Was sieht das Gesetz vor?

Transkript

1 Die Bundesregierung plant ein IT Sicherheitsgesetz. Dieses liegt aktuell als Referenten- entwurf des Innenministeriums vor und wird zwischen den einzelnen Ministerien abgestimmt. Im Internet wird viel darüber diskutiert, vor allem wird bemängelt, dass durch das Gesetz eine neuerliche Form der Vorratsdatenspeicherung eingeführt wird. 1 Dieser Artikel befasst sich mit den Konsequenzen, die sich für Unternehmen aus diesem Gesetzesvorhaben ergeben. Was wird also voraussichtlich von den Unternehmen gefordert und wie sollten Unternehmen diese Forderungen umsetzen? Was sieht das Gesetz vor? Das IT Sicherheitsgesetz, genauer: Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, wird kein eigenes Gesetz wie das Bundesdatenschutzgesetz sein. Es ändert bestehende Gesetze. Diese Änderungen sind: Änderungen am BSI- Gesetz Das BSI- Gesetz regelt die Befugnisse und Tätigkeiten des Bundesamts für Sicherheit in der Informationstechnik. In diesem werden in 2 (Begriffsbestimmungen), folgende Absätze 10 und 11 aufgenommen: (10) Kritische Infrastrukturen im Sinne dieses Gesetzes sind die durch die Rechtsverordnung nach 10 Absatz 1 näher bestimmten Einrichtungen, Anlagen oder Teile davon in den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen, die von hoher Bedeutung für das Funktionieren des Gemeinwesens sind und durch deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe oder erhebliche Störungen der öffentlichen Sicherheit eintreten würden. (11) Betreiber Kritischer Infrastrukturen im Sinne dieses Gesetzes sind alle Unternehmen, die Kritische Infrastrukturen betreiben, mit Ausnahme [von]... Kleinstunternehmen. [...] Damit ist zugleich der Rahmen für das BSIG abgesteckt: nicht die gesamte Wirtschaft wird schärferen Sicherheitsbestimmungen unterworfen sondern lediglich Anbieter kritischer Infrastrukturen. Innerhalb der Branchen wird es mit Sicherheit Abstufungen geben. Nicht jedes Unternehmens des Ernährungssektors ist gleich kritisch für die Grundversorgung der Bürger. Ob aber wirklich nur Kleinstunternehmen gemäß EU Empfehlung ausgenommen werden, bleibt abzuwarten. In 3 wird eine Reihe von Ergänzungen vorgenommen, die für Unternehmen nicht von Bedeutung sind. Neu hinzugefügt wird die Möglichkeit, dass sich Betreiber kritischer Infrastrukturen vom BSI beraten und unterstützen lassen können. In der Praxis wird das BSI in diesen Fällen wohl auf qualifizierte Sicherheitsdienstleister verweisen. In 7 wird das BSI ermächtigt, Warnungen vor Sicherheitslücken zu veröffentlichen und Sicherheitsmaßnahmen zu empfehlen. Auf diesen Punkt wird noch einzugehen sein. Neu eingefügt wird 7a: 1 Siehe Quellenangaben am Ende des Dokuments 2014 Leitzbach GmbH. Alle Rechte vorbehalten 1

2 (1) Das Bundesamt darf zur Wahrnehmung seiner Aufgaben nach 3 Absatz 1 Nummer 1 und 3 Absatz 3 informationstechnische Produkte, Systeme und Dienste untersuchen. Es darf sich dazu aller geeigneten technischen Mittel sowie der Unterstützung Dritter bedienen. (2) Die aus den Untersuchungen gewonnenen Erkenntnisse dürfen nur zur Förderung der IT- Sicherheit genutzt werden. Das Bundesamt darf seine Bewertung der Sicherheit der untersuchten Produkte, Systeme und Dienste weitergeben und veröffentlichen. 7 Absatz 1 Satz 2 und 3 ist entsprechend anzuwenden. Der Begründung des Referentenentwurfs zufolge soll das BSI die Möglichkeit erhalten, Produkte und Dienste zu bewerten, also z.b. die Sicherheit öffentlich zugänglicher Software wie Virenscanner, Spamfilter, Webserver oder auch Cloud- Dienste. Aus dem Referentenentwurf geht nicht hervor, inwieweit auch nicht- öffentliche Dienste (z.b. Schufa, Creditreform, Datev) geprüft werden können. Andererseits ist aufgrund der schieren Menge solcher Dienste nicht davon auszugehen, dass sich das BSI dieser überhaupt annehmen möchte. Neue Anforderungen an Unternehmen Für Unternehmen relevant ist der neue 8a, der den Unternehmen die Verpflichtung zur Einführung angemessener organisatorische und technische Vorkehrungen zum Schutz der IT auferlegt. Diese Vorkehrungen müssen auch mindestens alle zwei Jahre auditiert und das Ergebnis dem BSI vorgelegt werden. Außerdem sind die Unternehmen verpflichtet dem BSI alle Ausfälle der kritischen Infrastruktur zu melden. Diese Meldepflicht erstreckt sich auch auf drohende Ausfälle. Es bleibt abzuwarten, wie die Verordnung diese Meldepflicht näher ausgestaltet. Änderungen am Telemediengesetz (TMG) Das Telemediengesetz erfasst ganz generell alle Online- Angebote. Den meisten Unternehmen ist das TMG wegen der sich aus 5 TMG ergebenden Informationspflichten. Diensteanbieter sollten sich generell mit 13 TMG vertraut machen. Diese Norm wird ergänzt um den neuen Absatz 7: (7) Diensteanbieter... haben, soweit dies technisch möglich und zumutbar ist, für geschäftsmäßig in der Regel gegen Entgelt angebotene Telemedien durch die erforderlichen technischen und organisatorischen Vorkehrungen sicherzustellen, dass ein Zugriff... nur für Berechtigte möglich ist. Bei personalisierten Telemediendiensten ist den Nutzern die Anwendung eines sicheren und dem Schutzbedarf angemessenen Authentifizierungsverfahrens anzubieten. Zu den technischen Vorkehrungen zählt der Referententwurf auch die Möglichkeit, Nutzungsdaten zum Erkennen, Eingrenzen oder Beseitigen von Störungen zu erheben. An dieser Erlaubnisnorm (sowie die weiteren Erlaubnis im TKG, siehe unten) stören sich allgemein die Datenschützer Leitzbach GmbH. Alle Rechte vorbehalten 2

3 Änderungen am Telekommunikationsgesetz (TKG) Das TKG wird ebenfalls geändert. Diese Änderungen sind aber nur graduell, da die TK- Branche ohnehin von Bestimmungen erfasst wird, die nun über das IT Sicherheitsgesetz auf weitere Branchen ausgedehnt werden. Weitere Änderungen an Gesetzen Einige weitere Gesetze werden geändert, dies hat aber keinen Einfluss auf die Privatwirtschaft. Zu den Gesetzen zählen das Außenwirtschaftsgesetz (reguliert Exporte) und das Bundeskriminalamtsgesetz Leitzbach GmbH. Alle Rechte vorbehalten 3

4 Praktische Auswirkungen Relevant ist das IT- Sicherheitsgesetz für Ihr Unternehmen also in zwei Fällen: Sie sind Betreiber einer kritischen Infrastruktur und kein Kleinstunternehmen oder Sie sind Betreiber eines Telemediendienstes, der geschäftsmäßig gegen Entgelt angeboten wird (z.b. Online- Shop, Cloud- Service) Als Betreiber kritische Infrastrukturen sollten Sie folgendes in Ihrem Maßnahmenplan für die kommenden Jahre berücksichtigen: Sie müssen die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zum so genannten IT- Grundschutz umsetzen Sie müssen diesen IT- Grundschutz alle 2 Jahre auditieren lassen und dem BSI das Ergebnis des Audits melden Sie müssen einen Alarmplan für Betriebsstörungen erstellen Sie benötigen einen so genannten Business Continuity Plan Ihre kritischen Infrastrukturen müssen über ein Disaster Recovery Konzept verfügen Ihre IT- Infrastruktur muss, um den Vorgaben zu genügen, ein mehrstufiges, mit Firewalls und Intrusion Detection Systems ausgestattetes Sicherheitssystem bieten. Als Betreiber eines Telemediendienstes müssen Sie in jedem Fall folgende Vorgaben erfüllen: Sie benötigen ein abgestuftes Benutzer- und Berechtigungskonzept mit sicherer Authentifizierung. Sie müssen den IT- Grundschutz umsetzen Welche Maßnahmen für Sie und Ihr Unternehmen am geeignetsten sind hängt von vielen Faktoren ab. Gleiches gilt für die Umsetzung der Anforderungen. Das IT- Sicherheitsgesetz wird kommen, dies ist sicher. Zwecks rechtzeitiger Planung stehen wir Ihnen gerne für eine unverbindliche Erstberatung zur Verfügung. Ihr Ansprechpartner: Andreas Leitzbach Leitzbach GmbH Klingenberg Ansbach (0981) Leitzbach GmbH. Alle Rechte vorbehalten 4

5 Quellen Referentenentwurf des Bundesinnenministeriums: wurf_it- Sicherheitsgesetz.pdf? blob=publicationfile Heise Online zum Referentenentwurf: Permalink: Urheberrecht und Disclaimer Copyright 2014 Leitzbach GmbH. Alle Rechte vorbehalten. Kopie, Druck, Weitergabe, Veröffentlichung nur im Originalzustand mit Urheberschaft und ohne Ergänzungen, Veränderungen oder Auslassungen gestattet. Wir haben größte Sorgfalt bei der Erstellung dieser Information walten lassen. Wir weisen jedoch darauf hin, dass die seriöse Quellenlage zum Zeitpunkt der Erstellung keine detailliertere Darstellung erlaubt und sich das Gesetz immer noch im Entwurfsstadium befindet. Wir werden diese Information von Zeit zu Zeit überarbeiten, um den aktuellen Entwicklungen Rechnung zu tragen. Die jeweils aktuelle Version dieses Dokuments können Sie hier herunterladen: gmbh.de/index.php/de/downloads.html 2014 Leitzbach GmbH. Alle Rechte vorbehalten 5