Das IT-Sicherheitsgesetz (IT-SiG)

Transkript

1 Das IT-Sicherheitsgesetz (IT-SiG) Die Lösung oder ein neues Problem? Gerald Spyra, LL.M. Kanzlei Spyra

2 Vorstellung meiner Person Gerald Spyra, LL.M. Rechtsanwalt Hohe Affinität für die IT-Sicherheit Spezialisiert auf den Informations- / Datenschutz Externer betrieblicher Datenschutzbeauftragter

3 Evgeny Kaspersky sagt What You call the Internet of Things (IoT), I call the Internet of Threats! Was will er uns damit sagen???

4 Der Status Quo (1) In allen (Lebens-) Bereichen kommt immer mehr IT zum Einsatz. Diese IT wird zunehmend miteinander vernetzt und mit der Wolke Internet verbunden (IoT). Immer mehr geschäftskritische Prozesse werden mit dieser vernetzten IT abgebildet (Cloud Computing). Zwangsläufig steigt damit die Abhängigkeit von dieser IT und dem Internet. Laut dem Gesetzentwurf zum IT-SiG sind heute schon mehr als die Hälfte der deutschen Unternehmen vom Internet (komplett) abhängig!

5 Der Status Quo (2) Mit der rapiden Zunahme der (digitalen) Datenverarbeitung wächst die Masse und die Bedeutung von Daten (Big Data). Daten werden deshalb nicht umsonst als das Gold bzw. das Öl des 21. Jahrhunderts bezeichnet. Durch die ubiquitäre Vernetzung von IT ist der Zugriff auf die IT / die Daten theoretisch von überall auf der Welt möglich! Der zunehmende Einsatz und die Vernetzung von IT bieten deshalb erhebliche Vorteile

6 Die Lichtseite Durch die Möglichkeit, immer mehr Daten zu sammeln und zu verarbeiten, lassen sich ganz neue Erkenntnisse gewinnen und u.a. zu Gunsten der Menschheit nutzen. Durch die ubiquitäre Vernetzung kommt es zu einem stetigen Informationsaustausch, so dass praktisch in Echtzeit auf kritische Ereignisse reagiert werden kann! Durch den Einsatz von immer mehr (vernetzter) IT, lassen sich Ressourcen einsparen bzw. Prozesse optimieren. Doch wo Licht ist, ist auch Schatten!

7 Die Schattenseite Je mehr vernetzte IT eingesetzt wird, umso weniger kann man diese Datenverarbeitung noch überblicken (massive Komplexität) und beherrschen. Je mehr vernetzte IT eingesetzt wird und je mehr (wertvolle) Daten hiermit verarbeitet werden, desto größer wird das Interesse unterschiedlichster Akteure, an diese Daten zu gelangen bzw. die Datenverarbeitung zu stören! Je mehr man sich auf IT verlässt, desto abhängiger wird man und desto größer kann der Schaden des IT-Ausfalls, Datenverlustes etc. sein! Dieses gilt besonders für kritische Infrastrukturen.

8 Der Status Quo bei KRITIS Die Vernetzung der unterschiedlichen Infrastrukturen schreitet immer weiter voran und damit auch die Abhängigkeit voneinander. Die Angriffe auf unterschiedliche Infrastrukturen (aus welchen Gründen auch immer) nehmen immer weiter zu! Gerade Betreiber von kritischen Infrastrukturen (KRITIS) geraten aufgrund ihrer Bedeutung für die Daseinsvorsorge, immer mehr in den Fokus der Angreifer. Zwischen den einzelnen KRITIS-Branchen gibt es erhebliche Qualitätsunterschiede im IT-Sicherheitsniveau! Aufgrund der gesteigerten Gefährdungslage und der unterschiedlichen Sicherheits-Niveaus muss deshalb eine Lösung her

9 Das IT-Sicherheitsgesetz Die Lösung? Das IT-SiG wird von vielen als DIE Lösung für die neuartigen Probleme / Bedrohungen angesehen. Es ist noch nicht in Kraft getreten und wird noch immer kontrovers diskutiert! Es gibt Stimmen, die einzelne Regelungen des IT-SiG als verfassungsrechtlich höchst problematisch ansehen. So befürchten Kritiker z. B.: eine verdeckte Einführung der Vorratsdatenspeicherung die Aushöhlung des Fernmeldegeheimnisses durch die Legitimation von deep packet inspection, Doch was ist nun eigentlich das IT-SiG?

10 Das IT-Sicherheitsgesetz (IT-SiG) Anders als es oftmals dargestellt wird, ist das IT-SiG kein eigenes, selbständiges Gesetz!!! Vielmehr ist es ein sog. Mantel- bzw. Artikelgesetz, das andere bestehende Gesetze modifizieren soll, wie z.b. das: BSI-Gesetz (BSIG); Atom-Gesetz (AtomG); Energiewirtschaftsgesetz (EnwG); Bundeskriminalamtsgesetz (BKAG); Telekommunikationsgesetz (TKG) oder das Telemediengesetz (TMG). Durch das IT-SiG soll insbesondere die Rolle des Bundesamt für Sicherheit in der Informationstechnik (BSI) gestärkt werden.

11 Die Rolle des BSI Durch das IT-SiG wird das BSI zur zentralen Stelle für die IT-Sicherheit in Deutschland. Es ist dem Bundes-Ministerium des Inneren (BMI) unterstellt, weshalb Kritiker die für die Aufgabenerfüllung notwendige Unabhängigkeit bemängeln. Das BSI soll u.a. für: die Analyse von (gemeldeten) Angriffen, die Analyse von Schadsoftware, die Erstellung eines Lagebildes, die Unterrichtung / Beratung der Betreiber, die vom IT- SiG betroffen sind, zuständig sein! Doch wer sind nun die Betreiber, die das IT-SiG anspricht?

12 Die Adressaten des IT-SiG Das IT-SiG richtet sich primär an Betreiber von KRITIS und von Telekommunikations- und Telemediendiensten! Diese Betreiber nehmen im Bereich der Daseinsvorsorge und des täglichen Lebens eine herausragende Stellung ein! Wer jedoch genau als Betreiber von KRITIS unter das IT- SiG fallen soll, ist noch nicht geklärt! Klarheit soll eine Verordnung bringen, die Vertreter der unterschiedlichen Branchen, Behörden, Verbänden etc. zusammen erstellen sollen! Die vom IT-SiG angesprochenen Betreiber müssen zur Gewährleistung von ausreichender Sicherheit gewisse Anforderungen erfüllen

13 Die Anforderungen an KRITIS-Betreiber Gerade KRITIS gilt es besonders zu schützen. Um einen einheitlichen Schutzstandard bei KRITIS zu erreichen, müssen alle Betreiber, die vom IT-SiG bzw. der entsprechenden Verordnung erfasst werden, gewisse (kostspielige) Anforderungen erfüllen. Hierunter fällt insbesondere: Die Durchführung von Risikomanagement, die Einhaltung und die Prüfung (Nachweis) von Mindestanforderungen an die IT-Sicherheit entsprechend des Stands der Technik, die unverzügliche Meldung von IT- Sicherheitsvorfällen an das BSI,

14 Die Anforderungen an Telekommunikationsdiensteanbieter Telekommunikationsdiensteanbieter nehmen, weil sie Zugang zu Telefonie und Internet ermöglichen bzw. die Kommunikation sicherstellen müssen, auch eine Schlüsselstellung in der Daseinsvorsorge ein. Über ihre Netze erfolgen oftmals die Angriffe Aus diesem Grund müssen auch sie: die erforderlichen Sicherheitsmindestanforderungen erfüllen, IT-Sicherheitsvorfälle melden, zur Angriffsanalyse und Abwehr beitragen, bei der Beseitigung von Malware etc. unterstützen, Und auch Telemediendiensteanbieter werden vom IT- SiG angesprochen

15 Die Anforderungen an Telemediendiensteanbieter Da Telemediendienste wie Webseiten eine immer stärkere Bedeutung im täglichen Leben erlangen, müssen diese ausreichend geschützt sein. So muss bspw. verhindert werden, dass Webserver kompromittiert werden und dann Malware an die Besucher ausliefern (sog. Watering-Hole-Attacks ). Aus diesem Grund sieht das IT-SiG vor, dass Telemediendiensteanbieter zwingend die erforderlichen technischen und organisatorischen Maßnahmen treffen müssen. Eine Regelung im IT-SiG, die vorsah, dass diese Anbieter eine Art Vorratsdatenspeicherung betreiben sollen, wurde wieder gestrichen..

16 Short to the point Das IT-SiG soll für mehr Transparenz und Sicherheit im Bereich der kritischen Infrastrukturen sorgen. Mittels des IT-SiG soll: Ein (möglichst) umfassendes Lagebild der IT-Sicherheit entstehen, mithilfe dessen sich u.a. Tendenzen erkennen lassen, ein einheitliches, angemessenes Sicherheitsniveau geschaffen (Stand der Technik) und eine umfassende Kommunikation etabliert werden, um schnell auf Vorfälle reagieren zu können. Dreh- und Angelpunkt ist dabei das Risikomanagement! Dieses insbesondere deshalb, weil erst wenn man weiß, was für Risiken bestehen, man auch erst dann, die erforderlichen technischen und organisatorischen Maßnahmen treffen kann.

17 FAZIT (1) Je mehr wir uns in die digitale, vernetzte Welt begeben und uns auf IT verlassen, desto größer werden die Risiken. Deshalb ist es eigentlich auch nur konsequent, wenn sich auch der Gesetzgeber diesen annimmt und versucht einen Mindestschutzstandard für kritische Infrastrukturen zu schaffen. Doch muss er hierbei der Komplexität der ubiquitären Vernetzung angemessen Rechnung tragen, was jedoch m.a. noch nicht gelungen ist.

18 FAZIT (2) Das IT-SiG kann deshalb m.a. nach nicht als DIE Lösung für alle neuartigen Probleme verstanden werden. Die Regelungen des IT-SiG sind m.a. eher als ein Lösungsansatz zu verstehen. Die kontrovers geführten Diskussionen zum IT-SiG machen jedoch eines wieder einmal ganz deutlich Bei allen Bestrebungen zu mehr Sicherheit muss immer auch die Freiheit berücksichtigt werden. Es darf nicht passieren, dass zu Gunsten der Sicherheit die Freiheitsrechte der Bürger auf der Strecke bleiben!!!

19 Gibt es noch Fragen? Gerald Spyra, LL.M. Rechtsanwalt, externer Datenschutzbeauftragter Kanzlei Spyra Annastr Köln Vielen Dank für Ihr Interesse!