Die Umsetzung der Europäischen NIS-2-Richtlinie schlägt aktuell hohe Wellen. Anbieter von Produkten und Dienstleistungen stellen farbenfroh die enormen Anforderungen dar, denen Unternehmen in wenigen Monaten entsprechen müssen. Auch wenn dabei gerne unterschlagen wird, dass wahrlich nicht alle Unternehmen in Deutschland durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) reguliert werden, so ist es für die Betroffenen doch allerhöchste Zeit, sich Gedanken um die geforderte Resilienz und Krisenfestigkeit ihres Unternehmens zu machen.
Betroffen sind zunächst die Geschäftsführungen von sogenannten “wesentlichen” und “wichtigen” Einrichtungen. Das ist erwähnenswert, weil das Gesetz explizit die Geschäftsleitung und nicht die juristische Person „Unternehmen“ adressiert. Die Geschäftsführung muss einem Unternehmen mit über 249 Beschäftigten oder 50 Mio. Euro Umsatz aus Bereichen wie Verkehr, Energie, Gesundheitswesen, Wasser-Ver- und -Entsorgung, Finanzwesen und digitale Infrastruktur vorstehen. Dazu kommen die Einrichtungen, die vom Staat als „wesentlich“ eingestuft werden.
Der aktuell bekannte Gesetzesentwurf zur Umsetzung der NIS-2-Richtlinie deutet erheblichen Einfluss des Gesetzgebers auf die Krisenfestigkeit von Unternehmen an. Gefordert werden gleichermaßen Technik und Organisation. Wer konkret vom NIS2UmsuCG angesprochen ist, wird durch eine Rechtsverordnung bestimmt werden. Derzeit steht eine Zahl von ungefähr 30.000 Unternehmen in Deutschland im Raum.
Wenn man sich genauer mit dem Entwurf des NIS2UmsuCG befasst, so fällt unangenehm auf, dass der Gesetzgeber den öffentlichen Bereich aus dem Kreis der Verpflichteten ausgenommen hat. Zweck dieser Übung dürfte sein, Bund, Länder und Kommunen vor finanziellen Lasten zu schützen, die eine Stärkung der Widerstandsfähigkeit gegen „Cyberrisiken“ mit sich brächte. Mit dieser unseligen Ausnahme werden jedoch Funktionen, die gewiss kritisch sind, aus der Regulierung und damit aus der Verantwortung genommen.
Bedenklichstes Beispiel dieses gewollten Designfehlers im Gesetzesentwurf sind die Alarmempfangsstellen für Polizei und Feuerwehr. Sie erfüllen gewiss die Kriterien der offiziellen Definition, die beim BSI nachzulesen ist:
„Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.
Betreiber von Kritischen Infrastrukturen werden verpflichtet angemessene Vorkehrungen zu IT- und Informationssicherheit (Verfügbarkeit, Integrität, Authentizität, Vertraulichkeit) zu leisten gem. dem Stand der Technik (§ 8a)“.
Wenn nun pauschal der öffentliche Bereich nicht zur Stärkung der Widerstandsfähigkeit gegen Cyberangriffe und andere gravierende Gefährdungen verpflichtet wird, dann sind damit auch die Leitstellen für das Notfall- und Rettungswesen, also die polizeiliche und nichtpolizeiliche Gefahrenabwehr ausgenommen. Das wirft die Frage auf: „Wenn eine Stelle, an die der Bedarf von qualitativ und zeitkritischen Hilfeleistungen gemeldet und disponiert wird, nicht kritisch ist, was dann?“
Auf kommunaler Ebene, die näher am richtigen Leben angesiedelt ist, gibt es auch offensichtlich eine andere Einschätzung, wie kritisch behördlich verantwortete Leistungen sind. Das zeigt z. B. das Arbeitspapier „Informationssicherheit für Landrätinnen und Landräte – IT-Grundschutz in den Landkreisen“, erstellt vom Deutschen Landkreistag und dem Bundesamt für Sicherheit in der Informationstechnik (www.landkreistag.de, Kurzlink https://tinyurl.com/2vx7bh8x). Vermutlich angetrieben von der erschreckenden Anzahl von Behörden und Behördendienstleistern, die in den vergangenen Jahren durch Ransomwarevorfälle Wochen oder und Monate lang lahmgelegt wurden, sind die Themen Resilienz und Informationssicherheit auf dieser Ebene als dringlich und wichtig erkannt worden.
„Cybergangster“ haben kommunale IT als lohnendes Ziel erkannt, um per Ransomware Geld zu erpressen. Offenbar ist der Schutz der Systeme oftmals recht lückenhaft, es lassen sich sensible Daten als zusätzliche Beute einsammeln und die Vorfälle haben beachtliche öffentliche Wirkung, sodass Druck aufgebaut wird. Immer mehr wird Verantwortlichen auch klar, dass die weltpolitische Lage und insbesondere der Krieg in der Ukraine eine andere, noch unerfreulichere Perspektive eröffnen. Der kalte Krieg aus der zweiten Hälfte des letzten Jahrhunderts hat durch die neue Epoche eines unsichtbaren Krieges einen Nachfolger gefunden. Es wird offensichtlich, dass digitale, gut verpackte Propaganda, Desinformation, Spionage und gut getarnte Sabotage zwar keine offensichtlichen Kriegshandlungen darstellen, aber durchaus geeignet sind, der anderen Seite zu schaden. Teil dieser anderen Seite ist Deutschland.
Es ist geboten, sich über die nächste mögliche Stufe solcher Handlungen Gedanken zu machen. Enorme Öffentlichkeitswirkung hätte das Ausschalten einer oder sogar mehrerer Alarmempfangsstellen der Blaulichtdienste, möglicherweise in Verbindung mit Ereignissen, die schnelles Eingreifen von Polizei und Feuerwehr erfordern würden. Es steht außer Zweifel, dass Alarmempfangsstellen für Polizei und Feuerwehr kritisch sind. Mit Blick auf offensichtliche Risiken sind Informationssicherheits-Management und Business Continuity Management (BCM) für solche kritischen Infrastrukturen ein Muss. Damit sind wir beim von den Verfassern des Gesetzes beachteten Problem. Qualifiziertes Business Continuity Management und Informationssicherheit kosten Zeit. Zeit von qualifizierten Mitarbeitern und damit Geld. Geld, das bereitgestellt werden muss. Ob das nun unter dem KRITIS-Label, als Teil des NIS2UmsuCG oder einfach aus Vernunft geschieht ist zweitrangig. Andernfalls stehen Leben und Gesundheit von Menschen auf dem Spiel.
