Nachdem das erste IT Sicherheitsgesetz im Sommer 2015 an den Start gebracht wurde, steht seit diesem Jahr die Version 2.0 dieses Gesetzes am Start. Das IT-Sicherheitsgesetz 2.0 ist im Mai 2021 in Kraft getreten. Es zielt darauf ab, die IT-Sicherheit in Deutschland weiter zu verbessern.
Die zweite Version des Gesetz bringt wesentliche Änderungen und Erweiterungen für Unternehmen, die im Bereich E-Commerce tätig sind. Hier sind die wichtigsten Punkte sind:
- Detektion und Abwehr: Das BSI erhält verstärkte Kompetenzen zur Detektion von Sicherheitslücken und Abwehr von Cyberangriffen. Es kann als zentrales Kompetenzzentrum Mindeststandards für Bundesbehörden festlegen und effektiver kontrollieren.
- Cybersicherheit in den Mobilfunknetzen: Das Gesetz untersagt den Einsatz kritischer Komponenten zum Schutz der öffentlichen Ordnung oder Sicherheit in Deutschland. Netzbetreiber müssen hohe Sicherheitsanforderungen erfüllen und kritische Komponenten zertifizieren. Dies gewährleistet die Informationssicherheit in 5G-Mobilfunknetzen.
- Verbraucherschutz: Das BSI übernimmt den Digitalen Verbraucherschutz und die Verbraucherinformation im Bereich IT-Sicherheit durch unabhängige Beratung und Warnung. Ein IT-Sicherheitskennzeichen soll die Transparenz erhöhen und zeigen, welche Produkte IT-Sicherheitsstandards erfüllen.
- Sicherheit für Unternehmen: Der Kreis der Kritischen Infrastrukturen wird um die Siedlungsabfallentsorgung erweitert. Auch Rüstungshersteller und Unternehmen mit großer volkswirtschaftlicher Bedeutung müssen künftig IT-Sicherheitsmaßnahmen umsetzen und werden in den Informationsaustausch mit dem BSI einbezogen.
- Nationale Behörde für Cybersicherheitszertifizierung: Das BSI ist die Nationale Behörde für die Cybersicherheitszertifizierung gemäß der EU-Verordnung 2019/881 (Cybersecurity Act). Es überwacht und setzt Vorschriften der europäischen Cybersicherheitszertifizierung durch. Dabei müssen Aufsicht und Zertifizierung strikt getrennt und unabhängig durchgeführt werden.
Ein spezieller Begriff der sich im Rahmen dieser Gesetzgebung sind sogenannte KRITIS Betreiber. Also Anbieter kritischer Infrastrukturen. Dies sind:
- Energie
- Informationstechnik und Telekommunikation
- Transport und Verkehr
- Gesundheit
- Medien und Kultur
- Wasser
- Ernährung
- Finanz- und Versicherungswesen
- Siedlungsabfallentsorgung
- Staat und Verwaltung
Das BSI nennt als Definition:
Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.
Quelle: https://www.bsi.bund.de/DE/Themen/KRITIS-und-regulierte-Unternehmen/Kritische-Infrastrukturen/Allgemeine-Infos-zu-KRITIS/allgemeine-infos-zu-kritis_node.html
Mit dieser Grundlage dürfte die Auswirkung auf einen normalen Online-Shop Betreiber, der nicht in diese Definition fällt recht gering sein. Die aus dem ersten IT-Sicherheitsgesetz bekannten Anforderungen an Aktualität von Systemen und Sicherheitsmaßnahmen bleiben natürlich erhalten.