Die Bundesregierung hat heute der Änderung der BSI-KRITIS-Verordnung zugestimmt. Sie bestimmt transparente Kriterien, anhand derer Betreiber Kritischer Infrastrukturen aus den Sektoren "Finanz- und Versicherungswesen", "Gesundheit" und "Transport und Verkehr" prüfen können, ob sie unter die Regelungen des IT-Sicherheitsgesetzes fallen. Damit kann die geänderte Verordnung im Juni 2017 in Kraft treten. Der erste Teil der BSI-KRITIS-Verordnung ist bereits seit dem 3. Mai 2016 in Kraft und enthält die Sektoren Energie","Informationstechnik und Telekommunikation", "Wasser" und "Ernährung".
Hierzu erklärt BSI-Präsident Schönbohm: "Es ist gut, dass wir nun den nächsten Schritt zur Umsetzung des IT-Sicherheitsgesetzes machen können. Nicht erst der weltweite Cyber-Angriff mit der Schadsoftware WannaCry hat gezeigt, dass Meldepflichten und die Einhaltung eines Mindestsicherheitsniveaus einen wichtigen Beitrag zur IT-Sicherheit in Kritischen Infrastrukturen leisten können. Er hat zudem auch deutlich gemacht, dass entsprechende Regelungen benötigt werden."
Dr. Thomas de Maizière betonte: "Nach dieser Änderung ist es Betreibern aus allen sieben Sektoren möglich zu prüfen, ob sie Kritische Infrastrukturen nach dem IT-Sicherheitsgesetzes betreiben."
Die Aufarbeitung der einzelnen Sektoren sei nicht immer leicht gewesen. "Dennoch ist es uns gelungen, eine für alle Seiten gute Lösung zu finden. Um die Lebensadern unserer vernetzten Gesellschaft in der heutigen Zeit effektiver zu schützen, müssen Wirtschaft und Staat eng zusammenarbeiten. Gemeinsam mit der Wirtschaft werde ich gezielt und nachhaltig unsere Resilienz im Cyberraum verbessern. Dass wir hier noch Aufgaben vor uns haben, haben die Cyberangriffe durch die Ransom-Ware WannaCry vor wenigen Wochen recht eindrucksvoll belegt"
, so der Bundesinnenminister.
Die von der Verordnung betroffenen Betreiber sind mit Inkrafttreten verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb von sechs Monaten eine zentrale Kontaktstelle zu benennen und dem BSI innerhalb von zwei Jahren die Einhaltung eines Mindeststandards an IT-Sicherheit nachzuweisen.
» Zum Download des Referentenentwurfs
Quelle: BSI & BMI