Bundesregierung beschließt IT-Sicherheitsgesetz 2.0 Schnelle Verabschiedung im Bundestag soll folgen

Die Bundesregierung hat noch kurz vor Weihnachten 2020 innerhalb kürzester Zeit den Gesetzentwurf für ein IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) beschlossen. Es ist zu erwarten, dass nun eine schnelle Verabschiedung im Bundestag folgt.

Hintergrund und Inhalt des IT-SiG 2.0
Ziel des bisher geltenden IT-Sicherheitsgesetz (IT-SiG) ist insbesondere der Schutz der IT-Systeme von kritischen Infrastrukturen vor Angriffen oder sonstigen Störungen. Betreiber von kritischen Infrastrukturen sind nach dem IT-SiG insbesondere Versorgungsunternehmen aus den Sektoren Energie, Wasser und Telekommunikation. Die Betreiber solcher kritischen Infrastrukturen müssen eine Vielzahl von Pflichten erfüllen, damit ihre IT-System sicher und zuverlässig funktionieren und die Versorgungssicherheit der Bevölkerung sichergestellt wird.

Da die Bedrohungslage im Bereich der IT-Sicherheit deutlich zugenommen hat, soll der Rechtsrahmen durch das IT-SiG 2.0 verändert und verschärft werden. Insbesondere folgende Änderungen im Vergleich zur bisherigen Rechtslage sind geplant:

  • Die Siedlungsabfallentsorgung soll eine kritische Infrastruktur werden. Somit müssten sich zukünftig auch Unternehmen der Abfallwirtschaft an die Regeln des IT-SiG 2.0 halten.
  • Systeme zur Angriffserkennung werden verpflichtend.
  • Der Einsatz von kritischen Komponenten kann durch das BMI untersagt werden.
  • Es wird eine Registrierungspflicht für kritische Infrastrukturen aufgestellt.
  • Der Bußgeldrahmen wird massiv erhöht. Bußgelder bis 20 Millionen Euro sind möglich.

Bewertung des IT-SiG 2.0
Im Grundsatz wird das neue IT-SiG 2.0 begrüßt. Die Bedrohungslage hat sich deutlich erhöht, sodass ein höherer Schutz der kritischen Infrastrukturen richtig ist. Allerdings muss darauf geachtet werden, dass die Schwellenwerte ab denen das IT-SiG 2.0 gilt nur mit Augenmaß geändert werden. Anderenfalls könnten kleinere Unternehmen finanziell und organisatorisch überfordert werden. Ferner sollte das Bundesamt für Sicherheit in der Informationstechnik (BSI) ihm bekannte Sicherheitslücken immer an die Betreiber der kritischen Infrastrukturen weitergeben um eine maximale Sicherheit der IT-Systeme zu garantieren. Es sollte zudem klargestellt werden, wer genau den Stand der Technik für die Systeme der Angriffserkennung ausgestaltet. Die Hersteller von IT-Systemen sollten außerdem stärker in die Verantwortung genommen werden.

Der weitere Gesetzgebungsprozess
Da die Bundesregierung eine besondere Eilbedürftigkeit erkannt hat, soll das IT-SiG 2.0 voraussichtlich zügig in Bundestag und Bundesrat beschlossen werden.