Anbieter zum Thema

Mein Videotermin Suite | Voigtmann GmbH

cyberintelligence.institute GmbH

Anlage 2 umfasst nun auch Unternehmen der Abfallbewirtschaftung, was insbesondere die größeren kommunalen Abfallwirtschaftsverbände betreffen dürfte. Neu ist insbesondere die Aufnahme von Forschungseinrichtungen, die angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen. Je nach faktischer Ausgestaltung der einzelnen Forschungseinrichtung könnten hierunter auch die Max-Planck-Gesellschaft, Fraunhofer-Gesellschaft oder die einzelnen Helmholtz-Zentren fallen.

Risikomanagementmaßnahmen und weitere Pflichten

Der Entwurf beinhaltet eine deutliche Verschärfung der Pflichten, insbesondere der Aufsichts- und Durchsetzungsmaßnahmen der Einrichtungen, aber auch der Geschäftsleiter.

Die besonders wichtigen Einrichtungen und wichtigen Einrichtungen haben sich unter anderem innerhalb von 3 Monaten beim BSI zu registrieren und geeignete technische und organisatorische Maßnahmen zu ergreifen, um Störungen zu vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Auswahl geeigneter Maßnahmen sind

• die Risikoexposition,

• die Größe der Einrichtung,

• die Umsetzungskosten,

• die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie

• ihre gesellschaftlichen und wirtschaftlichen Auswirkungen

zu berücksichtigen und mindestens die folgenden Maßnahmen zu ergreifen und Konzepte zu erstellen:

• Risikoanalyse und Sicherheit für Informationssysteme,

• Bewältigung von Sicherheitsvorfällen,

• Aufrechterhaltung des Betriebs,

• Sicherheit der Lieferkette

• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT Systemen, Komponenten und Prozessen,

• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit,

• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit,

• Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung,

• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen,

• Verwendung von Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation.

Beim Einsatz von Hard- und Software dürfen IKT-Produkte, IKT-Dienste und IKT-Prozesse, die in der noch zu erlassenden Rechtsverordnung aufgeführt sind, nur verwendet werden, wenn diese über eine Cybersicherheitszertifizierung nach Artikel 49 der Verordnung (EU) 2019/881 verfügen. Dies kann unter Umständen zu einem erheblichen Mehraufwand und Mehrkosten führen.

Zusätzlich sind Betreiber kritischer Anlagen verpflichtet, Systeme zur Angriffserkennung einzusetzen, die nicht nur den Betrieb kontinuierlich überwachen, sondern auch Maßnahmen vorsehen, um Störungen beseitigen können. Die zu ergreifenden technischen und organisatorischen Maßnahmen unterliegen zudem erhöhten Anforderungen, was bedeutet, dass auch aufwändigere Maßnahmen noch verhältnismäßig sein können, wobei hier der Aufwand ins Verhältnis zu den Folgen einer Störung gesetzt werden muss.

Bei der Umsetzung der Maßnahmen ist zu beachten, dass die Geschäftsleiter der Einrichtungen verpflichtet sind, diese Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Auch bei Einschaltung von Hilfspersonen bleiben die Geschäftsleiter letztverantwortlich. Diese Regelung dürfte zu einer erheblichen Ausweitung der Geschäftsführerhaftung führen, da ein Verzicht der Einrichtung auf Ersatzansprüche aufgrund einer derartigen Pflichtverletzung unwirksam ist. Daher ist auf die Erstellung und Umsetzung der Risikomanagementmaßnahmen ein besonderes Augenmerk zu legen, um Haftungsansprüche zu vermeiden.

Weiterhin ist zu beachten, dass Übergangsfristen zur Umsetzung o.ä. aus dem vorliegenden Entwurf nicht ersichtlich sind. Die betroffenen Einrichtungen sollten sich daher bereits vor Inkrafttreten im Oktober 2024 mit der Erstellung und Umsetzung der Risikomanagementmaßnahmen beschäftigen.

Im Falle von erheblichen Sicherheitsvorfällen sind diese dem BSI innerhalb von 24 Stunden nach Kenntniserlangung zu melden, wobei hierbei bereits angegeben werde muss, ob ein Verdacht vorliegt, dass Dritte, insbesondere aus dem Ausland beteiligt sind. Innerhalb von 72 Stunden hat eine zweite Meldung mit detaillierten Angaben, insbesondere dem Schweregrad und den Auswirkungen zu erfolgen. Spätestens nach einem Monat ist eine Abschluss- oder Fortschrittsmeldung mit einer ausführlichen Beschreibung des Sicherheitsvorfalls und den getroffenen Maßnahmen einzureichen.

Ein Verstoß gegen die obigen Pflichten kann eine Ordnungswidrigkeit darstellen und mit nicht unerheblichen Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes geahndet werden.

Fazit

Die kommunalen Unternehmen sollten daher zeitnah prüfen, ob sie eine besonders wichtige oder wichtige Einrichtung sind und sich auf die auf sie zu kommenden Pflichten vorbereiten. Hierbei empfiehlt es sich zu prüfen, ob für die Umsetzung der Maßnahmen Fördermittel beantragt werden können. In Betracht kommen, je nach Einzelfall, z. B. Förderungen des Bundes aufgrund der „Richtlinie IT-Sicherheit in der Wirtschaft – Transferstelle Cybersicherheit und Fokusprojekte“ oder der „Richtlinie zum Förderprogramm „go-digital““, aber auch landesspezifische Förderprogramme.

(ID:49802608)