Was KRITIS-Betreiber beachten und dem BSI melden müssen

Anbieter zum Thema

genua gmbh

IBYKUS AG für Informationstechnologie

GISA GmbH

BISG - Bundesfachverband der IT- Sachverständigen und Gutachter e.V.

Security-Insider: Wie schnell müssen die Anforderungen umgesetzt werden? Wird den betroffenen Unternehmen eine Übergangszeit eingeräumt?

Eitel: Wie bereits erwähnt, müssen Betreiber von Kernkraftwerken und auch Telekommunikationsanbieter ab sofort erhebliche IT-Sicherheitsvorfälle melden. Die betroffenen Unternehmen sind vom BSI informiert worden, und so ist ein erster Schritt bereits erfolgt. Alle anderen Betreiber kritischer Infrastrukturen müssen auf eine Definition ihres Status durch eine noch in Arbeit befindliche Rechtsverordnung warten. Erst dann wird deutlich, wer wirklich zur KRITIS-Kategorie gehört.

Hacker-Angriffe und IT-Sicherheitsgesetz

Mehr Schutz für die Behörden-IT

Einige Dienstleister sind sich aber schon jetzt ihrer Bedeutung für die Gesellschaft bewusst und stehen kurz vor Einführung eines funktionierenden IT-Sicherheitsmanagements oder haben es bereits in Betrieb. Wann genau die Rechtsverordnung Klarheit bringen wird, kann noch nicht gesagt werden. Wenn sie dann aber in Kraft ist, müssen alle betroffenen Unternehmen schnellstmöglich ihren Anteil beitragen … Wir befinden uns also eigentlich genau jetzt in einer nicht näher definierten Übergangszeit.

Security-Insider: Und wenn diese Frist nicht eingehalten wird? Müssen die Betreiber dann mit Sanktionen oder konkreten Geldstrafen rechnen?

Eitel: Den bislang spezifizierten Unternehmensbereichen drohen schon jetzt maximale Bußgelder in Höhe von bis zu 100.000 Euro, wenn Störungen nicht durch angemessene organisatorische und technische Maßnahmen verhindert wurden. Mit geringeren Bußgeldern sollen dagegen verspätete Meldungen von Sicherheitspannen sanktioniert werden.

Aus meiner Sicht ergibt die Androhung von Strafen so lange keinen Sinn, bis nicht klar definiert ist, wer von dem Gesetz überhaupt betroffen ist und welche Sicherheitsstandards eingehalten werden müssen.

Man sollte also das Thema IT-Sicherheit nicht auf die lange Bank schieben und nicht erst dann etwas unternehmen, wenn per Gesetz Sanktionen drohen, sondern sich schon jetzt mit dem Thema auseinandersetzen und auf die kommenden Konkretisierungen vorbereitet sein.

(ID:43828843)