Cybersecurity: Bund beschließt Regelungen zum Schutz kritischer Netze gegen Cyberattacken
Die Bundesregierung will Stromleitungen, Kraftwerke und den Bahnverkehr besser gegen Cyberattacken schützen. Das Bundeskabinett beschloss am Mittwoch entsprechenden Regelungen, die knapp 30.000 Unternehmen der kritischen Infrastruktur strengere Auflagen macht. Zu Diskussionen hatten nicht nur Hacker-Angriffe aus Russland, sondern auch der Einbau chinesischer Komponenten in Telekommunikations- sowie Wind- und Solaranlagen geführt. Das Gesetz sieht vor, dass alle betroffenen Unternehmen zentrale Schutzmaßnahmen wie Risikoanalysen, Notfallpläne und Backup-Konzepte etablieren müssen.
Mit dem sogenannten NIS-2-Gesetz (Network and Information Security) wird europäisches Recht in deutsches umgesetzt. Eigentlich wollte bereits die vorherige Ampel-Regierung dies auf den Weg bringen. Die EU-Richtlinie und damit das Gesetz nach Beschluss von Bundestag und Bundesrat soll noch vor Ende 2025 gelten. Parallel plant das Bundesinnenministerium ein sogenanntes KRITIS-Dachgesetz, das erstmals branchenübergreifende Mindeststandards für den physischen Schutz kritischer Infrastrukturen festlegt – also für Bereiche wie Strom, Wasser, Gesundheit oder Ernährung.
Der Gesetzentwurf beziffert den volkswirtschaftlichen Nutzen auf 3,6 Milliarden Euro jährlich wegen abgewendeter Schäden. Innenminister Alexander Dobrindt sagte: "Mit dem neuen Gesetz schaffen wir ein deutlich höheres Sicherheitsniveau für unsere Wirtschaft und Verwaltung. Unternehmen und Behörden werden widerstandsfähiger gegen Cyberangriffe. Wir setzen dabei auf klare Regeln ohne unnötige Bürokratie."
Statt bisher wenigen hundert Betreibern werden künftig rund 29.000 Unternehmen zu umfassenderer Cybersicherheit verpflichtet. Unterschieden wird dabei zwischen "besonders wichtigen Einrichtungen" (Groß-Unternehmen aus Energie, Verkehr, Bankwesen, Gesundheit) und "wichtigen Einrichtungen" wie mittelgroßen Firmen aus Bereichen wie Chemie. Kleinere Unternehmen aus Randgebieten sollen dagegen von Bürokratie entlastet werden.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält erweiterte Aufsichtsbefugnisse. Das bisherige einstufige Meldesystem bei Cyber-Angriffen wird unter anderem durch ein dreistufiges ersetzt: Erstmeldung binnen 24 Stunden, Detailmeldung binnen 72 Stunden und Abschlussbericht nach einem Monat. Die Bußgelder bei Verstößen gegen Sicherheitsauflagen steigen: Für besonders wichtige Einrichtungen drohen bis zu zehn Millionen Euro oder auch zwei Prozent des weltweiten Vorjahresumsatzes, für wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent des Umsatzes. Die Geschäftsführung kann auch persönlich für Verletzungen ihrer Pflichten bei der Umsetzung von Cybersicherheit haften.
Im Bundestag werden kontroverse Diskussionen um nicht vertrauenswürdige Hersteller, die Ausweitung auf die Bundesverwaltung und die Rolle des BSI erwartet. Deutschland hinkt anderen EU-Staaten hinterher, die ihre NIS-2-Gesetze bereits endgültig beschlossen haben.