Von der Regierung für das „erste Halbjahr kommenden Jahres“ angekündigte Ausweitung der Offenlegung zur Informationssicherheit auf 2027 verschoben – geprüft werden 40 von 773 Unternehmen
SEOUL
Die Offenlegungspflicht zur Informationssicherheit für alle börsennotierten Unternehmen, die die Regierung im Oktober vergangenen Jahres nach einer Serie von Hackerangriffen auf Telekommunikationsunternehmen, Finanzfirmen und sogar das Arbeitsnetz der Regierung „ab dem ersten Halbjahr kommenden Jahres einführen“ wollte, tritt erst am 1. Januar 2027 in Kraft. Das Ministerium für Wissenschaft und IKT teilte mit, dass eine entsprechende Änderung der Durchführungsverordnung zum „Gesetz zur Förderung der Informationssicherheitsindustrie“ (Informationssicherheitsindustriegesetz) am 20. das Kabinett passiert habe. Die geänderte Verordnung streicht die Voraussetzung eines „Umsatzes von 300 Milliarden Won oder mehr“ für börsennotierte Unternehmen, verpflichtet damit alle an KOSPI und KOSDAQ notierten Gesellschaften zur Offenlegung und streicht auch die Ausnahmen für öffentliche Einrichtungen, Finanzunternehmen und elektronische Finanzdienstleister. Für Kleinunternehmen unter den börsennotierten Gesellschaften gilt sie jedoch erst ab dem 1. Januar 2029. Der Kreis der Offenlegungspflichtigen wird größer, doch von den 773 Unternehmen, die im vergangenen Jahr offenlegten, prüfte die Regierung nachträglich 40, und das Bußgeld, das gegen Unternehmen verhängt werden kann, die die Prüfung verweigern oder keine korrigierte Offenlegung vornehmen, beträgt höchstens 10 Millionen Won.
Von der Regierung für das „erste Halbjahr kommenden Jahres“ angekündigte Ausweitung tritt erst im Januar 2027 in Kraft
Die Ausweitung der Offenlegung war eine Kernaufgabe des „ressortübergreifenden umfassenden Plans zum Informationsschutz“, den die zuständigen Ministerien am 22. Oktober vergangenen Jahres gemeinsam vorstellten. In den damaligen Unterlagen auf Policy Briefing hieß es, „während der Kreis der zur Offenlegung zur Informationssicherheit verpflichteten Unternehmen auf alle börsennotierten Unternehmen ausgeweitet wird“, werde auf Grundlage der Offenlegungsergebnisse „ein System eingeführt, das das Niveau der Sicherheitskompetenz einstuft und veröffentlicht“. Dieselbe Unterlage stellte den Plan so vor: „Er wurde mit dem Schwerpunkt auf kurzfristigen Aufgaben vorgelegt, die sofort umgesetzt werden können.“ Eine „nationale Cybersicherheitsstrategie“ mit mittel- und langfristigen Aufgaben werde noch im selben Jahr gesondert erarbeitet, und in der Fragerunde des Briefings hieß es, sie werde „bis Dezember“ erstellt und vorgestellt.
Der Zeitpunkt der Umsetzung wurde in der Fragerunde des Briefings direkt genannt. Als ein Journalist fragte: „Ich möchte nur noch einmal nach dem Zeitpunkt fragen, ob die Offenlegungspflicht zur Informationssicherheit für alle börsennotierten Unternehmen gleich ab dem kommenden Jahr gilt“, antwortete die Regierungsseite: „Wir planen, die Offenlegungspflicht zur Informationssicherheit ab dem ersten Halbjahr des kommenden Jahres einzuführen.“ Im Protokoll ist nicht vermerkt, wer diese Antwort gab. Auf dem Podium standen Vizepremier und Minister für Wissenschaft und IKT Bae Kyung-hoon, der Zweite Vizeminister für Wissenschaft und IKT Ryu Je-myung, Shin Jin-chang an der Spitze des Generalsekretariats der Finanzaufsichtskommission, der Generalsekretär der Kommission für den Schutz personenbezogener Daten Lee Jeong-ryeol, Kim Chang-seop an der Spitze des Dritten Vizedirektorats des Nationalen Nachrichtendienstes und Lee Yong-seok an der Spitze des Büros für Innovation der digitalen Regierung im Ministerium für Inneres und Sicherheit.
Die tatsächliche Umsetzung kam später. Das Ministerium erklärte am 9. Januar dieses Jahres bei der Vorab-Bekanntmachung des Verordnungsentwurfs: „Wir werden so vorgehen, dass die Regelung ab den Offenlegungspflichtigen des Jahres 2027 angewandt werden kann.“ Zu diesem Zeitpunkt war der Anwendungszeitpunkt bereits auf 2027 festgelegt. Bei der erneuten Vorab-Bekanntmachung am 11. Mai (Bekanntmachung des Ministeriums für Wissenschaft und IKT Nr. 2026-569) wurden die Übergangsbestimmungen geändert. Neu aufgenommen wurde, dass für Kleinunternehmen nach dem Rahmengesetz für kleine und mittlere Unternehmen das Inkrafttreten mit Rücksicht auf Personal und Geschäftslage um zwei Jahre aufgeschoben wird. In den Unterlagen auf Policy Briefing zur Vorab-Bekanntmachung im Januar hatte es geheißen, die Ausnahmeklausel für Kleinunternehmen werde gestrichen. Die Frist für Stellungnahmen zur erneuten Vorab-Bekanntmachung lief bis zum 22. Juni; dem Verordnungsentwurf waren eine Regulierungsfolgenanalyse und eine Begründung je Artikel beigefügt. Die im vergangenen Oktober als „kurzfristige Aufgabe“ vorgelegte Ausweitung der Offenlegung beginnt damit 2027, und börsennotierte Kleinunternehmen beginnen erst zwei Jahre danach mit der Offenlegung.
Schon die Vorstellung des umfassenden Plans hatte sich verzögert. In der Fragerunde begann ein Vertreter der Regierungsseite mit den Worten: „Zu den Gründen für die Verzögerung von Ende September: Eigentlich haben wir weiterhin mit den fünf Ministerien im Zentrum“, und sagte dann: „Es hat sich zeitlich etwas verzögert.“
Ministerium verweist auf Schließen von Lücken und Recht der Bürger auf Information
Das Ministerium erklärte, mit der Änderung sollten Lücken im Offenlegungssystem geschlossen und das Recht der Bürger auf Information gewährleistet werden; zugleich wolle man Unternehmen dazu bringen, Informationssicherheit nicht als Kosten, sondern als Investition zu verstehen. Vizepremier Bae Kyung-hoon sagte am 20.: „Die Offenlegung zur Informationssicherheit ist ein wichtiges System, das das Recht der Bürger auf Information gewährleistet und Unternehmen zu freiwilligen Investitionen in die Informationssicherheit bewegt.“ Bae sagte: „Ich hoffe, dass sich ein positiver Kreislauf etabliert, in dem Investitionen in die Informationssicherheit weiter zunehmen und das Niveau der Informationssicherheit im ganzen Land steigt.“
Die Änderungen zielen auf die Ausweitung des Kreises der Verpflichteten. Laut der erneuten Vorab-Bekanntmachung werden in Artikel 8 Absatz 1 der Verordnung die Voraussetzung der Benennung und Meldung eines Chief Information Security Officer (CISO) und die Voraussetzung eines Umsatzes von 300 Milliarden Won oder mehr gestrichen und börsennotierte Gesellschaften an KOSPI und KOSDAQ aufgenommen. Laut den Unterlagen des Ministeriums vom 20. sind Special Purpose Acquisition Companies (SPAC) ausgenommen. Zum Ende des Vorjahres nach dem Netzwerkgesetz zur Zertifizierung eines Informationssicherheits-Managementsystems (ISMS) Verpflichtete werden als neue Nummer 4 in denselben Absatz aufgenommen. Artikel 8 Absatz 2 wird gestrichen, womit die Ausschlussbedingungen für öffentliche Einrichtungen, Kleinunternehmen, Finanzunternehmen und elektronische Finanzunternehmen entfallen. Auch die Berechnungsgrundlage für die Nutzerzahl ändert sich vom täglichen Durchschnitt der letzten drei Monate vor Ende des Vorjahres auf den täglichen Durchschnitt des gesamten Vorjahres.
Das Ministerium erklärte, für die neu verpflichteten Unternehmen „Leitlinien zur Offenlegung zur Informationssicherheit“ unter Berücksichtigung der Änderungen herauszugeben und Beratung anzubieten. Parallel werde es ständige Online-Beratung und Schulungen sowie Schulungen vor Ort in den Regionen geben. In der Begründung der erneuten Vorab-Bekanntmachung heißt es, man wolle die durch jüngste Hackerangriffe gewachsene Verunsicherung der Bürger überwinden und die nationale Kompetenz bei der Informationssicherheit erhöhen. Das Ministerium fasste in der Pressemitteilung vom 9. Januar den Kern der Änderung als „Streichung des Umsatzkriteriums für börsennotierte Unternehmen, Einbeziehung ISMS-zertifizierter Unternehmen und Abschaffung der Ausnahmeklauseln“ und den Zweck als „Förderung freiwilliger Sicherheitsinvestitionen von Unternehmen und Stärkung des Rechts der Bürger auf Information“ zusammen. Am selben Tag sagte Choi Woo-hyuk, an der Spitze des Büros für Netzpolitik im Ministerium: „Mit dieser Verbesserung des Systems können wir den Stand der Informationssicherheit bei mehr Unternehmen als bisher überprüfen.“
Auch KT, bei der Notfallprüfung „keine Auffälligkeiten“, stand zwei Monate später beim Maßnahmen-Briefing zur Debatte
Die Diskussion über eine Ausweitung der Offenlegung nahm erst nach großen Vorfällen Fahrt auf. Ein Vertreter des Ministeriums erklärte am 11. August vergangenen Jahres in Unterlagen auf Policy Briefing: „Als Ergebnis von Notfall-Vor-Ort-Prüfungen, die anlässlich des Sicherheitsvorfalls bei SKT bis zu dieser Woche bei anderen Telekommunikationsunternehmen wie KT und LGU+ sowie bei großen Plattformunternehmen wie Naver, Kakao, Coupang und Woowa Brothers durchgeführt wurden, wurden keine Auffälligkeiten festgestellt.“
Beim Briefing zum umfassenden Plan gut zwei Monate später wurde ein Vorfall bei KT, einem der damals geprüften Unternehmen, zum Gegenstand von Fragen. Ein Journalist fragte: „Soweit ich weiß, ist auch das zuletzt problematische KT-Femtozellen-Problem letztlich entstanden, weil KT nicht alle Geräte entsorgen konnte.“ Vizeminister Ryu Je-myung antwortete zu den Femtozellen: „Ein Punkt ist, das Einsammeln, das Problem des Einsammelns ist nicht einfach.“ Ryu sagte außerdem: „Im Zusammenhang mit dem KT-Vorfall wollen wir jetzt abschaffen, dass Kleinzahlungen nur mit SMS- oder ARS-Authentifizierung möglich sind.“ In derselben Fragerunde kam auch der Vorfall bei Lotte Card zur Sprache.
Das Rezept der Regierung waren mehr Prüfungen und mehr Offenlegung. In den Unterlagen auf Policy Briefing hieß es: „Um die verbreitete Verunsicherung über Hackerangriffe zu beseitigen, wird sofort eine umfassende Prüfung der Sicherheitslücken bei rund 1.600 IT-Systemen vorangetrieben, die von der Mehrheit der Bürger genutzt werden, etwa im öffentlichen Sektor, im Finanzwesen und in der Telekommunikation.“ Shin Jin-chang erklärte, die Prüfung von 260 Systemen im Finanzsektor darunter bis Ende des Monats abzuschließen. Die Ausweitung der Offenlegungspflicht war Teil dieses Maßnahmenpakets, doch die Durchführungsverordnung als Rechtsgrundlage passierte erst am 20. dieses Monats, fast ein Jahr nach dem Briefing, das Kabinett.
Dasselbe Paket enthielt mehrere Aufgaben, die auf Unternehmen mit Sicherheitsvorfällen zielten. Die Regierung erklärte, sie werde „die Untersuchungsbefugnisse der Regierung ausweiten, damit sie bei Hinweisen auf Hackerangriffe auch ohne Meldung rasch vor Ort ermitteln kann“. Die ISMS- und ISMS-P-Zertifizierungsprüfungen sollten auf Vor-Ort-Prüfungen umgestellt und Zertifizierungen bei schwerwiegenden Mängeln entzogen werden. Ebenfalls enthalten war die Absicht, bei Hackerangriffen infolge von Sicherheitsnachlässigkeit von Unternehmen die Beweislast der Verbraucher zu verringern und die Einrichtung eines Fonds zu prüfen, der Bußgeldeinnahmen aus Datenlecks unter anderem für die Unterstützung von Geschädigten verwendet. Auch die Stärkung der CEO-Verantwortung und der Rolle des CISO wurde als Aufgabe genannt. Beim Briefing wurden unter den rund 1.600 zu prüfenden Systemen 900 wichtige Unternehmen und 260 Finanzinstitute erwähnt, und ein Journalist stellte eine Frage unter Verweis auf die Zahl von 228 Infrastruktureinrichtungen öffentlicher Stellen.