Cybersicherheit wächst – politische Eingriffe auch

Mit der heutigen Verabschiedung des Gesetzes zur Umsetzung der europäischen NIS-2-Richtlinie hat der Bundestag einen zentralen Baustein der deutschen Cybersicherheitsstrategie erneuert. Ziel der EU-Vorgaben ist es, kritische Dienste, Lieferketten und öffentliche Infrastrukturen besser vor Angriffen zu schützen. Die wirtschaftliche Notwendigkeit ist offensichtlich: Nach aktuellen Berechnungen ist der deutschen Wirtschaft zuletzt ein Schaden von 202 Milliarden Euro pro Jahr durch Cyberangriffe entstanden.

Durch das Gesetz wird die Definition kritischer Infrastrukturen und essenzieller Dienste deutlich ausgeweitet. Damit fallen künftig erheblich mehr Unternehmen unter die verschärften Anforderungen an Risikomanagement, Meldepflichten und IT-Sicherheitsprozesse. Bitkom-Präsident Dr. Ralf Wintergerst bewertet den Schritt positiv: „Cyberangriffe bedrohen Wirtschaft, Verwaltung und Gesellschaft. Die Umsetzung der NIS-2-Richtlinie war überfällig.“

Bundesbehörden erstmals selbst stärker reguliert

Besonders begrüßt der Verband, dass das Gesetz den Anwendungsbereich auf nachgelagerte Bundesbehörden ausdehnt. Für Wintergerst ist dies ein notwendiger Bestandteil einer glaubwürdigen Cybersicherheitsstrategie: „Eine wirksame und glaubwürdige Cybersicherheitsarchitektur setzt voraus, dass der Staat selbst höchste Sicherheitsstandards einhält. Es ist nur konsequent und richtig, dass Bundesbehörden künftig denselben Anforderungen beim Risikomanagement unterliegen wie regulierte Unternehmen.“

Neuregelungen zu „kritischen Komponenten“ sorgen für Kritik

Deutlich kritischer bewertet Bitkom allerdings die neuen Befugnisse des Bundesinnenministeriums zur Definition und Untersagung sogenannter kritischer Komponenten. Das BMI kann künftig – nach Rücksprache mit anderen Ressorts – selbst bestimmen, welche Komponenten als kritisch gelten und deren Einsatz im Unternehmen verbieten.
Für den Verband birgt das Risiken:

• fehlende Planungssicherheit,
• mögliche Investitionsstopps,
• Verzögerungen bei Digitalisierungsprojekten,
• unzureichende technische Kriterien.

Wintergerst fordert, dass die Definition weiterhin primär durch Fachbehörden wie Bundesnetzagentur und BSI erfolgen sollte – und dass betroffene Unternehmen vorab konsultiert werden müssen. „Unternehmen brauchen verlässliche Rahmenbedingungen. Verbote können erhebliche Auswirkungen auf die Geschäftstätigkeit haben.“

Was jetzt folgen muss

Aus Bitkom-Sicht bleiben zwei zentrale Handlungsfelder:

1. Begleitung der Unternehmen durch das BSI:
   Die neuen Pflichten führen zu erheblichen organisatorischen und technischen Anforderungen. Unternehmen bräuchten praxisnahe Unterstützung.
2. Schnelle Anpassung des KRITIS-Dachgesetzes:
   Damit alle Regulierungen konsistent sind, müsse das Dachgesetz zeitnah verabschiedet und auf die NIS-2-Umsetzung abgestimmt werden.