IT-Sicherheitsgesetz

Definition: Das IT-Sicherheitsgesetz (IT-SiG) ist ein deutsches Bundesgesetz, das Mindeststandards für die Informationssicherheit in besonders sensiblen gesellschaftlichen Bereichen festlegt. Es liegt in zwei wesentlichen Fassungen vor: Das IT-Sicherheitsgesetz 1.0 trat im Juli 2015 in Kraft und verpflichtete erstmals Betreiber Kritischer Infrastrukturen (KRITIS) sowie die Bundesverwaltung zur Einhaltung angemessener technisch-organisatorischer Sicherheitsmaßnahmen und zur Meldung erheblicher IT-Sicherheitsvorfälle beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Das IT-Sicherheitsgesetz 2.0 trat im Mai 2021 in Kraft und erweiterte den Anwendungsbereich erheblich um Unternehmen im besonderen öffentlichen Interesse (UBI) sowie die Anbieter von digitalen Infrastrukturen und Online-Marktplätzen. Das IT-SiG ändert und ergänzt primär das BSI-Gesetz (BSIG), das Telekommunikationsgesetz (TKG) und das Atomgesetz, und wird durch die Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht weiter fortentwickelt. Für Unternehmen im Online-Marketing und E-Commerce ist das IT-Sicherheitsgesetz dann relevant, wenn sie als KRITIS-Betreiber eingestuft werden, Telemediendienstleistungen erbringen oder als Unternehmen im besonderen öffentlichen Interesse gelten – was für größere Plattformen, Infrastrukturdienstleister und Anbieter kritischer digitaler Dienste zutreffen kann.

Erläuterung

Der Begriff „Kritische Infrastrukturen" (KRITIS) bezeichnet laut BSI-Gesetz Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden. Das BSI hat in der BSI-Kritisverordnung (BSI-KritisV) Schwellenwerte festgelegt, ab denen Betreiber in neun Sektoren – Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Finanz- und Versicherungswesen, Siedlungsabfallentsorgung sowie Staat und Verwaltung – als KRITIS eingestuft werden.

Das IT-Sicherheitsgesetz 2.0 führte zusätzlich die Kategorie der „Unternehmen im besonderen öffentlichen Interesse" (UBI) ein. Hierzu zählen Rüstungsunternehmen und Betriebe, die als volkswirtschaftlich bedeutsam eingestuft sind, etwa weil sie bestimmte Umsatzschwellen überschreiten oder in Bereichen tätig sind, die für die öffentliche Versorgung besonders wichtig sind. Diese Unternehmen unterliegen ebenfalls Meldepflichten und müssen Selbsterklärungen zur IT-Sicherheit beim BSI einreichen.

Ein wesentliches Element des IT-Sicherheitsgesetzes ist die Einführung von Systemen zur Angriffserkennung (SzA), die KRITIS-Betreiber seit dem IT-SiG 2.0 verpflichtend einsetzen müssen. Diese Systeme sollen Angriffe auf die IT-Infrastruktur frühzeitig erkennen und melden, um die Auswirkungen von Cyberangriffen zu minimieren. Das BSI kann im Rahmen seiner erweiterten Befugnisse nach IT-SiG 2.0 aktiver in die Gefahrenabwehr eingreifen und Anordnungen gegenüber Betreibern und Herstellern erlassen, wenn von bestimmten IT-Produkten eine Gefahr für die öffentliche Sicherheit ausgeht.

Für Telemediendienstleister – also im Wesentlichen alle Anbieter von Online-Diensten wie Websites, Apps oder Online-Shops – schreibt das IT-Sicherheitsgesetz über die Änderungen am Telemediengesetz (TMG) und später am TTDSG vor, dass technisch-organisatorische Maßnahmen ergriffen werden müssen, um unerlaubte Zugriffe auf personenbezogene Daten und Telekommunikationsgeheimnisse zu verhindern. Die Anforderungen überschneiden sich hier mit den Datensicherheitspflichten der DSGVO (Art. 32 DSGVO).

Kernpflichten nach dem IT-Sicherheitsgesetz

• Technisch-organisatorische Maßnahmen: KRITIS-Betreiber müssen dem Stand der Technik entsprechende Schutzmaßnahmen implementieren und dies alle zwei Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen.
• Registrierungspflicht: Betreiber Kritischer Infrastrukturen müssen sich beim BSI registrieren und eine Kontaktstelle benennen, die rund um die Uhr erreichbar ist.
• Meldepflicht bei Sicherheitsvorfällen: Erhebliche Störungen der IT-Systeme und Sicherheitsvorfälle müssen unverzüglich an das BSI gemeldet werden; Fristen variieren nach Schwere des Vorfalls (initial innerhalb von 24 Stunden).
• Systeme zur Angriffserkennung: Ab dem IT-SiG 2.0 sind KRITIS-Betreiber verpflichtet, qualifizierte Systeme zur Angriffserkennung einzusetzen.
• Selbsterklärung für UBIs: Unternehmen im besonderen öffentlichen Interesse müssen eine Selbsterklärung über umgesetzte IT-Sicherheitsmaßnahmen beim BSI einreichen.

Verhältnis zur NIS2-Richtlinie und aktuellen Entwicklungen

• NIS2-Richtlinie: Die EU-Richtlinie zur Netz- und Informationssicherheit (NIS2, 2022/2555) musste bis Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland geschieht dies durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das das BSIG grundlegend neu fasst und den Kreis der betroffenen Einrichtungen massiv erweitert.
• Erweiterter Anwendungsbereich: Durch NIS2 werden in Deutschland schätzungsweise 30.000 oder mehr Unternehmen erstmals in den Anwendungsbereich fallen – darunter viele mittelständische Unternehmen aus Sektoren wie Lebensmittel, Chemie, Maschinenbau, Post und Kurierdienste sowie digitale Dienste.
• Strengere Haftung: Die NIS2-Umsetzung sieht auch eine persönliche Haftung von Geschäftsführern und Vorständen für Cybersicherheitspflichtverletzungen vor.
• Relevanz für Online-Marketing: Große E-Commerce-Plattformen, Marktplätze und digitale Dienstleister können durch NIS2 erstmals in den Regulierungsbereich fallen und müssen Sicherheitsmaßnahmen sowie Meldepflichten einhalten.