Informationssicherheit und IT-Sicherheit

Was sind Informationssicherheit und IT-Sicherheit?

Informationssicherheit schützt Informationen unabhängig vom Medium; IT-Sicherheit konzentriert sich fachlich auf Risiken beim Einsatz von Informationstechnik.

Technische Einordnung: Informationssicherheit kann daher auch Informationen auf Papier oder in den Köpfen von Menschen erfassen. Das BSI ordnet IT-Sicherheit fachlich als Unterdisziplin ein, die Risiken durch Bedrohungen und Schwachstellen beim Einsatz von Informationstechnik und deren angemessene Reduzierung betrifft. Vertraulichkeit, Integrität und Verfügbarkeit sind zentrale gemeinsame Schutzziele. Diese fachliche BSI-Einordnung ist autoritativ, aber keine allgemeine Legaldefinition von „IT-Sicherheit“.

Der Normwortlaut

Im Sinne dieses Gesetzes ist oder sind … 17. „Informationssicherheit“ der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen; … 39. „Sicherheit in der Informationstechnik“ die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen a) in informationstechnischen Systemen, Komponenten oder Prozessen oder b) bei der Anwendung informationstechnischer Systeme, Komponenten oder Prozesse;

Quelle und Geltungsgrenze: § 2 Nummern 17 und 39 BSIG. Der einleitende Vorbehalt „Im Sinne dieses Gesetzes“ begrenzt beide Definitionen auf das BSIG. Der gesetzliche Begriff „Sicherheit in der Informationstechnik“ ist deshalb kein allgemeingültiges Synonym für jeden fachlichen Gebrauch von „IT-Sicherheit“.

Wie unterscheiden sich die Schutzgegenstände?

Informationssicherheit setzt beim Schutz der Information selbst an, unabhängig von Speicher- oder Verarbeitungsmedium. IT-Sicherheit betrachtet demgegenüber die Risiken beim Einsatz von Informationstechnik. Daraus folgt weder eine in jedem Kontext zwingende Hierarchie noch eine vollständige Synonymität.

Für wen gelten die Begriffe und die damit verbundenen Pflichten?

Die Fachbegriffe haben keinen einheitlichen gesetzlichen Adressatenkreis. Die besonderen Risikomanagementpflichten des § 30 BSIG treffen dagegen nur besonders wichtige und wichtige Einrichtungen, deren Einordnung sich nach § 28 BSIG sowie den dort einbezogenen Einrichtungsarten und Größenmerkmalen richtet.

Rechtliche Einordnung: § 30 BSIG erfasst die informationstechnischen Systeme, Komponenten und Prozesse, welche die Einrichtung für ihre Dienste nutzt. Sonderregelungen, insbesondere für die Bundesverwaltung, sind keine allgemeine Ausnahme von der Bedeutung der Fachbegriffe.

Wann löst das BSIG konkrete Maßnahmen aus?

Erst wenn § 30 BSIG auf eine besonders wichtige oder wichtige Einrichtung anwendbar ist, muss diese geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und die Einhaltung der Verpflichtung dokumentieren.

Normgebundene Pflicht: Die Maßnahmen sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der für die Dienste genutzten IT vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering halten. Bei der Verhältnismäßigkeit sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.

Welche Vorrangregeln und Grenzen gelten?

Allgemeine Begriffsausnahmen bestehen nicht. Innerhalb des § 30 BSIG begrenzen jedoch spezielle unionsrechtliche Vorrangregeln die konkreten Anforderungen.

Rechtliche Grenze: Für die in § 30 Absatz 3 BSIG abschließend aufgezählten digitalen Dienste und Vertrauensdienste ist der einschlägige Durchführungsrechtsakt der Europäischen Kommission nach Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie hinsichtlich der technischen und methodischen Anforderungen an die Maßnahmen nach § 30 Absatz 2 BSIG vorrangig anzuwenden. Weitere Durchführungsrechtsakte nach Artikel 21 Absatz 5 Unterabsatz 2 gehen § 30 Absatz 2 BSIG nur vor, soweit die Anforderungen einander entgegenstehen. Diese Regeln verändern nicht die fachliche Bedeutung von Informationssicherheit oder IT-Sicherheit.

Gibt es allgemeine Fristen oder Schwellenwerte?

Nein. Für Informationssicherheit und IT-Sicherheit als Begriffe bestehen weder eine allgemeine Frist noch ein allgemeiner Schwellenwert. Beides ergibt sich erst aus einem konkret anwendbaren Pflichtenregime.

§ 28 BSIG verwendet je nach Einrichtungsart insbesondere Beschäftigten-, Umsatz- und Bilanzsummenmerkmale. Daraus darf keine allgemeine Schwelle für Informations- oder IT-Sicherheit abgeleitet werden; sektorale und einrichtungsbezogene Vorgaben bleiben möglich.

Welche Pflichten hat die Geschäftsleitung nach dem BSIG?

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Die Schulungen sollen die zur Erkennung und Bewertung von Risiken, Risikomanagementpraktiken und deren Auswirkungen auf die erbrachten Dienste erforderlichen Kenntnisse und Fähigkeiten vermitteln. § 38 Absatz 3 BSIG nennt für diese Schulungen keinen festen Zeitabstand.

Adressaten und Grenzen: Voraussetzung sind die Einordnung der Einrichtung und die Geschäftsleitungseigenschaft nach § 2 Nummer 13 BSIG. Geschäftsleitung ist danach eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Geschäftsführung und Vertretung berufen ist; Leitungen von Einrichtungen der Bundesverwaltung nach § 29 BSIG sind ausgenommen. Außerhalb dieses Adressatenkreises folgt aus § 38 keine entsprechende Pflicht. Bei Haftungsfragen haben nach § 38 Absatz 2 die anwendbaren gesellschaftsrechtlichen Regeln Vorrang; eine Haftung nach dem BSIG besteht nur, wenn diese keine entsprechende Haftungsregel enthalten.

Häufige Fehlannahmen

Vier verbreitete Verkürzungen führen zu falschen Schlussfolgerungen:

• „Beide Begriffe sind immer synonym.“ Nein. Der Schutzgegenstand und der jeweilige Kontext unterscheiden sich; die BSIG-Definitionen gelten nur im Sinne dieses Gesetzes.
• „IT-Sicherheit ist überall zwingend hierarchisch der Informationssicherheit untergeordnet.“ Nein. Das BSI nimmt diese fachliche Einordnung vor, daraus folgt aber keine für sämtliche Kontexte verbindliche Hierarchie.
• „§ 30 BSIG verpflichtet jede Organisation.“ Nein. Die Pflicht setzt die Einordnung als besonders wichtige oder wichtige Einrichtung nach § 28 BSIG voraus.
• „Für IT-Sicherheit gilt eine allgemeine Frist oder Unternehmensgröße.“ Nein. Fristen und Schwellen stammen aus konkreten Pflichtenregimen, nicht aus dem Begriff selbst.
• „Unionsrechtliche Vorrangregeln schaffen allgemeine Begriffsausnahmen.“ Nein. § 30 Absätze 3 und 4 BSIG begrenzen bestimmte Anforderungen für erfasste Dienste und nur unter den dort genannten Bedingungen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte unterstützen eine trennscharfe Steuerung; sie sind nicht pauschal als gesetzliche Pflichten für jede Organisation zu verstehen.

1. Informationsbestände und IT-gestützte Prozesse getrennt erfassen, damit auch Papierunterlagen, Wissen und andere nichttechnische Informationsträger berücksichtigt werden.
2. Prüfen und nachvollziehbar festhalten, ob die Einrichtung anhand der Einrichtungsarten und Größenmerkmale des § 28 BSIG als besonders wichtig oder wichtig einzuordnen ist.
3. Bei Anwendbarkeit des § 30 BSIG geeignete, verhältnismäßige und wirksame Maßnahmen umsetzen und deren Einhaltung dokumentieren; die gesetzlich genannten Risiko- und Kostenfaktoren ausdrücklich einbeziehen.
4. Prüfen, ob für eigene Dienste ein Durchführungsrechtsakt nach § 30 Absätze 3 oder 4 BSIG vorrangige oder entgegenstehende Anforderungen enthält.
5. Für erfasste Geschäftsleitungen Umsetzung und Überwachung organisatorisch zuweisen sowie regelmäßige Schulungen zur Erkennung und Bewertung von Risiken, Risikomanagementpraktiken und deren Auswirkungen auf die erbrachten Dienste planen, ohne einen gesetzlich nicht genannten festen Zeitabstand zu behaupten.

Für die Geschäftsleitung

Die Reichweite der Informationssicherheit sollte anhand sämtlicher Informationsträger bestimmt werden. In der fachlichen Einordnung des BSI richtet IT-Sicherheit den Blick auf Risiken beim Einsatz von Informationstechnik; daraus folgt keine für jeden Kontext zwingende Hierarchie. Ob daraus BSIG-Pflichten entstehen, entscheidet erst die Einordnung nach § 28 und die Anwendbarkeit der §§ 30 und 38 BSIG. Entscheidungen, Verhältnismäßigkeit, umgesetzte Maßnahmen, Überwachung und gegebenenfalls Schulungen sollten so dokumentiert werden, dass Umfang, Verantwortlichkeit und gesetzliche Grundlage nachvollziehbar bleiben.

Quellen

• § 2 BSIG – Begriffsbestimmungen, insbesondere Nummern 13, 17 und 39
• § 28 BSIG – besonders wichtige und wichtige Einrichtungen
• § 30 BSIG – Risikomanagementmaßnahmen sowie Vorrangregeln
• § 38 BSIG – Pflichten der Geschäftsleitungen
• BSI TR-03184-1 – Begriffstabelle zu Informationssicherheit und IT-Sicherheit