IT-Sicherheitsgesetz

Das müssen Branchen bis zum 30. Juni tun

Am 30. Juni läuft die Frist für die Umsetzung der ersten Verordnung der Änderung der BSI-Kritisverordnung ab. Unternehmen, die die Vorschriften nur unzureichend umsetzen, drohen im schlimmsten Fall hohe Bußgelder.

Für Finanz- und Versicherungsinstitute, Gesundheit, Transport und Verkehr wird es ab dann ernst. Die betroffenen Branchen müssen nachweisen, dass ihre kritische IT-Infrastruktur alle Änderungsvorschriften des BSI erfüllt. Eva-Maria Scheiter, Managing Consultant GRC beim Sicherheitsspezialisten NTT Security, rät den betroffenen Organisationen, ihre bereits etablierten Vorgaben und Prozesse mithilfe der Orientierungshilfe zu Nachweisen gemäß § 8a (3) des BSI G zu überprüfen. Scheiter empfiehlt außerdem, die Prozesse zur obligatorischen Meldung von IT-Sicherheitsvorfällen zu definieren, zu etablieren und mit den Mitarbeitern zu trainieren. Unternehmen und Organisationen können den Nachweis, dass ihre kritische IT-Infrastruktur auf dem Stand der Technik ist und dass sie Risiken gemäß anerkannter Standards wie ISO27001 managen, z.B. über entsprechende Zertifikate führen. Diesen Nachweis müssen die Unternehmen alle zwei Jahre erneut erbringen. Des Weiteren schreibt das BSI-Gesetz gemäß § 8b (3) den Betreibern vor, eine Kontaktstelle zu benennen, die jederzeit erreichbar ist. Als Kontaktstelle ist z.B. ein Funktionspostfach geeignet, an die das BSI seine Sicherheitsinformationen schickt. Betreiber sind außerdem verpflichtet, dem BSI jede IT-Störung zu melden. Darunter fallen Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder einer erheblichen Beeinträchtigung geführt haben oder führen könnten. Das IT-Sicherheitsgesetz hat zum Ziel, die IT-Systeme und digitalen Infrastrukturen Deutschlands zu den sichersten weltweit zu machen. Im Fokus stehen Infrastrukturdienstleister, deren Ausfall oder Beeinträchtigung dramatische Folgen für Wirtschaft, Staat und Gesellschaft hätten. Darunter fallen z.B. Strom- und Wasserversorgung, Telekommunikation, Informationstechnik, Ernährung und Verkehr.