Source: https://www.recht-freundlich.de/datenschutz-recht-dsgvo/it-sicherheitsgesetz-oeffentliche-verwaltung-kritische-infrastrukturen
Timestamp: 2020-07-10 23:17:25
Document Index: 16618658

Matched Legal Cases: ['§ 4', '§ 4', '§ 4', '§ 4', '§ 8', '§ 8', '§ 8', '§ 8', '§ 8', '§ 7', '§ 7', '§ 8', '§ 8']

In Kategorie(n): Datenschutz DSGVO - 21. Mai 2015 von Rechtsanwalt Thomas Feil
Gegen ein solches Verständnis spricht allerdings der gesetzgeberische Wille. In der Gesetzesbegründung des Entwurfs des IT-Sicherheitsgesetzes wird die Anwendung der Normen zu den Kritischen Infrastrukturen für die Verwaltung von Regierung und Parlament sowie die öffentliche Bundesverwaltung und die von ihr eingesetzte Technik (einschließlich der Technik, die im Auftrag der Bundesverwaltung betrieben wird) ausgeschlossen und als Spezialregelung §§ 4, 5 und 8 des BSIG angeführt (BT-Drucks. 18/4096, S. 24).
Entsprechendes soll danach auch für die Verwaltungen der Länder und Kommunen und den Sektor Kultur und Medien gelten. Zusätzlich bestanden bereits vor Schaffung des Entwurfs für das IT-Sicherheitsgesetzes in den §§ 4, 5 und 8 BSIG separate Regelungen für Behörden. Diese Normen sollen durch den Gesetzesentwurf nicht erweitert werden. Der Gesetzgeber sieht somit keinen Bedarf für eine Erweiterung des Anwendungsbereiches, sonst hätte er diese auch vorgenommen.
Dem entspricht auch die Systematik des Gesetzes. Die Pflichten für Kleinstunternehmen werden durch den Entwurf des IT-Sicherheitsgesetzes eingeschränkt, allerdings wird eine dementsprechende Beschränkung für kleinere öffentliche Verwaltungen nicht vorgeschrieben. Es wäre jedoch nur logisch eine Begrenzung auch für kleinere öffentliche Verwaltungen vorzunehmen, sofern diese auch unter den Anwendungsbereich fallen. Für eine andere Behandlung besteht kein Grund.
Weiterhin existieren bereits in den §§ 4, 5 und 8 des BSIG Regelungen für Bundesbehörden. Diese Normen würden zumindest teilweise ihren Zweck verlieren, soweit die Regelungen zu den Kritischen Infrastrukturen auch für Bundesbehörden gelten sollen. Bei den §§ 4, 5 und 8 des BSIG handelt es sich um spezielle Regelungen für Behörden, sodass diese den allgemeinen Regelungen zu den Kritischen Infrastrukturen vorgehen müssen.
Weiterhin besitzt der Bund wegen der fehlenden speziellen Kompetenzgrundlage keine Gesetzgebungskompetenz für Verwaltungen der Länder und Kommunen sowie den Sektor Kultur und Medien. Daraus würde sich eine formelle Verfassungswidrigkeit des Gesetzes ergeben, soweit eine Anwendbarkeit der Vorschriften zu den Kritischen Infrastrukturen angenommen wird.
Das Gesetz würde somit nicht verfassungsgemäß sein. Eine Nichtanwendbarkeit der Normen würde wegen der bestehenden Gesetzgebungskompetenz des Bundes hingegen zu einem verfassungskonformen Ergebnis führen.
Nach alledem sollen die öffentlichen Verwaltungen von der Anwendbarkeit der Normen zu den Kritischen Infrastrukturen ausgenommen sein. Würde man dies anders sehen, würde ein Gesetz geschaffen werden, das nicht im Einklang mit der Verfassung steht.
Auch würde es sich hierbei um ein neues Gesetz handeln, sodass sich noch keine wesentlichen Umstände geändert haben und der gesetzgeberische Wille aus diesem Grund besondere Beachtung finden muss.
Die Einordnung als Kritische Infrastruktur hat weitreichende Auswirkungen und sollte deshalb genau geprüft werden, um nicht die auferlegten Pflichten zu verletzen. So müssen die Betreiber einer Kritischen Infrastruktur beispielsweise umfangreiche Vorkehrungen zur Vermeidung von informationstechnischen Störungen treffen (§ 8a Abs. 1 BSIG-E). Hierzu können gewisse Standards durch eine Branche festgelegt werden, wodurch sogar noch höhere Standards vorausgesetzt werden könnten (§ 8a Abs. 2 BSIG-E). Weiterhin muss die Einhaltung des Standards alle zwei Jahre dem Bundesamt nachgewiesen werden (§ 8a Abs. 3 BSIG-E).
Von besonderer Bedeutung ist allerdings, dass hierbei alle aufgedeckten Sicherheitsmängel durch den Betreiber an das Bundesamt zu übersenden sind (§ 8a Abs. 3 BSIG-E). Das Bundesamt kann dann die Beseitigung der Sicherheitsmängel verlangen (§ 8a Abs. 3 BSIG-E) und Warnungen an die Öffentlichkeit oder auch nur an die Betroffenen richten (§ 7 Abs. 1 BSIG-E). Zusätzlich darf das Bundesamt Untersuchungen von IT-Produkten und Systemen vornehmen und die Erkenntnisse auch weitergeben sowie veröffentlichen (§ 7a BSIG-E). Erhebliche Sicherheitsmängel sind in jedem Fall dem Bundesamt unverzüglich mitzuteilen (§ 8b Abs. 4 BSIG-E).
Ferner wird Dritten die Möglichkeit eines Auskunftsanspruches bzgl. der gesammelten Informationen der Kritischen Infrastrukturen gegeben (§ 8d BSIG-E).
Soweit die umfassenden Pflichten befolgt werden müssen, ist deren Einhaltung kosten- und zeitintensiv. Hierdurch können nachteilige Folgen für den Betreiber im Wettbewerb eintreten. Vor allem hat eine ausgesprochene Warnung des Bundesamtes für Unternehmen eine große Relevanz. Eine einmal ausgesprochene Warnung wird sich schnell verbreiten und diese Verbreitung ist für betroffene Unternehmen nur wenig kontrollierbar.
Zusätzlich bleibt eine Warnung, insbesondere durch Medienberichte, langfristig abrufbar.