Anhörung zu NIS 2 im Bundestag Deutschland streitet weiter über NIS 2

Anbieter zum Thema

cyberintelligence.institute GmbH

FTAPI Software GmbH

In der Anhörung zur NIS-2-Umsetzung kritisieren Experten fehlende Zustän­digkeiten und unklare Verantwortlichkeiten. Der Entwurf schaffe eine „Zwei-Klassen-Cybersicherheit“ und nehme Behörden zu stark von verbindlichen Sicherheitsvorgaben aus.

Am 13. Oktober 2025 fand die elfte Sitzung des Innenausschusses des Deutschen Bundestages statt. Auf der Tagesordnung stand die öffentliche Anhörung zum aktuellen Gesetzesentwurf der Bundesregierung. Dazu waren Sachverständige aus Verwaltung, Industrie und Forschung geladen, die die CDU, die SPD, die Grünen und die Linke geladen haben. Ziel der Anhörung war es, die Einschätzungen der Sachverständigen zum aktuellen NIS-2-Entwurf zu hören.

Daten-Compliance

NIS2 – verspätet, aber aktueller denn je

Wie sieht der aktuelle Gesetzesentwurf zu NIS 2 aus?

Den aktuellen Gesetzesentwurf zu NIS 2 hat die Bundesregierung am 8. September vorgelegt. Nach wie vor ist es das Ziel der NIS-2-Richtlinie, ein einheitlich hohes Cybersicherheitsniveau in Wirtschaft und Verwaltung zu schaffen. Mit NIS 2 wird das IT-Sicherheitsgesetz 2.0 erweitert.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Wer waren die Sachverständigen der Anhörung?

Die Sachverständigen, die zur öffentlichen Anhörung in Berlin geladen waren, sind:

• Ferdinand Gehringer, Abteilung Internationale Politik und Sicherheit der Konrad-Adenauer-Stiftung

• Sabine Griebsch, Management Director bei Govthings

• Dr. Sven Herpig, Leiter Cybersecurity Policy and Resilience bei Interface

• Prof. Dr. Dennis-Kenji Kipker, Universität Bremen und Forschungsdirektor des Cyber Intelligence Institutes

• Prof. Timo Kob, Gründer und Vorstand bei Hisolutions

• Felix Kuhlenkamp, Bereichsleiter Sicherheitspolitik bei Bitkom

• Prof. Dr. Meinhard Schröder, Universität Passau, Lehrstuhl für Öffentliches Recht, Europarecht und Informationstechnologierecht

Empfehlungen und Meldepflichten

BSI veröffentlicht NIS-2-Infopakete

Ergebnisse der Anhörung

Grundsätzlich begrüßten die Sachverständigen das Ziel der NIS-2-Richtlinie. Sie betonten die strategische Bedeutung digitaler Resilienz, vor allem angesichts der zunehmend angespannten geopolitischen Lage. Dennoch gab es einige Kritikpunkte. Alle Aussagen der Sachverständigen machten deutlich, dass Deutschland mit dem aktuellen Entwurf zu NIS 2 noch weit von seinem Ziel einer flächendeckend hohen Cybersicherheit entfernt ist. Kuhlenkampf schreibt in seiner Stellungnahme, dass die Wirtschaft „schnellstmöglich Rechtssicherheit“ brauche. „Je mehr Zeit Deutschland bei der Umsetzung braucht, desto größer wird die Unsicherheit für betroffene Unternehmen – gerade im Vergleich zu anderen Mitgliedstaaten mit bereits abgeschlossener Umsetzung.“

NIS2-Vertragsverletzung

EU-Kommission leitet Verfahren gegen Deutschland ein

Verwaltung bleibt außen vor

Und obwohl den Sachverständigen zufolge Eile geboten ist, spiegelt der Regierungsentwurf einen wichtigen Punkt, der häufig erwähnt und kritisiert wurde, nicht ausreichend wider: Cyber- und Informationssicherheit muss zwingend auch in Bundesbehörden vorhanden sein. Doch obwohl die NIS-2-Richtlinie auch für Bundesverwaltungen gilt, werden im aktuellen Entwurf zahlreiche Ausnahmen für Behörden gemacht. Griebsch kritisierte, dass der Regierungsentwurf die kommunale Ebene ignoriere und damit „die bestehende Fragmentierung der Sicherheitsarchitektur in Deutschland“ verfestige. Zwar steht im aktuellen Gesetzesentwurf „Einrichtungen der Bundesverwaltung im Sinne des § 29 BSIG-E müssen gemäß § 43 Absatz 1 BSIG-E die Voraussetzungen zur Gewährleistung der Informationssicherheit schaffen“, doch gleichzeitig würden zu viele Ausnahmen für Behörden gelten. Griebsch forderte stattdessen einen koordinierten Ansatz mit einheitlicher Abwehrstrategie, gemeinsame Lagebilder sowie abgestimmte Mindeststandards auf allen Verwaltungsebenen. Zudem sollten die bisher föderalen Cyber-Sicherheitsaktivitäten besser verzahnt werden. Für eine bessere Verzahnung sprach sich auch Gehringer aus, indem er forderte, dass das NIS-2-Umsetzungsgesetz (NIS2UmsG) und das KRITIS-Dachgesetz stärker aufeinander abgestimmt und harmonisiert werden müssten.

Auch Kipker äußerte sich dazu und warnte vor einer „Zwei-Klassen-Informationssicherheit“, einerseits zwischen Bundeskanzleramt und Ministerien sowie den übrigen Behörden, andererseits zwischen öffentlicher Verwaltung und Privatwirtschaft. Er forderte daher, den IT-Grundschutz des BSI für alle Einrichtungen der Bundesverwaltung verbindlich vorzuschreiben, um ein einheitlich hohes Sicherheitsniveau sicherzustellen.

Sechs Schritte zum Erfolg

Leitfaden zur NIS-2-Compliance bis Oktober

Unklare Rolle des CISO Bund

Herpig sprach in seiner Stellungnahme sogar von einer vertanen Chance. Mit dem aktuellen NIS-2-Entwurf habe die Regierung es verpasst, „eine einheitlichere IT–Sicherheitsregulierung für Bund und Länder zu schaffen“. Er forderte eine klare Regelung des staatlichen Umgangs mit Schwachstellen und warnte vor weiterer „Fragmentierung und Rechtsunsicherheit“. Außerdem forderte er eine unabhängige, mit Prüf- und Berichtsbefugnissen ausgestattete Rolle eines bundesübergreifenden Chief Information Security Officers (CISO Bund). Diese Rolle solle jedoch nicht einfach einer bestehenden Funktion, zum Beispiel dem BSI, zugeordnet werden. „Die Bundesregierung kann zeigen, wie ernst sie es mit der Absicherung der IT-Infrastrukturen der Bundesverwaltung und der IT-Projekte des Bundes meint, indem sie eine dedizierte CISO-Bund-Stelle schafft“, schreibt Herpig in seiner Stellungnahme.

Auch Kipker begrüßte den Plan der Regierung, einen CISO Bund als zentrale Stelle zu etablieren. Im aktuellen NIS-2-Entwurf seien jedoch weder „eine klare organisatorische Struktur, Befugnisse noch eine Arbeitsweise erkennbar“.

Fazit

Die Anhörung im Innenausschuss hat deutlich gemacht, dass der Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie von den Fachleuten zwar grundsätzlich begrüßt, in seiner aktuellen Form jedoch als unzureichend bewertet wird. Alle Sachverständigen waren sich einig, dass Deutschland beim Thema Cybersicherheit vor einem entscheidenden Wendepunkt steht: Ohne einheitliche Standards in Verwaltung, Wirtschaft und kritischen Infrastrukturen droht eine Zersplitterung des Sicherheitsniveaus. Besonders kritisch sehen die Experten die zahlreichen Ausnahmen für Behörden, denn sie würden die Vorbildfunktion des Staates schwächen und eine durchgängige Sicherheitsarchitektur verhindern.

Mit dem CISO Bund biete der Entwurf zwar einen wichtigen Ansatzpunkt für eine zentrale Steuerung der Informationssicherheit, bleibe aber in seiner Ausgestaltung zu vage. Ob NIS 2 in Deutschland tatsächlich zu einem höheren Cybersicherheitsniveau führt, hängt nun davon ab, ob Regierung und Gesetzgeber die Empfehlungen der Sachverständigen in den weiteren Beratungen aufnehmen. Es braucht mehr Verbindlichkeit, klare Zuständigkeiten und weniger Ausnahmen.

Digital ISX IT-Security Conference 2025

Save the date für Souveränität, KI und Notfallmanagement

(ID:50589695)