IT-Sicherheit in der Wasserversorgung 4.0

IT-Sicherheit in der

Wasserversorgung 4.0 Dr. Michael Neupert, Rechtsanwalt

Das IT-Sicherheitsgesetz

Bild: christiaan_008/flickr Dr. Michael Neupert, Rechtsanwalt, Essen

Das IT-Sicherheitsgesetz

Bild: christiaan_008/flickr

Ergänzung BSI-Gesetz und mehrerer

anderer Gesetze

Kritische Infrastrukturen:

Sicherheitspaket

BSI nationale Informations-

sicherheitsbehörde

Stärkung auch anderer Behörden wie

BKA und Verfassungsschutz

Was sind

Kritische Infrastrukturen?

Dr. Michael Neupert, Rechtsanwalt, Essen

§ 8a Abs. 1 BSIG

Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei

Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1

angemessene organisatorische und technische Vorkehrungen zur

Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen

Systeme, Komponenten oder Prozesse zu treffen, die für die

Funktionsfähigkeit der von ihnen betriebenen Kritischen

Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik

eingehalten werden. Organisatorische und technische Vorkehrungen

sind angemessen, wenn der dafür erforderliche Aufwand nicht außer

Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung

der betroffenen Kritischen Infrastruktur steht.

Dr. Michael Neupert, Rechtsanwalt, Essen

§ 8a Abs. 1 BSIG

Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei

Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1

angemessene organisatorische und technische Vorkehrungen zur

Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen

Systeme, Komponenten oder Prozesse zu treffen, die für die

Funktionsfähigkeit der von ihnen betriebenen Kritischen

Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik

eingehalten werden. Organisatorische und technische Vorkehrungen

sind angemessen, wenn der dafür erforderliche Aufwand nicht außer

Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung

der betroffenen Kritischen Infrastruktur steht.

Dr. Michael Neupert, Rechtsanwalt, Essen

§ 8a Abs. 1 BSIG

Das Bundesministerium des Innern bestimmt durch

Rechtsverordnung (…) nach Anhörung von Vertretern(…) unter

Festlegung der in den jeweiligen Sektoren im Hinblick auf § 2

Absatz 10 Satz 1 Nummer 2 wegen ihrer Bedeutung als kritisch

anzusehenden Dienstleistungen und deren als bedeutend

anzusehenden Versorgungsgrads, welche Einrichtungen, Anlagen

oder Teile davon als Kritische Infrastrukturen im Sinne dieses

Gesetzes gelten. Der nach Satz 1 als bedeutend anzusehende

Versorgungsgrad ist anhand von branchenspezifischen

Schwellenwerten für jede wegen ihrer Bedeutung als kritisch

anzusehende Dienstleistung im jeweiligen Sektor zu bestimmen.

Dr. Michael Neupert, Rechtsanwalt, Essen

§ 8a Abs. 1 BSIG

Das Bundesministerium des Innern bestimmt durch

Rechtsverordnung (…) nach Anhörung von Vertretern(…) unter

Festlegung der in den jeweiligen Sektoren im Hinblick auf § 2

Absatz 10 Satz 1 Nummer 2 wegen ihrer Bedeutung als kritisch

anzusehenden Dienstleistungen und deren als bedeutend

anzusehenden Versorgungsgrads, welche Einrichtungen, Anlagen

oder Teile davon als Kritische Infrastrukturen im Sinne dieses

Gesetzes gelten. Der nach Satz 1 als bedeutend anzusehende

Versorgungsgrad ist anhand von branchenspezifischen

Schwellenwerten für jede wegen ihrer Bedeutung als kritisch

anzusehende Dienstleistung im jeweiligen Sektor zu bestimmen.

Dr. Michael Neupert, Rechtsanwalt, Essen

§ 8a Abs. 1 BSIG

KRITIS

Energie

Informations-

technik

Telekommuni-

kation

Transport und

Verkehr

Gesundheit

Wasser

Ernährung

Finanzen und

Versicherung

Erhebliche

Versorgungsengpässe

Gefährdungen für

Öffentliche Sicherheit

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Erhebliche

Versorgungsengpässe

Gefährdungen für

Öffentliche Sicherheit

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Was müssen

Betreiber tun?

Pflichtengehalt:§ 8a Abs. 1 BSIG

Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei

Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1

angemessene organisatorische und technische Vorkehrungen zur

Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen

Systeme, Komponenten oder Prozesse zu treffen, die für die

Funktionsfähigkeit der von ihnen betriebenen Kritischen

Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik

eingehalten werden. Organisatorische und technische Vorkehrungen

sind angemessen, wenn der dafür erforderliche Aufwand nicht außer

Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung

der betroffenen Kritischen Infrastruktur steht.

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Pflichtengehalt:§ 8a Abs. 1 BSIG

Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei

Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1

angemessene organisatorische und technische Vorkehrungen zur

Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen

Systeme, Komponenten oder Prozesse zu treffen, die für die

Funktionsfähigkeit der von ihnen betriebenen Kritischen

Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik

eingehalten werden. Organisatorische und technische Vorkehrungen

sind angemessen, wenn der dafür erforderliche Aufwand nicht außer

Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung

der betroffenen Kritischen Infrastruktur steht.

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Pflichtengehalt:§ 8a Abs. 1 BSIG

Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei

Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1

angemessene organisatorische und technische Vorkehrungen zur

Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen

Systeme, Komponenten oder Prozesse zu treffen, die für die

Funktionsfähigkeit der von ihnen betriebenen Kritischen

Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik

eingehalten werden. Organisatorische und technische Vorkehrungen

sind angemessen, wenn der dafür erforderliche Aufwand nicht außer

Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung

der betroffenen Kritischen Infrastruktur steht.

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Kann „Stand der Technik“

unangemessen sein?

Pflichtengehalt:§ 8a Abs. 1 BSIG

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Betreiber Kritischer Infrastrukturen und ihre Branchenverbände

können branchenspezifische Sicherheitsstandards zur

Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Das

Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die

Anforderungen nach Absatz 1 zu gewährleisten.

Pflichtengehalt:§ 8a Abs. 1 BSIG

Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei

Jahre nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1

angemessene organisatorische und technische Vorkehrungen zur

Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen

Systeme, Komponenten oder Prozesse zu treffen, die für die

Funktionsfähigkeit der von ihnen betriebenen Kritischen

Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik

eingehalten werden. Organisatorische und technische Vorkehrungen

sind angemessen, wenn der dafür erforderliche Aufwand nicht außer

Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung

der betroffenen Kritischen Infrastruktur steht.

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Nachweis alle

zwei Jahre

durch Audit,

Prüfung oder

Zertifizierung,

§ 8a Abs. 3

BSIG

Was macht das

Bundesamt?

Pflichtengehalt:§ 8a Abs. 1 BSIG BSI: Aufgaben

Meldepflicht der Betreiber

Warnungen durch BSI

BSI zentrale Meldestelle

Dr. Michael Neupert, Rechtsanwalt, Essen

Nationale Informationssicherheitsbehörde

Pflichtengehalt:§ 8a Abs. 1 BSIG BSI: Aufgaben

Meldepflicht der Betreiber

Warnungen durch BSI

BSI zentrale Meldestelle

Dr. Michael Neupert, Rechtsanwalt, Essen

Pflichtengehalt:§ 8a Abs. 1 BSIG

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Betreiber Kritischer Infrastrukturen haben erhebliche Störungen der

Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer

informationstechnischen Systeme, Komponenten oder Prozesse, die

zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit

der von ihnen betriebenen Kritischen Infrastrukturen

1. führen können oder

2. geführt haben,

über die Kontaktstelle unverzüglich an das Bundesamt zu melden.

Pflichtengehalt:§ 8a Abs. 1 BSIG

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Die Meldung muss Angaben zu der Störung sowie zu den

technischen Rahmenbedingungen, insbesondere der vermuteten oder

tatsächlichen Ursache, der betroffenen Informationstechnik, der Art

der betroffenen Einrichtung oder Anlage sowie zur Branche des

Betreibers enthalten. Die Nennung des Betreibers ist nur dann

erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder

einer Beeinträchtigung der Funktionsfähigkeit der Kritischen

Infrastruktur geführt hat. Namentliche Nennung bei

tatsächlichen Folgen für die

KRITIS

Pflichtengehalt:§ 8a Abs. 1 BSIG

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Meldepflicht der Betreiber

Warnungen durch BSI

BSI zentrale Meldestelle

KRITIS-Betreiber Information Dritter

Pflichtengehalt:§ 8a Abs. 1 BSIG

Dr. Michael Neupert, Rechtsanwalt, Essen

BSI-KritisV

Würdigung

Rechtfertigung der

Pflichten?

Handlungsbedarf in Bezug

auf IT-Sicherheit?

Organisatorische

Umsetzung?

Status der Beziehungen zu

Partnern?

Beteiligung an

branchenspezifischen

Standards?

Nutzen und Grenzen des

kooperativen Ansatzes

Dr. Michael Neupert, Rechtsanwalt

michael.neupert@kuemmerlein.de

Messeallee 2, 45131 Essen

0201 / 1756-624, -657

www.kuemmerlein.de

360grad.kuemmerlein.de

www.facebook.com/rechtsanwendung/

de.slideshare.net/MNeupert

Xing / LinkedIn