Datensicherheit: Europa versus Deutschland?

Hintergrund

Das kommerzielle, für Privatnutzer zugängliche Internet gibt es seit über 20 Jahren. Demgegenüber feiert das Bundesdatenschutzgesetz schon im Jahr 2016 seinen 40. Geburtstag. Unter Experten und Laien verstärkten sich daher die Rufe nach einem IT-Sicherheitsgesetz immer lauter. Es bestand der Wunsch nach Regelungen, die über die Anlage zur Datensicherheit des BDSG hinausgehen und zugleich rechtsverbindlicher sind als DIN/ISO (z.B. ISO 27001). Im Jahr 2016 ist es soweit. Jedoch sehen sich Unternehmen nicht nur mit einer, sondern gleich mit zwei Regelungen konfrontiert. Für viele stellt sich daher die Frage, inwiefern diese einander ergänzen oder ob sie sogar miteinander kollidieren?

Im vergangenen Jahr wurden auf nationaler und im Jahr 2016 auf europäischer Ebene die IT- und Cybersicherheit erstmals verbindlich geregelt. Während das deutsche Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) bereits im Juli 2015 in Kraft trat, liefen die Gespräche zur sog. NIS-Richtlinie eher schleppend voran. Am 29.06.2016, also kurz vor Inkrafttreten der deutschen Regelungen, konnten der europäische Rat und das Parlament gerade einmal die letzte Trilog-Verhandlung abschließen. Der deutsche Gesetzgeber war also bereits in Vorleistung getreten – als die europarechtliche Einigung, geschweige denn ein erster Richtlinienentwurf, noch in den Sternen stand. Etwas überraschend veröffentlichte das EU-Parlament aber bereits am 07.12.2015 den Durchbruch der Verhandlungen in Form einer offiziellen Pressemeldung: „MEPs close deal with Council on first ever EU rules on cybersecurity“. Am 19.07.2016 wurde sodann endlich die langerwartete Richtlinie (EU) 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen (NIS-Richtlinie) im Amtsblatt der Europäischen Union veröffentlicht. Am 08.08.2016 trat sie in Kraft, wobei die Umsetzung in nationales Recht bis Mai 2018 erfolgen muss.

Die neue Cybersicherheits-Richtlinie

Die NIS-Richtlinie ist Teil der Cyber-Sicherheitsstrategie der EU, mit der man Cyber-Angriffe und technische Ausfälle deutlich reduzieren möchte, die nach Angaben der ENISA immerhin zu jährlichen Verlusten von 260 bis 340 Milliarden Euro führen. Andererseits soll die dahingehende Zusammenarbeit der Mitgliedstaaten intensiviert und gefördert werden. Die konkrete Zielsetzung der neuen EU-Richtlinie ist in Teilen deckungsgleich mit der des IT-Sicherheitsgesetzes: Ein hohes Sicherheitsniveau informationstechnischer Systeme, das den Stand der Technik abbildet.

Große Änderungen für das IT-Sicherheitsgesetz?

Der deutsche Gesetzgeber hat bekanntlich bereits gehandelt und im Rahmen der Cyber-Sicherheitsstrategie das IT-Sicherheitsgesetz auf den Weg gegeben. Es stellt sich weniger die Frage, was aus dem Sicherheitsgesetz wird, sondern vielmehr, welche Anpassungen von deutscher Seite vorgenommen werden müssen, um die Vorgaben der EU-Richtlinie vollumfänglich bis Mai 2018 zu erfüllen. Bei Richtlinien der Europäischen Union – wie der NIS-Richtlinie – handelt es sich um Rechtsakte, die eine Zielsetzung vorgeben, den Mitgliedsstaaten jedoch die Wahl der Mittel überlassen. Ein wichtiger Ausgangspunkt ist hierbei die sogenannte Mindestharmonisierung (im Gegensatz zur Vollharmonisierung), die sich in Artikel 3 der NIS-Richtlinie manifestiert. Demnach besteht nur dort erneuter Anpassungsbedarf, wo das Mindestschutzniveau der Richtlinie unterschritten wird.

IT-Sicherheitsgesetz = NIS-Richtlinie?

In vielen Punkten gleichen sich die Regelungen, etwa bei der obligatorischen Meldung von Sicherheitsvorfällen und der Einhaltung von Sicherheitsanforderungen (Stichwort: Verhältnismäßigkeit). Wo das IT-Sicherheitsgesetz hier „kritische Infrastrukturen“ verpflichtet, ist in der NIS-Richtlinie von „wesentlichen Diensten“ die Rede. Gemeint sind jeweils besonders gefährdete Bereiche, die einerseits wichtige Dienstleistungen für das Gemeinwohl bereitstellen und zugleich aufgrund einer weitreichenden Vernetzung einer besonderen Bedrohungslage ausgesetzt sind. An anderer Stelle fordert die NIS-Richtlinie die Einrichtung nationaler Behörden, um den neuen europarechtlichen Anforderungen an die IT-Sicherheit Herr zu werden. Auch hier ist man in Deutschland mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und den neuen, durch das IT-Sicherheitsgesetz bereits erweiterten, behördlichen Pflichten gut aufgestellt. Anders als im IT-Sicherheitsgesetz finden sich verbindliche Regelungen zu sogenannten Computer Security Incident Response Teams (CSIRTs) und deren Vernetzung untereinander. Auf nationaler Ebene hat sich der CERT-Bund als zentrale Anlaufstelle für IT-Notfallteams in Unternehmen bewährt. Herausforderungen dürften sich bei der geforderten Zusammenarbeit ergeben. Neuerungen können sich im Zuge der NIS-Richtlinie für Unternehmen ergeben, die als „digitale Dienste“ gelten. Ob Online-Händler, Suchmaschinen oder Cloud-Dienste, bei Überschreitung bestimmter Schwellwerte (Kleinst- und Kleinunternehmen sind ausgeschlossen), sind verpflichtend Sicherheitsvorfälle zu melden und z.B. das Notfallmanagement um Business Continuity Maßnahmen zu erweitern. Das IT-Sicherheitsgesetz kennt die obligatorische Meldung bisher nur bei den Betreibern kritischer Infrastrukturen und wird auch bei den Maßnahmen nicht konkreter. Ziel soll die Schaffung einer Kultur des Risikomanagements sein. Betroffene Unternehmen, die bereits risikobasierte Managementsysteme einsetzen, etwa ein ISMS nach ISO 27001, dürften aber auch hier keine größeren Überraschungen erleben.

Welche Sektoren sind von der NIS-Richtlinie betroffen?

„Betreiber wesentlicher Dienste“:

Energie (Elektrizität, Erdöl, Erdgas)
Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)
Bankwesen
Finanzmarktinfrastrukturen
Gesundheitswesen (einschließlich Krankenhäuser und Privatkliniken)
Trinkwasserlieferung- und Versorgung
Digitale Infrastruktur

Welche Sektoren fallen unter das IT-Sicherheitsgesetz?

Die Sektoren für „Betreiber kritischer Infrastrukturen“ gemäß des IT-Sicherheitsgesetzes einschlägigen Sektoren finden sich unter § 2 Abs. 10 BSI-Gesetz und wurden per Verordnung bereits konkretisiert:

Energie (Elektrizität, Gas, Kraftstoff und Heizöl, Fernwärme)
Informationstechnik und Telekommunikation (Sprach- und Datenübertragung, Datenspeicherung und –verarbeitung)
Transport und Verkehr
Gesundheit
Wasser (Trinkwasserversorgung und Abwasserbeseitigung)
Ernährung (u.a. Lebensmittelversorgung)
Finanz- und Versicherungswesen
Die vorgenannte, bereits erlassene Verordnung zur Bestimmung kritischer Infrastrukturen ergänzt die bestehenden Regelungen und gibt Aufschluss über konkrete Anwendungsbereiche. Trotz zuweilen unterschiedlicher Bezeichnungen kann an dieser Stelle festgehalten werden, dass bei den betroffenen Sektoren kein böses Erwachen für deutsche Betreiber und Unternehmen bevorstehen dürften. Die in der Richtlinie zunächst lediglich skizzierten Sektoren, wurden anhand der deutschen Verordnung also bereits konkretisiert. Eine zukünftige Re-Evaluierung bleibt abzuwarten, ist aber von der Richtlinie vorgesehen.

Ausblick

Das normierte Ziel der neuen EU-Richtlinie ist weitestgehend deckungsgleich mit der Zielsetzung des IT-Sicherheitsgesetzes: Die Verpflichtung auf IT-Sicherheitsvorgaben, darunter Melde- bzw. Berichtspflichten und die Einhaltung von angemessenen Sicherheitsstandards. Im Rahmen der „digitalen Dienste“ werden zukünftig mehr Unternehmen von den neuen Anforderungen und insbesondere den Meldepflichten betroffen sein als zuvor. Bei der Ermittlung der „Betreiber wesentlicher Dienste“ kommt deutschen Unternehmen der Vorteil zu, dass bereits eine Verordnung existiert, die Licht ins „Grau“ der Richtlinie bringt. Der Weg hin zu risikobasierten Ansätzen und der Meldung von Sicherheitsvorfällen im Rahmen eines IT-Notfallmanagements lässt die Empfehlung zertifizierbarer Best Practice Standards zu, allen voran ISO/IEC 27001 und BSI Grundschutz.