Kabinett beschließt IT-Sicherheitsgesetz

BERLIN (dpa-AFX) - Das Kabinett hat neue Vorgaben für Komponenten in kritischen Infrastrukturen wie dem neuen superschnellen 5G-Netz beschlossen. Hersteller sollen demnach eine Erklärung zu ihrer Vertrauenswürdigkeit abgeben, das Bundesinnenministerium soll den Einsatz untersagen können. Um die Regelung gab es auch mit Blick auf eine mögliche Beteiligung des chinesischen Anbieters Huawei lange Diskussionen. Der Bundestag muss dem Gesetzentwurf noch zustimmen.

Kritische Infrastrukturen sind Systeme mit besonderer Bedeutung für das Gemeinwesen, deren Ausfall dramatische Folgen hätte. Dazu gehören zum Beispiel die Wasser- und Energieversorgung, aber auch Telekommunikationsnetze oder das Gesundheitswesen.

Hersteller von Komponenten sollen künftig eine Erklärung abgeben. Dazu heißt es im Gesetzentwurf: "Aus der Garantieerklärung muss unter anderem hervorgehen, ob und wie der Hersteller hinreichend sicherstellen kann, dass die kritische Komponente über keine technischen Eigenschaften verfügt, die geeignet sind, missbräuchlich, insbesondere zum Zwecke von Sabotage, Spionage oder Terrorismus auf die Sicherheit, Integrität, Verfügbarkeit oder Funktionsfähigkeit der Kritischen Infrastruktur einwirken zu können."

Die Mindestanforderungen dafür soll das Bundesinnenministerium festlegen. Wenn ein Hersteller sich als nicht vertrauenswürdig erweist - etwa weil er bekannte Schwachstellen nicht an den Betreiber meldet - kann der Betrieb untersagt werden. "Bei wiederholter Feststellung nicht vorliegender Vertrauenswürdigkeit" kann das Bundesinnenministerium im Einvernehmen mit betroffenen anderen Ministerien den Einsatz aller kritischen Komponenten des Herstellers untersagen.

Kritiker halten den chinesischen Technologie-Konzern Huawei für ein Sicherheitsrisiko. Sie befürchten Spionage oder Sabotage. Das Unternehmen hat solche Vorwürfe zurückgewiesen.

Der Entwurf sieht auch eine Pflicht zur Erkennung von Angriffen für die Betreiber kritischer Infrastrukturen vor sowie die Einführung eines einheitlichen IT-Sicherheitskennzeichens für Produkte, das das Bundesamt für Sicherheit in der Informationstechnik (BSI) vergeben soll./hrz/DP/eas