Cyberangriffe: Regierung nimmt mehr Unternehmen in die Pflicht

Manche Unternehmen müssen bei einem IT-Sicherheitsproblem oder einem Cyberangriff den Behörden Bericht erstatten. Doch die aktuellen rechtlichen Regelungen sind nicht ausreichend, findet die Bundesregierung und hat eine Ausweitung der Pflichten auf den Weg gebracht.

Die Bundesregierung will für mehr Sicherheit im digitalen Bereich sorgen. Möglich werden soll dies durch neue bzw. erweiterte gesetzliche Regelungen. Demnach hat die Regierung am vergangenen Mittwoch eine Änderung angeschoben, durch die in Zukunft noch weitere Branchen und dementsprechend auch mehr Firmen verpflichtet sind, schwerwiegende Probleme oder gar Angriffe innerhalb der IT an die Behörden zu melden.

Kritische Infrastrukturen und drastische Folgen

Die „Verordnung zur Bestimmung kritischer Infrastrukturen“ reguliert, welche Firmen aus den Sektoren Verkehr und Transport, Gesundheit, Versicherungen sowie Finanzen an die Normen des IT-Sicherheitsgesetzes gebunden sind und Sicherheitsstörungen verbindlich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden müssen.

Nach Angaben von Golem sind 918 sogenannte „kritische Infrastrukturen“ betroffen. Gemeint sind damit Institutionen, die „wesentlich für das öffentliche Leben“ sind und deren Störung oder Ausfall „drastische Folgen“ verursachen würden.

Wer genau ist von der Meldepflicht betroffen?

Als Beispiel werden unter anderem Unternehmen im Gesundheitsbereich (zum Beispiel 110 Krankenhäuser sowie mehr als 150 Einrichtungen, die im Bereich der Medikamentenversorgung tätig sind) genannt. Hinzu kommen auch 113 Versicherungsunternehmen, 176 Anlagen im Bargeldversorgungssektor und mehr als 130 IT-Anlagen im Schienen- sowie Straßenverkehr. Für Firmen aus den Bereichen Energie und Wasser, IT und Telekommunikation sowie Ernährung gelten entsprechende Regelungen bereits seit Mai vergangenen Jahres.

Die Unternehmen sind nach der Meldung ans BSI zudem verpflichtet, innerhalb eines halben Jahres „eine zentrale Kontaktstelle“ anzugeben und innerhalb eines Zeitraums von zwei Jahren zu belegen, dass gewisse Mindeststandards im IT-Sicherheitsbereich eingehalten werden.