Betreiber „kritischer Infrastrukturen“ sollen nicht zeitnah verpflichtet werden, IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik zu melden. Durch Druck von Wirtschaftsverbänden blockiert das Wirtschaftsministerium einen entsprechenden Gesetzentwurf des Innenministeriums. Statt einer Meldepflicht an den Staat sollten aber immer die Betroffenen davon erfahren, wenn ihre Daten abhanden gekommen sind.
Anfang März berichteten wir über das IT-Sicherheitsgesetz, nach dem Betreiber kritischer Infrastrukturen verpflichtet werden sollten, erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Schon damals meldete Wirtschaftsminister Rösler Bedenken an und forderte „weitere Abstimmungen“.
Manuel Bewarder berichtet jetzt in der Welt vom Aus des Projekts:
Allerdings gilt es nach Informationen der „Welt“ als ausgeschlossen, dass die Cyber-Abwehr noch vor der Bundestagswahl in Gesetzesform gegossen wird. Zu tief sind die Gräben zwischen dem Innen- und dem Bundeswirtschaftsministerium. Am 14. Juni werden die wichtigsten Verbände zwar noch einmal angehört – viel mehr wird allerdings nicht passieren.
Grund ist wohl massiver Lobby-Druck der Wirtschaftsverbände, die Kosten und Image-Schäden fürchten:
Matthias Wachter vom Bundesverband der Deutschen Industrie (BDI) etwa lehnt den Gesetzentwurf ab, „weil er nicht zielführend ist und mit einem hohen finanziellen und bürokratischen Aufwand“ für die Unternehmen daher komme. „Einen zusätzlichen gesetzlichen Regelungsbedarf sehen wir nicht“, sagte Wachter der „Welt“.
BITKOM-Hauptgeschäftsführer Bernhard Rohleder freut sich:
Wir begrüßen es, dass man sich für dieses wichtige Thema die notwendige Zeit nimmt und das Gesetz nicht im Hauruck-Verfahren durch den Bundestag jagt.
Innenminister Friedrich ist hingegen not amused:
Der Wirtschaftsminister hat den Ernst der Lage nicht erkannt.
Eine Meldepflicht über Sicherheitsschwankungen ist sicherlich sinnvoll. Wichtig ist aber die Informierung der Betroffenen, also derjenigen Personen, deren Daten abhanden gekommen sind. Die Informationspflicht an den Staat kann auch aus Bürgerrechts-Perspektive heikel sein, wenn Daten von Betroffenen an das BSI gehen.
Ähnliche Vorhaben gibt es mit der Richtlinie zur Cyber-Sicherheit auf bei der EU und mit CISPA in den USA.