Bundesrat stimmt IT-Sicherheitsgesetz 2.0 zu – Handlungsbedarf für die IT-Sicherheit mittlerer und kleinerer Versorgungsunternehmen erwartet

​veröffentlicht am 25. Mai 2021

Sowohl das IT-Sicherheitsgesetz als auch die Kritisverordnung sollen noch vor der Bundestagswahl geändert werden. Dies erzeugt Handlungsbedarf bei bestehenden „Kritis-Unternehmen” – und betrifft solche, die aktuell noch nicht betroffen sind.

Der Bundesrat hat am 07.05.2021 das überarbeitete IT-Sicherheitsgesetz gebilligt. Das Inkrafttreten des „IT-Sicherheitsgesetzes 2.0” (IT-SiG 2.0) vor der Bundestagswahl dürfte damit nur noch Formsache sein. Auch die BSI-Kritisverordnung (KritisV) befindet sich derzeit in Überarbeitung und wird höchstwahrscheinlich ebenfalls noch vor der Bundestagswahl mit erheblichen Neuerungen in Kraft treten. Die Evaluierung der KritisV ist überfällig: Sie hätte bereits 2019 erfolgen müssen.

Schon jetzt zeichnen sich in der KritsV Änderungen ab, die bei vielen Unternehmen Handlungsbedarf erzeugen werden. Dies sind Unternehmen, die schon jetzt unter die KritisV fallen. Jedoch können zukünftig auch Unternehmen erfasst werden, deren Infrastruktur bislang noch nicht als kritisch eingestuft wird. Dies liegt insbesondere auch an den Schwellenwerten und den Bemessungskriterien in der KritisV. Diese bestimmen, ab wann eine Anlage als Kritische Infrastruktur eingestuft wird und den besonderen Überwachungs- und Meldepflichten des IT-Sicherheitsgesetztes unterliegt.

Insgesamt wird der Kreis der Kritischen Infrastruktur erweitert. Bei Stromerzeugungsanlagen sinkt beispielsweise laut aktuellem Entwurf der Schwellenwert von aktuell 420 MW installierter Nennleistung auf 36 MW (installierte Maximalkapazität). Mehrere Anlagen, die durch einen betriebstechnischen Zusammenhang verbunden sind, gelten als gemeinsame Anlage, wenn sie zur Erbringung derselben kritischen Dienstleistung notwendig sind. Ebenfalls neu: Software und IT-Dienste, die für die Erbringung einer kritischen Dienstleistung notwendig sind, werden ebenfalls als Anlagen im Sinne der Verordnung identifiziert. Auch Abfallentsorgung wird zum Teil von den erneuerten Regelungen erfasst.

Die geplanten Änderungen machen eines klar: IT-Sicherheit hat nun auch in Berlin oberste Priorität. Immer mehr Infrastrukturen werden künftig als kritisch eingestuft. Das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) wird zunehmend zu einer zentralen Behörde in der deutschen Verwaltung. Betroffene Anlagenbetreiber sollten daher frühzeitig klären, inwieweit auch sie von den Änderungen betroffen werden, um sich schnell und effektiv auf die neue Situation einstellen zu können.

Haben Sie noch Fragen? Melden Sie sich bei uns. Unsere Experten helfen Ihnen gerne weiter!