Das IT-Sicherheitsgesetz der Bundesregierung stößt beim Bitkom prinzipiell auf Zustimmung. Doch weist der Hightech-Verband auf etliche offene Fragen hin.
Der Digitalverband Bitkom hat das vom Bundeskabinett beschlossene IT-Sicherheitsgesetz begrüßt. "Das Gesetz verpflichtet die Betreiber kritischer Infrastrukturen, ihre IT-Sicherheit zu verbessern und auf dem neuesten Stand der Technik zu halten", sagt Bitkom-Präsident Prof. Dieter Kempf. "Positiv bewertet die IT-Branche, dass Meldungen schwerwiegender Sicherheitsvorfälle weitgehend in anonymisierter Form übermittelt werden." Damit werden Reputationsverluste für die Unternehmen vermieden und die Bereitschaft zur Meldung gesteigert.
Die Bundesregierung erkenne im aktuellen Gesetzentwurf an, dass die Umsetzung der Meldepflichten zu erheblichen Kosten führt. Der Bitkom rechnet für die Wirtschaft, je nachdem wie viele Unternehmen in der Praxis tatsächlich betroffen sein werden, mit Ausgaben von bis zu 1,1 Milliarden Euro pro Jahr. Hinzu kommen Investitionen für die Einhaltung höherer Sicherheitsstandards in dreistelliger Millionenhöhe.
Dennoch gebe es bei der konkreten Umsetzung des Gesetzes weiterhin zahlreiche Unsicherheiten. "Noch ist unklar, für welche Unternehmen das Gesetz tatsächlich gilt", sagt Kempf. Die Bundesregierung geht derzeit davon aus, dass nur rund 2.000 der zu den Betreibern kritischer Infrastrukturen zählenden Unternehmen unter das Gesetz fallen. Eine konkrete Festlegung soll allerdings erst im Rahmen einer Rechtsverordnung erfolgen. "Die Unternehmen brauchen möglichst schnell Planungs- und Rechtssicherheit", betonte Kempf. Das gelte auch für die Frage, welche IT-Sicherheitsvorfälle als relevant beziehungsweise schwerwiegend und damit als meldepflichtig eingestuft werden.