Update zu NIS-2 Neuer NIS-2-Entwurf: mehr Unternehmen von Richtlinie betroffen

Anbieter zum Thema

Bitkom e.V.

BREKO Bundesverband Breitbandkommunikation e. V.

Bundesamt für Sicherheit i.d.Informationstechnik

GISA GmbH

Governikus GmbH & Co. KG

mehr weniger

cyberintelligence.institute GmbH

weniger

Das Bundeskabinett hat einen neuen Referentenentwurf der NIS-2-Richtlinie vorgelegt. Der neue Entwurf sorgt dafür, dass deutlich mehr Unternehmen unter die NIS-2-Regelungen fallen – für viele bedeutet das erst einmal, den eigenen Status genau zu prüfen.

Das Bundeskabinett hat einen neuen Regierungsentwurf zur Umsetzung der NIS-2‑Richtlinie vorgelegt. Das bestehende BSI-Gesetz (BSIG) wurde dabei überarbeitet und modernisiert. Waren bisher nur ca. 4.500 Unternehmen von der Umsetzung der NIS2-Richtlinie betroffen, so könnten es künftig bis zu 29.500 Unternehmen sein – darunter fallen auch viele mittelständische Kunden von Systemhäusern und Managed Service Providern (MSP), etwa aus den Bereichen Fertigung, Forschung, kritische Lieferketten oder digitale Infrastruktur. Hintergrund ist die Ausweitung der erfassten Kategorien: Neben Betreibern kritischer Infrastrukturen sollen künftig auch sogenannte „wichtige Einrichtungen“ (important entities) und „besonders wichtige Einrichtungen“ (essential entities) unter das Gesetz fallen. Das Ziel ist es laut Entwurf des Bundesinnenministeriums, „wichtige und besonders wichtige Einrichtungen vor Schäden durch Cyberangriffe zu schützen und das Funktionieren des europäischen Binnenmarkts zu verbessern“.

Für die betroffenen Unternehmen bedeutet das: Registrierungspflichten, Meldepflichten bei erheblichen Sicherheitsvorfällen sowie die Einführung und kontinuierliche Umsetzung technischer und organisatorischer Maßnahmen zum Risikomanagement.

NIS-2

Bin ich betroffen? Und falls ja, wie sehr?

Dazu zählen unter anderem Risikoanalysen, Maßnahmen zur Absicherung der Lieferkette, verpflichtende Schulungen, Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Dabei gilt weiterhin, dass Cybersicherheit Chef-Sache ist. Geschäftsführer der regulierten Einrichtungen sind verpflichtet, Risikomanagement-Maßnahmen umzusetzen und zu überwachen.

Wichtige und besonders wichtige Einrichtungen

Die wichtigen und besonders wichtigen Einrichtungen werden in dem neuen Regierungsentwurf unter Anhang 1 und 2 aufgelistet. Neben Sektor und Branche wird im Entwurf auch die genaue Einrichtungsart definiert.

Sektoren besonders wichtiger Einrichtungen:

Sektoren wichtiger Einrichtungen:

Das BSI stellt regelmäßig Informations- und Unterstützungsangebote bereit, um potenziell betroffene Einrichtungen bei der Umsetzung der Pflichten zu begleiten. Auf der BSI-Website steht zudem ein Tool zur Verfügung, mit dem Unternehmen prüfen können, ob sie unter die NIS-2-Regelungen fallen.

Keine großen Abweichungen zum bisherigen Entwurf

In mehreren Stellungnahmen wird positiv hervorgehoben, dass der neue Regierungsentwurf in weiten Teilen auf den Vorlagen der vergangenen Regierung aufbaut. Dr. Stephan Albers, Geschäftsführer des Bundesverbands Breitbandkommunikation (BREKO), betont: „Dies hilft den betroffenen Unternehmen, die bereits begonnene Umsetzung der Anforderungen fortzuführen.“ Auch die Deutsche Industrie- und Handelskammer (DIHK) sieht in der Kontinuität einen klaren Vorteil: Der neue Entwurf weiche „nicht wesentlich von den Vorgängerversionen ab“.

Dennoch sieht der DIHK an verschiedenen Stellen Nachbesserungsbedarf – etwa bei unklaren Formulierungen zur konkreten Betroffenheit einzelner Unternehmen oder Organisationseinheiten. In ihrer Stellungnahme heißt es, es gebe weiterhin „viele Fragen im Hinblick auf die konkrete Betroffenheit der Unternehmen bzw. Unternehmensteile und Einrichtungen“. Auch Dr. Alberts sieht vor allem beim Einsatz von kritischen Komponenten noch Anpassungsmöglichkeiten: „So sieht der Entwurf nicht nur bei 5G-, sondern auch bei Glasfasernetzen eine Untersagungsmöglichkeit für den Einsatz von geplanten oder bereits in Betrieb befindlichen Bauteilen vor.“ Er fordert zudem, wirtschaftliche Risiken und unnötige Bürokratiebelastungen möglichst zu vermeiden.

Und die Bundesverwaltung?

Bitkom-Präsident Dr. Ralf Wintergerst sieht in dem Referentenentwurf noch einen klaren Verbesserungsbedarf – besonders mit Blick auf die Bundesverwaltung: „Die Bundesverwaltung nimmt sich weiterhin selbst von den strengen Cybersicherheitsvorgaben aus.“ Tatsächlich heißt es seitens des BSI, Einrichtungen der Bundesverwaltung müssten lediglich die „Mindestanforderungen der Informationssicherheit“ erfüllen – auf Basis des IT-Grundschutz-Kompendiums und des BSI-Mindeststandards für die Bundes-IT. Der aktuellen Bedrohungslage müsse man besonders in der Bundesverwaltung eine „robuste IT-Governance-Struktur entgegensetzen“, so BSI-Präsidentin Claudia Plattner. Wintergerst sieht gerade hier den Grund, weswegen die Bundesverwaltung nicht nur die Mindestanforderungen erfüllen sollten: „Gerade der Bund und die öffentliche Verwaltung sollten und müssen Vorreiter bei der Cybersicherheit sein.“ Die AG Kritis schreibt in der Stellungnahme zum neuen Referentenentwurf NIS2UmsuCG, dass sie die geplante Ausweitung des IT-Grundschutzes auf sämtliche Ebenen der Bundesverwaltung begrüßen. Dennoch kritisieren auch sie die „unzähligen Sonderregelungen und Ausnahmen“, die für die Bundesverwaltung gelten würden.

EU-Richtlinie

NIS-2: Checkliste für die öffentliche Verwaltung

(ID:50503985)