Deutsches Gesetz zur NIS2-Richtlinie verabschiedet Das Warten auf NIS 2 hat (fast) ein Ende

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die Bundesregierung hat eine umfassende Änderung des IT-Sicher­heits­rechts beschlossen. Damit geht der Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) in den Bundestag. Höchste Zeit, sich mit den neuen Vorgaben zur Cybersecurity genau zu befassen, wenn man davon betroffen ist. Doch wer fällt unter NIS2? Das BSI bietet einen Selbst-Check an.

Kaum ein Thema findet sich gegenwärtig so häufig auf der Agenda aktueller Security-Konferenzen und füllt so viele Schlagzeilen in der IT-Sicherheitsberichterstattung wie die neue Cybersicherheitsrichtlinie NIS2. Doch bisher mussten alle Vorträge und Berichte damit schließen, dass die deutsche Umsetzung von NIS2 noch aussteht, also die genauen Vorgaben für betroffene Unternehmen und Einrichtungen nicht umfassend bekannt sind.

Da NIS2 eine EU-Richtlinie ist, muss sie zuerst in nationales Recht umgesetzt werden, bevor sie zur Anwendung kommen kann. Im Gegensatz dazu ist zum Beispiel die Datenschutz-Grundverordnung (DSGVO) eine EU-Verordnung und gilt deshalb unmittelbar.

Nun aber hat das Bundeskabinett den von Bundesinnenministerin Nancy Faeser vorgelegten Entwurf für ein Gesetz zur Stärkung der Cybersicherheit beschlossen. Damit wird die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS2) im deutschen Recht umgesetzt.

Der Gesetzesentwurf muss aber nun noch in den Bundestag. Dazu erklärt Bitkom-Präsident Dr. Ralf Wintergerst: „In dem anstehenden parlamentarischen Verfahren müssen noch wichtige Details angepasst werden. So fehlt es an einer Harmonisierung mit dem KRITIS-Dachgesetz, dessen Umsetzungsprozess zurzeit ebenfalls stockt“. Der Präsident des Bitkom-Verbandes nennt konkreten Bedarf an Änderungen: „Physische Sicherheit und Cybersicherheit müssen gemeinsam betrachtet und angegangen werden, dabei sollten Unternehmen sich an einheitlichen Begriffsdefinitionen und Meldewegen orientieren können. Auch fehlt es an einzelnen Stellen an notwendigen Klarstellungen. So sollte bei der vorgesehenen Prüfung von Produkten und Systemen durch das Bundesamt für Sicherheit in der Informationstechnik auch das Interesse der Hersteller an der Geheimhaltung von sensiblen Geschäftsgeheimnissen sichergestellt werden.“

Noch bestehen Unsicherheiten bei den konkreten NIS2-Anforderungen

In Deutschland fehle den Unternehmen durch Verzögerungen in der Ressortabstimmung zum Gesetzentwurf die dringend notwendige Rechtssicherheit, so Bitkom. Jetzt schon sei klar, dass die vorgesehene Umsetzungsfrist im Oktober nicht mehr eingehalten werden könne. Umso wichtiger sei es, das Gesetz zügig umzusetzen und ein Inkrafttreten zumindest bis Anfang 2025 sicherzustellen, wie der Digitalverband betont.

Insbesondere kleine und mittelständische Unternehmen bräuchten außerdem Unterstützung, um festzustellen, ob und wie sie von dem Gesetz betroffen sind und welche Maßnahmen sie ergreifen müssen, meint Bitkom. Auch eco Verband der Internetwirtschaft e.V. warnt, dass viele Unternehmen bislang nicht ausreichend vorbereitet sind und fordert eine Verlängerung der Umsetzungsfristen.

Dazu sagt eco Vorstand Klaus Landefeld: „Die Bundesregierung wäre gut beraten, sich bei der nationalen Umsetzung der NIS2-Richtlinie stärker an die europäischen Vorgaben zu halten. Das Risiko, dass der Regulierungsrahmen auseinanderfällt und für Deutschland andere Regeln gelten als für Europa, ist groß. Insbesondere die Einstufung als ‚Betreiber kritischer Anlagen‘ schafft Unsicherheit für international tätige Unternehmen, die in den einzelnen EU-Mitgliedstaaten unterschiedliche Regeln befolgen müssten.“

Die kurze Umsetzungsfrist bereitet eco ebenfalls Sorgen. „Viele Unternehmen wissen noch nicht, dass sie im Anwendungsbereich der Richtlinie und der daraus folgenden Gesetzgebung in Deutschland liegen. Sie haben sich noch nicht auf die künftigen Anforderungen der NIS2-Richtlinie vorbereitet und scheitern teilweise schon daran, ihre eigene Betroffenheit zu ermitteln.“, so Landefeld.

Doch hier bietet nun das BSI (Bundesamt für Sicherheit in der Informationstechnik) eine Unterstützung an. BSI-Präsidentin Claudia Plattner erklärte: „Künftig werden rund 29.500 Unternehmen zur Umsetzung von Cybersicherheitsmaßnahmen verpflichtet sein. Sie gewährleisten die Versorgungssicherheit der Bevölkerung und bilden das Rückgrat der Cybernation Deutschland. Daher wird das BSI sie dabei bestmöglich unterstützen und die Umsetzung der gesetzlichen Vorgaben so reibungslos wie möglich gestalten."

Die Prüfung der eigenen Betroffenheit steht an

Um potenziell von neuen gesetzlichen Pflichten betroffene Unternehmen schon während des laufenden Gesetzgebungsverfahrens zu informieren, hat das BSI nun Unterstützungsangebote veröffentlicht: Eine vom BSI Online zur Verfügung gestellte Betroffenheitsprüfung enthält konkrete, an der NIS2-Richtlinie orientierte Ja/Nein-Fragen, um Unternehmen in vier Kategorien einzuordnen: Betreiber Kritischer Infrastrukturen, besonders wichtige Einrichtungen, wichtige Einrichtungen und nicht betroffene Unternehmen. Sobald das geänderte BSI-Gesetz verabschiedet wurde, wird das BSI die Prüfung aktualisieren.

Ein FAQ-Katalog umfasst Fragen und Antworten zu den wichtigsten Themen der NIS2-Richtlinie, etwa zur Betroffenheit, zu Ansprechstellen und gesetzlichen Pflichten.

Wichtig: Die Hilfe zur Betroffenheitsprüfung von NIS2 dient lediglich als Orientierungshilfe, das Ergebnis ist rechtlich nicht bindend, wie das BSI betont. Trotzdem sollten Unternehmen und Eichrichtungen ihre eigene Betroffenheit mit dem Selbst-Check prüfen, wenn sie noch unsicher sind, ob sie direkt von NIS2 betroffen sind. Die Zeit dafür ist genau jetzt, denn die Umsetzung von NIS2 geht in die Konkretisierung.

Wer nicht zum Kreis der Betroffenen von NIS2 gehört, sollte aber trotzdem an diesem zentralen Thema der Cybersicherheit dran bleiben. Durch die NIS2-Forderung an den Lieferkettenschutz kann man als Lieferant oder Dienstleister einer NIS2-regulierten Organisation indirekt mit den neuen Sicherheitsanforderungen konfrontiert werden. Da ist es gut, sich bereits zu informieren, bevor wichtige Auftraggeber auf eine höhere Cybersicherheit drängen, um ihre NIS2-Compliance zu erreichen.

(ID:50114606)