Nadine Schön (NA), 2015-03-20:
Frau Präsidentin! Liebe Kolleginnen und Kollegen!

Big Data, Internet der Dinge, Industrie 4.0, Smart Grids,
Smart Meter - das sind die Schlagworte, die in dieser
Woche die Diskussionen um die Digitalisierung bestimmen; denn diese Woche ist CeBIT-Woche. Darum geht
es bei der größten IT-Messe der Welt und nicht, lieber
Kollege Konstantin von Notz, um die Snowden-Enthüllungen. Ich habe auf der CeBIT vor allem erlebt, dass
man sich damit beschäftigt, wie sich die Welt verändert,
wenn sie zunehmend vernetzt ist, wenn alles intelligenter, vernetzter und auch smarter wird.

({0})

Wir wissen um die Potenziale dieser Vernetzung für
die Wirtschaft und die Gesellschaft. Wenn man sich nur
den Bereich Landwirtschaft anschaut: Es gibt heute
schon Möglichkeiten, mittels Knopfdruck zu sehen, wie
weit die Pflanzen in ihrer Entwicklung sind, ob Regen
kommt und man das Feld nicht bewässern muss. Maschinen korrespondieren untereinander, setzen sich selbst in
Gang. Das ist Landwirtschaft 4.0. Hier sieht man, wie
vernetzt das alles ist.

Das Gleiche gilt auch bei der Energieversorgung.
Windräder, PV-Kollektoren werden anhand von ITStrukturen gesteuert. Man kann sehen, wie das Wetter
sich entwickelt, wann man viel Strom braucht. Er wird
intelligent gesteuert ins Netz eingespeist. Da wird in den
nächsten Jahren viel passieren.

Es gibt viele Szenarien, die uns guter Hoffnung sein
lassen, dass wir die Chancen der Digitalisierung in
Deutschland nutzen können und alle davon einen Mehrwert haben im Hinblick auf Wirtschaftlichkeit, auf Effizienz und auf Ressourcensparsamkeit.

Dies sind gute Szenarien, aber es gibt auch die Horrorszenarien. Horrorszenarien kann man sich vorstellen,
wenn man einmal darüber nachdenkt, was denn passiert,
wenn genau diese Netze, diese Infrastrukturen nicht
mehr funktionieren oder - schlimmer noch - wenn sie
von außen manipuliert werden. Deshalb müssen wir alles dafür tun, dass die Infrastrukturen, die die Versorgung der Menschen in unserem Land sicherstellen, auch
funktionieren. Diese müssen wir besonders schützen.

Deshalb legen wir heute das IT-Sicherheitsgesetz vor,
das zum einen darauf abzielt, vor allem die kritischen Infrastrukturen wirkungsvoll zu schützen: mit Mindeststandards, mit Meldepflichten; der Minister hat das im
Einzelnen ausgeführt.

({1})

Die zweite Zielrichtung des Gesetzes ist, das Sicherheitsniveau der informationstechnischen Systeme in
Deutschland insgesamt zu heben; denn wir beobachten
immer noch eine gewisse Sorglosigkeit bei UnternehNadine Schön ({2})
men, bei kleinen und mittleren Unternehmen, auch bei
der Bevölkerung. Wir haben die Diskussion etwa um
Snowden, um Hackerangriffe, um Datendiebstahl in großem Umfang, aber das spiegelt sich nicht unbedingt im
Nutzerverhalten wider. Noch heute werden die angemessenen Sicherheitsmaßnahmen, die man ergreifen könnte,
nicht ergriffen.

Deshalb ist es wichtig, dass wir dafür sorgen, dass die
User informiert werden, wenn etwa Angriffe von außen
auf das Netz erfolgen. Deswegen werden wir die Provider dazu verpflichten, das an die Nutzer zu melden. Das
war uns schon bei den Koalitionsverhandlungen ein ganz
wichtiges Anliegen; deshalb haben wir es aufgenommen. Wir werden dafür sorgen, dass die Grundsicherheit
sowohl bei den Unternehmen als auch bei den Privatpersonen erhöht wird.

Das IT-Sicherheitsgesetz ist ein Maßnahmenpaket.
Der Minister hat die einzelnen Punkte ausführlich dargestellt. Wir werden in den nächsten Wochen ausführlich
über die einzelnen Punkte sprechen und überlegen, wie
effizient oder effektiv die einzelnen Maßnahmen sind,
welche Wechselwirkungen es aber auch gibt, um dann
möglichst viel Sicherheit für die Menschen in unserem
Land zu gewährleisten.

Ich will der Diskussion nicht vorgreifen, aber zu zwei,
drei Punkten, die schon kritisch angemerkt wurden, etwas sagen.

Das Erste ist: europäische Lösung. Natürlich haben
wir in Europa einen großen Binnenmarkt, aber derzeit
noch mit 28 fragmentierten digitalen Märkten. Das kann
so nicht bleiben. Deshalb begrüßen wir auch sehr, dass
Günther Oettinger die Digitalunion ausgerufen hat. Wir
brauchen natürlich einheitliche Standards in ganz Europa. Was Deutschland jetzt macht, ist, wie die Kanzlerin gesagt hat, die Blaupause für diese Diskussionen auf
europäischer Ebene. Wir bringen das, was wir hier ins
Gesetz schreiben, natürlich auch auf der europäischen
Ebene ein.

({3})

Man erwartet von Deutschland als dem Land, das im Bereich IT-Security unbestritten Vorreiter in Europa ist,
dass wir vorangehen, dass wir unsere Vorschläge einbringen.

({4})

Deshalb ist es wichtig und richtig, dass wir zum einen
mit unserem Gesetz eine Vorreiterrolle einnehmen und
uns zum anderen parallel dazu bei den Diskussionen auf
europäischer Ebene einbringen. Wir können jetzt nicht
warten, bis das in Europa ausdiskutiert ist, bis es eine
Richtlinie gibt, bis diese umgesetzt wird. Wir brauchen
das Gesetz jetzt; denn wir brauchen jetzt mehr Sicherheit. Deshalb machen wir das zweigleisig, und das ist genau der richtige Weg.

({5})
Der zweite Punkt ist die Diskussion über die unbestimmten Rechtsbegriffe. Natürlich muss man als Unternehmen wissen, ob man von einem Gesetz betroffen ist
oder nicht. Insofern muss man sich die Begriffe „kritische Infrastruktur“, „bedeutende Störungen“, „Stand der
Technik“ alle noch einmal anschauen. Aber Digitalisierung ist eben schnelllebig. Deshalb muss das Gesetz so
gestaltet sein, dass wir nicht bei jeder technischen Neuerung im Bundestag ein neues Gesetzgebungsverfahren in
Gang setzen müssen, um auf diese Neuerung zu reagieren. Wir brauchen ein Gesetz, das flexibel ist, mit dem
wir flexibel auf Neuerungen, auf Entwicklungen eingehen können. Wir müssen es so offen gestalten, dass das
möglich ist. Wir müssen Rechtssicherheit auf der einen
Seite, aber eben auch die Schnelllebigkeit auf der anderen Seite im Auge behalten. Das werden wir uns jetzt bei
den Beratungen noch einmal genau anschauen. Das ist
unser Ziel, und das sind die Kriterien, an denen wir unser Gesetz ausrichten.

({6})

Der dritte Punkt betrifft folgende Fragen: Was passiert mit den Daten? Wie viele Daten werden überhaupt
erhoben? Was hat die Wirtschaft denn selbst davon? Das
sind sehr wichtige Fragestellungen, die Sie auch heute
zu Recht angesprochen haben. Es ist eben so, dass es für
die Unternehmen sensible Daten sind; denn es geht um
Geschäftsprozesse. Deshalb ist es wichtig, dass gewährleistet ist, dass die Daten sicher und vertraulich behandelt werden. Es ist wichtig, dass das nicht ein Einfallstor
für Wirtschaftsspionage wird. Aber das werden wir sicherstellen. Das ist elementar für den Wirtschaftsstandort Deutschland. Deshalb werden wir den Schutz der Daten, die hier erhoben werden, sicherstellen. Es werden
natürlich auch nur die Daten erhoben, die elementar
sind, um beurteilen zu können, ob ein Angriff stattfindet,
um die Angriffsmuster zu erkennen.

Natürlich werden auch die Unternehmen etwas davon
haben. Uns geht es doch nicht nur darum, zu sehen, was
in Deutschland zurzeit an Angriffen da ist. Das Gesetz
hat zum Ziel, mit den Unternehmen zu korrespondieren,
zu warnen und auf diese Angriffe reagieren zu können,
sonst würde das Ganze ja gar keinen Sinn machen. Insofern sind so manche Vorwürfe, die heute hier in den
Raum gestellt wurden, wirklich abstrus. Natürlich wird
das Gesetz so ausgestaltet, dass die Unternehmen etwas
davon haben. IT-Sicherheit ist etwas, was uns als Staat
angeht, was aber auch die Unternehmen selbst angeht;
denn IT-Sicherheit ist auch ein Wirtschaftsfaktor für die
Unternehmen.