Referentenentwurf zur NIS-2-Richtlinie NIS-2-Umsetzung: Der große Wurf gelingt noch nicht

Anbieter zum Thema

cyberintelligence.institute GmbH

Mit dem neuen Referentenentwurf zur NIS-2-Richtlinie macht Deutschland Druck, um drohenden EU-Sanktionen zu entgehen. Unternehmen und Behörden erwarten nun wichtige gesetzliche Klarstellungen – besonders zu betroffenen Sektoren, Compliance-Regelungen und der Rolle eines zentralen CISO für den Bund.

Anfang Juni 2025 wurde ein Referentenentwurf zur Umsetzung der Zweiten Netzwerk- und Informations­sicherheits-Richtlinie (NIS-2-Richtlinie) aus dem Bundesministerium des Innern und für Heimat bekannt. Die neue Bundesregierung hatte bereits betont, dass die Umsetzung der NIS-2-Richtlinie Priorität hat. Das mag daran liegen, dass man teilweise die ge­sell­schaft­liche Bedeutung der Richtlinie und ihrer Auswirkungen im Bereich der IT-Sicherheit verstanden hat, vermutlich zu gleichen Teilen aber auch daran, dass das Vertragsverletzungsverfahren gegen Deutschland wegen der verspäteten Umsetzung bereits in die zweite Phase über­ge­gan­gen ist und teure Sanktionen immer näher rücken. Mit dem jetzt öffentlich gewordenen Entwurf zeigt sich, dass es bei der Umsetzung unter der neuen Regierung vorangeht, allerdings auch, dass das Gesetz bei weitem nicht alle Unklarheiten ausräumen wird.

Neuer Referentenentwurf zur NIS2-Umsetzung

Die NIS2-Umsetzung kommt näher!

Hintergrund zur NIS-2-Richtlinie und ihrer Umsetzung

Die NIS-2-Richtlinie hat ihre Vorgänger-Richtlinie bereits 2022 abgelöst und hätte bis Oktober 2024 in nationales Recht umgesetzt werden müssen. Der Konjunktiv zeigt, dass dies nicht geschah. Gegen 24 Mitgliedstaaten wurde wegen der verspäteten Umsetzung ein Vertrags­verletzungs­verfahren eingeleitet. In der vorigen Legislaturperiode kam das Umsetzungs­vorhaben immerhin bis zu einer Sachverständigen­anhörung zu einem Regierungs­entwurf, der erste Referenten­entwurf zur Umsetzung stammt aus April 2023. Die Umsetzung ist im Gesetz über das Bundesamt für Sicherheit in der Informations­technik (BSIG) geplant.

Ziel der NIS-2-Richtlinie ist es, den europäischen Binnenmarkt cyberresilient zu gestalten. Das bedeutet, dass Unternehmen und öffentliche Einrichtungen, die für die Gesellschaft unerlässlich sind, weil sie bedeutsame Dienstleistungen und Verwaltungsaufgaben zur Verfügung stellen, auf die hybride Bedrohungslage vorbereitet sein sollen; hybrid deshalb, weil solchen Einrichtungen sowohl Gefahren aus dem cyber- als auch nicht-cyberbezogenen Risikobereich drohen. Die Risiken lassen sich nicht immer klar zuordnen, weshalb zusätzlich zur NIS-2-Richtlinie eine Resilienz-Richtlinie erlassen wurde. Auch deren Umsetzung über das sogenannte KRITIS-DachG lässt auf sich warten. Beide Gesetze sollen dann künftig „Hand in Hand greifen“ und die Einrichtungen krisen­resilient machen.

Nun liegt ein un­ab­ge­stimmter Referentenentwurf aus dem Innenministerium vor, der maßgeblich auf dem Entwurf der letzten Legislaturperiode aufbaut. Der Entwurf geht anschließend in die Hausabstimmung im Ministerium, Verbände können ggf. noch einmal Stellung beziehen. Danach ist dann damit zu rechnen, dass er als Regierungsentwurf in das Gesetzgebungsverfahren eingeleitet wird. Anschließend beschäftigt sich der Bundestag mit Beteiligung seiner Ausschüsse mit dem Vorhaben, einer Zustimmung des Bundesrates bedarf es anschließend nicht. Bereits beim ersten Blick auf den neuen Entwurf zeigt sich, dass der bisherige Titel „NIS-2-Umsetzungs- und Cyber­sicherheits­stärkungs­gesetz (NIS2UmsuCG)“ abgelöst wird vom noch sperrigeren Titel „Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informations­sicherheits­managements in der Bundesverwaltung“, auf den Versuch eines griffigen Kurztitels für das Gesetzesvorhaben wird man gespannt warten können.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Grober Aufbau des Umsetzungsgesetzes

Die NIS-2-Richtlinie ist sektorspezifisch aufgebaut, reguliert die Cybersicherheit also vertikal. Das bedeutet, dass bestimmte Sektoren als sensibel gelten und unter bestimmten Voraussetzungen reguliert werden. Hierzu zählen u.a. die Sektoren Energie, Transport und Verkehr, Gesundheit, aber auch der Weltraum.

Für die Sektoren gibt es drei Betreiber­kategorien. Die Betreiber kritischer Anlagen sind das Folgemodell der Kritischen Infrastrukturen, das Wording wird im Zuge von NIS-2 deshalb geändert, weil der Begriff der Kritischen Infrastrukturen infolge der Corona-Pandemie inflationär und „rechtsuntechnisch“ eingesetzt wurde. Auch die Betreiber kritischer Anlagen werden anhand von Schwellenwerten bestimmt, ein nationaler Sonderweg. Die Konkreti­sierung dieser Schwellenwerte erfolgt in einer Rechtsverordnung. Deren Name wird von der BSI-Kritis­verordnung zur „Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz“ geändert, der Nutzen der Umbenennung ist nicht ersichtlich.

Die wichtigen und besonders wichtigen Einrichtungen folgen dann unmittelbar den Vorgaben der NIS-2-Richtlinie. Für die Einordnung kommt es auf die Mitarbeiterzahl oder den Jahresumsatz und die Jahresbilanzsumme des Unternehmens an. Es gelten EU-weite Größenvorgaben.

Die Betreiber kritischer Anlagen sind eine Sonderkategorie der besonders wichtigen Einrichtungen, für sie gelten die strengsten Vorgaben. Danach folgen in der Intensität der Regelungen absteigend die besonders wichtigen und dann die wichtigen Einrichtungen. Sämtliche Einrichtungen müssen IT-Sicherheits-Maßnahmen treffen, sich beim BSI registrieren und bei Sicherheitsvorfällen eine dreistufige Meldung an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) abgeben. Bei Verstößen können erhebliche Bußgelder greifen, die Geschäftsleitung wird ausdrücklich für die Umsetzung der Vorgaben verantwortlich gemacht. Für einzelne Einrichtungen gelten dann noch Sondervorgaben, etwa zu Nachweisen über die getroffenen Schutzmaßnahmen oder speziellen Systemen zur Angriffserkennung (SzA).

Einen Sonderfall betroffener Einrichtungen stellt die Bundesverwaltung dar. Hier gilt ein eigenständiges Regelungskonzept zur IT-Sicherheit. Insgesamt war und ist die Einbindung der öffentlichen Verwaltung in den Anwendungsbereich des künftigen BSIG höchst umstritten. Für Kommunalverwaltungen hat sich der IT-Planungsrat dafür ausgesprochen, dass diese nicht vom künftigen Gesetz erfasst werden. Teilweise wurden hier auf Länderebene schon eigene Regelungen getroffen. Doch auch auf der Bundesebene wurde auf „Sparflamme gekocht“, in den bisherigen Entwürfen herrschte ein deutliches Ungleichgewicht zwischen Privatwirtschaft und Bundesverwaltung.

NIS2 als Chance

Mehr Cybersicherheit in der Produktion durch NIS-2

Mehr Geld, mehr Stellen, unklare Verantwortung

Im neuen Referentenentwurf zeigt sich die Lockerung der Schuldenbremse. Das BMI schätzt den jährlichen Erfüllungsaufwand für die Bundesverwaltung auf 334 Millionen Euro, eine deutliche Steigerung zum letzten Entwurf. Hinzukommt ein einmaliger Erfüllungsaufwand von 208 Millionen Euro. Auch die Planstellen auf der Bundesebene sollen deutlich ansteigen.

Weniger konkret bleibt der Entwurf bei der Frage nach einem Chief Information Security Officer (CISO) für den Bund. Nach § 48 BSIG-E bestellt die Bundesregierung eine Koordinatorin oder einen Koordinator für Informationssicherheit. Laut Entwurf dient dieser CISO Bund als zentraler Koordinator für Maßnahmen zur Informations­sicherheit in Einrichtungen der Bundesverwaltung und zur Unterstützung der Ressorts bei der Umsetzung der Vorgaben für das Informations­sicherheits­management. Mehr Mut zur Regulierung dieser wichtigen Position gibt es aber nicht, die konkrete Verankerung bleibe dem umsetzenden Kabinettsbeschluss vorbehalten. Zur Vermeidung von Interessenkonflikten solle die Position möglichst unabhängig bleiben, ein allgemein anerkannter Grundsatz bei der Installation von CISOs. Eine genauere gesetzliche Konkretisierung zur Organisation des CISO Bund würde diesem Ziel schon einmal helfen.

IT-Sicherheit bei der Bundesverwaltung

Die Sicherheitsmaßnahmen, die Einrichtungen der Bundesverwaltung künftig umzusetzen haben, werden im neuen Entwurf konkretisiert. Die Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen ergeben sich aus den BSI-Standards (200-1 bis 200-4) und dem IT-Grundschutz-Kompendium (IT-Grundschutz). Beide Regelwerke werden laut Entwurf durch das BSI regelmäßig evaluiert und entsprechend dem Stand der Technik und den Erfahrungen aus der Beratung des BSI fortentwickelt. Für den IT-Grundschutz heißt dies konkret: das BSI wird diesen bis zum 1.1.2026 modernisieren und fortentwickeln.

Außerdem wird auch der Nachweiszeitraum über die umgesetzten Anforderungen des neuen BSIG für die Einrichtungen der Bundesverwaltung gestrafft. Während dies bislang bis spätestens 5 Jahre nach Inkrafttreten des Gesetzes geschehen sollte, sieht der neue Entwurf einen maximalen Drei-Jahres-Zeitraum vor. Dieser Zeitraum ist machbar und signalisiert zugleich auch der Privatwirtschaft, ebenfalls mit zeitlichem Hochdruck an der Umsetzung der NIS-2-Richtlinie zu arbeiten.

Compliance unter komplexen Umständen

Der richtige Umgang mit der NIS-2-Richtlinie

Änderungen bei der Betroffenheit

Eine der größten Herausforderungen bei der Vorbereitung auf die NIS-2-Umsetzung besteht nicht etwa erst bei den konkreten Sicherheits­maßnahmen, sondern bereits bei der Bestimmung des Anwendungsbereichs, welche Dienstleistungen und welche Gesellschaften innerhalb von Konzernstrukturen vom künftigen Gesetz erfasst sein werden. Auch hier gibt es Änderungen, die sich aber nicht zwingend positiv auf die Nachvollziehbarkeit der zu erwartenden Vorgaben auswirken werden.

Dies sieht man am deutlichsten bei der Begriffsbestimmung des „Managed Service Providers“ (MSP), also Dienstleistern, die für ihre Kunden IT-Dienste langfristig übernehmen und betreiben. Solche MSP sind eine Einrichtungsart im Sektor „Digitale Infrastruktur“. Der Entwurf unternimmt zum Anwendungsbereich den Versuch der Klarstellung und führt aus, dass hier ein „gewisser Grad an tatsächlichem Zugriff auf IKT-Produkte, -Netzwerke und -Infrastrukturen“ erforderlich ist, der über die reine Beratungstätigkeit hinausgeht. Zugleich sei ein „bestimmter Kundenkreis (…) dagegen nicht Voraussetzung für die Einstufung als MSP“, es seien also auch Unternehmen, die „ausschließlich den zentralen IT-Betrieb eines Unternehmens­verbundes übernehmen“, in der Regel erfasst. Das dürfte dazu führen, dass auch konzerninterne IT-Dienstleister unter den MSP-Begriff fallen, auch wenn das Unternehmen selbst keine Dienstleistung aus den kritischen Sektoren erbringt. Das lässt sich auch auf kommunale IT-Dienstleister übertragen, weshalb hier „durch die Hintertüre“ dennoch Auswirkungen auf den kommunalen Bereich zu erwarten sind. Dem Gesetzgeber muss aber klar sein, dass die neue Lesart dazu führen würde, dass für die MSP die Durchführungsverordnung 2024/2690 für Digitale Infrastrukturen gilt und dies systematisch nicht mit der NIS-2-Richtlinie übereinstimmt.

Eine Neuerung gibt es im Entwurf auch für die Sozialversicherungsträger und die Grund­sicherung für Arbeitssuchende als betroffene Einrichtungen. Bislang gehören diese in den Kritis-Sektor „Finanz- und Versicherungswesen“, was auch in den bisherigen Entwürfen zur NIS-2-Umsetzung so fortgeführt wurde. Dieser Sektor soll nun aufgetrennt werden in das Finanzwesen und auf der anderen Seite den Sozialversicherungsträgern und der Grundsicherung für Arbeitssuchende als eigenständigen Sektor. Auf den ersten Blick mag eine solche Auftrennung überzeugen, weil doch die Bandbreite der Unternehmen und kritischen Dienstleistungen im bisherigen Sektor Finanz- und Versicherungswesen gerade bei der Sozialversicherung doch signifikant ist.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Eine weitere Neuerung zeichnet sich im Energiesektor ab, der im Energiewirtschaftsgesetz (EnWG) gesondert im Hinblick auf die IT-Sicherheitsvorgaben reguliert wird. Der neue Entwurf kennt die neue Betreiber-Unterkategorie „Betreiber digitaler Energiedienste“. Er versucht damit mit den aktuellen Entwicklungen im Energiesektor Schritt zu halten. Künftig werden dann etwa auch Virtual Power Plants („Virtuelle Kraftwerke“) oder Demand Response Plattformen zu IT-Sicherheitsmaßnahmen verpflichtet.

Änderung bei Sicherheitsvorgaben

Doch nicht nur bei der Betroffenheit zeichnen sich Änderungen zu den Vorgängerentwürfen ab, auch bei der Ausgestaltung der Sicherheitsvorgaben für betroffene Einrichtungen gibt es Änderungen. Dies betrifft vor allem die Betreiber kritischer Anlagen. Diese werden künftig, wie jetzt schon die Kritischen Infrastrukturen, zu Systemen zur Angriffserkennung (SzA) als Teil ihres IT-Sicherheits-Managements verpflichtet. Während sich der Scope der Sicherheits­maßnahmen mit dem neuen BSIG künftig deutlich erweitern wird, behält der neue Entwurf für den Scope der SzA den bisherigen Wortlaut des § 8a BSIG bei. Die SzA müssen sich nur auf diejenigen informationstechnischen Systeme beziehen, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind.

Ruhe bei Compliance eingekehrt

Ruhe scheint bei der eigenen Compliance-Vorschrift des künftigen BSIG eingekehrt zu sein. Die NIS-2-Richtlinie stellt noch einmal ausdrücklich klar, dass die Geschäftsleitung der Einrich­tungen letztverantwortlich für die Umsetzung der Cybersicherheitsvorgaben ist. Zwar dürfen Aufgaben im Unternehmen oder nach extern delegiert werden, dies gilt aber nicht für einen Kernbereich der Leitungsaufgaben. Zudem wandelt sich die Aufgabe in eine Überwachungspflicht über die ordnungsgemäße Umsetzung nach einer Delegation. Bei Schäden durch die Verletzung der Compliance-Pflicht ist ein persönlicher Regress gegen die Leitungsperson möglich. Diese Grundsätze entsprechend den IT-Sicherheits-Standards, der persönliche Regress ist auch schon nach der bisherigen Rechtslage möglich. Es handelt sich also um eine gesetzliche Klarstellung.

Die Regelung zum Regress war in den bisherigen Entwürfen sehr umstritten und änderte sich daher stetig. Während zu Beginn noch der Verzicht auf den Regress durch das Unternehmen nicht vereinbart werden konnte, wurde eine solch strenge Vorschrift nach und nach auf­ge­ge­ben. Nun gelten hier die allgemeinen Regelungen des Gesellschaftsrechts zur Leitungshaftung. Ebenfalls nicht mehr verändert wurde die Schulungsvorschrift, nach der sich die Geschäftsleitung im Bereich des Risikomanagements regelmäßig schulen muss.

Kostenloses eBook „In zehn Schritten zur NIS-2-Konformität“

Best-Practice-Leitfaden zur NIS-2-Richtlinie

Entkoppelung vom KRITIS-DachG

Der Hintergrund der NIS-2-Richtlinie wurde eingangs erläutert. Der Europäische Gesetzgeber hat daher direkt zwei Richtlinien auf den Weg geschickt, um der hybriden Gefahrenlage Herr zu werden. Der Europäische Gesetzgeber war nicht in der Lage, dies in ein Regelungsvorhaben zu packen. Daher ist es auch nicht verwunderlich, dass die deutsche Umsetzung ebenfalls nicht in einem Vorhaben erfolgt, sondern in zwei getrennten Gesetzen. Das KRITIS-DachG zur Um­set­zung der Resilienz-Richtlinie war bislang dennoch mit der NIS-2-Umsetzung verwoben, die Gesetze sollten aufeinander abgestimmt werden. Diese Vernetzung ist im neuesten Entwurf weitestgehend gelöscht. Das mag auch daran liegen, dass man die NIS-2-Umsetzung schneller voranzutreiben glaubt, weil es eben kein gänzlich neues Gesetz ist. Dennoch drohen auch bei der Umsetzung der Resilienz-Richtlinie Sanktionen, weil hier ein Vertragsverletzungsverfahren ebenfalls im Gange ist. Ein Ausruhen bei der Umsetzung beider Richtlinien ist daher fatal, zumal die Umsetzung des Kritis-Dachgesetzes gerade eben aufgrund der Neuheit einen guten Vorlauf für die Unternehmen benötigt.

Fazit

Unternehmen arbeiten seit geraumer Zeit bereits an der Vorbereitung auf die NIS-2-Richtlinie. Sie wurden immer wieder in ihrer Planung zurückgeworfen, weil zwar klar war, dass die Umsetzung der Richtlinie kommt, aber nicht wann. Zugleich ist bereits das Vertrags­verletzungs­verfahren eingeleitet, es drohen finanzielle Sanktionen gegen Deutschland. Daher ist es richtig und wichtig, dass die Umsetzung der Richtlinie priorisiert erfolgt, damit die Unternehmen und auch die öffentlichen Einrichtungen Rechtssicherheit erhalten; und natürlich, damit die Richtlinie ihrem Ziel nachkommt und der europäische Binnenmarkt cyberresilient wird. Dass bei dieser nun hoffentlich zügigen Umsetzung das Kritis-Dachgesetz verlorengegangen ist, ist misslich. Es bleibt zu hoffen, dass bei dessen späterer Umsetzung keine „Unebenheiten“ mit dem künftigen BSIG entstehen.

Weiterhin ist deutlich, dass beim Umsetzungsgesetz noch einige Baustellen bestehen. Gerade bei der organisatorischen Schaffung eines CISO Bund ist gesetzgeberischer Mut gefragt, dies nicht künftigen Kabinettsbeschlüssen zu überlassen, sondern eine langfristige gesetzliche Klarheit zu schaffen, wer der CISO Bund ist und wie er unabhängig fungiert. Mit Spannung bleibt für die Unternehmen zu beobachten, wie sich im Gesetzgebungsverfahren noch der Anwendungsbereich der Vorschriften ändern wird. Hierbei ist wichtig, dass stets die Regelungssystematik der NIS-2-Richtlinie beachtet und kein Widerspruch über weitere Rechtsakte hervorgerufen wird.

(ID:50452730)