Sind wir eine Kritische Infrastruktur?

Housing, Hosting und IT-Sicherheitsgesetz

Am 12. Juni 2015 hat der Deutsche Bundestag das sogenannte „IT-Sicherheitsgesetz“ beschlossen. Mit der Veröffentlichung des Gesetzestextes trat das IT-Sicherheitsgesetz am Samstag, den 25. Juli 2015 in Kraft.

eco möchte daher am 10.09.2015 zu einer Diskussions- und Informations-Veranstaltung mit dem im BMI zuständigen Referenten Dr. Michael Pilgermann (Referat IT II 2 – Kritische IT-Infrastrukturen; sichere Informationstechnik) einladen.

Der Schwerpunkt soll dabei auf den Dienstleistungen „Datenspeicherung- und Datenverarbeitung“ liegen. Gibt es im Bereich „Housing und IT-Hosting“ Anlagen oder Einrichtungen z.B. Rechenzentren, die vom BMI als Kritischen Infrastrukturen eingeordnet werden könnten oder sogar sollten?

Ziel der Veranstaltung ist es, über das IT-Sicherheitsgesetz und die noch zu erarbeitende Rechtsverordnung zu informieren, und die damit verbundenen Fragestellungen mit dem zuständigen Vertreter des BMI zu diskutieren. Im Rahmen der Veranstaltung besteht die Gelegenheit die Perspektive der Unternehmen und Expertise in den Diskussions- und damit in den Gesetzgebungsprozess einzubringen.

Agenda

09:30	Registrierung
10:00		Begrüßung Henning Lesch Leiter Recht und Regulierung eco e.V.
		Roland Broch Leiter Mitgliederentwicklung eco e.V.
10:15		IT-Sicherheitsgesetz und die Rechtsverordnung Dr. Michael Pilgermann Referat IT II 2 BMI
12:00	Networking – Snacks & Drinks
13:00	Ende der Veranstaltung

Hintergrund

Durch das Gesetz werden Betreiber sogenannter Kritischen Infrastrukturen (KRITIS) zur Einhaltung von IT-Mindestsicherheits-Standard verpflichtet. Zusätzlich müssen Betreiber von KRITIS zukünftig IT-Sicherheitsvorfälle, z.B. kritische DDoS-Attacken, an das Bundesamt für die Sicherheit in der Informationstechnik (BSI) melden.

Zudem werden bereits bestehende gesetzliche Verpflichtungen für Telekommunikations- und Telemediendienstanbieter im Bereich IT-Sicherheit erhöht. Während die neuen Verpflichtungen für Telekommunikations- und Telemediendienstanbiete ab sofort gelten, ist der Gesetzgebungsprozess im Bereich Kritischer Infrastrukturen noch nicht abgeschlossen.

Denn das IT-Sicherheitsgesetz beantwortet noch nicht die Frage, welche Unternehmen konkret als Kritische Infrastrukturen im Sinne des Gesetzes gelten. Das Gesetz definiert KRITIS lediglich abstrakt als „Einrichtungen oder Anlagen oder Teile davon, die von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden“.

Um die Frage, welche Unternehmen nun konkret betroffen sind, zu beantworten, werden für jede relevante Branche, zu denen die Bereiche Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen, zählen, eigene Rechtsverordnungen (RVO), erstellt.

Bei der für die Internetwirtschaft relevanten Branche „Informationstechnik und Telekommunikation (IKT)“ soll diese RVO bereits Ende 2015 fertigstellt werden. Das zuständige Bundesministerium des Innern (BMI) führt hier bereits erste Gespräche und möchte den Prozess in enger Abstimmung mit der Wirtschaft betreiben.

Spätestens 2 Jahre nach Erlass der jeweiligen Rechtsverordnungen müssen die vom BMI als kritisch eingeordnete Betreiber die IT-Mindestsicherheitsstandards erfüllen. Die Meldewege an das BSI müssen bereits 6 Monate nach Erlass der Verordnung etabliert sein.