Das IT-Sicherheitsgesetz

Das IT-Sicherheitsgesetz RA Dr. Jan K. Köcher Syndikus DFN-CERT Services GmbH koecher@dfn-cert.de

Hintergrund/Ziele IT-Sicherheitsgesetz vom 17.7.2015 Änderungen: BSIG, TKG, TMG, AtomG... Ziele: Erhöhung der IT-Sicherheit bei Unternehmen, die eine kritische Infrastruktur betreiben. Hebung der IT-Sicherheit für die Allgemeinheit durch Vorgaben an Anbieter von Telekommunikation und Telemedien Folie 2

Hintergrund/Ziele Aufgabenerweiterungen für das BSI, BKA... Schaffung neuer Stellen: BSI: 115 216,5 Stellen -> 8,95 16 Mio. BBK: 9 13 Stellen -> 0,7-1 Mio. BNetzA: 28 Stellen -> 3,2 Mio. BKA: 48 78 Stellen -> 3,2 5,3 Mio. BfV: 26,5 48,5 Stellen -> 1,8 3,2 Mio. BND: 30 Stellen -> 2,2 Mio. BMUB: 4 Stellen -> 0,25 Mio. BfDI: 2,4 7 Stellen -> 0,1 0,5 Mio. Gesamt: 427 Stellen -> 31,65 Mio. Folie 3

Betreiber kritischer Infrastrukturen Betreiber Kritischer Infrastrukturen 2 Abs. 10 BSIG Energie, Informationstechnik, Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen Von hoher Bedeutung für das Funktionieren des Gemeinwesens, weil durch ihren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen eintreten würden. Nähere Bestimmung durch VO zu 10 Abs. 1 BSIG Folie 4

Betreiber kritischer Infrastrukturen Verpflichtungen 8a 8c BSIG Einhaltung Mindestniveau an IT-Sicherheit Nachweis der Erfüllung durch Sicherheitsaudits Verfahren für die Meldung erheblicher Sicherheitsvorfälle an das BSI Betreiben einer Kontaktstelle Folie 5

Anbieter Telemedien Anbieter Telemedien: 1 Abs. 1 Telemediengesetz (TMG) Verpflichtungen: 13 Abs. 7 TMG Technische und organisatorische Vorkehrungen soweit technisch möglich und wirtschaftlich zumutbar: Damit kein unerlaubter Zugriff auf technische Einrichtungen möglich ist Sicherung gegen Verletzung des Schutzes personenbezogener Daten und gegen Störungen, auch soweit durch äußere Angriffe bedingt Folie 6

Anbieter Telekommunikation Jeder Diensteanbieter 109 Abs. 1 TKG: Erforderliche technische Vorkehrungen und sonstige Maßnahmen: Zum Schutz des Fernmeldegeheimnisses Gegen die Verletzung des Schutzes personenbezogener Daten Folie 7

Anbieter Telekommunikation Betreiber öff. Telekommunikationsnetze und öff. zugänglicher TK-Dienste 109 und 109a TKG Sicherung der technischen Einrichtungen Verfahren für die Meldung von IT- Sicherheitsvorfällen an die BNetzA Benachrichtigung der Nutzer, wenn erkannt wird, dass von deren DV-Systemen Störungen ausgehen Folie 8

Störungen 100 Abs. 1 TKG Alt: Soweit erforderlich, darf der Diensteanbieter zum Erkennen, Eingrenzen und Beseitigen von Störungen oder Fehlern die Bestandsdaten und Verkehrsdaten der Teilnehmer und Nutzer erheben und verwenden. Neu: Soweit erforderlich, darf der Diensteanbieter die Bestandsdaten und Verkehrsdaten der Teilnehmer und Nutzer erheben und verwenden, um Störungen oder Fehler an Telekommunikationsanlagen zu erkennen, einzugrenzen oder zu beseitigen. Dies gilt auch für Störungen, die zu einer Einschränkung der Verfügbarkeit von IuK-Diensten oder zu einem unerlaubten Zugriff auf TK- und DV-Systeme der Nutzer führen können. Folie 9

Störungsbegriff (1) Was ist unter Störung zu verstehen? BGH: SPAM: Wenn durch den Versand von SPAM aus dem Adressraum der DTAG ein anderer Provider zu einer Sperrung des Adressraums veranlasst wird. Störung nicht nur dann, wenn die physikalische Beschaffenheit der verwendeten Geräte verändert wird. Nach dem Zweck der Vorschrift liegt eine Störung auch dann vor, wenn die eingesetzte Technik die ihr zugedachte Funktionen nicht mehr richtig oder vollständig erfüllen kann. Folie 10

Störungsbegriff (2) Funktionseinschränkung: Durch Sperrung IP-Adressbereiche durch andere Anbieter, sind die bei diesem betriebenen Dienste für die Kunden des Anbieters nicht mehr erreichbar. Damit können die Systeme ihre Aufgabe nicht mehr in vollem Umfang erfüllen. Entscheidung des anderen Anbieters resultiert aus der technischen Sphäre des von der Sperrung betroffenen Anbieters Gilt dies dann auch für die Auswirkungen von SPAM auf die Maildienste? Versendung SPAM, Schad- und Spionageprogramme, Denial-of-Service-Attacken stellen einen Missbrauch des Internets dar Recht zum Erkennen, Eingrenzen oder Beseitigen von hieraus resultierenden Störungen Folie 11

Störungen Neue Qualität des 100 Abs. 1 TKG Prinzipiell kann es Sinn machen, den Verursacher einer Störung auf ein Problem aufmerksam zu machen Allerdings ist zu befürchten, dass Spammer diese Pflicht nutzen werden um mit gefälschten Mails Viren zu verteilen Nicht nur Teilnehmer, sondern auch Nutzer betroffen. Fraglich, ob die Norm in ihrer neuen Reichweite verfassungsgemäß ist Folie 12

Stand der Technik 109 Abs. 1 TKG: Dabei ist der Stand der Technik zu berücksichtigen. 109 Abs. 2 S. 3 TKG: Bei Maßnahmen nach Satz 2 ist der Stand der Technik zu berücksichtigen. 13 Abs. 7 S. 2 TMG: Vorkehrungen nach Satz 1 müssen den Stand der Technik berücksichtigen. Eine Maßnahme nach Satz 1 ist insbesondere die Anwendung eines als sicher anerk. Verschlüsselungsverfahrens Unbestimmter Rechtsbegriff! Folie 13

Stand der Technik Legaldefinition? Fehlanzeige Andere Gesetze/Normen als Auslegungshilfe? 3 Abs. 1 S. 2 Patentgesetz (PatG): Der Stand der Technik umfasst alle Kenntnisse, die vor dem für den Zeitrang der Anmeldung maßgeblichen Tag durch schriftliche oder mündliche Beschreibung, durch Benutzung oder in sonstiger Weise der Öffentlichkeit zugänglich gemacht worden sind. Folie 14

Stand der Technik 3 Abs. 6 Bundes-Immissionsschutzgesetz, 3 Nr. 11 Wasserhaushaltsgesetz, 2 Abs. 11 Gefahrstoffverordnung: Stand der Technik ist der Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen, der die praktische Eignung einer Maßnahme insgesamt gesichert erscheinen lässt. Jedenfalls keine Konkretisierung aus der sich ein Stand der Technik im Sinne des ITSiG direkt ableiten lässt! Folie 15

Stand der Technik Was ist der Stand der Technik im Einzelfall (z.b. Verschlüsselungsverfahren)? Expertenmeinung: Gutachterliche Stellungnahme im Einzelfall Gegenstand von Normung (DIN, ISO): Widerlegbare Vermutung für Einhaltung des Stands der Technik 8a Abs. 2 BSIG: Branchenspezifische Sicherheitsstandards für KRITIS- Unternehmen mit Eignungsfeststellung durch das BSI Folie 16

Fazit Ziel der Förderung der IT-Sicherheit ist zu begrüßen Ausgestaltung führt durch unbestimmte Rechtsbegriffe zu Unsicherheiten Betreiber kritische Infrastrukturen Stand der Technik Es besteht noch Verbesserungsbedarf Folie 17

Vielen Dank für Ihre Aufmerksamkeit RA Dr. Jan K. Köcher https://www.dfn-cert.de/ koecher@dfn-cert.de