Unternehmenssicherheit – 19 Millionen Euro Strafe für unsichere IT

Unternehmen, die keinen ausreichenden Schutz gegen Cyberangriffe haben, sollen mit empfindlichen Strafen belegt werden. Das hat Großbritanniens Regierung in einer neuen Regierungsdirektive angeregt.

Vor allem Unternehmen, die in den Branchen Energie, Transport, Wasserversorgung oder auch im Gesundheitswesen tätig sind, sollen damit gezwungen werden, eine möglichst gute IT-Sicherheit bereit zu stellen. Damit alle Bereiche, deren reibungsloses Funktionieren wichtig ist. Tun sie das nicht, sollen Strafen von bis zu 17 Millionen britische Pfund möglich sein, berichtet BBC.

Unter der neuen Direktive sollen Behörden auch befugt sein, die Sicherheitsmaßnahmen der Unternehmen zu testen.

Die neuen Regeln werden ab dem 10. Mai in Kraft treten. Und damit könnten beispielsweise auch Cyberattacken wie WannaCry von dem Gesetz erfasst werden. Unternehmen, die von solchen Schädlingen getroffen werden, würden dann nicht nur die finanziellen Schäden des Angriffs zu tragen haben, sondern müssten dann auch noch die Strafe bezahlen.

Doch eine umfassende Sicherheit in kritischen Infrastrukturen wird immer wichtiger. Gegenüber BBC erklärte FireEye-Sicherheitsexperte Jens Monrad: „Viele Nationen, darunter auch das Vereinigte Königreich verlassen sich auf die Digitalisierung, Hacker könnten nun versuchen, eine große Störung hervorzurufen, indem sie kritische nationale Infrastrukturen angreifen.“

Das Nationa Cyber Security Centre (NIS) hat nun auch die Leitlinien für Unternehmenssicherheit aktualisiert. Neben den neuen Bestimmungen zu Cybersicherheit, werden die Briten ab dem 25. Mai auch den Regelungen der General Data Protection Regulations (GDPR/DSGVO) unterliegen und das auch ungeachtet dessen, ob die Briten aus der EU austreten.

In Deutschland gilt ein vergleichbares Gesetzt seit dem 17. Juli 2015. Neben Strafen für die Betreiber von kritischen Infrastrukturen schreibt das deutsche Pendant zu der britischen Regelung mit dem sperrigen Titel Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme auch eine Meldepflicht bei Sicherheitsvorfällen vor.  Das Bundesamt für Sicherheit in der Informationstechnik liefert ebenfalls eine Orientierungshilfe für die Umsetzung der gesetzlichen Anforderungen.

Doch auch zwei Jahre nach dem Inkrafttreten des Gesetzes gibt es in Deutschland noch immer eine hohe Gefährdung durch Hackerangriffe. Die Aussicht auf Strafen, das deutsche IT-Sicherheitsgesetz, erlaubt Strafen von bis zu 100.000 Euro, scheint alleine keine Lösung für das Sicherheitsproblem zu sein. Vielfach aber wird das Gesetz als erster Schritt und als wichtige Grundlage bewertet.