KRITIS & IT-Zulieferer
Schutz informationstechnischer System mit besondere gesellschaftlicher Bedeutung
In unserer modernen Gesellschaft sind sowohl Staat und Wirtschaft als auch der einzelne Bürger abhängig von der Verfügbarkeit einer funktionierenden und integren Informationstechnologie. Die Einführung des IT-Sicherheitsgesetzes bezweckt daher eine Erhöhung des Sicherheitsstandards für eine Vielzahl von Bereichen, die für das tägliche Zusammenleben von Bedeutung sind.
Adressaten des Gesetzes sind vor allem Betreiber sogenannter kritischer Infrastrukturen, kurz KRITIS. Nach Vorstellungen des BSI fallen darunter ca. 2000 Unternehmen aus den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie des Finanz- und Versicherungswesens.
Besondere Pflichten für Betreiber Kritischer Infrastrukturen
Gehört ein Unternehmen einem dieser besonders schützenswerten Sektoren an und ist es von hoher Bedeutung für das Funktionieren des Gemeinwesens, weil ein Ausfall oder eine Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit hervorrufen würde, entstehen besondere Pflichten. Dazu gehören insbesondere:
- technische und organisatorische Vorkehrungen zur Absicherung der IT-Systeme nach auszuarbeitenden und dem Stand der Technik entsprechenden Branchenstandards zu treffen
- Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik.
Wann und in welchem Umfang ein Unternehmen von diesen Pflichten betroffen ist, lässt sich nur durch eine Prüfung im Einzelfall feststellen. Ergänzend dazu wird voraussichtlich im Mai 2016 eine erste Rechtsverordnung erlassen werden, welche die Sektorenzugehörigkeit, Fehlerfolgenerheblichkeit sowie besagte Branchenmindeststandards für Kritische Infrastrukturen regeln wird.
IT-Zulieferer & Dienstleister von KRITIS
Der Kreis der betroffenen der neuen gesetzlichen Regelungen geht jedoch weit über die Betreiber von KRITIS hinaus.
Jeden Dienstleister für KRITIS-Unternehmen, wie z. B. Cloud-Anbieter, können mittelbar die ITSiG-Pflichten treffen. Im Rahmen der Vertragsgestaltung sollten insbesondere folgende Fragen sehr klar beantwortet werden: wer bestimmt das IT-Sicherheitsniveau, wie sieht dieses aus, wer setzt welche Maßnahmen um und wer ist für die Erfüllung der gesetzlichen Meldepflichten verantwortlich? Wird hierzu nichts vereinbart, muss die Leistung den Kunden in die Lage versetzen, seine gesetzlichen Anforderungen zu erfüllen. Wer also für KRITIS tätig wird, muss auch ohne gesonderte Vereinbarung das erforderliche Schutzniveau gewährleisten.