IT-Sicherheitsgesetz 2.0 (IT-Sig 2.0) – Was bedeutet das?

Was ist das IT-Sicherheitsgesetz 2.0?

Seit dem aktuellen Koalitionsvertrag der Bundesregierung ist ein nachfolgendes Gesetz zum IT-Sicherheitsgesetz geplant, das die IT-Sicherheitsanforderungen an die Betreiber kritischer Infrastrukturen (KRITIS) konkretisieren und ausweiten soll.
Außerdem erhält das BSI (Bundesamt für Sicherheit im Internet) mit diesem Gesetz eine deutliche Stärkung hin zu einer Art Verbraucherschutz für Endanwender und Kunden.

Wen betrifft es?

Von diesem Gesetz betroffen sind die Unternehmen und Organisationen, die als Betreiber kritischer Infrastrukturen gewertet werden. Das sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall nachhaltige Versorgungsengpässe entstehen können und ohne die öffentliche Sicherheit nicht mehr gewährleistet werden kann.
In Deutschland werden Unternehmen und Organisationen aus neun verschiedenen Sektoren zu KRITIS zugeordnet:

• Energie: Elektrizität, Gas, Mineralöl, Fernwärme
• Gesundheit: Krankenhäuser, Arzneimittel und Impfstoffe, Forschungseinrichtungen
• Staat und Verwaltung: Verwaltung, Justiz, Notfallschutz (Katastrophenschutz) und Parlament
• Ernährung: Ernährungswirtschaft, Lebensmittelhandel
• Transport und Verkehr: Luftfahrt, See- und Binnenschifffahrt, Bahnverkehr, Straßenverkehr und Logistik
• Finanz- und Versicherungswesen: Banken, Börsen, Versicherungen, Finanzdienstleister
• Informationstechnik: Telekommunikation, Informationstechnik
• Medien und Kultur: Rundfunk, Presse, Kulturgüter und symbolträchtige Bauwerke
• Wasser: Wasserversorgung, Abwasserbeseitigung

Mit dem IT-Sicherheitsgesetz 2.0 kommt auch die Abfallentsorgung zu den kritischen Infrastrukturen hinzu. Die Meldepflichten, die für KRITIS-Unternehmen gelten, werden außerdem auf Bereiche im öffentlichen Interesse, wie z.B. die Rüstungsindustrie oder die Verschlussdaten-IT ausgeweitet.

Was bedeutet es?

Für die Unternehmen bedeutet dieses Gesetz grundlegend, dass ihre Pflichten im Bereich der IT-Sicherheit weiter verstärkt wurden. Konkret werden die Betreiber kritischer Infrastrukturen verpflichtet, Systeme zur Angriffserkennung einzusetzen. Sogenannte Intrusion Detection Systems (IDS) sind algorithmisch basierte Systematiken und Software, die anhand von Log-Dateien Angriffe auf ihr System erkennt und konkretisiert.

Über eine dem BSI bekannte Kontaktperson (auch: Funktionspostfach) muss das KRITIS Mitglied außergewöhnliche Störungen und andere Risikoquellen an das Bundesamt melden. Die Unternehmen sind außerdem verpflichtet Reaktionspläne und Präventionsmaßnahmen für den Fall einer massiven Versorgungsstörung auszuarbeiten.

Webinar: IT-Sicherheitsgesetz 2.0 umsetzen

Das IT-Sicherheitsgesetz 2.0 ist in Kraft, und die Zeit für Unternehmen, die erforderlichen Sicherheitsmaßnahmen zu ergreifen, drängt. In unserem Webinar vermitteln wir Ihnen nicht nur das notwendige Wissen über das Gesetz, sondern geben Ihnen auch konkrete Handlungsanweisungen, um Ihr Unternehmen rechtskonform zu machen.

Jetzt anmelden

Hierbei handelt es sich um sogenannte Desaster-Recovery-Szenarien. Innerhalb dieses Arbeitsfeldes wird geplant und getestet, wie auch im Extremfall des Systemangriffs oder Shutdowns ein möglichst effektives Instandsetzen der Arbeitsfähigkeit gewährleistet werden kann. Die System-Absicherung der KRITIS Betreiber muss entsprechend auditiert werden und gegenüber dem BSI alle zwei Jahre nachgewiesen werden.

Welche Maßnahmen konkret getroffen werden können, um die Ansprüche des IT-Sicherheitsgesetztes 2.0 umzusetzen, erfahren Sie im Beitrag: IT-Sicherheitsgesetz 2.0 – Was Sie jetzt tun können

Sie haben Fragen zum Thema? Ich freue mich auf Ihre Fragen in den Kommentaren oder per Mail an info@rz10.de.