Cybersicherheit: Bund beschließt NIS2-Umsetzung – Bitkom mahnt Nachbesserungen an

Mit erheblicher Verzögerung hat die Bundesregierung am 30. Juli den Gesetzentwurf zur Umsetzung der NIS2-Richtlinie beschlossen. Ziel der EU-Vorgabe ist es, das Schutzniveau der Cybersicherheit in Europa flächendeckend zu erhöhen und kritische Infrastrukturen sowie zentrale Unternehmensbereiche besser gegen Angriffe zu schützen. Die nationale Umsetzung hätte ursprünglich bis Oktober 2024 erfolgen müssen – Deutschland hatte diese Frist verpasst, woraufhin die EU-Kommission ein Vertragsverletzungsverfahren einleitete.

Der aktuelle Gesetzentwurf, der auch Grundzüge des Informationssicherheitsmanagements für die Bundesverwaltung regelt, wird vom Digitalverband Bitkom grundsätzlich begrüßt. Bitkom-Präsident Dr. Ralf Wintergerst spricht von einem „wichtigen Schritt“, warnt jedoch vor inhaltlichen Schwächen und fordert Korrekturen im parlamentarischen Verfahren.

EU-Rahmen statt nationale Sonderwege

„Die NIS-2-Richtlinie kann nicht nur einen einheitlichen Rahmen für Cybersicherheit in der ganzen EU schaffen, sondern auch die Sicherheit vor Cyberangriffen insgesamt erhöhen“, so Wintergerst. Entscheidend sei jedoch, dass Deutschland eine möglichst wörtliche („Eins-zu-eins“) Umsetzung verfolge – ohne nationale Sonderwege, die Unternehmen in einem ohnehin komplexen Umfeld zusätzlich belasten könnten.
Besonders kritisch sieht der Verband, dass die Bundesverwaltung nicht denselben Anforderungen unterliegt wie die private Wirtschaft. „Gerade der Bund und die öffentliche Verwaltung sollten und müssen Vorreiter bei der Cybersicherheit sein. Wir können uns angesichts der Bedrohungslage keine Sicherheitslücken leisten“, betont Wintergerst.

Rechtsunsicherheit für Unternehmen vermeiden

Unklarheiten sieht Bitkom auch bei der Einordnung betroffener Unternehmen: Derzeit sei nicht eindeutig geregelt, ob auch Unternehmen unter die Richtlinie fallen, deren kritische Tätigkeiten nur einen Teil ihrer Geschäftsfelder betreffen. Diese fehlende Abgrenzung erschwere die Compliance und könne Investitionen hemmen.
Zudem fehle eine erkennbare Abstimmung mit der geplanten Umsetzung der europäischen CER-Richtlinie (Critical Entities Resilience), die ebenfalls Anforderungen an kritische Einrichtungen stellt. Eine koordinierte Umsetzung sei laut Bitkom dringend erforderlich, um Doppelregulierung oder widersprüchliche Anforderungen zu vermeiden.

Forderung: Verabschiedung nach der Sommerpause

Angesichts der erheblichen Verzögerungen und des laufenden Vertragsverletzungsverfahrens fordert Bitkom eine rasche Beschlussfassung des Umsetzungsgesetzes nach der Sommerpause. Das parlamentarische Verfahren müsse nun genutzt werden, um die noch bestehenden Schwächen zu beseitigen – für mehr Klarheit, Fairness und Sicherheit.