Kritische Infrastrukturen

Das IT-Sicherheitsgesetz tritt in Kraft

Seite: 2/2

Firmen zum Thema

Positiv wertet der Bitkom hingegen, dass nach dem jüngsten Entwurf künftig auch die Bundesverwaltung unter den Geltungsbereich des Gesetzes fallen soll. Einrichtungen der Regierung und der Verwaltung gehören per Definition zu den kritischen Infrastrukturen. Dass im öffentlichen Sektor höhere Sicherheitsstandards bei der IT-Sicherheit notwendig sind, zeigt aktuell der Hacker-Angriff auf den Bundestag.

Unter dem Strich überwiegen für den Bitkom die Vorteile des Gesetzes. Bachmann: „Die Betreiber kritischer Infrastrukturen werden in die Pflicht genommen, den Schutz vor Cyberangriffen zu erhöhen und ihre IT-Sicherheitsmaßnahmen auf dem neuesten Stand zu halten.“ Das könne mittelfristig das Schutzniveau in der Wirtschaft insgesamt erhöhen.

TeleTrusT: Der TeleTrusT – Bundesverband IT-Sicherheit e.V. begrüßt ausdrücklich, dass der Gesetzgeber einen Vorstoß mit dem Ziel unternommen hat, Defizite in der IT-Sicherheit abzubauen. Fast täglich höre man von Sicherheitsvorfällen in Unternehmen und Behörden, die zeigen dass auch in Deutschland dringender Handlungsbedarf zur Verbesserung der IT-Sicherheit besteht. „In der verabschiedeten Form wird das Gesetz jedoch wenig zur Verbesserung der Sicherheitslage beitragen“, sagt Rechtsanwalt Karsten U. Bartels, Leiter der TeleTrusT-AG „Recht“ und Mitglied des TeleTrusT-Vorstandes.

Das liege nicht zuletzt daran, dass der Gesetzgeber weder Bewertungskriterien für die sicherheitsrelevanten technischen und organisatorischen Vorkehrungen getroffen, noch sonstige Vorgaben zu Mindestanforderungen aufgestellt habe. Das Verhältnis zum technischen Datenschutz sei ebenfalls unklar, so Bartels.

Auch die Ausgestaltung der Meldepflichten von IT-Sicherheitsvorfällen und die Befugnisse des BSI werfen rechtliche und praktische Fragen auf. Die Unternehmen sehen sich vielen unbestimmten gesetzlichen Anforderungen ausgesetzt, die erhebliche Rechtsunsicherheit mit sich bringen.

BISG: Stephan Krischke, Leiter des Fachbereichs „IT-Sicherheit“ im Bundesfachverband der IT-Sachverständigen und -Gutachter (BISG) kommentiert dazu: „Die Einhaltung gewisser, der Unternehmensgröße und dem finanziellen Rahmen angepasster IT-Sicherheitsmaßnahmen (wie beispielsweise regelmäßige Datensicherung, angemessener Viren- und Internetschutz, Passwortmanagement, IT-Dokumentation, Umgang mit externen Dienstleistern etc.) sollte für alle Unternehmen verpflichtend sein. Der Fokus liegt dabei auf pragmatischen technischen Lösungen, verbunden mit organisatorischen Schritten, um die Wirksamkeit zu kontrollieren. Dies würde vielen Unternehmen helfen, die IT-Risiken zu minimieren, finanzielle Schäden in Problemsituationen im Griff zu haben und die Abhängigkeit von der IT kontrollierbar zu gestalten. Die Umsetzung solcher grundlegender IT-Maßnahmen würde selbst bei der Einführung neuer Gesetze keine große Aufregung auch innerhalb kleiner Unternehmen erzeugen.“

TÜV Rheinland: „Was im Einzelnen konkret mit welchem personellen und finanziellen Aufwand zu tun ist, hängt stark von der Branche und dem vorherrschenden Sicherheitsstandard im Unternehmen ab. Basis für jegliche Maßnahmen sollte daher eine gründliche Analyse des Ist-Zustands sein“, sagt Ralph Freude, IT-Sicherheitsexperte bei TÜV Rheinland.

(ID:43525051)