Das neue IT-Sicherheitsgesetz 2.0 des Bundesinnenministeriums steht kurz vor der Verabschiedung. Es sieht unter anderem Veränderungen im Zusammenhang mit dem Schutz kritischer Infrastrukturen (KRITIS) vor.
Für KRITIS-Unternehmen soll es z.B. eine Ausweitung der Berichtspflichten geben. Carmao, Spezialist für Unternehmensresilienz, zeigt zusätzliche Pflichten auf und wie Unternehmen den neuen Anforderungen entsprechen können. Das BSI hat 2020 einen umfassenden Bericht zur Lage der IT-Sicherheit in Deutschland vorgelegt. Das Ergebnis: IT-Systeme in kritischen Infrastrukturen sind nicht ausreichend vor Cyberangriffen gefeit. Die Zahl der meldepflichtigen IT-Sicherheitsvorfälle bei KRITIS-Betreibern verzeichnete einen Anstieg von über 60 Prozent im Vergleich zu 2019. Die Bundesregierung sieht bei vielen Betreibern im Bereich Informationssicherheit Nachholbedarf, weshalb eine Anpassung des IT-Sicherheitsgesetzes auf den Weg gebracht wurde. Das neue Gesetz sieht unter anderem vor, dass Unternehmen eine verstärkte Meldepflicht gegenüber dem BSI haben, wenn bestimmte, im Gesetz definierte KRITIS-Anlagen betroffen sind. Betreiber kritischer Infrastrukturen sollen stärker in die Pflicht genommen werden, indem sie z.B. umfangreiche Dokumentations- und Berichtspflichten umsetzen müssen. Eine wesentliche Neuerung des Gesetzes ist in diesem Zusammenhang auch die Aufnahme des Bereiches ‚Entsorgung‘ in die Liste der Branchen, die kritische Infrastrukturen betreiben. Außerdem wurde die Kategorie ‚Infrastruktur von besonderem öffentlichen Interesse‘ eingeführt, für die die KRITIS-Regeln ebenfalls angewandt werden sollen. Dies betrifft unter anderem Bereiche wie Kultur, Medien und Rüstung. Auch Unternehmen ‚von erheblicher volkswirtschaftlicher Bedeutung‘ sollen im Zuge des IT-Sicherheitsgesetzes 2.0 dem BSI gegenüber darlegen, welche Maßnahmen sie zur Verbesserung ihrer IT-Sicherheit planen. Das Amt soll daraufhin zusätzliche Maßnahmen für die Unternehmen anordnen können. Außerdem sollen Unternehmen der Verpflichtung gegenüber dem BSI unterliegen, Cyberangriffe unverzüglich zu melden. Ulrich Heun, Geschäftsführer von Carmao sagt: „Experten sehen in den neuen umfangreichen Dokumentations- und Berichtspflichten keinen wesentlichen Sicherheitsgewinn – im Gegenteil: Die zusätzlichen Pflichten halten Unternehmen von ihrem Kerngeschäft ab. Betroffene Unternehmen sollten daher über ein Informationssicherheits-Managementsystem (ISMS) nachdenken oder sich an IT-Sicherheitsspezialisten wenden, um die verschärften Anforderungen erfüllen zu können.“
