Unternehmen und Gesetze zur IT-Sicherheit NIS-Richtlinie, IT-Sicherheitsgesetz und die Folgen

Mit der europäischen NIS-Richtlinie und dem IT-Sicherheitsgesetz (IT-SiG) sahen sich Unternehmen in kurzer Zeit mit zwei wichtige Richtlinien konfrontiert. Jetzt fragen sich viele Unternehmen, in welchen Punkten IT-Sicherheitsgesetz und NIS-Richtlinie einander gleichen, wer jeweils betroffen ist und ob die Regelungen womöglich miteinander kollidieren.

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Schürmann, Rosenthal, Dreyer

In Sachen IT-Sicherheit und Datenschutz wurden Unternehmen im vergangenen Jahr mit einer ganzen Reihe an (Neu-)Regelungen, Richtlinien und Gesetzen konfrontiert – sowohl auf nationaler als auch auf EU-Ebene. Dazu zählen insbesondere die sich ergebenen Pflichten aus dem IT-Sicherheitsgesetz sowie dem Cybersicherheitsgesetz (NIS-Richtlinie).

Während das IT-Sicherheitsgesetz bereits im Juli 2015 wirksam wurde, stellt sich mit Inkrafttreten der europäischen NIS-Richtlinie in 2016 für Unternehmen nun allerdings die Frage nach etwaigen Schnittstellen der neuen Regelungen: In welchen Punkten gleichen IT-Sicherheitsgesetz und NIS-Richtlinie einander, welche Unternehmen sind jeweils betroffen und kollidieren die Regelungen womöglich miteinander?

Das kommerzielle, für Verbraucher zugängliche Internet existiert seit über 20 Jahren. Demgegenüber feiert das BDSG (Bundesdatenschutzgesetz) noch in diesem Jahr sein 40-jähriges Bestehen. Unter Experten und Laien verstärkten sich daher die Rufe nach einem IT-Sicherheitsgesetz immer mehr. Es bestand der Wunsch nach Regelungen, die über die Anlage zur Datensicherheit des BDSG hinausgehen und zugleich rechtsverbindlicher sind als DIN/ISO (z.B. ISO 27001). Schließlich war es so weit: 2015 wurden auf nationaler und im Jahr 2016 auf europäischer Ebene die IT- und Cybersicherheit erstmals verbindlich geregelt.

Der lange Weg zu einem gemeinsamen IT-Sicherheitsniveau

Während das deutsche IT-Sicherheitsgesetz zur Erhöhung der Sicherheit informationstechnischer Systeme schon im Juli vergangenen Jahres in Kraft trat, liefen die Gespräche zur sogenannten NIS-Richtlinie eher langsam voran: Das EU-Parlament und der Europäische Rat hatten zu diesem Zeitpunkt gerade einmal die letzte Trilog-Verhandlung abgeschlossen. Der deutsche Gesetzgeber war also bereits in Vorleistung getreten, als die europarechtliche Einigung sowie ein erster Richtlinienentwurf noch nicht absehbar waren. Ein gutes Jahr später als das IT-Sicherheitsgesetz wurde am 19.Juli 2016 schließlich die lang erwartete Richtlinie (EU) 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen – die NIS-Richtlinie - im Amtsblatt der EU veröffentlicht. Im August 2016 trat das Gesetz in Kraft, wobei die Umsetzung in deutsches Recht bis Mai 2018 erfolgen muss.

Die NIS-Richtlinie

Die neue Cybersicherheits-Richtlinie ist Teil der Cyber-Sicherheitsstrategie der Europäischen Union, mit der man das Ausmaß von Hackerangriffen sowie technischen Ausfällen begrenzen will. Nach Einschätzungen der ENISA führen diese immerhin zu Verlusten von 260 bis 340 Milliarden Euro pro Jahr. Zudem soll die diesbezügliche Zusammenarbeit der EU-Mitgliedstaaten verstärkt und gefördert werden. Die konkrete Zielsetzung der europäischen Richtlinie ähnelt teilweise der des IT-Sicherheitsgesetzes: Vorgesehen ist ein hohes Sicherheitsniveau informationstechnischer Systeme, das den Stand der Technik abbildet.

Was wird aus dem IT-Sicherheitsgesetz?

Der deutsche Gesetzgeber ist bekanntlich bereits in Vorleistung getreten und hat im Rahmen der europäischen Cyber-Sicherheitsstrategie das IT-Sicherheitsgesetz auf den Weg gegeben. Es stellt sich weniger die Frage, was aus dem Sicherheitsgesetz wird, sondern vielmehr, welche Anpassungen von deutscher Seite vorgenommen werden müssen, um die Vorgaben der EU-Richtlinie vollumfänglich bis Mai 2018 zu erfüllen. Bei Richtlinien der Europäischen Union – wie der NIS-Richtlinie – handelt es sich um Rechtsakte, die eine Zielsetzung vorgeben, den Mitgliedsstaaten jedoch die Wahl der Mittel überlassen. Ein wichtiger Ausgangspunkt ist hierbei die sogenannte Mindestharmonisierung (im Gegensatz zur Vollharmonisierung), die sich in Artikel 3 der NIS-Richtlinie manifestiert. Demnach besteht nur dort erneuter Anpassungsbedarf, wo das Mindestschutzniveau der Richtlinie unterschritten wird.

IT-Sicherheitsgesetz gleich NIS-Richtlinie?

In vielen Punkten gleichen sich die Regelungen, etwa bei der obligatorischen Meldung von Sicherheitsvorfällen und der Einhaltung von Sicherheitsanforderungen (Stichwort: Verhältnismäßigkeit). Wo das IT-Sicherheitsgesetz hier „kritische Infrastrukturen“ (KRITIS) verpflichtet, ist in der NIS-Richtlinie von „wesentlichen Diensten“ die Rede. Gemeint sind jeweils besonders gefährdete Bereiche, die einerseits wichtige Dienstleistungen für das Gemeinwohl bereitstellen und zugleich aufgrund einer weitreichenden Vernetzung einer besonderen Bedrohungslage ausgesetzt sind. An anderer Stelle fordert die NIS-Richtlinie die Einrichtung nationaler Behörden, um den neuen europarechtlichen Anforderungen an die IT-Sicherheit Herr zu werden.

Auch hier ist man in Deutschland mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und den neuen, durch das IT-Sicherheitsgesetz bereits erweiterten, behördlichen Pflichten gut aufgestellt. Anders als im IT-Sicherheitsgesetz finden sich verbindliche Regelungen zu sogenannten Computer Security Incident Response Teams (CSIRTs) und deren Vernetzung untereinander. Auf nationaler Ebene hat sich der CERT-Bund als zentrale Anlaufstelle für IT-Notfallteams in Unternehmen bewährt.

Herausforderungen dürften sich bei der geforderten Zusammenarbeit ergeben. Neuerungen können sich im Zuge der NIS-Richtlinie für Unternehmen ergeben, die als „digitale Dienste“ gelten. Ob Online-Händler, Suchmaschinen oder Cloud-Dienste, bei Überschreitung bestimmter Schwellwerte (Kleinst- und Kleinunternehmen sind ausgeschlossen), sind verpflichtend Sicherheitsvorfälle zu melden und z.B. das Notfallmanagement um Business Continuity Maßnahmen zu erweitern. Das IT-Sicherheitsgesetz kennt die obligatorische Meldung bisher nur bei den Betreibern kritischer Infrastrukturen und wird auch bei den Maßnahmen nicht konkreter. Ziel soll die Schaffung einer Kultur des Risikomanagements sein. Betroffene Unternehmen, die bereits risikobasierte Managementsysteme einsetzen, etwa ein ISMS nach ISO 27001, dürften aber auch hier keine größeren Überraschungen erleben.

Welche Sektoren sind von der NIS-Richtlinie und dem IT-Sicherheitsgesetz betroffen?

NIS-Richtlinie: „Betreiber wesentlicher Dienste“

• Energie (Elektrizität, Erdöl, Erdgas)

• Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)

• Bankwesen

• inanzmarktinfrastrukturen

• Gesundheitswesen (einschließlich Krankenhäuser und Privatkliniken)

• Trinkwasserlieferung- und Versorgung

• Digitale Infrastruktur

IT-Sicherheitsgesetz: Die Sektoren für „Betreiber kritischer Infrastrukturen“ gemäß des IT-Sicherheitsgesetzes einschlägigen Sektoren finden sich unter § 2 Abs. 10 BSI-Gesetz und wurden per Verordnung bereits konkretisiert:

• Energie (Elektrizität, Gas, Kraftstoff und Heizöl, Fernwärme)

• Informationstechnik und Telekommunikation (Sprach- und Datenübertragung, Datenspeicherung und –verarbeitung)

• Transport und Verkehr

• Gesundheit

• Wasser (Trinkwasserversorgung und Abwasserbeseitigung)

• Ernährung (u.a. Lebensmittelversorgung)

• Finanz- und Versicherungswesen

Die vorgenannte, bereits erlassene Verordnung zur Bestimmung kritischer Infrastrukturen ergänzt die bestehenden Regelungen und gibt Aufschluss über konkrete Anwendungsbereiche. Trotz zuweilen unterschiedlicher Bezeichnungen kann an dieser Stelle festgehalten werden, dass bei den betroffenen Sektoren kein böses Erwachen für deutsche Betreiber und Unternehmen bevorstehen dürften. Die in der Richtlinie zunächst lediglich skizzierten Sektoren, wurden anhand der deutschen Verordnung also bereits konkretisiert. Eine zukünftige Re-Evaluierung bleibt abzuwarten, ist aber von der Richtlinie vorgesehen.

Fazit

Das normierte Ziel der NIS-Richtlinie deckt sich größtenteils mit der Zielsetzung des IT-Sicherheitsgesetzes: Die Verpflichtung auf IT-Sicherheitsvorgaben, darunter Melde- bzw. Berichtspflichten sowie die Einhaltung angemessener Sicherheitsstandards. Im Rahmen der „digitalen Dienste“ werden zukünftig mehr Unternehmen von den neuen Anforderungen und insbesondere den Meldepflichten betroffen sein als zuvor. Bei der Ermittlung der „Betreiber wesentlicher Dienste“ kommt deutschen Unternehmen der Vorteil zu, dass bereits eine Verordnung existiert, die Licht ins „Grau“ der Richtlinie bringt. Der Weg hin zu risikobasierten Ansätzen und der Meldung von Sicherheitsvorfällen im Rahmen eines IT-Notfallmanagements lässt die Empfehlung zertifizierbarer Best Practice Standards zu, allen voran ISO/IEC 27001 und BSI Grundschutz.

Über die Autorin

Simone Rosenthal

Simone Rosenthal ist Rechtsanwältin und Partnerin bei Schürmann Wolschendorf Dreyer und hat sich als Expertin für Datenschutz, IT-Recht und Wettbewerbsrecht etabliert. Ihre Schwerpunkte liegen insbesondere in der nationalen und internationalen Vertragsgestaltung, der Beratung von Unternehmen der Neuen Medien und der Digitalwirtschaft in Fragen des IT- und Datenschutzrechts sowie der Beratung zu vertriebs- und gesellschaftsrechtlichen Fragestellungen.

(ID:44524846)