Senegals KRITIS-Gesetz: Betreiber müssen Cybervorfälle binnen 24 Stunden melden

Senegal verschärft die regulatorischen Rahmenbedingungen für die nationale IT-Sicherheit deutlich. Mit der Verabschiedung eines neuen Gesetzes zum Schutz kritischer Informationsinfrastrukturen vollzieht das Land den Übergang von unverbindlichen Empfehlungen hin zu rechtlich bindenden Pflichten.

Wie Oberst Aly Mime von der Generaldirektion für Chiffre und Systemsicherheit darlegte, reagiert der Staat damit auf wachsende Risiken für essenzielle digitale Systeme.

Verbindliche Vorgaben und Fristen für Betreiber

Das verabschiedete Regelwerk legt Organisationen und Unternehmen konkrete organisatorische und technische Maßnahmen auf. Betroffene Stellen müssen künftig verbindlich eine eigene Sicherheitspolitik definieren, einen Sicherheitsbeauftragten benennen sowie detaillierte Pläne für die Betriebskontinuität und den Wiederanlauf nach Störfällen vorhalten.

Zudem schreibt das Gesetz regelmäßige Sicherheitsaudits vor. Bei erheblichen Cyberangriffen greift eine Meldepflicht; im Falle von Datenverstößen müssen betroffene Personen informiert werden.

Die globalen Anforderungen an die IT-Sicherheit steigen kontinuierlich an – wer sich proaktiv schützen möchte, sollte die aktuellen Bedrohungslagen und gesetzlichen Pflichten genau kennen. Dieser kostenlose Report klärt auf, welche Maßnahmen Unternehmer jetzt umsetzen müssen, um ihre digitale Infrastruktur langfristig abzusichern. Gratis-E-Book zur Cyber Security jetzt herunterladen

Für Einrichtungen, die als kritische Infrastruktur eingestuft sind, gelten strikte Umsetzungsfristen. Betreiber müssen binnen fünf Monaten ein Cybersicherheitsprogramm etablieren und innerhalb eines Jahres eine permanente Überwachung ihrer Systeme gewährleisten.

Interne Audits sind künftig jährlich durchzuführen, während externe Überprüfungen alle drei Jahre anstehen. Tritt ein Sicherheitsvorfall auf, muss die Meldung innerhalb von 24 Stunden erfolgen.

Bestimmte Bereiche stuft die Regelung unmittelbar als kritische Sektoren ein. Dazu zählen die Landesverteidigung, die öffentliche Sicherheit, das Justizwesen, der Strafvollzug sowie der Zoll. In weiteren Schlüsselbereichen obliegt die Identifikation den jeweiligen Fachbehörden. Dies betrifft die Sektoren Wasser, Strom, Telekommunikation, Gesundheit, das Personenstandswesen sowie Finanzdienstleistungen.

Weltweiter Trend zu verbindlicher KRITIS-Regulierung

Die senegalesische Gesetzgebung fügt sich in eine Reihe globaler Initiativen ein, die Betreiber kritischer Infrastrukturen stärker in die Pflicht nehmen.

In den Niederlanden verabschiedete der Senat die Cyberbeveiligingswet und die Wet weerbaarheid kritieke entiteiten, um europäische Cybersicherheits- und Resilienzregeln in nationales Recht zu überführen. Wesentliche Sektoren stehen dort vor verschärften Anforderungen an das Risikomanagement, Meldepflichten und die Resilienz, deren Durchsetzung Mitte August beginnt.

Angesichts immer komplexerer Vorschriften im Bereich der IT-Sicherheit und Compliance ist ein strukturierter Überblick über neue Regulierungen unerlässlich. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne hohe Investitionen erfüllen können. Kostenloses E-Book für IT-Sicherheit sichern

In Singapur trat am 30. Oktober 2026 die Regelung S 791/2026 in Kraft. Designierte Einrichtungen mit sensiblen Systemen müssen Vorfälle wie Hacking, Schadcode, Session-Hijacking oder Denial-of-Service binnen 24 Stunden zunächst telefonisch beim Commissioner melden, gefolgt von einer schriftlichen Ergänzung innerhalb von 72 Stunden und einem Abschlussbericht nach 30 Tagen.

In Japan traten am 1. Oktober 2026 Kernbestimmungen einer neuen Cybersicherheitsgesetzgebung in Kraft, die staatliche Zugriffs- und Neutralisierungsbefugnisse gegen Angriffsinfrastrukturen regelt. Am 26. Oktober 2026 tagte erstmals der ressortübergreifende Cybersicherheitsrat unter Leitung des Premierministers, um unter anderem die Bedrohungsüberwachung in Lieferketten und den KI-Einsatz zur Schwachstellenerkennung voranzutreiben.

In Deutschland beschloss der Bundestag am 15. Oktober 2026 das Durchführungsgesetz zur EU-Cyberresilienz-Verordnung, das als Drucksache 621/26 beim Bundesrat liegt und dessen zweiter Durchgang am 20. November endet.

Die Bundesverwaltung plant hierfür jährlich 20,5 Millionen Euro Erfüllungsaufwand ein, während das Bundesamt für Sicherheit in der Informationstechnik bis 2029 um 141 Stellen aufgestockt werden soll. Auf europäischer Ebene müssen Hersteller zudem seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen binnen 24 Stunden als Frühwarnung melden.