Ein kurzer Abriss über Veränderungen durch neue rechtliche Regelungen (IT-Sicherheitsgesetz) für Kritische Infrastrukturen.

1. IT-Sicherheit in der
Wasserversorgung 4.0
Dr. Michael Neupert, Rechtsanwalt

2. Das IT-Sicherheitsgesetz
Bild: christiaan_008/flickrDr. Michael Neupert, Rechtsanwalt, Essen
Das IT-Sicherheitsgesetz
Bild: christiaan_008/flickr
 Ergänzung BSI-Gesetz und mehrerer
anderer Gesetze
 Kritische Infrastrukturen:
Sicherheitspaket
 BSI nationale Informations-
sicherheitsbehörde
 Stärkung auch anderer Behörden wie
BKA und Verfassungsschutz

3. Was sind
Kritische Infrastrukturen?

4. Dr. Michael Neupert, Rechtsanwalt, Essen
§ 8a Abs. 1 BSIG
Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei
Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1
angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informationstechnischen
Systeme, Komponenten oder Prozesse zu treffen, die für die
Funktionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik
eingehalten werden. Organisatorische und technische Vorkehrungen
sind angemessen, wenn der dafür erforderliche Aufwand nicht außer
Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der betroffenen Kritischen Infrastruktur steht.

5. Dr. Michael Neupert, Rechtsanwalt, Essen
§ 8a Abs. 1 BSIG
Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei
Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1
angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informationstechnischen
Systeme, Komponenten oder Prozesse zu treffen, die für die
Funktionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik
eingehalten werden. Organisatorische und technische Vorkehrungen
sind angemessen, wenn der dafür erforderliche Aufwand nicht außer
Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der betroffenen Kritischen Infrastruktur steht.

6. Dr. Michael Neupert, Rechtsanwalt, Essen
§ 8a Abs. 1 BSIG
Das Bundesministerium des Innern bestimmt durch
Rechtsverordnung (…) nach Anhörung von Vertretern(…) unter
Festlegung der in den jeweiligen Sektoren im Hinblick auf § 2
Absatz 10 Satz 1 Nummer 2 wegen ihrer Bedeutung als kritisch
anzusehenden Dienstleistungen und deren als bedeutend
anzusehenden Versorgungsgrads, welche Einrichtungen, Anlagen
oder Teile davon als Kritische Infrastrukturen im Sinne dieses
Gesetzes gelten. Der nach Satz 1 als bedeutend anzusehende
Versorgungsgrad ist anhand von branchenspezifischen
Schwellenwerten für jede wegen ihrer Bedeutung als kritisch
anzusehende Dienstleistung im jeweiligen Sektor zu bestimmen.

7. Dr. Michael Neupert, Rechtsanwalt, Essen
§ 8a Abs. 1 BSIG
Das Bundesministerium des Innern bestimmt durch
Rechtsverordnung (…) nach Anhörung von Vertretern(…) unter
Festlegung der in den jeweiligen Sektoren im Hinblick auf § 2
Absatz 10 Satz 1 Nummer 2 wegen ihrer Bedeutung als kritisch
anzusehenden Dienstleistungen und deren als bedeutend
anzusehenden Versorgungsgrads, welche Einrichtungen, Anlagen
oder Teile davon als Kritische Infrastrukturen im Sinne dieses
Gesetzes gelten. Der nach Satz 1 als bedeutend anzusehende
Versorgungsgrad ist anhand von branchenspezifischen
Schwellenwerten für jede wegen ihrer Bedeutung als kritisch
anzusehende Dienstleistung im jeweiligen Sektor zu bestimmen.

8. Dr. Michael Neupert, Rechtsanwalt, Essen
§ 8a Abs. 1 BSIG
KRITIS
Energie
Informations-
technik
Telekommuni-
kation
Transport und
Verkehr
Gesundheit
Wasser
Ernährung
Finanzen und
Versicherung
Erhebliche
Versorgungsengpässe
Gefährdungen für
Öffentliche Sicherheit

9. Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV

10. Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV

11. Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Erhebliche
Versorgungsengpässe
Gefährdungen für
Öffentliche Sicherheit

12. Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV

13. Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV

14. Was müssen
Betreiber tun?

15. Pflichtengehalt:§ 8a Abs. 1 BSIG
Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei
Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1
angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informationstechnischen
Systeme, Komponenten oder Prozesse zu treffen, die für die
Funktionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik
eingehalten werden. Organisatorische und technische Vorkehrungen
sind angemessen, wenn der dafür erforderliche Aufwand nicht außer
Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der betroffenen Kritischen Infrastruktur steht.
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV

16. Pflichtengehalt:§ 8a Abs. 1 BSIG
Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei
Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1
angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informationstechnischen
Systeme, Komponenten oder Prozesse zu treffen, die für die
Funktionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik
eingehalten werden. Organisatorische und technische Vorkehrungen
sind angemessen, wenn der dafür erforderliche Aufwand nicht außer
Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der betroffenen Kritischen Infrastruktur steht.
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV

17. Pflichtengehalt:§ 8a Abs. 1 BSIG
Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei
Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1
angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informationstechnischen
Systeme, Komponenten oder Prozesse zu treffen, die für die
Funktionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik
eingehalten werden. Organisatorische und technische Vorkehrungen
sind angemessen, wenn der dafür erforderliche Aufwand nicht außer
Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der betroffenen Kritischen Infrastruktur steht.
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Kann „Stand der Technik“
unangemessen sein?

18. Pflichtengehalt:§ 8a Abs. 1 BSIG
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Betreiber Kritischer Infrastrukturen und ihre Branchenverbände
können branchenspezifische Sicherheitsstandards zur
Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Das
Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die
Anforderungen nach Absatz 1 zu gewährleisten.

19. Pflichtengehalt:§ 8a Abs. 1 BSIG
Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei
Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1
angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität,
Authentizität und Vertraulichkeit ihrer informationstechnischen
Systeme, Komponenten oder Prozesse zu treffen, die für die
Funktionsfähigkeit der von ihnen betriebenen Kritischen
Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik
eingehalten werden. Organisatorische und technische Vorkehrungen
sind angemessen, wenn der dafür erforderliche Aufwand nicht außer
Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der betroffenen Kritischen Infrastruktur steht.
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Nachweis alle
zwei Jahre
durch Audit,
Prüfung oder
Zertifizierung,
§ 8a Abs. 3
BSIG

20. Was macht das
Bundesamt?

21. Pflichtengehalt:§ 8a Abs. 1 BSIG BSI: Aufgaben
Meldepflicht
der Betreiber
Warnungen durch
BSI
BSI zentrale
Meldestelle
Dr. Michael Neupert, Rechtsanwalt, Essen
Nationale Informationssicherheitsbehörde

22. Pflichtengehalt:§ 8a Abs. 1 BSIG BSI: Aufgaben
Meldepflicht
der Betreiber
Warnungen durch
BSI
BSI zentrale
Meldestelle
Dr. Michael Neupert, Rechtsanwalt, Essen

23. Pflichtengehalt:§ 8a Abs. 1 BSIG
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Betreiber Kritischer Infrastrukturen haben erhebliche Störungen der
Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer
informationstechnischen Systeme, Komponenten oder Prozesse, die
zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit
der von ihnen betriebenen Kritischen Infrastrukturen
1. führen können oder
2. geführt haben,
über die Kontaktstelle unverzüglich an das Bundesamt zu melden.

24. Pflichtengehalt:§ 8a Abs. 1 BSIG
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Die Meldung muss Angaben zu der Störung sowie zu den
technischen Rahmenbedingungen, insbesondere der vermuteten oder
tatsächlichen Ursache, der betroffenen Informationstechnik, der Art
der betroffenen Einrichtung oder Anlage sowie zur Branche des
Betreibers enthalten. Die Nennung des Betreibers ist nur dann
erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder
einer Beeinträchtigung der Funktionsfähigkeit der Kritischen
Infrastruktur geführt hat. Namentliche Nennung bei
tatsächlichen Folgen für die
KRITIS

25. Pflichtengehalt:§ 8a Abs. 1 BSIG
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Meldepflicht
der Betreiber
Warnungen durch
BSI
BSI zentrale
Meldestelle
KRITIS-Betreiber Information Dritter

26. Pflichtengehalt:§ 8a Abs. 1 BSIG
Dr. Michael Neupert, Rechtsanwalt, Essen
BSI-KritisV
Würdigung
Rechtfertigung der
Pflichten?
Handlungsbedarf in Bezug
auf IT-Sicherheit?
Organisatorische
Umsetzung?
Status der Beziehungen zu
Partnern?
Beteiligung an
branchenspezifischen
Standards?
Nutzen und Grenzen des
kooperativen Ansatzes

27. Dr. Michael Neupert, Rechtsanwalt
michael.neupert@kuemmerlein.de
Messeallee 2, 45131 Essen
0201 / 1756-624, -657
www.kuemmerlein.de
360grad.kuemmerlein.de
www.facebook.com/rechtsanwendung/
de.slideshare.net/MNeupert
Xing / LinkedIn