Neues BSI-Portal startet: Vorstände haften persönlich für IT-Sicherheit

Persönliche Haftung, drastische Bußgelder und eine technische Basis in der Amazon-Cloud: Der Start der neuen Sicherheits-Plattform sorgt für Aufsehen. Rund 30.000 Unternehmen müssen nun die neuen Vorgaben erfüllen.

Startschuss für NIS-2-Meldewesen und Registrierung

Die zentrale Plattform zur Umsetzung der europäischen NIS-2-Richtlinie ist in Betrieb gegangen. Diese Abkürzung steht für Network and Information Systems Directive 2, hinter der sich die EU-Richtlinie 2022/2555 verbirgt, die die Cybersicherheit in Netz- und Informationssystemen europaweit stärken soll. Seit Kurzem ist das Portal unter portal.bsi.bund.de erreichbar und bildet für rund 29.500 betroffene Unternehmen sowie für Bundesbehörden die zentrale Anlaufstelle für neue Melde- und Registrierungspflichten.

Betreiber kritischer Infrastrukturen (KRITIS) sowie besonders wichtige und wichtige Einrichtungen müssen dort künftig Sicherheitsvorfälle melden, Kontaktstellen hinterlegen und Risikoanalysen dokumentieren. Das neue Portal ist für Unternehmen und für Whistleblower wichtig

Amazon-Cloud als technische Basis

Der Zugang erfolgt über ein zweistufiges Verfahren. Voraussetzung für die Nutzung des Meldeportals ist eine Anmeldung über das sogenannte "Mein Unternehmenskonto" (MUK). Der Identifizierungsdienst basiert auf der ELSTER-Infrastruktur der Finanzverwaltung. Unternehmen benötigen dafür ein gültiges ELSTER-Organisationszertifikat. Erst nach erfolgreicher Authentifizierung ist der Zugriff auf die eigentlichen Funktionen des NIS-2-Portals möglich.

Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) basiert das Meldeportal technisch auf der Infrastruktur von Amazon Web Services (AWS). Die Behörde verweist auf Sicherheitsmechanismen nach aktuellem Stand der Technik sowie auf die notwendige Skalierbarkeit und Hochverfügbarkeit der Plattform. Diese soll auch bei hohen Meldezahlen und in Krisensituationen stabil betrieben werden können.

Die Nutzung eines US-Cloudanbieters stößt jedoch auf Kritik, insbesondere mit Blick auf mögliche Zugriffsrechte nach dem US Cloud Act.

Haftung der Chefetage als Druckmittel

Inhaltlich weitet die NIS-2-Richtlinie den Kreis der verpflichteten Organisationen deutlich aus. Neben klassischen KRITIS-Sektoren wie Energie, Wasser und Ernährung sind nun auch Bereiche wie Abfallwirtschaft, Raumfahrt, Post- und Kurierdienste sowie Teile der öffentlichen Verwaltung erfasst. Das Regelwerk unterscheidet zwischen "besonders wichtigen Einrichtungen" und "wichtigen Einrichtungen", wobei für erstere strengere Aufsichts- und Kontrollvorgaben gelten.

Das Portal unterstützt ein mehrstufiges Meldeverfahren. Bei erheblichen Sicherheitsvorfällen ist innerhalb von 24 Stunden eine Erstmeldung an das BSI abzugeben. Spätestens nach 72 Stunden muss eine detaillierte Folgemeldung mit einer Bewertung des Vorfalls erfolgen. Weiterhin können über die Plattform auch Schwachstellen gemeldet werden. Diese Möglichkeit steht nach Angaben der Behörde auch anonym und ohne vorherige Registrierung zur Verfügung.

Mit der technischen Umsetzung gehen weitreichende rechtliche Verpflichtungen einher. Nach Angaben des BSI rückt die persönliche Verantwortung von Geschäftsführungen und Vorständen stärker in den Fokus. Können sie im Schadensfall nicht nachweisen, dass angemessene IT-Sicherheitsmaßnahmen eingeführt und überwacht wurden, greift die sogenannte Organhaftung.

NIS-2 ist ein Gamechanger für die Sicherheit und Stabilität unseres Landes. Die neue Gesetzgebung sorgt dafür, dass wichtige und besonders wichtige Einrichtungen sowie die gesamte Bundesverwaltung ihre Cyberresilienz effektiv und effizient stärken.

Zudem sieht der Rechtsrahmen empfindliche Sanktionen vor. Je nach Verstoß und Unternehmensgröße drohen Bußgelder von bis zu zehn Millionen Euro oder bis zu zwei Prozent des weltweiten Jahresumsatzes. Damit werden Verstöße gegen IT-Sicherheitsauflagen ähnlich streng sanktioniert wie Verstöße im Kartellrecht oder nach der Datenschutz-Grundverordnung.

Habt ihr euch schon durch die ELSTER-Anmeldung gekämpft oder wartet ihr noch ab? Schreibt uns eure Meinung zur Nutzung der AWS-Cloud für Behördendaten in die Kommentare!


Siehe auch: