30.06.2015 Kommentar

IT-Sicherheitsgesetz: „Ausweitung der Meldepflicht erforderlich"

Von: Miriam Marx

 So begrüßenswert der Bundestagsbeschluss zum IT-Sicherheitsgesetz im Grundsatz auch ist, bleibt er doch nur ein erster Schritt zu einem transparenteren Verständnis für Cyber-Risiken. Langfristig sind vor allem verbindliche Sicherheitsstandards und eine Ausweitung der Meldepflicht für alle Unternehmen gefragt.

Miriam Marx, Cyber-Expertin bei der Zurich Versicherung

Wir brauchen ein erhöhtes Risikobewusstsein bei den Unternehmen und einen gewissen Standard, an dem sie sich orientieren können. Das Gesetz sollte daher auf den gesamten Mittelstand ausgeweitet werden, um das Risikobewusstsein zu erhöhen. Den Fokus nur auf „kritische“ Branchen zu setzen, reicht längst nicht aus. Vor allem dann, wenn diese nicht klar definiert sind.

Ziel ist ja eine einheitliche Meldestruktur für alle kritischen Branchen. Welche Unternehmen damit aber genau gemeint sind, wurde bisher nicht festgelegt. Lediglich die Branchen Finanzwirtschaft, Energie, Wasser, Telekommunikation, IT-Technik, Transport und Verkehr sowie Gesundheitswesen wurden benannt. Mit dem nun verkündeten Beschluss sind diese Unternehmen verpflichtet, alle zwei Jahre Audits zur Aktualität ihrer IT und Technik nachzuweisen.

Auch die kürzlich verabschiedete Gesetzesänderung im Hinblick auf Sanktionen bei einer Nichtmeldung eines Angriffes ist sehr zu befürworten. Wer über das Netz angegriffen wird, muss das auch melden. Sonst ist ein Gesetz kein Gesetz, sondern nur eine Empfehlung. Ziel des IT-Sicherheitsgesetzes ist doch schließlich, bewusster mit Cyber-Risiken umzugehen und die Experten des Bundesamtes für Sicherheit in der Informationstechnik (BSI) über Angriffe zu informieren. Es ist folglich nur richtig, dass eine Nichtanzeige betraft wird.