Kritik am IT-Sicherheitsgesetz in der ersten Lesung im Bundestag

Am Freitag, den 20. März 2015 fand im Bundestag die erste Lesung des Entwurf für das IT-Sicherheitsgesetz statt. Der Entwurf wurde im Bundestag kontrovers diskutiert. Die Bundesregierung sieht sich mit dem Gesetz als als “Vorbild und Vorreiter der IT-Sicherheit”, so Bundesinnenminister Dr. Thomas de Maizière. Die Opposition bemängelte an dem Entwurf, dass nicht geklärt ist, welche Unternehmen zu den Kritischen Infrastrukturen gehören. Dies soll im Rahmen von Rechtsverordnungen nach Verabschiedung des Gesetzes geregelt werden. In einer ersten Zahl wurden 2.000 betroffene Unternehmen genannt. Wie viel Substanz diese Größenordnung hat, wird sich noch zeigen. Nimmt man zum Beispiel alleine die Energie- und Wasserversorger hinzu, wird diese Zahl kaum zu halten sein. Mit dem IT-Sicherheitsgesetz kommt auch eine Meldepflicht für Sicherheitsvorfälle bei Unternehmen der Kritischen Infrastrukturen. Welche Vorfälle gemeldet werden müssen und was mit den gesammelten Daten passiert, ist im Gesetzesentwurf ebenfalls nicht genau geregelt. Der Cyber-Sicherheitsrat hat zudem gar verfassungsrechtliche Bedenken gegenüber dem Gesetzesentwurf: Behörden des Bundes werden von den Pflichten der Kritischen Infrastrukturen nicht erfasst und müssen demzufolge keine vergleichbare Pflichten zum Schutz vor Cyberattacken leisten. Einig sind sich zumindest alle Parteien, dass Aktivitäten zum Schutz vor Cyber-Attacken dringend nötig sind.

Aus meiner bescheidenen Sicht ist die Definition der Kritischen Infrastrukturen tatsächlich ein kritischer Erfolgsfaktor für die Wirksamkeit des Gesetzes. Die Verlagerung der Definition des Scopes der gesetzlichen Regelungen auf die nachgelagerten Rechtsverordnungen hat zumindest Unsicherheit und Diskussionen erzeugt, die die Verabschiedung des Gesetzes verzögern können. Zur Zeit laufen branchenbezogene Studien zur Definition der kritischen Prozesse für die Kritischen Infrastrukturen. Zudem finden Gespräche mit den Branchenvertretern statt. Es gilt auch je Branche die Standards festzulegen, die von den betroffenen Unternehmen einzuhalten sind. Die Lobbyarbeit läuft sicherlich hinter den Kulissen auf Hochtouren. Die bereits stark regulierten Branchen wie Finanzdienstleister werden mit den Konsequenzen dieses Gesetzes wesentlich leichter umgehen können als Unternehmen, die sich diesen Anforderungen erst neu stellen müssen. Gerade für mittelständische Unternehmen kann dies zu einer Herausforderung werden, aber gerade diese Unternehmen sind auch besonders stark gefährdet, ohne dass das Bewusstsein – und Budget – hierfür immer vorhanden ist. Es besteht Handlungsbedarf und ein erster Schritt muss getan werden. Der Gesetzgeber wäre gut beraten, gerade den mittelständischen Unternehmen auch bessere Hilfsmittel zur Umsetzung an die Hand zu geben. Das Umsetzungsrahmenwerk für den BSI 100-4 Standard Notfallmanagement ist ein guter Ansatz in diese Richtung. Mehr davon, kann ich da nur appellieren. Auch der BSI 100-4 hat mittlerweile eine dicke Staubschicht angesammelt. Vorschriften sind das eine, doch darf man gerade kleine und mittelständische Unternehmen bei der Umsetzung nicht alleine lassen – auch wenn wir als Berater den Bedarf natürlich gerne ganz uneigennützig aufgreifen 😉

Anforderungen an das externe Reporting des Notfallmanagements

Im nachfolgenden Gastbeitrag geht der Autor Torsten Zacher auf die Anforderungen an das externe Reporting des Notfallmanagements ein. Torsten Zacher beleuchtet die unterschiedlichen Quellen der Anfragen sowie die rechtlichen und regulatorischen Rahmenbedingungen für das Reporting.

Ausgangslage

Kreditinstitute erhalten in letzter Zeit vermehrt Anfragen zu einem Reporting über die Notfallkonzepte. Diese werden mit der Wesentlichkeit der Auslagerung begründet. In einigen Fällen wird keine Begründung angegeben.

Ein kurzer Blick auf die Anforderungen lässt schnell erkennen, dass diese auf inhomogenen rechtlichen Anforderungen basieren. Doch welche Folgen ergeben sich hieraus für das externe BCM-Reporting? Welche Informationen muss das anfragende Unternehmen erhalten?

Wie kann der Begriff des Outsourcings in diesem Rahmen definiert werden?

Welchen Input kann die MaRisk, insb. die AT 9 und das KWG geben und was sagen die Standards BSI 100-4 und die ISO 22301 zu den Anfragen? Dieses wird im folgenden Artikel untersucht.

Im ersten Schritt sollten die verschiedenen Anfragen kategorisiert werden, um zu definieren, wie die anfragenden Unternehmen angemessen informiert werden und es wird der Begriff definiert, was eine Auslagerung ist.

Es werden nur die Anforderungen an das Reporting untersucht und nicht weitere Forderungen, die sich aus der MaRisk, der ISO 22301 usw. ergeben. Unter anderem wird auf Themen wie Prüfrechte nicht weiter eingegangen.
Weiterlesen…

Bundeskabinett beschließt IT-Sicherheitsgesetz

Das Bundeskabinett hat heute den Entwurf des Sicherheitsgesetzes verabschiedet. Damit kommt die Meldepflicht für IT-Sicherheitsvorfälle und das Bundesamt für Sicherheit in der Informationstechnik BSI erhält umfassende Kompetenzen und Kapazitäten als Zentralstelle für die IT-Sicherheit. Welche Unternehmen und Organisationen als Betreiber kritischer Infrastrukturen dem neuen IT-Sicherheitsgesetz unterliegen, wird eine spannende Frage sein, die Anfang des neuen Jahres in konkreten Verordnungen ausgestaltet werden wird. Die Bundesregierung geht aktuell von rund 2.000 Betreibern der kritischen Infrastruktur aus. Auch die Hersteller von IT-Systemen unterliegen zukünftig der Aufsichtspflicht des BSI. Der Gesetzesenturf war heftig umstritten. Der Industrie ging er mit den Meldepflichten zu weit, während Sicherheitsfachleute befürchten, durch die anonymisierten Meldungen kein vollständiges Lagebild zu erhalten. Die Praxis wird bald zeigen, ob sich der Aufwand für die Unternehmen in einem konkreten Sicherheitsgewinn auszahlt.

Was das neue IT-Sicherheitsgesetz für das Business Continuity Management bedeutet

Das Bundesministerium des Innern hat vor kurzem den Referentenentwurf zum IT-Sicherheitsgesetz („Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme“) vorgelegt. Ziel des Gesetzes ist „eine signifikante Verbesserung der Sicherheit informationstechnischer Systeme in Deutschland“. Besondere Bedeutung misst der Entwurf des IT-Sicherheitsgesetzes dem Schutz der IT-Systeme Kritischer Infrastrukturen zu. Weiterlesen…

Anforderungen an die Bewertung von Tests und Übungen

Ein Gastbeitrag für die BCM-News von Torsten Zacher

Einleitung

Gemäß der MaRisk AT 7.3 ist die Wirksamkeit und der Angemessenheit des Notfallkonzeptes regelmäßig durch Notfalltests zu überprüfen.

Die zwei Begriffe Angemessenheit und Wirksamkeit spielen hierbei in Verbindung mit den Tests eine entscheidende Rolle.

Das KWG ergänzt im § 25c hierbei noch, dass den jeweils Verantwortlichen über die Ergebnisse der Notfalltest berichtet wird.

Die Begriffe Angemessenheit und Wirksamkeit bilden die Grundlage der Bewertung, die im ersten Teil des Artikels vorgestellt werden. Im zweiten Teil wird auf die Notwendigkeit einer Bewertung, deren Zielgruppen und den positiven Nutzen eingegangen. Im dritten Teil wird eine mögliche Bewertung inklusive Inhalten vorgestellt. Es sind Bewertungen je Test und eine Jahresbewertung zu differenzieren. Weiterlesen…

Arbeitsrechte und -pflichten in Notfällen

Bei Notfällen des Unternehmens und / oder des Arbeitnehmers stellen sich immer auch arbeitsrechtliche Fragen. Diese betreffen die Entgeltfortzahlung, aber auch drohende Abmahnungen oder gar Kündigungen, wenn Mitarbeiter wegen eines Notfalls nicht zur Arbeit erscheinen können. Beim Notfall im Unternehmen stellen sich Fragen nach der Einhaltung von Arbeitszeiten, d.h. Anordnung von Überstunden und fachfremder Tätigkeiten genauso wie Entgeltfortzahlung für Mitarbeiter, die nicht arbeiten können oder dürfen.

In diesem Artikel “Land unter im Arbeitsrecht” werden diese Themen angesichts der akuten Hochwasserlage aus arbeitsrechtlicher Sicht beleuchtet.

Wichtig sind auch die Ausnahmeregelungen für die Mitbestimmungsregelungen nach §87 Abs.1 des Betriebsverfassungsgesetzes sowie des Arbeitszeitgesetzes (ArbZG §14 Außergewöhnliche Fälle) für Notfälle.

MaRisk-Novelle 2012 des BaFin erschienen

Am 14. Dezember 2012 hat das BaFin die endgültige Fassung der überarbeiteten MaRisk für Banken (MaRisk BA) veröffentlicht. Der Schwerpunkt der Änderungen liegt in den neuen Modulen AT 4.4.1 (Risikocontrolling-Funktion) und AT 4.4.2 (Compliance-Funktion) sowie in den Änderungen des BTR 3.1 (Verrechnungssystem für Liquiditätskosten, -nutzen und –risiken). Die für das Business Continuity Management relevanten Regelungen (insbesondere AT 7.2, 7.3 und AT 9) sind nahezu unverändert übernommen. Eine detaillierte Auflistung der Veränderungen wird vom BaFin zur Verfügung gestellt. Die neue Fassung der MaRisk tritt mit dem 01.01.2013 in Kraft. “Um den Instituten trotzdem ausreichende Umsetzungszeiträume einzuräumen, sind Anforderungen, die im MaRisk-Kontext neu sind und nicht lediglich Klarstellungen ohnehin schon vorhandener Anforderungen darstellen, bis zum 31.12.2013 umzusetzen.”

Konsultation des BaFin für das “Testament” systemrelevanter Banken

Die Bundesanstalt für Finanzdienstleistungsaufsicht BaFin hat den “Entwurf eines Rundschreibens zu Mindestanforderungen an die Ausgestaltung von Sanierungsplänen” veröffentlicht (MaSan). Als systemrelevant definierte Banken haben auf der Grundlage des §25a KWG einen Sanierungsplan zu erstellen. Dieser muß diese Institute in Krisenfällen in die Lage versetzen, die Überlebensfähigkeit ohne den Verlust von Steuergeldern zu sichern. Die Kreditinstitute haben hierzu in ihrem “Testament” Handlungsoptionen zu beschreiben, um die Finanzstärke sicher- und wiederherzustellen, wenn Belastungsszenarien eintreten. Hierzu sind auch die wesentlichen und systemrelevanten Geschäftsaktivitäten zu identifizieren und nachvollziehbar zu begründen. Dies schreit geradezu nach einer Business Impact Analyse. Im Kern geht es um den “großen Notfallplan”, der die Überlebensfähigkeit des Kreditinstituts bei Finanzmarktkrisen aus sich heraus, ohne staatliche Hilfe, sichern soll. Bis Ende 2013 sind die Sanierungspläne zu entwickeln und implementieren. Die Jahresabschlussprüfer haben den Sanierungsplan jährlich zu prüfen und beurteilen. Die für die Umsetzung in Krisensituationen  notwendigen Informationen sind jederzeit verfügbar zu halten. Bei der Erstellung sind alle erforderlichen Organisationseinheiten einzubeziehen.

Innenministerium plant Gesetz zur Meldung von IT-Sicherheitsvorfällen

Laut einer aktuellen Meldung des Handelsblatts plant Innenminister Friedrich ein Gesetz, das die Betreiber Kritischer Infrastrukturen KRITIS dazu verpflichtet, “erhebliche IT-Sicherheitsvorfälle” zu melden. Daneben soll die Pflicht zur Erfüllung von IT-Sicherheit der Betreiber kritischer Infrastrukturen gesetzlich geregelt werden.

Der Umsetzungsplan KRITIS des Nationalen Plans zum Schutz der Informationsinfrastrukturen nimmt damit konkrete Gestalt an. Es war bereits abzusehen, dass Betreiber kritischer Infrastrukturen stärker in die Pflicht genommen werden. Ein Gesetz zur Meldepflicht würde diesen Prozess deutlich beschleunigen und die Kritis-Betreiber konkret in die Pflicht nehmen. BCM-News hatte hierüber im Oktober 2011 bereits berichtet.

Seveso-III-Richtlinie zum Schutz vor Störfällen in Chemieanlagen in Kraft getreten

Am 13. August 2012 ist die Seveso-III Richtlinie in Kraft getreten. Im Amtsdeutsch heisst die “Richtlinie 2012/18/EU zur Beherrschung der Gefahren schwerer Unfälle mit gefährlichen Stoffen”. Bei der Richtlinie handelt es sich um eine Novellierung der Seveso-II-Richtlinie. Die Richtlinie zielt auf den Schutz der Bevölkerung vor Störfällen in Chemieanlagen.  Betroffen sind in Deutschland etwa zehntausend Industriebetriebe, in denen große Mengen gefährlicher Stoffe lagern. Die Betreiber werden in der Richtlinie dazu verpflichtet “alle erforderlichen Maßnahmen zu ergreifen, um schwere Unfälle zu verhüten und deren Folgen zu mildern und zu beseitigen” (Tz 12). “Domino-Effekte” durch die Nähe von Betrieben sollen durch den Austausch von Informationen verringert werden (Tz 14). Der Nachweis über die Maßnahmen und Notfallpläne hat über einen Sicherheitsbericht an die zuständigen Behörden zu erfolgen (Tz 15). “Zur Sicherung der Notfallbereitschaft (…) müssen interne und externe Notfallpläne aufgestellt und Verfahren aufgestellt werden, die sicherstellen, dass diese Pläne erprobt und erforderlichenfalls überarbeitet werden …”. Zum internen Notfallplan soll das Personal gehört werden, zum externen Notfallplan die Öffentlichkeit (Tz 16). Die Politik muss in den Flächennutzungsplanungen für angemessene Abstände sorgen (Tz 18). Bei Eintreten eines schweren Unfalls muss der Betreiber unverzüglich die zuständige Behörde informieren (Tz 22). Die Mitgliedsstaaten haben die EU-Kommission über schwere Unfälle zu unterrichten (Tz 29).

Quelle: Seveso-III Richtlinie (pdf)