IT-Sicherheitsgesetz 2.0: IT-Sicherheit ist Staatssache
Die Regierung hat heute quasi im Eilverfahren das „Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0)“ verabschiedet. Im Eilverfahren deshalb, weil das Innenministerium (BMI) den entsprechenden Verbänden kaum Zeit eingeräumt hat, um zum neuen Gesetzesentwurf Stellung zu nehmen. Das hat im Vorfeld zu lauter Kritik geführt.
Inhalt des neuen IT-Sicherheitsgesetz
Das neue Gesetz sieht unter anderem vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig als eine Art „Digital-Polizei“ agieren soll. Es erhält Kompetenzen, die es zur aktiven Abwehr von Cyberkriminalität benötigt. Zu den Aufgaben des BSI soll zählen, Produkte zu untersuchen, Datenverkehr zu verfolgen, Rechner zu scannen und Clients zu löschen. Das BSI wird so eine Art Gefahrenabwehrbehörde des digitalen Deutschlands. Dafür wird das BSI personell aufgerüstet: Es werden 799 neue Stellen geschaffen.
Außerdem wird ein IT-Sicherheitskennzeichen eingeführt, was für die Bürger – im Sinne des Verbraucherschutzes – die IT-Sicherheit von Produkten kennzeichnen soll.
Kritik am neuen IT-Sicherheitsgesetz
Bisher mussten nur kritische Infrastrukturen festgelegte Sicherheitsstandards erfüllen und einer Meldepflicht nachkommen. Diese Regelung soll nun auch für weitere Bereiche der Wirtschaft – große Konzerne und Unternehmen der Branchen Rüstung und Chemie – gelten. Dies ist in der Sache sicherlich sinnvoll, bedeutet für die Unternehmen aber zunächst eine Belastung durch zusätzliche Bürokratie und Sicherheits-Nachrüstung.
Das BSI soll künftig erfassen, welche IT-Sicherheitsmaßnahmen die Konzerne ergreifen. Das BSI verlangt von den Unternehmen künftig Selbsterklärungen zu deren IT-Sicherheit. Auf Basis dieser Erklärungen wird das BSI Ratschläge geben, wo mögliche Sicherheitslücken sein könnten. Der bürokratische Aufwand wird groß sein. Dazu kommt, dass es sich um eine sehr schnelllebige Umgebung handelt, die sich ständig weiterentwickelt. Dieses Vorhaben wird eine große Herausforderung für das BSI werden.
Zusätzlich erlaubt das neue Gesetz weniger Transparenz: Das BSI prüft die Unternehmen auf Sicherheitsmängel. Bisher hatte es die Pflicht, die betroffenen Unternehmen sofort zu unterrichten, wenn es welche festgestellt hat. Diese Pflicht wurde gelockert – das BSI darf entsprechende Informationen nun wohl zurückhalten. Allerdings ist nicht geklärt, unter welchen Umständen das BSI Informationen zurückhalten darf.
Ein zusätzliches Problem ist, dass die Zuständigkeit für Cyber-Gefahrenabwehr bisher nicht beim Bund liegt. Dem BSI diese Befugnisse zu übertragen, bedarf rechtlich einer Grundgesetzänderung.
Das Politikum: Der 5G Ausbau
Das deutsche Mobilfunknetz soll auf 5G ausgebaut werden. Dafür plant die Regierung Komponenten u.a. vom chinesischen Konzern Huawei einzusetzen. Das neue IT-Sicherheitsgesetz sieht vor, dass Komponenten, die für die digitale Infrastruktur genutzt werden, geprüft und zertifiziert sein müssen. Die Hersteller müssen eine Garantie-Erklärung abgeben, dass die Bauteile nicht missbraucht werden können. Die Regierung kann die Verwendung solcher Komponenten auch nachträglich verbieten. Wenn der Hersteller z.B. Schwachstellen erkennt und diese nicht umgehend meldet. Insgesamt wird es schwer für viele Hersteller sein, diese Anforderungen erfüllen zu können.
Quellen
https://background.tagesspiegel.de/digitalisierung/it-sicherheitsgesetz-2-0-fortschritt-mit-macken
https://www.egovernment-computing.de/entwurf-fuer-it-sicherheitsgesetz-20-beschlossen-a-987952/
Das mITSM als Ihr Experte für IT-Sicherheit
Wir bieten verschiedene Beratungsleistungen zu IT-Sicherheit an. Zum Beispiel unterstützen wir bei der Einführung eines ISMS für KRITIS-Betreiber nach ISO 27001. Auch bieten wir Penetrationstests an, um Schwachstellen in Ihrer IT-Sicherheit zu identifizieren.
Wenn Sie selbst Experte für IT-Sicherheit werden wollen, bietet das mITSM außerdem verschiedene Schulungen zum Thema an: Neben Datenschutz-Schulungen gibt es die umfangreichen Schulungen zur ISO 27001.
27.08.2026