Das IT-Sicherheitsgesetz Was kommt auf den Öffentlichen Sektor zu?

Transkript

1 Thomas, Akademischer Direktor Das IT-Sicherheitsgesetz Was kommt auf den Öffentlichen Sektor zu? Es wird enger.. IT-SiG; NIS-RL; EUDSVO; Leitlinie InfoSic E-Government-G;?? 2 1

2 Szenario Eine neue Art von Terrorismus bedroht 2007 von Washington, D.C. aus die USA: Ein Cyberterrorist legt mit kühlem Kalkül und ausgeklügeltem Plan eine ganze Nation auf Eis. Die brandgefährliche Organisation des genialen Kriminellen Greg plant zum Unabhängigkeitstag am 4. Juli, per Knopfdruck alle Computernetzwerke des Landes zu kappen und so die Infrastruktur Transportwesen, Kommunikation, Strom lahmzulegen. Damals ein neues Bedrohungsszenario - der Cop, der die Nation rettete, war mal wieder der Alte. Wie hieß er nochmal? Deutschland 2015: Wer wäre jetzt der Held? 3 4 2

3 Ausgangslage IT-SiG 2008: Bundesverfassungsgericht schafft Grundrecht auf IT-Sicherheit IT-Sicherheit wird zu einer wesentlichen Voraussetzung zur Wahrung der Freiheitsrechte. (Koalitionsvertrag CDU/CSU/SPD, 2013, S. 97) Informationssicherheit in der öffentlichen Wahrnehmung bisweilen im Schatten des Datenschutzes IT-SiG: Anpassung an veränderte Bedrohungslage geboten Anzahl schwerer Sicherheitslücken auf sehr hohem Niveau Professionalisierung der Angriffe IT-Sicherheit = Lebensader der Digitalen Gesellschaft 5 Rechtsinformatikzenrum 6 3

4 Ziele IT-SiG NIS-RL Ziele: 1. Schutz der Funktionsfähigkeit des Staates / der kritischen Infrastruktur 2. verbessertes Bild zur IT-Sicherheitslage in Deutschland gewinnen ( Detektion vorrangiges Interesse des BSI) 3. Schutz der Unternehmen vor Spionage und Ausspähung 4. Verstärkter Schutz der Bürgerinnen und Bürger in sicherem Netz 5. Ausbau der IT Sicherheit in der Bundesverwaltung Regulierungs-Konkurrenzen?? 7 kein einheitliches Gesetz, das eine geschlossene Einheit darstellt enthält Regelungen, die diverse (vorhandene) Gesetze betreffen Rechtsinformatikzenrum 8 4

5 Wer ist vom IT-SiG betroffen? Anbieter / Betreiber kritischer Infrastrukturen Bestimmtheitsgebot beachtet? Bundesregierung und Bundesbehörden Anbieter von Informationsdiensten / Telemedien Nicht: Landesbehörden; Kleinbetriebe Kommunaler Sektor? Adressaten Organisationshoheit = Kernbereich der kommunalen Selbstverwaltungsgarantie (Art. 28 Abs. 2 GG) - Zustimmungspflicht zur geplanten RVO? öffentlich-rechtliche Wasserversorgung als Teil der Daseinsvorsorge ein Lehrbuchfall der Leistungsverwaltung und Verwaltung der zuzuordnen Str., ob Bund gestützt auf die Gesetzgebungskompetenz aus Art. 74 Abs. 1 Ziff. 11 GG Regelungen treffen kann, die die Organisationshoheit der Gemeinden einschränken. Gesetzesbegründung erstreckt IT-SiG nicht auf Verwaltungen der Kommunen, da Bund Gesetzgebungskompetenz fehlt (vgl. BT-Drs. 18/4096, S. 24). 9 Adressaten Wer ist kritischer Infrastrukturanbieter? Betriebe, die von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, Sektorenzugehörigkeit: Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen Fehlerfolgenerheblichkeit: Hohe Bedeutung für Funktionieren des Gemeinwesens (=Qualität), weil durch Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden (=Quantität) 10 5

6 Adressaten Wer ist kritischer Infrastrukturanbieter? 2 Abs. 10 BSIG nennt kaum Kriterien und Maßstäbe für die Einstufung als kritische Infrastruktur Was meinen Sie zu Flughafen Augsburg? Münchner Verkehrsverbund MVV? Städtisches Klinikum Nürnberg? Städtische Werke Lauf a.d.pegnitz? Stadtwerke München SWM? Landratsamt Straßenverkehrsamt Weilheim-Schongau? Kreissparkasse Würzburg? 1&1? 11 IT-SiG im Überblick WAS gilt mit Inkrafttreten der RechtsVO ( 10 BSI-G)? (Nach der VO betroffene) Betreiber Kritischer Infrastrukturen werden verpflichtet, die für die Erbringung ihrer wichtigen Dienste erforderliche IT nach dem Stand der Technik angemessen abzusichern und sofern nicht andere Spezialregelungen bestehen diese Sicherheit mindestens alle zwei Jahre überprüfen zu lassen. Nachweis durch Audits, Zertifikate mgl. erhebliche IT-Sicherheitsvorfälle dem BSI zu melden ( 8b Abs.4 BSIG). Einrichtung und Aufrechterhalten einer Kontakt- und Meldestelle (24h / 365 T.) Ziel: beim BSI zusammenlaufende Informationen über IT-Angriffe auszuwerten und den Betreibern Kritischer Infrastrukturen zur Verbesserung des Schutzes ihrer Infrastrukturen schnellstmöglich zur Verfügung zu stellen. Pflicht zur Einhaltung von IT-Sicherheitsstandards besteht zwei Jahre nach Inkrafttreten der Verordnung. 12 6

7 Gefährdungen I Kompromittierung eines Webservers - WER HAFTET?? Gemeinde U erhielt ein Erpresserschreiben per mit der Aufforderung zur Zahlung von zwei Bitcoins mit einer Frist von 24 Stunden. Bei Nichtzahlung erfolge Veröffentlichung der zuvor über Kompromittierung der Webseite ausgespähten Daten. Als Beleg für die Kompromittierung wurden dem Erpresseranschreiben die Datenbankstruktur der Webanwendung sowie Screenshots beigefügt. Wie konnte es dazu kommen? Kompromittierung der Webseite war durch Ausnutzung einer bekannten Schwachstelle in dem eingesetzten Content- Management-System (CMS) möglich. Welche Schäden entstanden? Reputationsverlust durch Offenlegung vertraulicher Daten. personelle und finanzielle Aufwände für sichere Wiederherstellung der Webseite. Bußgelder 13 Adressaten Zielgruppe Telemediendiensteanbieter: Alles oder nichts? Telemediengesetz (TMG): 13 Pflichten des Diensteanbieters (7) Diensteanbieter haben, soweit dies technisch möglich und wirtschaftlich zumutbar ist, im Rahmen ihrer jeweiligen Verantwortlichkeit für geschäftsmäßig angebotene Telemedien durch technische und organisatorische Vorkehrungen sicherzustellen, dass 1. kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen möglich ist und 2. diese a) gegen Verletzungen des Schutzes personenbezogener Daten und b) gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind, gesichert sind. Vorkehrungen nach Satz 1 müssen den Stand der Technik berücksichtigen. Eine Maßnahme nach Satz 1 ist insbesondere die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens. 14 7

8 Überblick IT-SiG Wen im öffentl. Nicht-KRITIS-Sektor betrifft das Gesetz schon heute? Informationsanbieter Konkret: Unternehmens- und Behörden-Websites, Online-Shops, Blogs vgl. Ausgangsfall ebenso Privatpersonen und Vereine, wenn mit Webangebot dauerhaft Einnahmen generiert werden sollen (z.b. bezahlte Werbung in Form von Bannern). Mit welchen Pflichten? Stand der Technik ist zu berücksichtigen : gängiger juristischer Begriff; nicht allgemeingültig zu beschreiben, konkrete Fallgestaltung maßgeblich Hier: Verhindern, dass Daten manipuliert oder gestohlen werden, sowie, dass Computerviren oder Trojaner den Rechner des Nutzers infizieren ( Viren- und Hacker -Schutz). Retrospektive Betrachtung durch Justiz in Konfliktszenarien zu erwarten Verstöße bußgeldbewehrt, 16 Abs. 2 Nr. 3 TMG: Geldbuße bis zu gegenüber Reputationsschäden weiter zu vernachlässigen 15 E-Government Art. 8 Abs. 1 Bay. E-Government-Gesetz - Informationssicherheit und Datenschutz Sicherheit der informationstechnischen Systeme der Behörden ist im Rahmen der Verhältnismäßigkeit sicherzustellen Behörden haben zu diesem Zweck die technischen und organisatorischen Maßnahmen i.s.d. Art. 7 BayDSG zu treffen und die hierzu erforderlichen Informationssicherheitskonzepte zu erstellen Auch erfasst: ÖR Verwaltungstätigkeit der Gemeinden - und damit auch für Versorger in ÖR Trägerschaft ( IT-SiG) Ausgenommen: Schulen, Krankenhäuser (vgl. Art. 1 Abs.2 S.1) Ziel: Schaffung dezentraler IT-Sicherheitskonzepte Inkrafttreten: Übergangsfrist bis

9 Anerkannte ISMS-Standards Rechtsinformatikzenrum 19 Zertifizierung Rechtsvorteile durch Standards Ziel: Nachweis des Sicherheitsniveaus (= Einhaltung von vertraglichen / gesetzlichen Verkehrssicherungspflichten) durch anerkannte Audits und Zertifizierung(en) Folge: Beweislastverteilung /- Anforderung: Standard bildet konkretes Gefährd.szenario im Schadensfall hinreichend ab. Kosten-/Nutzenrelation individuell zu bestimmen Bsp. 8a Abs. 1 Satz 3 BSIG: Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung steht. 20 9

10 und nun?.. endlich, der Winterschlaf ist zu Ende..!.. es reicht, wenn ich Vorletzter bin, gefressen werden die Letzten! 21 Zielgerichtete Angriffe (APT) Erinnern Sie sich? Durch welche Fehlfunktion wurde die Mitarbeiterin alarmiert? a) Sie zählt die Sekunden vom Einschalten bis zum Soundeffekt und bemerkt, dass sich die Zeit verdoppelt hat. b) Sie kann mit ihrer Tastatur keine Akzente mehr schreiben wie á. c) Sie findet einen Ordner namens Anonymous auf ihrer Festplatte, der schreib- und lesegeschützt ist

11 Kontakt Fragen - Vertiefungsbedarf? LMU München Prof.-Huber-Platz München Thomas.@lmu.de 089 /