Dr. Dr. Fabian Teichmann, LL.M. (London), EMBA (Oxford), RA

IT-Sicherheitsgesetz 2.0 in der Praxis: Angriffserkennung und kritische Komponenten

Das IT-Sicherheitsgesetz 2.0 hat die Cybersecurity-Pflichten für KRITIS-Betreiber erheblich ausgeweitet. Der Beitrag analysiert die Einführung von Angriffserkennungssystemen (§ 8a Abs. 1a BSIG) und die Regulierung kritischer Komponenten (§ 9b BSIG). Neben technischen und organisatorischen Anforderungen werden Datenschutz- sowie Compliance-relevante Aspekte beleuchtet. Abschließend gibt der Beitrag praxisnahe Empfehlungen für eine rechtssichere Umsetzung im Unternehmen.

I. Einleitung und Überblick

Das Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (“IT-Sicherheitsgesetz 2.0”, IT-SiG 2.0), in Kraft seit 2021, hat die deutsche Cybersecurity-Regulierung deutlich ausgeweitet. Die Bestimmungen wurden in das BSI-Gesetz (BSIG) aufgenommen und sind seit dem 28.5.2021 bzw. seit 1.12.2021 in Kraft. Insbesondere Betreiber Kritischer Infrastrukturen (KRITIS) – also Unternehmen, deren Dienste für das Gemeinwesen unentbehrlich sind – unterliegen nun schärferen Pflichten. Neu eingeführt wurden u. a. die Pflicht zum Einsatz von Systemen zur Angriffserkennung (§ 8a Abs. 1a BSIG) sowie spezielle Vorgaben für den Einsatz kritischer Komponenten (§ 9b BSIG). Darüber hinaus erweiterte das Gesetz den Kreis der betroffenen Unternehmen (u. a. Einbeziehung sog. Unternehmen im besonderen öffentlichen Interesse neben KRITIS-Betreibern) und stärkte die Befugnisse der Aufsichtsbehörden, allen voran des Bundesamts für Sicherheit in der Informationstechnik (BSI). Die Neuerungen erfordern ein interdisziplinäres Zusammenwirken von Recht, Technik und Compliance innerhalb eines Unternehmens. Einerseits müssen juristische Anforderungen in Unternehmensprozesse implementiert werden, andererseits müssen technische Sicherheitsmaßnahmen praktisch umsetzbar und mit Datenschutz sowie Unternehmensabläufen vereinbar sein.