Berlin. Im Kampf gegen die wachsende Bedrohung durch Cyberattacken hat der Bundestag im Freitag ein Gesetz für mehr IT-Sicherheit beschlossen. Kern des Gesetzes sind strengere Sicherheitsstandards und Meldepflichten für Unternehmen. Ziel ist es, Hacker-Angriffe auf wichtige Wirtschaftsbereiche abwehren zu können.
Die Regelungen betreffen in erster Linie sogenannte kritische Infrastrukturen. Das sind Bereiche bei denen ein Ausfall der Systeme schwere Folgen für die Bevölkerung verursachen würde. Laut dem Deutschen Speditions- und Logistikverband (DSLV) zählt der Gesetzgeber auch den Sektor Verkehr und Transport zu den Betreibern kritischer Infrastrukturen. Demnach sind auch Spediteure und Transportunternehmen von den strengen Richtlinien betroffen. Der DSLV fordert allerdings, diese auszunehmen. Cyberattacken selbst auf mehrere Unternehmen hätten keinen Einfluss auf die grundlegende Versorgung der Bevölkerung und Wirtschaft. „Zwar ist die Logistik als Ganzes systemrelevant“, argumentiert der Hauptgeschäftsführer Frank Huster, „doch müssten schon mehrere tausend Unternehmen gleichzeitig lahmgelegt werden, damit erhebliche Versorgungsengpässe entstehen.“
Klare Definitionen
Daher fordert der Verband, dass der Gesetzgeber den Kreis der vom Gesetz erfassten Unternehmen klar definieren soll. Betreiber „Kritischer Infrastrukturen“ im Sinne des Gesetzes müssten erst in einer noch auszuarbeitenden Rechtsverordnung zum IT-Sicherheitsgesetz definiert werden, heißt es vom DSLV Auch sei aus dem Gesetz nicht ersichtlich, wann, wie und in welchem Umfang Störungen der IT-Sicherheit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden müssten.
Der DSLV fürchtet, dass das Gesetz zu erheblichen Belastungen der Speditions- und Logistikunternehmen führen würde. Um die Sicherheitsstandards zu erfüllen und nachzuweisen, müssten die Unternehmen einen hohen Zeit-, Kosten-, und Bürokratieaufwand betreiben. Und bei Verstößen drohen hohe Bußgelder.
Zwei Jahre Schonfrist
Insgesamt sind rund 2000 Unternehmen aus im Energie- und Gesundheitssektor, bei der Wasserversorgung, der Telekommunikation oder im Finanz- und Versicherungswesen müssen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig Cyberattacken anonym melden. Die Daten sollen verwendet werden, um gegebenenfalls andere Unternehmen zu warnen. Außerdem müssen die Firmen Mindeststandards bei der IT-Sicherheit erfüllen, die von den Aufsichtsbehörden überprüft werden. In zwei Jahren müssen die Unternehmen die Regelung umgesetzt haben. (ks)
