Das IT-Sicherheitsgesetz 2.0 – Handlungsbedarf für die IT-Sicherheit mittlerer und kleinerer Unternehmen erwartet

​veröffentlicht am 23. September 2021; zuletzt aktulisiert am 14. Oktober 2021

Am 28.05.2021 trat das IT-Sicherheitsgesetzes 2.0 in Kraft. Zusammen mit der neuen KRITIS-Verordnung, die am 18.08.2021 vom Bundeskabinett verabschiedet wurde, werden einige Neuerungen auf Betreiber Kritischer Infrastrukturen zukommen. Dies erzeugt Handlungsbedarf bei bestehenden Kritis-Unternehmen und betrifft auch solche, die aktuell noch nicht betroffen sind.

Die KritsV bringt Änderungen mit sich, die bei vielen Unternehmen Handlungsbedarf erzeugen werden. Dies sind Unternehmen, die schon jetzt unter die KritisV fallen. Jedoch können zukünftig auch Unternehmen erfasst werden, deren Infrastruktur bislang noch nicht als kritisch eingestuft wird. Dies liegt insbesondere auch an den Schwellenwerten und den Bemessungskriterien in der KritisV. Diese bestimmen, ab wann eine Anlage als Kritische Infrastruktur eingestuft wird und den besonderen Überwachungs- und Meldepflichten des IT-Sicherheitsgesetztes unterliegt.

Insgesamt wird der Kreis Kritischer Infrastrukturen erweitert. Beispielsweise sinkt bei Stromerzeugungsanlagen der Schwellenwert von aktuell 420 MW installierter Nennleistung auf 36 MW (installierte Maximalkapazität). Mehrere Anlagen, die durch einen betriebstechnischen Zusammenhang verbunden sind, gelten als gemeinsame Anlage, wenn sie zur Erbringung derselben kritischen Dienstleistung notwendig sind. Ebenfalls neu: Software und IT-Dienste, die für die Erbringung einer kritischen Dienstleistung notwendig sind, werden ebenfalls als Anlagen im Sinne der Verordnung identifiziert. Auch Abfallentsorgung wird zum Teil von den erneuerten Regelungen erfasst.

Die geplanten Änderungen machen eines klar: IT-Sicherheit hat nun auch in Berlin oberste Priorität. Immer mehr Infrastrukturen werden künftig als kritisch eingestuft. Das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) wird zunehmend zu einer zentralen Behörde in der deutschen Verwaltung. Betreiber von Infrastrukturen, die potenziell unter die Regelungen der IT-Sicherheitsgesetzgebung fallen, sollten daher frühzeitig klären, inwieweit sie von den Änderungen betroffen sind, um sich schnell und effektiv auf die neue Situation einstellen zu können.

Haben Sie noch offene Fragen? Melden Sie sich bei uns, wir helfen Ihnen weiter!