Was verlangt das IT-Sicherheitsgesetz 2.0 für Rechner im deutschen Betrieb?

Das Wichtigste auf einen Blick

• Rechner für Arbeitsplätze und Betriebsnetze fallen nur dann unter das IT-Sicherheitsgesetz 2.0, wenn der Betrieb als Betreiber kritischer Infrastruktur nach der BSI-Kritisverordnung eingestuft ist.
• Wer betroffen ist, muss sich beim BSI registrieren, Meldepflichten nach BSIG erfüllen und Angriffserkennungssysteme einsetzen.
• Das BSI ist Aufsicht und kann Nachweise verlangen, Bußgelder verhängen und Anordnungen treffen.
• Die Pflichten greifen unabhängig davon, ob die Rechner im eigenen Rechenzentrum, in einer Filiale in Bayern oder in einer Fertigungshalle in Nordrhein-Westfalen stehen.
• Ein Umsetzungsplan mit Bestandsaufnahme, Registrierung, technischer Absicherung und Dokumentation ist der realistische Weg.

Was das IT-Sicherheitsgesetz 2.0 von Betreibern kritischer Anlagen verlangt

Das IT-Sicherheitsgesetz 2.0 hat den Rahmen des BSI-Gesetzes erweitert. Es verpflichtet Betreiber kritischer Anlagen nicht mehr nur dazu, den Stand der Technik einzuhalten. Sie müssen den Nachweis darüber gegenüber dem BSI erbringen und bei erheblichen Störungen melden. Der amtliche Volltext steht im Gesetzesportal des Bundes und ist die Grundlage jeder Prüfung.

Neu ist die Ausweitung auf den gesamten Zulieferweg. Wer als Betreiber gilt, muss auch die Rechner für Arbeitsplätze und die Betriebsnetze einbeziehen, über die Steuerung, Wartung und Kommunikation laufen. Ein abgeschottetes Produktionsnetz ohne Blick auf die Büro-Seite reicht nicht mehr.

Hinzu kommt die Pflicht zur Angriffserkennung. Betreiber kritischer Anlagen müssen Systeme einsetzen, die Angriffe auf ihre Netze laufend erkennen. Das BSI beschreibt die Anforderungen in seinen Publikationen, die über die Seite des Bundesamts abrufbar sind.

Das Gesetz spricht von erheblichen Störungen. Dazu zählen Ausfälle, die die Versorgung gefährden, und Angriffe, die den Betrieb beeinträchtigen. Die Bewertung ist nicht dem Ermessen des Betreibers überlassen. Das BSI gibt Kriterien vor, an denen sich die Meldung orientieren muss.

Für IT-Verantwortliche bedeutet das: Die Pflichten sind unternehmensbezogen, nicht gerätebezogen. Ein einzelner Arbeitsplatzrechner löst keine Meldepflicht aus. Fehlt aber die Absicherung der Netze, in denen diese Rechner stehen, ist die Pflicht verletzt.

Meldepflichten nach BSIG und BSI-Kritisverordnung für Rechner für Arbeitsplätze

Die Meldepflichten nach BSIG greifen in drei Fällen. Erstens bei erheblichen Störungen der Verfügbarkeit, Integrität oder Vertraulichkeit. Zweitens bei Störungen, die zu einem Ausfall der kritischen Dienstleistung führen können. Drittens bei Angriffen, die auf die Netze des Betreibers zielen.

Die Frist ist kurz. Betreiber müssen Störungen unverzüglich melden, in der Praxis innerhalb von 72 Stunden nach Kenntnis. Die Meldung geht an das BSI, das die betroffenen Aufsichtsbehörden informiert. Ein Formular auf der BSI-Website ist der übliche Weg, telefonische Sofortmeldung bei akuten Angriffen möglich.

Die BSI-Kritisverordnung legt fest, welche Anlagen kritisch sind. Sie definiert Sektoren, Anlagenarten und Schwellenwerte. Für Rechner für Arbeitsplätze heißt das: Nicht der Rechner ist kritisch, sondern die Anlage, die er bedient oder steuert. Fällt die Anlage unter die Verordnung, sind die angeschlossenen Netze Teil des Betrachtungsraums.

Die Verordnung ordnet Anlagen acht Sektoren zu. Zu den ersten gehören Energie, Wasser, Ernährung und Gesundheit. Hinzu kommen Finanz- und Versicherungswesen, Transport und Verkehr, Informationstechnik und Telekommunikation sowie Siedlungsabfallentsorgung. In jedem Sektor gelten eigene Schwellenwerte, meist als Versorgungsgrad oder Anzahl betroffener Personen.

Die Teilliste C der amtlichen Gesetzessammlung führt das BSIG und die zugehörigen Verordnungen auf und erleichtert die Zuordnung, welche Regel für welche Anlage gilt. Wer die Teilliste C des Bundesrechts durchsieht, findet dort das BSIG für Rechner im deutschen Betrieb und die Kritisverordnung in der jeweils geltenden Fassung.

Wichtig für die Praxis: Die Meldepflicht trifft den Betreiber, nicht den Dienstleister. Wer die IT auslagert, bleibt verantwortlich. Verträge mit Rechenzentren in Hessen oder Dienstleistern in Hamburg ändern daran nichts.

Wer betroffen ist: Schwellenwerte, Sektoren und Registrierung beim BSI

Betroffen sind Betreiber kritischer Anlagen. Ob ein Betrieb dazugehört, entscheidet die BSI-Kritisverordnung anhand von Schwellenwerten. Diese Werte sind sektorspezifisch und werden regelmäßig überprüft. Eine allgemeine Schwelle gibt es nicht.

Die Registrierung beim BSI ist Pflicht. Betreiber müssen sich innerhalb von sechs Monaten nach Feststellung der Betroffenheit registrieren. Die Registrierung erfolgt über das BSI-Portal und verlangt Angaben zu Anlagen, Sektoren und Ansprechpartnern.

Das BSI führt ein Verzeichnis der Betreiber. Die Eintragung ist keine Auszeichnung, sondern Grundlage der Aufsicht. Ohne Registrierung fehlen dem BSI die Ansprechpartner für Meldungen und Prüfungen.

Die Feststellung der Betroffenheit ist zunächst Aufgabe des Betreibers. Er muss selbst prüfen, ob seine Anlagen die Schwellenwerte erreichen. Das BSI kann diese Einschätzung korrigieren und eine Registrierung anordnen.

Für Betriebe mit Standorten in mehreren Bundesländern gilt: Die Pflichten sind bundesweit einheitlich. Landesdatenschutzbeauftragte in Bayern, Baden-Württemberg oder Sachsen sind für den Datenschutz zuständig, nicht für die Meldepflicht nach BSIG. Diese liegt allein beim BSI.

Wer unsicher ist, kann eine Selbsteinschätzung vornehmen. Die DIHK bietet dazu eine kompakte Orientierung mit Cybersicher, kurz und knapp, die auch für kleinere Betriebe ohne eigene Rechtsabteilung geeignet ist.

Pflichten für Betriebsnetze: Angriffserkennung, Nachweis und Dokumentation

Betriebsnetze absichern heißt nach dem IT-Sicherheitsgesetz 2.0 mehr als Firewall und Virenschutz. Betreiber müssen Angriffserkennungssysteme einsetzen, die Angriffe auf ihre Netze erkennen und melden können. Diese Systeme müssen dem Stand der Technik entsprechen.

Der Nachweis gegenüber dem BSI ist Teil der Pflicht. Betreiber müssen alle zwei Jahre belegen, dass sie die Anforderungen erfüllen. Der Nachweis kann durch Zertifizierungen, Prüfungen oder geeignete Dokumentation erfolgen. Das BSI erkennt bestimmte Zertifikate an.

Die Dokumentation muss aktuell sein. Sie umfasst Netzpläne, Systemlisten, Zuständigkeiten und Maßnahmen. Für Rechner für Arbeitsplätze bedeutet das: Es muss nachvollziehbar sein, welche Geräte in welchem Netz stehen und wie sie geschützt sind.

Die Teilliste B der amtlichen Sammlung listet das BSI-Gesetz und die BSI-Verordnungen auf, die für die Grundschutz-Umsetzung relevant sind. Wer die Teilliste B des Bundesrechts nutzt, findet dort die Verordnungen, auf die sich Nachweispflichten stützen.

Angriffserkennung ist nicht mit einem Produkt erledigt. Sie verlangt Prozesse: Wer wertet Meldungen aus, wer entscheidet über Eskalation, wer meldet an das BSI. Ohne diese Prozesse bleibt das System ein teures Log-Werkzeug.

Arbeitsplatzrechner und Netze: konkrete Maßnahmen nach dem IT-Sicherheitsgesetz 2.0

Die folgenden Schritte lassen sich in Betrieben mit mehreren Standorten umsetzen. Sie stellen keine Rechtsberatung dar, bieten jedoch eine verlässliche Abfolge.

1. Bestandsaufnahme: Erfassen Sie alle Rechner für Arbeitsplätze, Server, Netzkopplungen und Fernzugänge. Trennen Sie Büro- und Produktionsnetze gedanklich und technisch.
2. Betroffenheit prüfen: Vergleichen Sie Ihre Anlagen mit den Schwellenwerten der BSI-Kritisverordnung. Dokumentieren Sie das Ergebnis, auch wenn es negativ ausfällt.
3. Registrierung: Melden Sie sich beim BSI an, wenn Sie betroffen sind. Benennen Sie Ansprechpartner für Meldungen und Nachweise.
4. Netztrennung: Trennen Sie Betriebsnetze von Büronetzen. Ein Arbeitsplatzrechner mit Internetzugang darf nicht direkt auf Steuerungssysteme zugreifen.
5. Angriffserkennung: Führen Sie Systeme ein, die Angriffe auf Ihre Netze erkennen. Definieren Sie, wer Meldungen auswertet.
6. Meldeprozess: Legen Sie fest, wer im Ernstfall innerhalb von 72 Stunden an das BSI meldet. Üben Sie den Ablauf.
7. Dokumentation: Halten Sie Netzpläne, Maßnahmen und Nachweise aktuell. Prüfen Sie alle zwei Jahre den Nachweis.

Zur technischen Absicherung gehört mehr als die Aufstellung. Prüfen Sie regelmäßig:

• Sind alle Arbeitsplatzrechner mit aktuellen Sicherheitsupdates versorgt?
• Sind Fernzugänge mit Mehrfaktor-Authentifizierung geschützt?
• Sind Produktions- und Büronetze getrennt?
• Gibt es eine zentrale Erfassung von Sicherheitsereignissen?
• Sind Ansprechpartner für Meldungen an das BSI benannt und erreichbar?
• Ist die Dokumentation aktuell und für Prüfungen auffindbar?
• Wurde der Nachweis gegenüber dem BSI fristgerecht erbracht?

Für die Auswahl von Maßnahmen lohnt der Blick auf anerkannte Normen. Die DIN EN ISO/IEC 27001 beschreibt Anforderungen an ein Managementsystem für Informationssicherheit.

Bußgelder, Haftung und Nachweispflichten gegenüber dem BSI

Das BSIG sieht Bußgelder vor. Verstöße gegen Meldepflichten, Registrierungspflichten oder Nachweispflichten können mit Geldbußen belegt werden. Die Höhe richtet sich nach der Schwere des Verstoßes und der Größe des Unternehmens.

Das BSI kann Anordnungen treffen. Es kann Maßnahmen verlangen, Fristen setzen und bei Nichtumsetzung Zwangsmittel einsetzen. Betreiber sollten Anordnungen nicht aussitzen, sondern fristgerecht reagieren.

Die Haftung trifft die Geschäftsleitung. Wer die Pflichten nicht umsetzt, handelt möglicherweise pflichtwidrig. Bei Schäden durch Angriffe kann das zivilrechtliche Folgen haben, etwa gegenüber Kunden oder Versicherern.

Das GeschGehG schützt vertrauliche Unternehmensinformationen. Meldungen an das BSI müssen so erfolgen, dass diese Informationen gewahrt bleiben. Das BSI behandelt Meldungen vertraulich, der Betreiber sollte dennoch prüfen, welche Angaben nötig sind.

Der Nachweis gegenüber dem BSI ist keine einmalige Sache. Er ist alle zwei Jahre zu erbringen. Wer die Frist verpasst, riskiert ein Bußgeld und den Verlust des Vertrauens der Aufsicht.

Für die Praxis gilt: Dokumentieren Sie jede Maßnahme mit Datum und Zuständigkeit. Eine lückenlose Dokumentation ist im Streitfall der beste Nachweis.

Umsetzungsplan für betroffene Betriebe in Deutschland

Ein realistischer Plan verteilt die Arbeit auf zwölf Monate. Die Reihenfolge folgt der Logik: erst wissen, was da ist, dann melden, dann absichern, dann nachweisen.

Monat 1 bis 3: Bestandsaufnahme und Betroffenheitsprüfung. Erfassen Sie Rechner für Arbeitsplätze, Netze und Anlagen. Prüfen Sie die Schwellenwerte. Legen Sie fest, wer im Projekt Verantwortung trägt.

Monat 3 bis 6: Registrierung beim BSI, falls betroffen. Benennen Sie Ansprechpartner, richten Sie einen Meldeprozess ein und dokumentieren Sie die Zuständigkeiten.

Monat 6 bis 9: Technische Absicherung. Trennen Sie Netze, führen Sie Angriffserkennung ein, härten Sie Arbeitsplatzrechner und Fernzugänge. Beginnen Sie mit den Anlagen, die den größten Hebel haben.

Monat 9 bis 12: Nachweis und Dokumentation. Bereiten Sie den Nachweis gegenüber dem BSI vor. Prüfen Sie, ob Zertifizierungen genutzt werden können. Aktualisieren Sie Netzpläne und Maßnahmenlisten.

Nach Monat 12: Betrieb und Wiederholung. Meldeprozesse üben, Dokumentation fortschreiben, Nachweis alle zwei Jahre erneuern. Angriffserkennung regelmäßig auswerten und nachjustieren.

Wer die Aufgaben nicht selbst stemmen kann, sollte Dienstleister einbinden. Wichtig ist, dass die Verantwortung beim Betreiber bleibt. Das BSI als Aufsicht akzeptiert keine Auslagerung der Pflichten.

Häufige Fragen

Gilt das IT-Sicherheitsgesetz 2.0 für jeden Betrieb mit Arbeitsplatzrechnern? Nein. Die Pflichten treffen Betreiber kritischer Anlagen nach der BSI-Kritisverordnung. Wer die Schwellenwerte nicht erreicht, ist nicht betroffen.

Muss ich mich beim BSI registrieren, auch wenn ich unsicher bin? Ja, wenn Ihre Anlagen die Schwellenwerte erreichen. Die Registrierung ist innerhalb von sechs Monaten nach Feststellung der Betroffenheit fällig.

Welche Frist gilt für die Meldung einer Störung? Die Meldung muss unverzüglich erfolgen, in der Praxis innerhalb von 72 Stunden nach Kenntnis. Bei akuten Angriffen ist eine Sofortmeldung möglich.

Reicht eine Firewall als Angriffserkennung? Nein. Gefordert sind Systeme, die Angriffe auf die Netze laufend erkennen und melden können. Dazu gehören Prozesse zur Auswertung und Eskalation.

Wer haftet bei einem Verstoß gegen die Pflichten? Die Geschäftsleitung des Betreibers. Das BSIG sieht Bußgelder vor, das BSI kann Anordnungen treffen und Fristen setzen.

Kann ich die Pflichten an einen IT-Dienstleister übertragen? Die Umsetzung ja, die Verantwortung nein. Der Betreiber bleibt gegenüber dem BSI verantwortlich, auch bei ausgelagerter IT.