Joachim Rick
10.2.11.1 IT-Sicherheitsgesetz
Das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) ist im Juli
2015 in Kraft getreten. Es soll einen Beitrag dazu leisten, Defizite im Bereich der IT-Sicherheit, vor allem bei
Betreibern Kritischer Infrastrukturen, abzubauen und die digitalen Infrastrukturen in Deutschland insgesamt zu
stärken.
Das IT-Sicherheitsgesetz stellt ein konkretes Ergebnis der Umsetzung der Digitalen Agenda der Bundesregierung dar. Sein Ziel ist die Verbesserung der IT-Sicherheit bei den Kritischen Infrastrukturen (KRITIS), also
etwa der Strom- und Wasserversorgung oder der Telekommunikation. Hier sind Vorgaben zur Verbesserung der
Verfügbarkeit und Sicherheit von IT-Systemen von ganz besonderer Bedeutung, weil ein Ausfall dieser Systeme schwerwiegende Folgen für Staat, Gesellschaft und Wirtschaft mit sich bringen kann. Um dies zu erreichen,
ändert und ergänzt das IT-Sicherheitsgesetz andere, bereits bestehende Gesetze, wie das Telemedien-, das Telekommunikations-, das Energiewirtschafts- oder das BSI-Gesetz.
Betreiber Kritischer Infrastrukturen sollen zukünftig z. B. einen Mindeststandard an IT-Sicherheit einhalten und
erhebliche IT-Sicherheitsvorfälle an das BSI melden. Sie müssen angemessene technische und organisatorische
Vorkehrungen zum Schutz informationstechnischer Systeme garantieren und diese durch Standardisierungen
und Auditierungen nachweisen. Auch die Anforderungen an Telekommunikationsunternehmen werden erhöht.
Sie müssen z. B. ihre Kunden künftig warnen, wenn auffällt, dass deren Anschluss für Angriffe missbraucht
wird - etwa im Rahmen eines sog. Botnet. Diese Regelungen dienen nicht nur dem Schutz vor unerlaubten Eingriffen in die Infrastruktur, sondern letztlich auch dem Schutz personenbezogener Daten. Kommen die Betreiber
den Vorgaben nicht nach, drohen empfindliche Strafen.
Um Klarheit darüber zu schaffen, welche Unternehmen überhaupt vom IT-Sicherheitsgesetz als „Kritische Infrastrukturen“ erfasst werden, wurde das Gesetz um eine „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz“ (22.04.2016, BGBl. I, S. 958) ergänzt. Diese bestimmt zunächst Kritische Infrastrukturen in den Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation. Im Frühjahr
2017 sollen durch eine Änderungsverordnung auch die Sektoren Gesundheit, Finanz- und Versicherungswesen,
– 118 –
BfDI 26. Tätigkeitsbericht 2015-2016