NIS 2 News
NIS-2-Umsetzung bleibt ein dringendes Thema trotz Verzögerung
Aufgrund der vorgezogenen Wahlen konnte das parlamentarische Verfahren zum NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz nicht wie geplant abgeschlossen werden. Auch wenn sich die Verabschiedung verzögert hat, bleibt die Umsetzung der NIS-2-Richtlinie eine vordringliche und zentrale Aufgabe. Unternehmen sind weiterhin aufgefordert, sich auf die bevorstehenden Anforderungen vorzubereiten, um ihre IT-Sicherheit nachhaltig zu stärken und die Compliance zu gewährleisten. Es ist wichtig, jetzt aktiv zu werden, um auf die kommenden gesetzlichen Veränderungen optimal reagieren zu können.
NIS-2-Durchführungsverordnung tritt in Kraft
Mit Inkrafttreten der NIS-2-Durchführungsverordnung (EU) 2024/2690 am 7. November 2024 wird ein wesentlicher Aspekt der NIS-2-Richtlinie implementiert. Mit der neuen Verordnung definiert die EU-Kommission verbindliche Mindestanforderungen an Risikomanagementmaßnahmen und legt fest, ab wann ein Sicherheitsvorfall als erheblich gilt.
Die Verordnung richtet sich ausschließlich an spezifische Anbieter digitaler Dienste und Infrastrukturen, darunter:
- Anbieter von DNS-Diensten und TLD-Namenregistern
- Anbieter von Cloud-Computing- und Rechenzentrumsdiensten
- Betreiber von Inhaltszustellnetzen
- Anbieter von verwalteten Diensten (MSP) und Sicherheitsdiensten (MSSP)
- Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Netzwerkplattformen
- Vertrauensdiensteanbieter
Andere Sektoren unterliegen nicht den Bestimmungen dieser Verordnung.
Neue Anforderungen an das Risikomanagement
Gemäß der NIS-2-Durchführungsverordnung werden von den betroffenen Unternehmen umfangreiche Risikomanagementmaßnahmen gefordert, zu denen folgende Punkte zählen:
- Regelmäßige Risikobewertungen, um potenzielleSicherheitsrisiken frühzeitig zu erkennen
- Implementierung technischer und organisatorischer Sicherheitsmaßnahmen, die auf den identifizierten Risiken basieren
- Dokumentation und Nachverfolgbarkeit der Risikomanagementprozesse und der ergriffenen Maßnahmen
- Schulungen und Sensibilisierung des Personals, um Sicherheitsbewusstsein zu fördern
Die genannten Anforderungen sind auf europäischen und internationalen Standards begründet und zielen darauf ab, Unternehmen bei der Bewältigung zunehmender Sicherheitsherausforderungen zu unterstützen. Ein Sicherheitsvorfall wird als erheblich eingestuft, wenn er kritische Dienste stört oder die Vertraulichkeit, Integrität oder Verfügbarkeit von Netz- und Informationssystemen erheblich gefährdet. Die spezifischen Kriterien, wie etwa die Dauer eines Ausfalls oder die Anzahl der betroffenen Nutzer:innen, können je nach Branche und Art des Dienstes variieren.
Die unmittelbar geltende Verordnung bedarf einer nationalen Ausgestaltung, die in Deutschland durch das BSI im Rahmen des geplanten NIS-2-Umsetzungsgesetzes erfolgen wird. Gegenstand dieser weiteren Konkretisierungen werden insbesondere die Präzisierung der Kriterien sein, anhand derer bestimmt wird, welche Vorfälle gemäß § 2 Abs. 11 Nis2UmsuCG als erheblich zu betrachten sind.
Kritik am NIS-2-Umsetzungsgesetz – Dringender Handlungsbedarf für Cybersicherheit
Im Rahmen einer öffentlichen Anhörung des Innenausschusses am 4. November 2024 wurde der Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie der EU intensiv diskutiert. Dabei stießen vor allem die geplanten Ausnahmeregelungen für staatliche Verwaltungen und die unzureichende Harmonisierung der Cybersicherheitsmaßnahmen auf erhebliche Kritik. Die Expert:innen forderten eine klare und effektive Lösung, um die Cybersicherheit auf nationaler Ebene zu stärken und das Vertrauen in den Schutz kritischer Infrastrukturen zu gewährleisten.
Zentrale Kritikpunkte des Entwurfs:
- Unzureichende Harmonisierung: Es wurde deutlich, dass die unterschiedlichen Umsetzungen der NIS-2-Richtlinie in den EU-Mitgliedstaaten Unternehmen, die europaweit tätig sind, vor große Herausforderungen stellen. Um eine schnelle und effektive Reaktion auf Cyberangriffe zu ermöglichen, ist eine einheitlichere Regulierung erforderlich.
- Schwächen im Entwurf: Der Gesetzentwurf weist aus Sicht der Expert:innen teils gravierende Unklarheiten auf, insbesondere in Bezug auf den Datenschutz und die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI). Hier wurde nachgebessert gefordert, um das Cybersicherheitsniveau in Deutschland tatsächlich zu steigern.
- Ausnahmen für staatliche Stellen: Eine weitere kritisierte Stelle betrifft die Ausnahmen für staatliche Behörden. Diese könnten das Vertrauen in die staatliche Cybersicherheit untergraben und das Ziel eines einheitlichen, hohen Sicherheitsniveaus gefährden.
- Stärkung des BSI: Experten betonten die Notwendigkeit einer klareren und stärkeren Rolle des BSI als zentrale Cybersicherheitsbehörde. Dies würde nicht nur der Verwaltung, sondern auch der deutschen Wirtschaft zugutekommen, die auf fachliche Unterstützung angewiesen ist.
Trotz dieser Kritikpunkte wurde die Dringlichkeit der Umsetzung des Gesetzes unterstrichen, insbesondere aufgrund der nach wie vor hohen Bedrohungslage im Cyberraum. BSI-Präsidentin Claudia Plattner hob hervor, dass ohne ein funktionierendes Cybersicherheitsgesetz die Sicherheit kritischer Infrastrukturen gefährdet bleibt.
Weitere Details zur Anhörung und die vollständige Aufzeichnung finden Sie hier.
Erste Anhörung im Bundestag – Fortschritte bei der Umsetzung der NIS-2-Richtlinie
Am 11. Oktober 2024 hat der Bundestag den Gesetzentwurf zur Verbesserung der Cybersicherheit, das sogenannte „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“, erstmals diskutiert. Ziel des Entwurfs ist es, die Cybersicherheitsvorgaben der EU in der Bundesverwaltung umzusetzen und den Schutz wichtiger Einrichtungen vor Cyberangriffen zu verbessern.
Die geplanten Änderungen erweitern den Anwendungsbereich der Cybersicherheitsvorgaben auf bestimmte Unternehmen und bringen eine Harmonisierung der nationalen Anforderungen an das Informationssicherheitsmanagement. Darüber hinaus wird die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) gestärkt, und ein neues dreistufiges Melderegime für Sicherheitsvorfälle soll eingeführt werden, um den bürokratischen Aufwand zu verringern.
Verzögerung bei dem NIS-2-Umsetzungsgesetz – Inkrafttreten nun für März 2025 geplant
Das Inkrafttreten des NIS-2-Umsetzungsgesetzes in Deutschland ist nun für März 2025 geplant. Zunächst war Oktober 2024 vorgesehen, jedoch verschiebt sich der Starttermin um etwa sechs Monate. Der Gesetzgebungsprozess soll dennoch bis Ende 2024 abgeschlossen werden.
Der Zeitplan für das NIS-2-Umsetzungsgesetz sieht folgendermaßen aus:
- Juni 2024: Referentenentwurf (Innenministerium)
- Juli 2024: Kabinettsbeschluss
- September 2024: Erster Durchgang im Bundesrat
- Oktober 2024: Erste Lesung im Bundestag
- Dezember 2024: Zweite und dritte Lesung im Bundestag
- Februar 2025: Zweiter Durchgang im Bundesrat
- März 2025: Inkrafttreten des Gesetzes im Bundesgesetzblatt
Bis zum Inkrafttreten bleiben die aktuellen KRITIS-Gesetze in Kraft. Weitere Klärungen sind noch bezüglich neuer KRITIS-Rechtsverordnungen und der Prüfungen, die 2025 durchgeführt werden, erforderlich. Der Zeitrahmen für betroffene Unternehmen ist nun jedoch klarer definiert.
