Betreff: Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT- Sicherheitsgesetz)

Transkript

1 Bundesministerium des Innern z.hd. Herrn Dr. Düring Alt-Moabit 101 D Berlin Per ITII1@bmi.bund.de Berlin, Betreff: Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT- Sicherheitsgesetz) hier: Beteiligung von Verbänden und Fachkreisen ( 47 Absatz 3 der Gemeinsamen Geschäftsordnung der Bundesministerien - GGO) Aktenzeichen: ITII /7#2 Stellungnahme des Bundesverbandes Gesundheits-IT e.v. (bvitg) Sehr geehrter Herr Dr. Düring, leider sind wir nicht in ihrem Verteiler der zur Anhörung berechtigten Verbände aufgeführt. Ich bitte Sie, dies wenn möglich für die Zukunft zu ändern, so dass auch uns immer dann Gelegenheit zur Stellungnahme gegeben wird, wenn die Belange der Hersteller der Gesundheits-IT betroffen sind. Ich bedaure ausdrücklich, dass ich aufgrund dieser Tatsache die Frist zur Abgabe einer Stellungnahme nicht habe einhalten können, bitte aber dennoch darum, unsere Anregungen und Anmerkungen in den weiteren Meinungsbildungsprozess einfließen zu lassen. Vorbemerkungen: Der Bundesverband Gesundheits-IT bvitg e.v. (bvitg) vertritt in Deutschland die führenden Hersteller von IT-Lösungen im Gesundheitswesen. Mit seinen 53 Mitgliedsunternehmen repräsentiert der bvitg mehr als 90 % der Hersteller von IT-Lösungen für den ambulanten und stationären Bereich, inklusive der Unternehmen, die IT-Lösungen für Rehabilitations-, Pflege- und

2 Sozialeinrichtungen herstellen. Das Marktvolumen der IT im Gesundheitswesen betrug Ende 2012 rund 1,6 Milliarden EUR, Tendenz steigend. Somit ist der Bundesverband Gesundheits-IT die maßgebliche Interessenvertretung der Hersteller von IT im Gesundheitswesen auf Bundesebene und sollte grundsätzlich immer dann als Sachverständiger zur Stellungnahme aufgefordert werden, wenn im Rahmen von Gesetzesinitiativen die Belange der Gesundheit-IT Hersteller mittelbar oder unmittelbar betroffen sind. Der Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT- Sicherheitsgesetz) tangiert in vielfältiger Weise die Interessen der Hersteller von IT im Gesundheitswesen. Daher nehme ich die Gelegenheit heute war, um zu dem benannten Gesetz wie folgt Stellung zu nehmen: Allgemeine Vorbemerkung Mit dem Gesetz soll eine signifikante Verbesserung der Sicherheit informationstechnischer Systeme (IT-Sicherheit) in Deutschland erreicht werden. Die vorgesehenen Neuregelungen dienen dazu, die Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität datenverarbeitender Systeme zu verbessern und die Systeme der IT-Sicherheitslage anzupassen. Die in diesem Zusammenhang vorgesehene Stärkung vom BSI bzw. die Beleihung mit zusätzlicher Kompetenz als Standardgeber für die Datensicherheit Kritischer Infrastrukturen, zu denen auch die Gesundheitsversorgung gezählt wird, wird unsererseits grundsätzlich begrüßt; jedenfalls vor dem Hintergrund, dass damit deutschlandweit einheitliche Standards bezüglich Datensicherheit und damit auch indirekt für weite Teile des Datenschutzes etabliert werden. Allerdings muss bei der Konkretisierung und den ggf. weiteren zu ergreifenden untergesetzlichen Maßnahmen immer auch die Tatsache Berücksichtigung finden, dass Firmen schon mit einer Fülle von technischen und organisatorischen Sicherheitsanforderungen aufgrund eines Flickenteppichs aus länderspezifischen Regelungen in Landesdatenschutz- und Krankenhausgesetzen konfrontiert sind. Mit dem IT-Sicherheitsgesetz und den sich daraus resultierenden Anforderungen für Betreiber von kritischer Infrastruktur sollte daher auch eine Dynamik in Richtung bundeseinheitlicher Datenschutzbestimmungen erwartet werden dürfen. Zum Erfüllungsaufwand für die Wirtschaft: Der Gesetzgeber geht davon aus, dass u. a. der Erfüllungsaufwand für die Einhaltung eines Mindestniveaus an IT-Sicherheit und die Einrichtung und Aufrechterhaltung entsprechender

3 Meldewege entstehen wird, was wir ebenso sehen. Dagegen widersprechen wir der Auffassung des Gesetzgebers entschieden, dass dieser faktisch nur dort zu Mehrkosten führen wird, wo bislang noch kein hinreichendes Niveau an IT-Sicherheit bzw. keine entsprechenden Meldewege etabliert sind. Der Gesetzgeber führt in seiner Begründung hierzu aus, dass schon jetzt die relevanten Vorfälle von den Betreibern auch ohne die im Gesetz vorgesehene Meldepflicht untersucht, bewältigt und dokumentiert werden müssen. Er unterstellt also, dass der Aufwand aus dem Vollzug des Gesetzes auch heute schon dem Aufwand für den Status-quo entspricht. Dies ist in zweierlei Hinsicht ein Trugschluss: Zum einen da die mit dem Gesetz vorgesehenen Regelungen tief in bestehende Prozesse eingreifen und folgerichtig mit Mehrkosten für Betreiber entsprechender Infrastrukturen einhergehen; insbesondere die Regelungen der 8a ff sowie die im Zusammenhang mit der Zertifizierung und Überprüfung stehenden Regelungen. Zum anderen werden durch das Gesetz schon jetzt ohne dass die Kriterien nach 10 feststehen Betreiber adressiert, die bisher nicht oder nur rudimentär verpflichtet waren, Vorkehrungen für eine systematische Vorfallsbearbeitung zu treffen. Eine Regelung, die Unternehmen verpflichten auf Vorgabe des BSI jeglichen Mehraufwand für Datensicherheit zu tragen, ist inakzeptabel. Im besonderen Maße im gesundheitswirtschaftlichen Umfeld. Ganz wesentlich wird hier die Frage zu diskutieren sein, welche Unternehmen tatsächlich wie erfasst sind. Das alleinige Abstellen auf die Unternehmensgröße im Sinne der Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003 ist wenig hilfreich; denn wie wir insbesondere im Gesundheitswesen wissen kommt es bei der Umsetzung immer neuer Anforderungen bei ansonsten statischen Bedingungen eben genau nicht auf die Unternehmensgröße allein an. Wenn jetzt noch die zumeist klein und mittelständisch geprägten Leistungserbringer im Gesundheitswesen als Nutzer kritischer Infrastrukturen von dem Gesetz erfasst würden, würde die unspezifische Übernahme von großindustriellen Standards zu Verwerfungen führen, die im schlimmsten Falle mit dem Versorgungsauftrag der Branche in Konflikt geraten. Es ist daher geboten, die Standards des BSI konsequent auf den Begriff der "Infrastruktur" zu beschränken, der in der Telematikinfrastruktur im Gesundheitswesen eine bereichsspezifische Ausprägung erfährt. Damit kann sichergestellt werden, nicht die Applikationen oder die Medizintechnik zu erfassen. Zu 2 Begriffsbestimmung Zu den relevanten Sektoren gehört auch der Gesundheitsbereich. Folglich sind zur Umsetzung der in den 8a und 8b des BSI-Gesetzes getroffenen Vorgaben auch für den Gesundheitssektor die Einrichtungen, Anlagen oder Teile zu identifizieren, die für das Funktionieren des Gemeinwesens und die Sicherung der Grundbedürfnisse der Bevölkerung von hoher Bedeutung sind und insoweit

4 besonders schutzwürdig und deswegen als Kritische Infrastrukturen im Sinne des BSI-Gesetzes einzustufen sind. Für die weitere Konkretisierung bedarf es laut Gesetzgeber der sektor- und branchenspezifischen Einbeziehung aller betroffenen Kreise wobei richtigerweise darauf hingewiesen wird, dass die jeweils anzulegenden Maßstäbe nur in einem gemeinsamen Arbeitsprozess mit Vertretern der möglicherweise betroffenen Betreiber Kritischer Infrastrukturen und unter Einbeziehung der Expertise von externen Fachleuten in sachgerechter Weise erarbeitet werden können. Es steht außer Frage, dass die für die Wahrnehmung der Interessen der Gesundheits-IT maßgeblichen Spitzenorganisationen auf Bundesebene ein Anhörungsrecht vor Verabschiedung und Inkrafttreten der entsprechenden Regelungen eingeräumt bekommen sollten. In diesem Zusammenhang verweise ich ausdrücklich auf meine Ausführungen zu 10 Abs. 1 (s.u.). Zu 8a (Sicherheit in der Informationstechnik Kritischer Infrastrukturen) Zweck von Absatz 1 ist der ordnungsgemäße Betrieb Kritischer Infrastrukturen im Sinne des BSI- Gesetzes und die fortlaufende Verfügbarkeit der jeweils angebotenen, in der Rechtsverordnung nach 10 als kritisch eingestuften Dienstleistungen. Es erscheint hier dringender Klärungsbedarf dahingehend, inwieweit tatsächlich auch Dienstleistungen, die sich einer kritischen Infrastruktur bedienen, erfasst werden sollen. Sowohl der Wortlaut des Gesetzes als auch das Prinzip der Verhältnismäßigkeit legen nahe, dass es sich nicht um alle für Zwecke der Gesundheitsversorgung durchgeführte und digital erfasste Dienstleistungen handeln kann. Stattdessen ist der Anwendungsbereich des Gesetzes auch im Gesundheitsbereich auf die Infrastruktur und infrastrukturnahen Dienstleistungen zu beschränken und eindeutig in Abstimmung mit Vertretern von Anwendern und Anbietern festzulegen. Im Übrigen verweise ich hier auf meine Ausführungen unter dem Punkt Erfüllungsaufwand zur Fokussierung auf den Begriff Infrastruktur, welche gleichermaßen auch hier gelten. Denn die Feststellung des Gesetzgebers, dass eben nicht nur informationstechnische Systeme, sondern auch informationstechnische Komponenten sowie informationstechnische Prozesse, also die Vorgänge der Informationsverarbeitung, erfasst sind, auch dann, wenn der Betreiber seine IT durch einen externen Dienstleister betreiben lässt, kann dahingehend interpretiert werden, dass eben auch die Mehrheit der Leistungserbringer im Gesundheitswesen, die sich regelmäßig dieser Strukturen bedienen, die Anforderung dieses Gesetzes zu erfüllen haben; mit eben genau den unter dem Punkt Erfüllungsaufwand benannten Konsequenzen.

5 Zu 8c Anwendungsbereich Zu Abs. 1., Ausnahme für Kleinstunternehmen, kleine und mittlere Unternehmen: Kleinstunternehmen, kleine und mittlere Unternehmen werden entsprechend ihrer Mitarbeiterzahl und ihres Umsatzes bzw. der Bilanzsumme definiert. Ein mittleres Unternehmen wird definiert als ein Unternehmen, das weniger als 250 Mitarbeiter beschäftigt und dessen Umsatz 50 Mio. Euro oder dessen Jahresbilanz 43 Mio. Euro nicht überschreitet. Ein kleines Unternehmen wird definiert als ein Unternehmen, das weniger als 50 Mitarbeiter beschäftigt und dessen Umsatz oder Jahresbilanz 10 Mio. Euro nicht überschreitet. Ein Kleinstunternehmen wird definiert als ein Unternehmen, das weniger als 10 Mitarbeiter beschäftigt und dessen Umsatz oder Jahresbilanz 2 Mio. Euro nicht überschreitet. Diese Festlegung ist ausdrücklich zu begrüßen. Auch die Tatsache, dass hierüber erst auf Verlangen des BSI mittels einer Selbstauskunft mit entsprechenden Unterlagen Auskunft zu erteilen ist. Zu Abs. 2 und 3: Hier wird klargestellt, dass die 8a und 8b Abs. 3 bis 5 keine Anwendung auf Betreiber Kritischer Infrastrukturen finden, soweit sie ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen, sowie Betreiber von Telematikinfrastrukturen nach 291a des Sozialgesetzbuchs Fünftes Buch sind. Die Regelung normiert insoweit einen allgemeinen Vorrang speziellerer Anforderungen und nimmt damit insbesondere den Fall in den Blick, dass nach Inkrafttreten des Gesetzes in anderen Regelungsbereichen mit 8b des BSI-Gesetzes bzw. den spezialgesetzlich normierten Regelungsbereichen vergleichbare Regelungen getroffen werden. In der Gesetzesbegründung wird ferner klargestellt, dass - zur Vermeidung unnötiger Doppelregulierungen - auch sonst vergleichbare oder weitergehende Vorgaben in oder auf Grund von Spezialgesetzen nicht berührt werden. Mit Blick auf die Einrichtungen und Unternehmen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste anbieten, wird auf die in der Gesetzesbegründung geltenden Spezialnormen verwiesen. Für den Bereich der Betreiber der Telematikinfrastrukturen fehlen entsprechende Bezüge. Um auch hier eine Angleichung der Anforderungen für Betreiber Kritischer Infrastrukturen herstellen zu können, sollte zumindest auf die einschlägigen Regelungen Bezug genommen werden und diese ggf. ergänzt werden. Andernfalls würden die Telematikinfrastruktur und deren Betreiber gänzlich von den Regelungen der Kritischen Infrastruktur ausgenommen. In diesem Fall fehlt eine entsprechende Begründung.

6 10 Ermächtigung zum Erlass von Rechtsverordnungen Zu 10 Absatz 1: Hier wird das Bundesministerium des Innern ermächtigt, in Konkretisierung der systemischen Definition Kritischer Infrastrukturen nach 2 Absatz 10 des BSI-Gesetzes - im Einvernehmen mit den genannten Bundesministerien - die Kriterien zur Bestimmung derjenigen Einrichtungen, Anlagen oder Teile von solchen festzulegen, die als Kritische Infrastruktur im Sinne des BSI-Gesetzes einzuordnen sind. Diese Konkretisierung im Detail bedarf der sektor- und branchenspezifischen Einbeziehung aller betroffenen Kreise (Verwaltung, Wirtschaft und Wissenschaft) im Rahmen der Erstellung einer Rechtsverordnung. Um sicherzustellen, dass neben den betroffenen Wirtschaftsverbänden auch die für die Wahrnehmung der Interessen der Gesundheits-IT maßgeblichen Spitzenorganisationen auf Bundesebene bei der Anhörung zu berücksichtigen sind, schlagen wir eine Konkretisierung wie folgt vor (Ergänzung in fett und kursiv): Das Bundesministerium des Innern bestimmt nach Anhörung von Vertretern der Wissenschaft, betroffener Betreiber und der betroffenen Wirtschaftsverbände sowie die für die Wahrnehmung der Interessen der Gesundheits-IT maßgeblichen Spitzenorganisationen auf Bundesebene im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie, dem Bundesministerium der Justiz und für Verbraucherschutz, dem Bundesministerium der Finanzen, dem Bundesministerium für Arbeit und Soziales, dem Bundesministerium für Ernährung und Landwirtschaft, dem Bundesministerium für Gesundheit, dem Bundesministerium für Verkehr und digitale Infrastruktur, dem Bundesministerium der Verteidigung und dem Bundesministerium für Umwelt, Naturschutz, Bau und Reaktorsicherheit anhand der in den jeweiligen Sektoren erbrachten Dienstleistungen durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, ab welchem Schwellenwert welche Einrichtungen, Anlagen oder Teile davon als Kritische Infrastrukturen im Sinne dieses Gesetzes gelten. Zugang zu Akten, die die Erstellung oder Änderung dieser Verordnung betreffen, wird nicht gewährt. Mit freundlichen Grüßen Ekkehard Mittelstaedt Geschäftsführer