IT-Sicherheitsgesetz der Bundesregierung

Noch vor der Weihnachtspause hatte die Bundesregierung am 17. Dezember das bereits seit 2011 (!) diskutierte IT-Sicherheitsgesetz auf den Weg gebracht. Dabei zielt das Vorhaben vorrangig auf die „Erhöhung der ­Sicherheit informations­technischer Systeme“ ab.

So weit, so gut. Doch Papier ist geduldig und in staatlichen Einrichtungen mahlen die Mühlen bekanntlich langsamer als andernorts. Im Klartext bedeutet dies, dass die Umsetzung des Gesetzes einen nicht unerheblichen Organisationsaufwand nach sich ziehen wird. Dieser wiederum wird sich kaum von heute auf ­morgen realisieren lassen.

Zudem sind einige Details des Gesetzes äußerst vage gehalten. So geht es zunächst um die Frage, welche Firmen von den Regelungen überhaupt betroffen sind. Im Text heißt es lapidar die „Betreiber kritischer Infrastrukturen“. Unbestritten fallen Energieunternehmen ebenso darunter wie Wasserversorger. Doch wie sieht es mit Logistikern oder Banken aus? Sind deren Dienste für die Bevölkerung ein kritisches Gut? Oder kann man auf eine Bahnfahrt ebenso gut die eine oder andere Stunde verzichten wie auf eine wich­tige ­Finanztransaktion?

Desweiteren heißt es in dem Beschluss, dass die betroffenen Firmen künftig einen Mindeststandard an IT-Sicherheit einhalten sollen und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden müssen. Doch wie genau definieren sich „Mindeststandards“ und „erhebliche“ Vorfälle? Auf konkrete Antworten wartet man hier (noch) vergeblich.

Bildquelle: Thinkstock/iStock