Was das IT-Sicherheitsgesetz für die Security bedeutet

Was von der NIS2 für KRITIS zu erwarten ist

Die NIS2-Richtlinie (Network and Information Systems Directive) ist die Weiterentwicklung der ersten Verordnung der Europäischen Union, die darauf abzielt, die Sicherheit dieser kritischen Infrastrukturnetze und -systeme zu verbessern. Sie verpflichtet Organisationen im KRITIS-Sektor, geeignete Sicherheitsmaßnahmen zum Schutz vor Cyberbedrohungen zu ergreifen und bedeutende Vorfälle an die zuständigen Behörden zu melden. Die Richtlinie schafft außerdem einen Rahmen für die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten, um die Sicherheit der kritischen Infrastrukturen in der EU insgesamt zu verbessern.

Dies bedeutet, dass alle Bereiche der kritischen Infrastrukturen (KRITIS) erfasst sind. Das IT-Sicherheitsgesetz 2.0 erweitert den Kreis der potenziellen Betreiber kritischer Infrastrukturen neben den Bereichen Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung und Finanzen sowie Versicherungen um die Abfallwirtschaft.

Organisationen von besonderem öffentlichem Interesse unterliegen nun auch den BSI(G). Sie gelten jedoch nicht als Betreiber kritischer Infrastrukturen, sondern unterliegen eigenen zusätzlichen Verpflichtungen. Unternehmen von besonderem öffentlichem Interesse sind:

• Rüstungsunternehmen (§ 1 Abs. 14 Nr. 1 IT-Sicherheitsgesetz 2.0, § 60 Abs. 1 Nr. 1 und 3 Außenwirtschaftsverordnung);
• Chemieunternehmen (§ 1 Abs. 14 Nr. 3 IT-Sicherheitsgesetz 2.0, § 1 Abs. 2 Störfall-Verordnung); und
• die größten Unternehmen in Deutschland (§ 1 Abs. 14 Nr. 2 IT-Sicherheitsgesetz 2.0).

Das IT-Sicherheitsgesetz 2.0 erlegt den Betreibern kritischer Infrastrukturen mehrere Pflichten auf. Unter anderem müssen die Betreiber:

• Mindestsicherheitsstandards für kritische Infrastrukturen vorsehen (zum Beispiel den Einsatz von Intrusion Detection Systemen nach § 8a IT-Sicherheitsgesetz 2.0);
• die Sicherheitsanforderungen für kritische Komponenten einhalten und
• Informations- und Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (nachfolgend „BSI“) erfüllen (zum Beispiel Auflistung aller IT-Produkte, die für die Funktionsfähigkeit kritischer Infrastrukturen wichtig sind, Meldung von Fehlfunktionen).

Außerdem geht aus dem IT-Sicherheitsgesetz 2.0 hervor, dass Betreiber kritischer Infrastrukturen über Intrusion-Detection-Systeme (IDS) für ihre IT-Umgebungen verfügen müssen. SAP-Systeme, die in vielen Fällen das Rückgrat aller Geschäftsprozesse von Betreibern kritischer Infrastrukturen bilden, sind hiervon nicht ausgenommen und sollten einbezogen werden.

„Unternehmen müssen prüfen, ob sie in den Anwendungsbereich des IT-Sicherheitsgesetzes 2.0 und der zweiten KRITIS-Verordnung fallen.“

Sükrü Ilker Birakoglu, Logpoint

Was sind die Auswirkungen?

Das IT-Sicherheitsgesetz 2.0 und die zweite KRITIS-Verordnung haben zum Teil weitreichende Folgen. Gab es bisher eine Übergangsfrist für die Umsetzung der neuen Anforderungen, müssen Unternehmen nun ab dem ersten Werktag, an dem sie die Schwellenwerte der zweiten KRITIS-Verordnung erreichen, die Anforderungen des BSIG erfüllen. Das bedeutet, dass ab dem ersten Tag nach Inkrafttreten des IT-Sicherheitsgesetzes 2.0 und der zweiten KRITIS-Verordnung potenzielle Betreiber kritischer Infrastrukturen die Anforderungen des IT-Sicherheitsgesetzes 2.0 einhalten müssen. Bei Nichteinhaltung der Anforderungen können erhebliche Bußgelder von bis zu 20 Millionen Euro durch das BSI verhängt werden.

Fazit

Unternehmen müssen daher jetzt prüfen, ob sie in den Anwendungsbereich des IT-Sicherheitsgesetzes 2.0 und der zweiten KRITIS-Verordnung fallen. Ist dies der Fall, sollten sich diese Organisationen unbedingt darin beraten lassen, welche Maßnahmen sie ergreifen müssen und Intrusion Detection-Systeme zur Überwachung ihrer IT-Systeme, einschließlich SAP oder anderer ERP-Systeme, implementieren.

Über den Autor:
Sükrü Ilker Birakoglu ist Senior Director bei Logpoint.

Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.