Verschärftes IT-Sicherheitsgesetz vom Bundestag beschlossen IT-SiG 2.0 sorgt für Handlungsbedarf bei Unternehmen!

Anbieter zum Thema

SoSafe GmbH

Keeper Security EMEA Ltd.

Outpost24 GmbH

Wallix

Der Bundestag hat im April 2021 den von Bundesinnenminister Horst Seehofer vorgelegten Entwurf für das IT-Sicherheitsgesetz 2.0 zur Erhöhung der Sicherheit Informationstechnischer Systeme verabschiedet. Zu den Kernpunkten des Gesetzes zählt die Stärkung der Kompetenzen des Bundesamts für Sicherheit in der Informationstechnik (BSI), Stärkung des Verbraucherschutzes, Stärkung der Unternehmerischen Vorsorgepflicht und die Stärkung staatlicher Schutzfunktionen wie die Überarbeitung von Bußgeldvorschriften.

Cyberkriminelle konzentrieren sich in Corona-Zeiten besonders auf kritische Infrastrukturen, um möglichst viel Schaden anzurichten. Zurzeit werden vermehrt KRITIS zum Ziel von Hackerangriffen. Die Bedrohung durch Hacker wird aller Voraussicht nach auch in den nächsten Monaten und Jahren nicht nachlassen - im Gegenteil. Laut der Bundesregierung wurden im Zeitraum von Januar bis Anfang November 2020 171 erfolgreiche Hackerangriffe auf Einrichtungen der Kritischen Infrastruktur gezählt. Im Jahr zuvor waren es 121 und im Jahr davor 62. Da diese Hacks ernste Konsequenzen für sehr viele Betroffene haben, gilt es, diesen Sektor besonders genau zu beobachten und für “cybersichere” Systeme zu sorgen.

Im Mai dieses Jahres hatte ein Cyberangriff auf die Pipeline Colonial zu Engpässen bei der Benzinversorgung in Teilen der USA geführt. Doch in Deutschland besteht das gleiche Problem. „Cyberangriffe auf kritische Infrastrukturen sind ein ernstzunehmendes realistisches Szenario auch in Deutschland“, warnt Arne Schönbohm, Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI).

Umstrittene Gesetzesänderung

Bundestag verabschiedet verschärftes IT-Sicherheitsgesetz

Update: Länder hätten sich stärkere Einbindung gewünscht

IT-Sicherheitsgesetz kommt durch Bundesrat

Kreis meldepflichtiger Unternehmen erweitert

Zu den bereits betroffenen Branchen wie Energie, Wasser, Transport, Verkehr, Ernährung, Gesundheit, Finanz- und Versicherungswesen, Telekommunikation und Informationstechnik wird die Siedlungsabfallentsorgung in Zukunft auch zu den KRITIS gehören.

Des Weiteren sollen nun Unternehmen des besonderen öffentlichen Interesses unter den Geltungsbereich des IT-Sicherheitsgesetzes 2.0 fallen. Zu diesen Unternehmen gehören unter anderem Hersteller und Entwickler von Gütern gem. § 60 Abs. 1 Nr. 1-5 Außenwirtschaftsverordnung, bspw. Verarbeiter staatlicher Verschlusssachen, Hersteller von IT-Produkten und Unternehmen der Rüstungsindustrie. Auch sollen Unternehmen die nach ihrer inländischen Wertschöpfung, zu den größten in Deutschland gehören, in die Liste der Betroffenen mit aufgenommen werden. Ob ein Unternehmen hiervon betroffen ist, soll durch Rechtsordnung bestimmt werden, welche wirtschaftliche Kennzahlen, eine Methodik zur Beurteilung und ausschlaggebende Grenzwerte heranziehen soll.

Neu ist ebenfalls, dass wichtige Zulieferer in den Geltungsbereich des IT-Sicherheitsgesetzes 2.0 einbezogen werden. Demnach können Zulieferer, deren Alleinstellungsmerkmale für KRITIS-Betreiber oder auch für Unternehmen im besonderen öffentlichen Interesse ausschlaggebend sind, selbst zu Unternehmen im besonderen öffentlichen Interesse werden.

Mit der Ausdehnung des Geltungsbereichs des IT-Sicherheitsgesetzes 2.0 besteht die Gefahr, dass neu betroffene Unternehmen nicht ausreichend zur Umsetzung der Anforderungen aus dem Gesetz vorbereitet seien.

IT-Sicherheitsgesetz 2.0

Unternehmen im besonderen öffentlichen Interesse

Aufgabenspektrum des BSI erweitert sich in Sachen IT-Sicherheit

Auch sollen die Gesetzesänderungen das BSI zur zentralen Meldestelle für IT-Sicherheitsrisiken machen. Meldungen über IT-Sicherheitsvorfälle sollen aufgenommen und verarbeitet werden.

Das BSI soll weiter befugt werden, Sicherheitslücken an den Schnittstellen Informationstechnischer Systeme zu öffentlichen Telekommunikationsnetzen zu detektieren (Portscans). Ebenso soll das BSI Systeme und Verfahren zur Analyse von Schadprogrammen und Angriffsmethoden einsetzen können (Honeypots).

In Zukunft besteht die Pflicht für KRITIS-Betreiber den Einsatz von kritischen Komponenten mit Zertifizierungspflicht beim BSI anzuzeigen. Die Nutzung solcher Komponenten kann vom BSI untersagt werden, insbesondere wenn dem Hersteller nicht vertraut wird. Außerdem kann das Bundesamt künftig Auskunft über Bestandsdaten verlangen, um mittels einer IP-Adresse Betreiber kritischer Infrastrukturen, Unternehmen im besonderen öffentlichen Interesse und Anbieter digitaler Dienste über Sicherheitslücken informieren zu können.

Auch soll das BSI IT-Sicherheitskennzeichen für IT-Produkte bewilligen können. Die Befugnis des BSI zur Untersuchung von IT-Produkten wird neu gefasst. IT-Sicherheitsfunktionen insbesondere von Produkten im Verbrauchersegment sollen so erstmals für Bürgerinnen und Bürger sichtbar und nachvollziehbar gemacht werden. Eine besser fundierte Kaufentscheidung soll hierdurch ermöglicht werden.

IT-Sicherheit mit besonderen Anforderungen

Netzwerk- und IT-Sicherheit in den kritischen Infrastrukturen (KRITIS)

Neue Anforderungen an Betreiber kritischer Infrastrukturen

KRITIS-Betreiber sind in Zukunft verpflichtet Systeme zur Angriffserkennung in ihre IT-Systeme zu implementieren. Durch Änderung im Gesetz über die Elektrizitäts- und Gasversorgung gilt diese Pflicht auch für Betreiber von Energieversorgungsnetzen und Energieanlagen. § 8 Abs. 1a „... Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorsehen.“

Identity und Access Management, Einfallstore für Hackerangriffe

Um sich angemessen zu schützen und die Vorgaben des BSI zu erfüllen, brauchen KRITIS-Unternehmen stärker als je zuvor geeignete Sicherheitsmaßnahmen für die wichtigsten Schwachstellen.

Die Ursache für die meisten dokumentierten Angriffe sind kompromittierte privilegierte Benutzerkonten. Dies wird in der Regel dadurch erleichtert, dass diese Konten keinem festen Lebenszyklus unterliegen und es keine präzise Überwachung der Anzahl der bestehenden Management-Accounts gibt. Die Integration von Identitäts- und Zugriffsmanagement und Privilegiertem Zugriffsmanagement ermöglicht die Definition und Bereitstellung einer Vielzahl von Governance- und Verwaltungsprozessen.

Anforderungen an die Cybersicherheit für kritische Infrastrukturen haben oft einen anderen Fokus als der Schutz der traditionellen Unternehmens-IT. Eine solide Cybersicherheitsstrategie, die marktführende und hochmoderne Lösungen nutzt, unterstützt kritische Infrastrukturen und ist ein wichtiger Baustein in einem umfassenden Schutzkonzept für KRITIS. Unternehmen, die kritische Infrastrukturen bereitstellen, benötigen einen einheitlichen Ansatz für die Verwaltung, Kontrolle und Überwachung des Zugriffs auf und des Betriebs auf diesen Systemen.

Access Management Technologien bieten eine Reihe von Cybersicherheitskontrollen, die sich mit dem Management von Sicherheitsrisiken befassen, die mit kritischen Systemen, Prozessen oder vertraulichen Daten in einem Unternehmen verbunden sind. Die Kontrolle privilegierter Benutzer, erweiterter Zugriffsrechte und gemeinsam genutzter Konten erfordert eine gut integrierte Lösung, die aus Risikominimierung, klar definierten Prozessen und durchdachter, einfacher Implementierung besteht. Mit Access Management Technologien können privilegierte Business-Rollen und Konten gezielt verwaltet und geschützt werden – zum Beispiel mittels Passwortrotation, risikobasierter Zwei-Faktor-Authentifizierung (Step-up Authentication), KI-gestützter Erkennung von ungewöhnlichem Verhalten bis hin zur Aufzeichnung von Sitzungsdaten (Video und Metadaten). Somit kann vollständige Transparenz und Kontrolle sämtlicher Interaktionen auf kritischen Systemen erreicht werden. Die dabei erfassten Informationen können als Datenquelle (revisionssichere Log-Daten) an ein Security Information and Event Management (SIEM) übermittelt werden, um Nutzerverhalten zu visualisieren und automatisierte Sicherheitsauswertungen vorzunehmen.

Security-Insider Podcast – Folge 33

Das IT-Sicherheitsgesetz, oder: 5 Sätze zuviel

Ausblick in die Zukunft

Am 23.04.2021 hat der Deutsche Bundestag das „IT-Sicherheitsgesetz 2.0“ beschlossen. Nachdem der Bundesrat am 07.05.2021 zugestimmt hat, ist das Gesetz am 28.05.2021 in Kraft getreten. Unternehmen sollten also für sich prüfen, ob sie zu den KRITIS-Betreibern oder zu Unternehmen im besonderen öffentlichen Interesse zählen und sich auf die entsprechenden technischen und organisatorischen Maßnahmen, Anzeige- und Meldepflichten vorbereiten. KRITIS-Betreiber sollten sich mit der Lieferkette ihrer kritischen Komponenten auseinandersetzen und schon jetzt die Voraussetzungen für die entsprechenden Risikoanalysen und den damit verbundenen Prozessen, Kontrollen und Zuständigkeiten schaffen.

Wichtig ist hier, dass die Bußgeldvorschriften an die der NIS-Richtlinie angepasst sind. Hierdurch ist bei nicht Einhaltung unter bestimmten Voraussetzungen ein Bußgeldrahmen bis zu 20 Mio. Euro für KRITIS-Betreiber möglich.

Über die Autoren

Ömer Faruk Aydinbas ist Werksstudent, Informationsrecht der Hochschule Uni Darmstadt.

Robert Niedermeier (CIPP/E CIPT CIPM FIP) ist Rechtsanwalt bei Cyberlegis.

Stefan Rabben ist Area Sales Director DACH & Eastern Europe bei Wallix.

(ID:47751642)