und kann damit dazu beitragen, entsprechende Schutzmaßnahmen zu entwickeln. In erster Linie richtet sich das Gesetz an Betreiber „kritischer Infrastrukturen” (KRITIS). Dazu zählen Unternehmen aus den Sektoren Energie, ITK, Wasser, Transport und Verkehr, Gesundheit sowie Finanz- und Versicherungswesen. Denn Anschläge in diesen Branchen hätten weitreichende Folgen für die Gesellschaft. Daher gelten hier die höchsten Sicherheitsstandards.
Die genaue Bestimmung der KRITIS regelt eine Rechtsverordnung, die das Bundesministerium des Innern (BMI) noch in diesem Jahr erlassen wird. Fest steht schon: KRITIS müssen dem Stand der Technik entsprechende Sicherheitsmaßnahmen schaffen und sich alle vier Jahre einer Überprüfung dieser Maßnahmen unterziehen. Das neue Gesetz verpflichtet KRITIS-Betreiber erstmals, IT-Sicherheitsvorfälle an das BSI zu melden. Das betrifft zunächst nur die Betreiber von Kernkraftwerken und Telekommunikationsunternehmen. Wie die Meldepflicht bei erheblichen Sicherheitsvorfällen aussieht, regelt eine Rechtsverordnung, die noch zu verabschieden ist.
Hohe Standards
Die Infrastrukturen, die M-net als Betreiber öffentlich zugänglicher Telekommunikationsdienstleistungen bereitstellt, fallen nicht in diese Kategorie, da mögliche Angriffe keine Auswirkungen auf das staatliche Gemeinwesen hätten. Gleichwohl ist M-net künftig auch vom Gesetz verpflichtet, seine Systeme ausreichend gegen Cyberangriffe zu sichern. Eine Pflicht, die für M-net bereits unternehmerische Selbstverständlichkeit ist. Die entsprechenden Sicherheitstechnologien des Unternehmens sind bereits auf dem aktuellsten Stand und bieten einen umfassenden Schutz gegen Attacken wie DDoS-Angriffe und Ähnliches.
Auch Betreiber von Online-Shops oder Dienstleistungsportale müssen künftig den Standards des IT-Sicherheitsgesetzes genügen. Sie sind verpflichtet, technische und organisatorische Maßnahmen zu ergreifen, die dem Stand der Technik entsprechen und den Schutz ihrer Kundendaten und der von ihnen genutzten IT-Systeme gewährleisten. Zusammen mit dem IT-Sicherheitsgesetz wurde ein Absatz in § 13 des Telemediengesetzes (TMG) eingefügt. Das Gesetz sieht für Anbieter von Telemediendiensten drei Pflichten vor: den Schutz vor unberechtigtem Zugang, den Schutz der Daten und nicht zuletzt den Schutz „gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind”. Gemeint sind Angriffe durch gezielte Überlasten von Servern wie bei DDoS-Attacken.
Schneller Handlungsbedarf
Die Pflichten des IT-Sicherheitsgesetzes gelten seit dessen Inkrafttreten. Die Umsetzung sollte zeitnah erfolgen, denn bei Verstößen droht ein Bußgeld von bis zu 50.000 Euro. Ausgenommen sind KRITIS-Betreiber. Hier räumt der Gesetzgeber eine Übergangsfrist von zwei Jahren nach Erlass der Rechtsverordnung ein.
