IT-Sicherheitsgesetz 2.0: Pflichten für Rechner bei Betreibern kritischer Anlagen in deutschen Betrieben

Das Wichtigste auf einen Blick

Was das IT-Sicherheitsgesetz 2.0 von Betreibern kritischer Anlagen verlangt

Das IT-Sicherheitsgesetz 2.0 hat den Rahmen des BSI-Gesetzes erweitert. Es verpflichtet Betreiber kritischer Anlagen nicht mehr nur dazu, den Stand der Technik einzuhalten. Sie müssen den Nachweis darüber gegenüber dem BSI erbringen und bei erheblichen Störungen melden. Der amtliche Volltext steht im Gesetzesportal des Bundes und ist die Grundlage jeder Prüfung.

Neu ist die Ausweitung auf den gesamten Zulieferweg. Wer als Betreiber gilt, muss auch die Rechner für Arbeitsplätze und die Betriebsnetze einbeziehen, über die Steuerung, Wartung und Kommunikation laufen. Ein abgeschottetes Produktionsnetz ohne Blick auf die Büro-Seite reicht nicht mehr.

Hinzu kommt die Pflicht zur Angriffserkennung. Betreiber kritischer Anlagen müssen Systeme einsetzen, die Angriffe auf ihre Netze laufend erkennen. Das BSI beschreibt die Anforderungen in seinen Publikationen, die über die Seite des Bundesamts abrufbar sind. Typische Produktkategorien sind Intrusion Detection Systeme (IDS), Security Information and Event Management (SIEM) und Endpoint Detection and Response (EDR).

Das Gesetz spricht von erheblichen Störungen. Dazu zählen Ausfälle, die die Versorgung gefährden, und Angriffe, die den Betrieb beeinträchtigen. Die Bewertung ist nicht dem Ermessen des Betreibers überlassen. Das BSI gibt Kriterien vor, an denen sich die Meldung orientieren muss.

Für IT-Verantwortliche bedeutet das: Die Pflichten sind unternehmensbezogen, nicht gerätebezogen. Ein einzelner Arbeitsplatzrechner löst keine Meldepflicht aus. Fehlt aber die Absicherung der Netze, in denen diese Rechner stehen, ist die Pflicht verletzt.

Meldepflichten nach BSIG und BSI-Kritisverordnung für Rechner für Arbeitsplätze

Die Meldepflichten nach BSIG greifen in drei Fällen. Erstens bei erheblichen Störungen der Verfügbarkeit, Integrität oder Vertraulichkeit. Zweitens bei Störungen, die zu einem Ausfall der kritischen Dienstleistung führen können. Drittens bei Angriffen, die auf die Netze des Betreibers zielen.

Die Frist ist kurz. Betreiber müssen Störungen unverzüglich melden, in der Praxis innerhalb von 72 Stunden nach Kenntnis. Die Meldung geht an das BSI, das die betroffenen Aufsichtsbehörden informiert. Ein Formular auf der BSI-Website ist der übliche Weg, telefonische Sofortmeldung bei akuten Angriffen möglich.

Die BSI-Kritisverordnung legt fest, welche Anlagen kritisch sind. Sie definiert Sektoren, Anlagenarten und Schwellenwerte. Für Rechner für Arbeitsplätze heißt das: Nicht der Rechner ist kritisch, sondern die Anlage, die er bedient oder steuert. Fällt die Anlage unter die Verordnung, sind die angeschlossenen Netze Teil des Betrachtungsraums.

Die Verordnung ordnet Anlagen acht Sektoren zu. Zu den ersten gehören Energie, Wasser, Ernährung und Gesundheit. Hinzu kommen Finanz- und Versicherungswesen, Transport und Verkehr, Informationstechnik und Telekommunikation sowie Siedlungsabfallentsorgung. In jedem Sektor gelten eigene Schwellenwerte, meist als Versorgungsgrad oder Anzahl betroffener Personen.

Die Meldepflichten ergeben sich aus § 8b BSIG, die Registrierungspflicht aus § 8a BSIG. Die Teilliste C des Bundesrechts führt das BSIG und die Kritisverordnung in der jeweils geltenden Fassung auf.

Verträge mit Rechenzentren in Hessen oder Dienstleistern in Hamburg ändern nichts an der Meldepflicht.

Wer betroffen ist: Schwellenwerte, Sektoren und Registrierung beim BSI

Betroffen sind Betreiber kritischer Anlagen. Ob ein Betrieb dazugehört, entscheidet die BSI-Kritisverordnung anhand von Schwellenwerten. Diese Werte sind sektorspezifisch und werden regelmäßig überprüft. Eine allgemeine Schwelle gibt es nicht.

Die genauen Werte sind in der BSI-Kritisverordnung festgelegt. Typische Schwellenwerte sind:

Die Registrierung beim BSI ist Pflicht. Betreiber müssen sich innerhalb von sechs Monaten nach Feststellung der Betroffenheit registrieren. Die Registrierung erfolgt über das BSI-Portal und verlangt Angaben zu Anlagen, Sektoren und Ansprechpartnern.

Das BSI führt ein Verzeichnis der Betreiber. Die Eintragung ist keine Auszeichnung, sondern Grundlage der Aufsicht. Ohne Registrierung fehlen dem BSI die Ansprechpartner für Meldungen und Prüfungen.

Die Feststellung der Betroffenheit ist zunächst Aufgabe des Betreibers. Er muss selbst prüfen, ob seine Anlagen die Schwellenwerte erreichen. Das BSI kann diese Einschätzung korrigieren und eine Registrierung anordnen.

Für Betriebe mit Standorten in mehreren Bundesländern gilt: Die Pflichten sind bundesweit einheitlich. Landesdatenschutzbeauftragte in Bayern, Baden-Württemberg oder Sachsen sind für den Datenschutz zuständig, nicht für die Meldepflicht nach BSIG. Diese liegt allein beim BSI.

Wer unsicher ist, kann eine Selbsteinschätzung vornehmen. Die DIHK bietet dazu eine kompakte Orientierung mit Cybersicher, kurz und knapp, die auch für kleinere Betriebe ohne eigene Rechtsabteilung geeignet ist.

Pflichten für Betriebsnetze: Angriffserkennung, Nachweis und Dokumentation

Betriebsnetze absichern heißt nach dem IT-Sicherheitsgesetz 2.0 mehr als Firewall und Virenschutz. Betreiber müssen Angriffserkennungssysteme einsetzen, die Angriffe auf ihre Netze erkennen und melden können. Diese Systeme müssen dem Stand der Technik entsprechen.

Der Nachweis gegenüber dem BSI ist Teil der Pflicht. Betreiber müssen alle zwei Jahre belegen, dass sie die Anforderungen erfüllen. Der Nachweis kann durch Zertifizierungen, Prüfungen oder geeignete Dokumentation erfolgen. Das BSI erkennt Zertifizierungen nach ISO/IEC 27001 und Nachweise auf Basis des BSI-Grundschutzes an.

Die Dokumentation muss aktuell sein. Sie umfasst Netzpläne, Systemlisten, Zuständigkeiten und Maßnahmen. Für Rechner für Arbeitsplätze bedeutet das: Es muss nachvollziehbar sein, welche Geräte in welchem Netz stehen und wie sie geschützt sind.

Die Nachweispflicht ergibt sich aus § 8c BSIG, die Registrierungspflicht aus § 8a BSIG. Die Teilliste B des Bundesrechts führt das BSIG und die BSI-Verordnungen auf.

Angriffserkennung ist nicht mit einem Produkt erledigt. Sie verlangt Prozesse: Wer wertet Meldungen aus, wer entscheidet über Eskalation, wer meldet an das BSI. Ohne diese Prozesse bleibt das System ein teures Log-Werkzeug.

Maßnahmen für Arbeitsplatzrechner und Netztrennung

Die folgenden Schritte lassen sich in Betrieben mit mehreren Standorten umsetzen. Sie stellen keine Rechtsberatung dar, bieten jedoch eine verlässliche Abfolge.

Zur technischen Absicherung gehört mehr als die Aufstellung. Prüfen Sie regelmäßig:

Für die Auswahl von Maßnahmen lohnt der Blick auf anerkannte Normen. Die DIN EN ISO/IEC 27001 beschreibt Anforderungen an ein Managementsystem für Informationssicherheit.

Bußgelder, Haftung und Nachweispflichten gegenüber dem BSI

Das BSIG sieht Bußgelder vor. Nach § 65 BSIG können Verstöße gegen Registrierungs-, Melde- und Nachweispflichten mit einer Geldbuße von bis zu 20 Millionen Euro geahndet werden. Verstöße gegen Mitteilungspflichten, etwa die Benennung eines Kontaktpunkts, können bis zu 50.000 Euro kosten. Die konkrete Höhe richtet sich nach Schwere und Unternehmensgröße.

Das BSI kann Anordnungen treffen. Es kann Maßnahmen verlangen, Fristen setzen und bei Nichtumsetzung Zwangsmittel einsetzen. Betreiber sollten Anordnungen nicht aussitzen, sondern fristgerecht reagieren.

Die Haftung trifft die Geschäftsleitung. Wer die Pflichten nicht umsetzt, handelt möglicherweise pflichtwidrig. Bei Schäden durch Angriffe kann das zivilrechtliche Folgen haben, etwa gegenüber Kunden oder Versicherern.

Das GeschGehG schützt vertrauliche Unternehmensinformationen. Meldungen an das BSI müssen so erfolgen, dass diese Informationen gewahrt bleiben. Das BSI behandelt Meldungen vertraulich, der Betreiber sollte dennoch prüfen, welche Angaben nötig sind.

Der Nachweis gegenüber dem BSI ist keine einmalige Sache. Er ist alle zwei Jahre zu erbringen. Wer die Frist verpasst, riskiert ein Bußgeld und den Verlust des Vertrauens der Aufsicht.

Für die Praxis gilt: Dokumentieren Sie jede Maßnahme mit Datum und Zuständigkeit. Eine lückenlose Dokumentation ist im Streitfall der beste Nachweis.

Umsetzungsplan für betroffene Betriebe in Deutschland

Ein realistischer Plan verteilt die Arbeit auf zwölf Monate. Die Reihenfolge folgt der Logik: erst wissen, was da ist, dann melden, dann absichern, dann nachweisen.

Monat 1 bis 3: Bestandsaufnahme und Betroffenheitsprüfung. Erfassen Sie Rechner für Arbeitsplätze, Netze und Anlagen. Prüfen Sie die Schwellenwerte. Legen Sie fest, wer im Projekt Verantwortung trägt.

Monat 3 bis 6: Registrierung beim BSI, falls betroffen. Benennen Sie Ansprechpartner, richten Sie einen Meldeprozess ein und dokumentieren Sie die Zuständigkeiten.

Monat 6 bis 9: Technische Absicherung. Trennen Sie Netze, führen Sie Angriffserkennung ein, härten Sie Arbeitsplatzrechner und Fernzugänge. Beginnen Sie mit den Anlagen, die den größten Hebel haben.

Monat 9 bis 12: Nachweis und Dokumentation. Bereiten Sie den Nachweis gegenüber dem BSI vor. Prüfen Sie, ob Zertifizierungen genutzt werden können. Aktualisieren Sie Netzpläne und Maßnahmenlisten.

Nach Monat 12: Betrieb und Wiederholung. Meldeprozesse üben, Dokumentation fortschreiben, Nachweis alle zwei Jahre erneuern. Angriffserkennung regelmäßig auswerten und nachjustieren.

Wer die Aufgaben nicht selbst stemmen kann, sollte Dienstleister einbinden.

Häufige Fragen