Das IT-Sicherheits­gesetz 2.0

Das IT-Sicherheitsgesetz 2.0 ist seit Mai 2021 in Kraft und erweitert die deutsche KRITIS-Regulierung von 2015 deutlich – mit mehr Pflichten für einen größeren Betreiber­kreis, höheren Cyber Security Anforderungen und mehr Befugnissen für den Staat und Regulierungs­behörden:

  1. Neue KRITIS-Pflichten
  2. Mehr Unternehmen
  3. Neue KRITIS-Verordnung
  4. Mehr Befugnisse für den Staat
  5. Sanktionen, Gütesiegel
  6. Gesetzgebung

Das IT-SiG 2.0 bildet einige Neuerungen der EU-Regulierung von NIS 2 und RCE bereits ab. In Deutschland bedeutet das deutlich mehr KRITIS-Betreiber und betroffene Unternehmen und Zulieferer – und stärkere Anstrengungen für Cyber Security. Mit dem KRITIS-Dachgesetz und IT-Sicherheitsgesetz 3.0 stehen ab 2023 Erweiterungen für mehr Betreiber und mehr Pflichten an, (auch) durch RCE und NIS2.

IT-SiG 2.0

EN German IT Security Act IT-SiG 2.0

Major changes in German IT security law with IT-SiG 2.0
English ∙ PDF ∙ September 2021 ∙ OpenKRITIS-Briefing

IT-SiG 2.0

DE Das neue IT-Sicherheitsgesetz 2.0

Die wichtigsten Änderungen im neuen KRITIS-Gesetz 2.0
Deutsch ∙ PDF ∙ Januar 2022 ∙ OpenKRITIS-Briefing

Neue Pflichten für KRITIS-Betreiber

Angriffs­erkennung

Systeme zur Angriffserkennung gehören mit dem geänderten §8a (1a) nun explizit zu den technischen und organisatorischen Sicherheitsvorkehrungen in KRITIS-Anlagen bei KRITIS-Betreibern. Diese müssen kontinuierlich Bedrohungen im laufenden Betrieb mittels Mustern erkennen und vermeiden. Der Einsatz ist spätestens ab dem 1. Mai 2023 verpflichtend und muss in KRITIS-Prüfungen ab dann auch explizit nachgewiesen werden.

Die Definition in §2 (9b) spricht von technischen Werkzeugen und unterstützenden Prozessen — die 2022 publizierte Orientierungshilfe für Systeme zur Angriffserkennung (OH SZA) legt die Anforderungen an Betreiber aus Sicht des BSI ab 2023 fest.

Meldepflichten

Störungen

Mit dem neuen §8b (4a) müssen KRITIS-Betreiber und UBI bei erheblichen Störungen dem BSI auf Nachfrage nun Informationen zur Verfügung stellen, die für die Störungs­bewältigung notwendig sind, einschließlich personenbezogener Daten.

Dazu kommt die neue Meldepflicht für den Einsatz kritischer Komponenten nach §9b.

Unmittelbare Registrierung

Der geänderte §8b (3) verpflichtet Betreiber, sich nun unmittelbar nach Feststellung als KRITIS-Betreiber beim BSI zu registrieren und eine Kontaktstelle zu benennen. Das BSI darf Betreiber mit dem neuen IT-SiG 2.0 auch von sich aus als Kritische Infrastruktur registrieren, und mit dem neuen §8b (3a) bei bestimmten Sachverhalten Einblick bei Betreibern in Unterlagen verlangen, falls diese ihrer Registrierungspflicht nicht nachkommen.

Kritische Komponenten

Durch den neuen §9b müssen KRITIS-Betreiber dem Innenministerium den Einsatz so genannter kritischer Komponenten, bestimmter IT-Produkte §2 (13), anzeigen. Kritische Komponenten und Funktionen müssen in Gesetzen festgelegt werden, bis jetzt nur im Sektor Telekommunikation durch das TKG 2021.

Garantieerklärung

Die kritischen Komponenten dürfen in KRITIS-Anlagen nur mit einer Garantieerklärung der Vertrauenswürdigkeit des Herstellers (neu) eingesetzt werden. Die Erklärung muss noch zu definierende Mindestanforderungen des Innenministeriums erfüllen und ist von KRITIS-Betreibern dem Innenministerium bei der Anzeige vom Einsatz in KRITIS-Anlagen vorzulegen.

Einsatz darf untersagt werden

Das Innenministerium darf den Einsatz kritischer Komponenten untersagen, bei:

Inventarisierung

Um dem BSI den Einsatz kritischer Komponenten in KRITIS-Anlagen nach §9b anzeigen zu können, folgt für Betreiber aus diesen Sektoren die Notwendigkeit, IT-Produkte in den KRITIS-Anlagen zu inventarisieren — mit aktuellen Informationen zu Herstellern, Typen der Produkte usw. Bis jetzt betrifft dies nur den KRITIS-Sektor Telekommunikation.

up

Mehr betroffene Unternehmen

KRITIS-Sektor Siedlungsabfall­entsorgung

Der Sektor Siedlungsabfall­entsorgung, auch KRITIS Entsorgung, wird als offizieller KRITIS-Sektor in §2 (10) im Gesetz aufgenommen. Entsorger werden damit im IT-Sicherheitsgesetz 2.0 je nach Schwellenwerten zur Kritischen Infrastruktur.

Die kritische Dienstleistung ist wahrscheinlich Entsorgung von Siedlungsabfällen mit den Bereichen Sammlung, Beseitigung und Verwertung von Abfällen.

Aufgabe der Entsorgung von Siedlungs­abfällen ist es, die anfallenden Abfälle zu sammeln und anschließend so zu beseitigen oder zu verwerten, dass es dabei nicht zu einer Gefährdung der Bevölkerung und Umwelt kommt. Ein Ausfall oder eine Beeinträchtigung dieser Dienstleistung führt, ähnlich wie bei der Abwasser­entsorgung, sowohl zu einem kurzfristigen Anstieg der Seuchengefahr als auch zu einer Verschmutzung der Umwelt mit gefährlichen Stoffen. Ihr Ausfall führt damit sowohl kurz- als auch langfristig zu einer gesundheitlichen Gefährdung der Bevölkerung.

Die Schwellenwerte und Anlagendefinitionen sind in der aktuellen KRITIS-Verordnung 2021 noch offen und werden in einer neuen KRITIS-Verordnung 2.0 seit 2022 erarbeitet. Ein Referenten­entwurf ist zu Ende 2022 geplant mit Inkrafttreten in der ersten Jahreshälfte 2023.

Unternehmen im besonderen öffentlichen Interesse

Mit dem IT-Sicherheitsgesetz 2.0 gehören neben KRITIS-Betreibern auch Unternehmen im besonderen öffentlichen Interesse (UBI) und deren Zulieferer zur Regulierung. Die Unternehmen haben nach §2 (14) eine große Bedeutung in Bezug auf die IT-Sicherheit in Deutschland und setzen sich aus drei Gruppen zusammen:

  1. Rüstung: Hersteller von Rüstung und Produkten für staatliche Verschlusssachen (VS)
  2. Volkswirtschaftliche Bedeutung: Unternehmen von erheblicher volkswirtschaftlicher Bedeutung, und deren
    Zulieferer, wenn sie von wesentlicher Bedeutung für sie sind.
  3. Gefahrstoffe: Betreiber Betriebsbereiche der oberen Klasse mit gefährlichen Stoffen

Auf die betroffenen Unternehmen kommen neue §8f UBI-Pflichten zu:

Genauere Definitionen für UBI (Gruppe 2) werden noch in einer neuen UBI-Rechtsverordnung (UBI-VO) konkretisiert, die KRITIS-Verordnung 2021 lies dies noch offen. Geplant war 2022.

up

Neue KRITIS-Verordnung

Mehr KRITIS-Anlagen 2021

Mit dem IT-Sicherheitsgesetz 2.0 ändern sich durch die neue KRITIS-Verordnung 2021 auch die KRITIS-Anlagen und Schwellenwerte. Die Grenzen der KRITIS-Betroffenheit durch die Schwellenwerte von KRITIS-Anlagen in KRITIS-Sektoren sinken mit der Überarbeitung der Regulierung. Mehr Betroffenheit — für über 250 neue Betreiber.

Die KRITIS-Verordnung 2021 senkt Schwellenwerte bestehender KRITIS-Anlagen, fügt neue Anlagen hinzu, benennt weitere um und streicht wenige. Die wichtigsten Änderungen:

In der im August beschlossenen KRITIS-Verordnung 2021 (1.5) sind einige Änderungen noch offen — u.a. Definitionen der UBI und der Sektor Siedlungs­abfallentsorgung, die in weiteren Verordnungen 2022 und 2023 definiert werden sollen.

Die KRITIS-Verordnung 2021 (1.5) ist seit 1. Januar 2022 in Kraft.

up

Mehr Befugnisse für den Staat

Neue Aufgaben für das BSI

Die neuen und erweiterten Aufgaben für das BSI wurden in §3 ergänzt:

Zentrale Meldestelle und Informationen

Das BSI wird nach dem neuen §4b zur zentralen allgemeinen Meldestelle für Sicherheit in der Informationstechnik. Dazu darf das BSI Informationen zu Schadprogrammen, Lücken und Angriffen sammeln, analysieren, über noch einzurichtende Meldewege entgegennehmen und diese Informationen u.a. für Warnungen, Meldungen benutzen.

Mit dem neuen §5c darf das BSI Bestandsdaten von TK-Diensten verlangen, um drohende Gefahren für die öffentliche oder Versorgungssicherheit durch eine Beeinträchtigung von KRITIS-Betreibern oder UBI abzuwehren.

Tiefere Untersuchungen

Das BSI darf mit dem neuen §7a marktgängige IT-Produkte und Systeme untersuchen, und dazu auch Auskünfte von Herstellern verlangen. Die Ergebnisse darf das BSI, je nach Rechtsgrundlage, mit anderen Behörden, Ressorts, den Herstellern und Betreibern teilen.

Nach dem neuen §7b darf das BSI Maßnahmen (Portscans) an den Schnittstellen öffentlich erreichbarer IT-Systeme des Bundes, von KRITIS-Betreibern oder UBI durchführen. Das BSI soll dazu White Lists von IP-Ranges der betroffenen Behörden und Betreiber pflegen. Bei Erkennen von Lücken soll das BSI die Verantwortlichen oder Betreiber unverzüglich darauf hinweisen.

Durch den neuen §7c darf das BSI Anbietern von TK-Netzen (mit mehr als 100 Tsd. Kunden) im Sinne des TKG Anordnungen zur Störungsbeseitigung erteilen. Dies umfasst Maßnahmen zur Einschränkung der Dienste und technische Befehle zur Bereinigung befallener IT. Das BSI darf anordnen, den Datenverkehr zur Störungsbeseitigung an eine vom Bundesamt benannte Anschlusskennung umleiten zu lassen und dort zu verarbeiten und speichern.

Weiterhin darf das BSI mit dem neuen §7d zur Abwehr konkreter, erheblicher Gefahren Anordnungen an Telemedien-Anbieter erteilen, damit diese Sicherheitsmaßnahmen ergreifen.

Stärkerer Schutz der Bundesnetze

Die Befugnisse des BSI zum Schutz der Kommunikationstechnik und IT des Bundes nehmen deutlich zu — der neue §4a erlaubt dem BSI:

Dazu erlaubt der neue §5a dem BSI, behördeninterne Protokolldaten zum Erkennen von Störungen in der Kommunikationstechnik und Angriffen auf die IT des Bundes zu verarbeiten.

Mit dem geänderten §8 wird das BSI ermächtigt, verbindliche Mindeststandards für die Sicherheit der Bundes-IT festzulegen.

Neue Zertifizierungen

Mit dem neuen §9a wird das BSI zur nationalen Behörde für Cybersicherheitszertifizierung nach Art. 58 (7-8) EU-Verordnung 2019/881 und darf Konformitätsbewertungsstellen eine Tätigkeitserlaubnis erteilten und Zertifikate überprüfen und wiederrufen.

Mehr Personal

Von den im Entwurf in E.3 und 4.c. 1.585,80 angemeldeten Stellen für die Erfüllung der zusätzlichen Aufgaben in der Bundesverwaltung entfallen 799 neue Planstellen auf das BSI.

up

Weitere Änderungen

Stärkere Sanktionen

Die Ordnungswidrigkeiten und Bußgelder erhöhen sich im IT-Sicherheitsgesetz 2.0 merklich.

Ordnungswidrigkeiten

§14 (1-4) legt deutlich mehr vorsätzliche oder fahrlässige Verstöße gegen KRITIS-Vorgaben als Ordnungswidrigkeiten fest, u.a.:

Zusammenfassung Verstöße im Entwurf IT-Sicherheitgesetz 2.0, Stand Mai 2021
Verstöße BSIG-E
Fehlende Nachweise §8a (3) §8a (3)
Fehlende Störungsmeldungen, mangelnde Zusammenarbeit §5b (6) §7c (1) §8a (3) §8b (6) §8b (4) §8c (3) §8f (7)
Fehlende Maßnahmen §8a (1) §8c (1) §8f (1)
Fehlende Registrierung und Kontaktstelle §8b (3) §8f (5)
Mangelnde Informationen §7a (2) §8c (4) §8a (4) §8b (3a)
Fehler bei Zertifizierungen §9a (2) §9c (4) Art. 55 und 56 (EU) 2019/881

Bußgelder

§14 (5) definiert dazu deutlich höhere Bußgelder für diese Ordnungswidrigkeiten. Es gibt nun Geldbußen bis zu 2 Mio. EUR, mit Verweis auf §30 Abs. 2 OWiG bis zu 20 Mio. EUR als juristische Person (Organ).

Neue Gütesiegel

Der neue §9c beschreibt ein freiwilliges IT-Sicherheitskennzeichen für IT-Produkte, die das BSI noch in Produktkategorien festlegt. Das BSI definiert die Sicherheits­anforderungen mittels bestehender Normen und Standards oder regelt diese in einer Technischen Richtlinie. Das Sicherheitskennzeichen besteht aus zwei Teilen — einer Hersteller­erklärung, die Sicherheits­eigenschaften des Produkts zusichert und eine Sicherheitsinformation des BSI zum Produkt.

Die Kennzeichen werden durch das BSI erteilt, freigegeben, geprüft und auch widerrufen.

Eingeschränkte Grundrechte

Nach dem geänderten §11 wird das Fernmeldegeheimnis nun durch §4a, §5, §5a, §5b, §5c, §7b und §7 eingeschränkt — vormals nur §§5 und 5a.

Mehr Begriffsbestimmungen

In der Begriffsdefinition in §2 werden eine Vielzahl neuer Begriffe aufgenommen und näher definiert: Kommunikationstechnik des Bundes, Protokollierungsdaten, IT-Produkte, Systeme zur Angriffserkennung, kritische Komponenten, der Sektor Siedlungsabfallentsorgung, Unternehmen im besonderen öffentlichen Interesse.

Änderungen an weiteren Gesetzen

Mit dem neuen IT-Sicherheitsgesetz 2.0 werden weitere Gesetze geändert:

up

Der weitere Weg

Gesetzgebung

Das IT-Sicherheitsgesetz 2.0 ist am 28. Mai 2021 in Kraft getreten, nachdem es am Tag zuvor im Bundesgesetzblatt veröffentlicht wurde.

Der erste von mehreren Entwürfen vom IT-Sicherheitsgesetz 2.0 wurde 2019 veröffentlicht. Am 23. April 2021 wurde das neue IT-Sicherheitsgesetz 2.0 vom Bundestag in der Fassung vom Innenausschuss (19/28844) beschlossen, am 7. Mai 2021 vom Bundesrat. Die überarbeitete KRITIS-Verordnung ist als KritisV 2021 bekannt.

Versionen IT-Sicherheitsgesetz 2.0, Stand 28. Mai 2021
aus: AG KRITIS und Bundestag: Gesetzgebung
Status Fassung Datum Nr.
Bundesregierung diverse
Verbändefassung
Kabinettsfassung
2019-2020
9.12.2020
16.12.2020

Referentenentwurf
Bundesrat Bundesratsfassung 1.1.2021 Drucksache 16/21
Bundestag, Verteilung Bundestagsfassung 25.1.2021 Drucksache 19/26106
Innenausschuss Änderungen
Entscheidung
Beschlussempfehlung
19.04.2021
20.04.2021
21.04.2021
19(4)811
19(4)812
19/28844
Bundestag Beschlossen 23.04.2021 19/28844
Bundesrat Beschlossen 07.05.2021 324/21 (Beschluss)
Bundespräsident
Inkrafttreten Bundesgesetzblatt 27.05.2021 28. Mai 2021

Das IT-Sicherheitsgesetz 2.0 nimmt einige Änderungen der neuen EU NIS2-Direktive vorweg mit angepassten Sektoren und mehr Informations- und Kooperations­pflichten. Mit dem KRITIS-Dachgesetz und IT-Sicherheitsgesetz 3.0 stehen ab 2023 neue Entwicklungen an – mehr Betreiber und Pflichten durch RCE und NIS2, die mittlerweile verabschiedet sind.

Evaluierung

Im IT-Sicherheitsgesetz 1.0 von 2015 legt Artikel 10 eine Evaluierung einzelner Teile des Gesetzes vier Jahre nach Inkrafttreten der Rechtsverordnung fest. Diese Evaluierung, unter Einbeziehung eines wissenschaftlichen Sachverständigen, ist bis jetzt noch nicht erfolgt. Im IT-Sicherheitsgesetz 2.0 legt Artikel 6 eine Evaluierung von Teilen zwei Jahre nach Verkündung, von den restlichen Teilen vier Jahre nach Verkündung fest.

Eine lesenswerte Stellungnahme des Normenkontrollrats ist in der Bundestagsfassung 19/26106 vom IT-Sicherheitsgesetz 2.0 ab Seite 100 zu lesen.

up

Weitere Informationen

Literatur

  1. Webinar IT-Sicherheitsgesetz 2.0 und KRITIS-Neuerungen, virtueller OpenKRITIS-Austausch zu den Auswirkungen vom IT-SiG 2.0, 17 Juni 2021, online
  2. EN German IT security act 2.0 – IT-Sicherheitsgesetz 2.0, English, PDF
  3. IT-Sicherheitsgesetz 2.0, Foliensatz mit den wichtigsten Änderungen auf Deutsch, 12 Folien, PDF
  4. KRITIS-Verordnung 2.0 auf OpenKRITIS
  5. KRITIS-Anlagen 2021 auf OpenKRITIS
  6. Fragen und Antworten zur 2. Änderungs­verordnung der BSI-Kritisverordnung, Webseite des BSI, Bundesamt für Sicherheit in der Informationstechnik, o.D.
  7. Fragen und Antworten zum Einsatz von Systemen zur Angriffserkennung, Webseite des BSI, Bundesamt für Sicherheit in der Informationstechnik, o.D.
  8. Fragen und Antworten zur Registrierung (§8b Absatz 3a BSIG), Webseite des BSI, Bundesamt für Sicherheit in der Informationstechnik, o.D.
  9. Bundesrat kritisiert mangelnde Einbindung der Länder bei IT-Sicherheit, Beschluss Bundesrat, 7.5.2021
  10. Stellungnahme des Bundesrates und Gegenäußerung der Bundesregierung zum Entwurf vom 25.01.2021 (Drucksache 19/26106 ), Deutscher Bundestag, Drucksache 19/26921 24.02.2021
  11. Notbremse für den Entwurf! - Stellungnahme der AG KRITIS zum 3. Entwurf des IT-SiG 2.0, AG KRITIS 03.12.2020
  12. IT-Sicherheitsgesetz 2.0: Dritter Referentenentwurf veröffentlicht, Dr. Dennis-Kenji Kipker, Beck-Community, 21.11.2020
  13. Wenig Beifall für das geplante IT-Sicherheitsgesetz 2.0, Anhörung des Ausschusses für Inneres und Heimat im Bundestag, 01.03.2021
  14. ENISA-Report National Capabilities Assessment Framework, European Union Agency for Cybersecurity, December 2020

Quellen

  1. Zweites Gesetz zur Erhöhung der Sicherheit informations­technischer Systeme, IT-Sicherheits­gesetz 2.0, Bundesgesetzblatt, 2021 Nr. 25, 27. Mai 2021
  2. Beschluss des Bundesrates - Zweites Gesetz zur Erhöhung der Sicherheit informations­technischer Systeme, Bundesrat, Drucksache 324/21 (Beschluss), 07.05.21
  3. BSI-Kritisverordnung, vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 1 der Verordnung vom 6. September 2021 (BGBl. I S. 4163) geändert worden ist
  4. Anlage 1: Entwurf einer zweiten Verordnung zur Änderung der BSI-Kritisverordnung mit Vorblatt und Begründung, Intrapol.org, 26.4.2021
  5. Anlage 2: Inoffizielle Lesefassung der Änderungsverordnung, Intrapol.org, 26.4.2021
  6. Gesetz zur Erhöhung der IT-Sicherheit mit Koalitionsmehrheit beschlossen, Bundestag 23.04.2021
  7. Beschlussempfehlung und Bericht zu dem Gesetzentwurf der Bundesregierung Entwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme, Deutscher Bundestag, Drucksache 19/28844, 21.4.2021
  8. Ausschuss gibt grünes Licht für IT-Sicherheitsgesetz 2.0, Bundestag Inneres und Heimat/Ausschuss - 21.04.2021 (hib 527/2021)
  9. Entwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme vom 25.01.2021 (IT-Sicherheitsgesetz 2.0), Gesetzentwurf der Bundesregierung, Drucksache 19/26106
  10. Entwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0), Pressemitteilung Innenministerium 16.12.2020
  11. Kabinett beschließt Entwurf für IT-Sicherheitsgesetz 2.0, Pressemitteilung Innenministerium 16.12.2020
  12. IT-Sicherheitsgesetz 2.0 - alle verfügbaren Versionen, AG KRITIS, 21. April 2021