Constanze Oehlrich

Sehr geehrte Frau Präsidentin! Sehr geehrte Kolleg/-innen! Das Ziel dieses Gesetzentwurfs, den wir gerade beraten, ist genau das Richtige: Dieses Land braucht Regelungen, die die Strukturen für Informationssicherheit neu ordnen und stärken. Aber dieser Entwurf kommt spät, sehr spät. Andere Bundesländer haben sich schon vor Jahren systematisch neu aufgestellt. Währenddessen mussten viele Kommunen bei uns hier im Land mit sehr begrenzten Ressourcen ihre IT selbst schützen. Nehmen wir kleinere Städte wie Teterow oder Malchin, dort gibt es häufig kein großes IT-Team, sondern nur eine Vollzeitstelle für die komplette IT. Gleichzeitig steigen die Anforderungen immer weiter: Informationssicherheitsmanagementsysteme, Meldepflichten, Dokumentationspflichten, Audits. Genau hier liegt eine der zentralen Schwächen dieses Gesetzentwurfs. Das uns vorliegende Informationssicherheitsgesetz formuliert neue Anforderungen, die ohne eine entsprechende finanzielle und personelle Untersetzung schlicht nicht erfüllbar sind. Die AG KRITIS hat es in der öffentlichen Anhörung zu dem Gesetzentwurf auf den Punkt gebracht, ich zitiere: „Das gravierendste Versäumnis liegt in der völlig unzureichenden Regelung der Finanzierung.“ Zitatende. Das führt zu der einfachen Frage: Wer zahlt am Ende für das geplante Mehr an Sicherheit? Wenn wir ehrlich sind, wissen wir alle, kleine Kommunen können die ihnen zufallenden Aufgaben nicht alleine stemmen. Der Fachkräftemangel im IT-Sicherheitsbereich ist massiv, und der öffentliche Dienst konkurriert mit Gehältern, die in der Privatwirtschaft oft deutlich höher sind. Einen Ausweg bietet in der Tat der Ansatz der Zentralisierung. Ein landesweites CERT, klare Zuständigkeiten und ein zentral betriebenes Security Operations Center – ja, sie können helfen, Angriffe schneller zu erkennen und abzuwehren. Ein 24/7-Betrieb der geforderten SOCs ist fachlich richtig, aber für die meisten Kommunen nicht darstellbar. Ein zweiter Punkt betrifft die Struktur der Sicherheitsorganisation selbst. Der Gesetzentwurf sieht einen Chief Information Security Officer für das Land vor, ein wichtiger Schritt, aber gleichzeitig wird diese Rolle organisatorisch unter ein und derselben Struktur angesiedelt wie der IT-Betrieb. Damit entsteht ein möglicher Interessenskonflikt. Die Person, die IT-Entscheidungen kritisch prüfen soll, wird von der Leitung des IT-Betriebs ernannt. Wenn wir Informationssicherheit ernst nehmen, dann müssen Kontrollfunktionen unabhängig ausgestaltet sein. Und schließlich gibt es noch einen Aspekt, der mir als GRÜNE besonders wichtig ist: die Grund- und Freiheitsrechte. Informationssicherheit darf nicht zum Einfallstor für übermäßige Überwachung führen. Wenn beispielsweise die Auswertung von Kommunikationsprotokollen mit allen Inhalten, wie es im Gesetzentwurf heißt, vorgesehen wird, müssen wir sehr genau hinschauen. Sicherheit und Freiheit dürfen nicht gegeneinander ausgespielt werden. Dieser Gesetzentwurf setzt wichtige Grundpfeiler. Aber damit dieses Gesetz wirklich wirkt, braucht es dreierlei: erstens eine ehrliche Finanzierung und Unterstützung für die Kommunen, zweitens eine klare Strategie und den Mut, diese auch umzusetzen, und drittens Sicherheitsmaßnahmen, die sowohl effektiv als auch grundrechtskonform sind. Denn am Ende geht es um mehr als Technik, es geht um das Vertrauen in den digitalen Staat. Und dieses Vertrauen entsteht nur dann, wenn unsere Systeme sicher, transparent und nutzer/-innenfreundlich sind. (Beifall Jutta Wegner, BÜNDNIS 90/DIE GRÜNEN) Das wird durch diesen Gesetzentwurf leider nicht hinreichend gewährleistet. Und auch der Änderungsantrag der CDU wird ihn nicht retten. Wir stimmen dem Änderungsantrag trotzdem zu, weil er wichtige Punkte enthält. Beim Gesetzentwurf werden wir uns enthalten. – Vielen Dank für die Aufmerksamkeit! (Beifall vonseiten der Fraktion BÜNDNIS 90/DIE GRÜNEN)