VKU-Stellungnahme zum IT-Sicherheitsgesetz

12.11.2014 Das Bundesministerium des Innern (BMI) hat am 04.11.2014 einen zweiten Entwurf für ein Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) veröffentlicht und bis zum 12. November 2014 zur Konsultation gestellt.

In seiner Stellungnahme begrüßt und unterstützt der Verband kommunaler Unternehmen (VKU) die Pläne zur Entwicklung branchenspezifischer IT-Mindestsicherheitsstandards im breiten Verbund mit Politik, Wissenschaft und Verbänden. Allerdings verweist der Verband darauf angemessene Systeme, Komponenten und Prozesse entsprechend der Größe und Leistungsfähigkeit der Unternehmen und Betriebe zu schaffen. Einen unverhältnismäßigen hohen Anspruch an ein IT-Basisschutzniveau als Grundlage der Branchenstandards lehnt der VKU ab. Insbesondere müssten die vorgesehenen Berichtspflichten und organisatorischen Auflagen nochmals genau betrachtet werden.

Der Gesetzentwurf mache zwar aus Gründen der Verhältnismäßigkeit Ausnahmen für besonders kleine Unternehmen, jedoch nicht für die kommunalen Unternehmen. So sollen die Regelungen des IT-Sicherheitsgesetzes unter dem Gesichtspunkt der Verhältnismäßigkeit keine Anwendung für Kleinstunternehmen und kleine und mittlere Unternehmen (KMU), die weniger als 10 Personen beschäftigen oder deren Jahresumsätze bzw. Jahresbilanzen 2 Mio. Euro nicht überschreiten, finden. Diese Ausnahmeregelung schließe jedoch kommunale Unternehmen aus, da Unternehmen, dessen Unternehmensanteile oder Stimmrechte zu 25 Prozent oder mehr von einer staatlichen Stelle oder Körperschaft des öffentlichen Rechts kontrolliert werden, per Definition keine KMU seien. Die Verhältnismäßigkeit müsse gerade auch für die zum Teil kleinen Strukturen der kommunalen Wasserwirtschaft Anwendung finden.

Zudem fordert der VKU, dass die zukünftigen Berichtspflichten zu einem Mehr an Sicherheit führen, statt zu einem Mehr an Bürokratie. Bei Geschäftsgeheimnissen sollte gewährleistet werden, dass sie auch in Zukunft gewahrt bleiben. Die zunehmenden Veröffentlichungsverpflichtungen, zum Beispiel durch das Umweltinformationsgesetz, scheinen, so der VKU, im Widerspruch zu dem Schutzgedanken des geplanten IT-Sicherheitsgesetzes zu stehen. Gleiches gelte für die Zulieferungspflichten der Betreiber kritischer Infrastrukturen gegenüber der Bundesnetzagentur zum Infrastrukturatlas.

- fb -