Neue Cybersicherheitsvorgaben: Unternehmen in Zugzwang
Die Bundesregierung hat sich auf die Einführung neuer europäischer Richtlinien zur Erhöhung der Cybersicherheit in der Wirtschaft verständigt. Rund 29.500 Unternehmen in Deutschland, darunter auch jene aus den Sektoren Energie, Gesundheit, Transport und digitale Dienste, werden von den Maßnahmen betroffen sein. Eine endgültige Entscheidung steht allerdings noch aus, da der Bundestag seine Zustimmung erteilen muss.
Im Mittelpunkt der neuen Anforderungen stehen verpflichtende Schutzmaßnahmen wie Risikoanalysen, Notfallpläne, Back-up-Konzepte und Verschlüsselungslösungen. Diese Vorkehrungen sollen entsprechend der Relevanz und Bedeutung der jeweiligen Einrichtung unterschiedlich ausgeprägt sein.
Sollte ein Unternehmen einem Cyberangriff zum Opfer fallen, wird es zukünftig verpflichtet, innerhalb von 24 Stunden eine erste Meldung abzugeben. Nach 72 Stunden muss ein Zwischenstand kommuniziert und binnen eines Monats ein umfassender Abschlussbericht vorgelegt werden.
Das Bundesamt für Sicherheit in der Informationstechnik in Bonn erhält hierbei erweiterte Aufsichtsbefugnisse, die es im Falle schwerwiegender Verstöße auch zur Verhängung von Bußgeldern befähigen. Parallel dazu arbeitet das Bundesinnenministerium an einem umfassenden Gesetzespaket, dem sogenannten Kritis-Dachgesetz, welches den physischen Schutz kritischer Infrastrukturen wie Strom- und Wasserversorgung sowie des Gesundheitssystems adressiert.
