Was bringt das neue IT-Sicherheitsgesetz 2.0?

Neue Schwellenwerte in der Energiebranche und der IT

Das neue IT SiG 2.0 betrifft fast alle Branchen, signifikant sind die Änderungen jedoch für Energieversorgung und Informationstechnik und Telekommunikation.

Bisher gehören zur KRITIS-Rechtsverordnung ungefähr 1600 Institutionen. Nach dem Inkrafttreten des neuen IT-Sicherheitsgesetzes steigt die Zahl um etwa 270. Nach der Absenkung der Schwellenwerte bei Energieerzeugungsanlagen von derzeit 420 MW Leistung auf 36 MW Leistung ist zu erwarten, dass die Gruppe des Energiebereichs um einiges erweitert wird und sich die Anforderungen deutlich verschärfen.

Neue Schwellenwerte: siehe Tabelle am Kopf dieser News.

Darüber hinaus wurden zwei neue Schwellenwerte für Öl (63,7 Tsd. T Flugkraftstoff) und Logistik (51,5 Mio Sendungen) eingesetzt sowie 18 neuen Anlagen hinzugefügt.

Neue Pflichten für KRITIS- und Quasi-KRITIS-Betreiber

Hauptgrund für das neue IT-Sicherheitsgesetz 2.0 ist die massive Digitalisierung aller Wirtschaftsbereiche, die durch die Covid-19 Pandemie noch beschleunigt wurde.

In der Folge erhält das Bundesamt für Sicherheit in der Informationstechnik erweiterte Kompetenzen bei der Detektion von Sicherheitslücken und der Abwehr von Cyberangriffen und wird zur zentralen Meldestelle für Sicherheit in der Informationstechnik ausgebaut.

Hieraus ergeben sich besondere Pflichten für Betreiber, die sogenannte „Systeme zur Angriffserkennung“ einführen müssen. Laut der Änderung des Energiewirtschaftsgesetzes (EnWG) haben alle KRITIS-Betreiber, die „in ihren informationstechnischen Systemen, Komponenten oder Prozessen, die für die Funktionsfähigkeit der von ihnen betriebenen Energieversorgungsnetze oder Energieanlagen maßgeblich sind, in angemessener Weise Systeme zur Angriffserkennung einzusetzen", gegenüber dem BSI nachzuweisen und eine Meldestelle von Ort einzurichten. Details hierzu auch in der GUTcert-News vom 20.01.2021.

Als neue Kategorie für KRITIS-Institutionen sind jetzt auch „Unternehmen im besonderen öffentlichen Interesse“ hinzugekommen. Das sind Quasi-KRITIS-Unternehmen, die zwar nicht direkt zu KRITIS gehören, für die Sicherheit der Gesellschaft aber durchaus bedeutsam sind und deshalb ähnliche Anforderungen erfüllen müssen wie KRITIS-Betreiber – jedoch mit Ausnahme externer Prüfungen.

Über den Entwurf wurde seit April letzten Jahres in vielen Gremien wie dem Bitkom diskutiert und einige Cybersicherheits-Fachexperten sind der Meinung, dass das IT-SiG 2.0 noch immer zu schwach ist. Es steht also zu erwarten, dass parallel zum dynamischen Einsatz neuer Technologien im Alltag auch die Regeln und die Kontrolle weiter verschärft werden.

Um mit sich ändernden Anforderungen in der Digitalisierung auch was die Compliance angeht Schritt halten zu können, steigt auch der Bedarf an externer Prüfung der implementierten Lösungen. Mit der Zertifizierung durch eine unabhängige Stelle wird belegt, dass alle notwendigen Maßnahmen umgesetzt wurden, um IT-Sicherheit zu gewährleisten.