„Sicherheit der Verwaltungen weiter erhöhen“

Dabei hat er auch den Nutzen des beschlossenen Gesetzes für die hessischen Kommunen herausgestellt.

„Das Hessische IT-Sicherheitsgesetz ist ein wichtiger Meilenstein zur weiteren Erhöhung der Widerstandsfähigkeit der hessischen Verwaltung gegen Cyberbedrohungen. Mit dem HITSiG definieren wir Mindeststandards der Informationssicherheit für öffentliche Stellen in Hessen. Außerdem schaffen wir eine Grundlage, um in den Landesnetzen erweiterte IT-Sicherheitsmaßnahmen zu ergreifen und die Abwehr von Cybergefahren für die Landesverwaltung erheblich zu verbessern. Wichtig ist, dass unsere 442 hessischen Kommunen von dem neuen Gesetz ganz konkret profitieren. Sie erhalten eine Rechtsgrundlage, um ihre IT-Sicherheit eigenständig zu erhöhen und bekommen auf Basis des Gesetzes Zugang zu den Unterstützungsangeboten des Hessen CyberCompetenceCenter. Hessen geht mit seinem IT-Sicherheitsgesetz und dem flankierenden Angebot des Hessen3C zielgerichtet voran, um die Sicherheit der Verwaltungen in Hessen vor Cyberangriffen weiter zu erhöhen“, so Hessens Innenminister Peter Beuth.

Ganzheitliche Cybersicherheit: Prävention, Information, Abwehr

Mit dem Hessischen IT-Sicherheitsgesetz werden für das 2019 gegründete Hessen CyberCompetenceCenter (Hessen3C) Rechtsgrundlagen geschaffen, die zum effektiven Schutz der Informationstechnik der Verwaltung vor Cyberangriffen erforderlich sind. Der Aufgabenbereich des Hessen3C reicht damit künftig von der Prävention über die Information bis hin zur Abwehr von konkreten Cyberbedrohungen. Durch Lageanalyse und Beratung sowie Sammlung und Auswertung von Informationen zu Sicherheitsrisiken soll Schwachstellen und Schadprogrammen frühzeitig präventiv begegnet werden. Ebenso sieht das Gesetz die Information und Warnung von Behörden sowie der Öffentlichkeit und das Bereitstellen von Empfehlungen vor. Schließlich wird die Abwehr von konkreten Gefahren, wie die Beendigung eines Angriffs bzw. einer Bedrohung durch Netztrennung oder auch Entfernung einer Schadsoftware, gesetzlich normiert. Unter Gefahrenabwehr fällt im IT-Bereich auch bereits die Blockierung potentiell schädlichen Datenverkehrs durch entsprechende Einstellungen an eigenen Sicherungssystemen wie Firewall oder zentralem Virenschutz. Das Gesetz definiert auch grundsätzliche Anforderungen an die IT-Sicherheit öffentlicher Stellen in Hessen und gestaltet das umfangreiche Beratungs- und Unterstützungsangebot des Hessen3C rechtssicher aus.

Hessen3C und CISO künftig erheblich gestärkt

Integriert in das mit dem Gesetz künftig in seinen Kompetenzen erheblich gestärkte Hessen3C ist das bestehende Computer-Notfallteam (CERT – Computer Emergency Response Team) des Landes mit seiner mobilen Notfalleinheit (MIRT – Mobile Incident Response Team). Es unterstützt alle öffentlichen Stellen in Hessen bei der Bearbeitung eines IT-Sicherheitsvorfalls und der Wiederherstellung ihrer IT-Systeme.

Mit dem HITSiG werden ebenfalls die Kompetenzen des zentralen Informationssicherheitsbeauftragten der Landesverwaltung (CISO – Chief Information Security Officer) gestärkt und Rechtsgrundlagen für eine Erhöhung der Informationssicherheit im kommunalen Bereich geschaffen. So erhält der CISO umfassende Informationsrechte und koordiniert die IT-Sicherheitsmaßnahmen in der Landesverwaltung sowie in schwerwiegenden Sicherheitsvorfällen das IT-Krisenmanagement.

Kommunen erhalten eine Rechtsgrundlage, auf der sie die Auswertung des Datenverkehrs ihrer Netze vornehmen können. Außerdem können sich die Kommunen an dem vorgegebenen Informationssicherheits-Mindeststandard, der für die Landesverwaltung verpflichtend ist, freiwillig orientieren. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit war in die Erarbeitung des Gesetzentwurfes eng eingebunden.

„Mit dem HITSiG haben wir Hessen3C erheblich gestärkt und eine zeitgemäße Grundlage geschaffen, die es angesichts der vorherrschenden Cyberbedrohungslage braucht, um unsere hessischen Verwaltungen noch besser gegen Cyberangriffe schützen zu können. Da es keine absolute Sicherheit geben kann, liegt unser Fokus auf der Erhöhung der Widerstandsfähigkeit gegen Cyberbedrohungen, die wir auch künftig gemeinsam mit allen relevanten Akteuren weiter erhöhen werden“, fasste Innenminister Peter Beuth zusammen.

Hessen: Gut aufgestellt im Bereich Cybersicherheit

Hessen3C bündelt relevante Informationen hessischer Polizeibehörden, des Landesamtes für Verfassungsschutz Hessen, des bundesweiten Verwaltungs-CERT-Verbundes und des Nationalen Cyber-Abwehrzentrums, um die Verwaltung von Land und Kommunen, aber auch kleine und mittlere Unternehmen sowie ansässige Kritische Infrastrukturen (KRITIS) bei der Stärkung ihrer Cybersicherheit zu unterstützen. Das Angebot des Hessen3C umfasst eine rund um die Uhr erreichbare Notfallhotline, einen Warn- und Informationsdienst sowie den sogenannten Hessen Leak-Checker, der bei der Prüfung dienstlicher E-Mail-Adressen auf Sicherheitslücken behilflich ist.

Kommunen steht zudem zur unmittelbaren Erhöhung der IT- und Informationssicherheit ein breites Unterstützungsangebot des vom Hessischen Innenministerium finanzierten Kommunalen Dienstleistungszentrums Cybersicherheit (KDLZ-CS) bei der ekom21 zur Verfügung. Mit dem ebenfalls in Kooperation mit der ekom21 realisierten Ausbildungsangebot des Hessischen Cyberabwehrausbildungszentrums Land/Kommunen (HECAAZ L/K) im Bereich des betrieblichen Kontinuitätsmanagements (BCM) erweiterte das Hessische Innenministerium im Mai 2022 seine Unterstützung für Kommunen.

Gegenwärtig erarbeitet das Hessen3C für Kommunen ein „Mobiles Soforthilfe-Paket Kommunikation“ und eine Checkliste als Hilfestellung, um die Arbeitsfähigkeit der Betroffenen eines Cyberangriffs schnell wiederherstellen zu können. Die beiden Vorhaben sind Teil eines neuen Aktionsprogramms zur weiteren Stärkung der Widerstandsfähigkeit kommunaler IT-Systeme.