NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz

In einfachen Worten

Der Entwurf setzt eine EU-Richtlinie zur Cybersicherheit (NIS-2) in deutsches Recht um. Laut Entwurf sollen deutlich mehr Unternehmen und auch die Bundesverwaltung verbindliche Regeln für IT-Sicherheit einhalten, weil Angriffe aus dem Netz, Spionage und Sabotage zugenommen haben und wichtige Versorgung wie Strom, Wasser oder Abfallentsorgung davon abhängt.

Was sich ändern soll

• Der Kreis der betroffenen Stellen wird stark ausgeweitet: Statt nur Betreiber Kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse gelten künftig die von der Richtlinie vorgegebenen Kategorien wichtiger und besonders wichtiger Einrichtungen.
• Mindestanforderungen an die IT-Sicherheit aus der Richtlinie werden ins BSI-Gesetz übernommen, wobei die Anforderungen je nach Kategorie unterschiedlich streng ausfallen sollen.
• Die bisher einstufige Meldepflicht bei Sicherheitsvorfällen wird durch ein dreistufiges Meldeverfahren ersetzt, wobei der Aufwand laut Entwurf möglichst gering gehalten werden soll.
• Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält mehr Aufsichtsbefugnisse, und für die Bundesverwaltung werden Anforderungen an das Informationssicherheitsmanagement sowie Rollen und Zuständigkeiten gesetzlich festgeschrieben.
• Es wird ein zentraler Sicherheitsbeauftragter des Bundes (CISO Bund) eingerichtet, der Maßnahmen koordiniert und die Ministerien unterstützt.
• Der Innenausschuss empfiehlt Änderungen: Der Anwendungsbereich in der Verwaltung wird auf Geschäftsbereichsbehörden ausgeweitet, die Rolle des CISO Bund wird als zentrale Informationsstelle ausgestaltet, bei Anordnungen gegenüber Telekommunikationsdiensten entfällt die Grenze von 100 000 Kunden und es werden sogenannte Bereinigungsbefehle möglich, zudem kommt eine Regelung zur Untersagung kritischer Komponenten hinzu und die Länder werden bei Unterstützung und Beratung durch das BSI einbezogen.

Wen es betrifft

Betroffen sind vor allem Unternehmen, die als wichtige oder besonders wichtige Einrichtungen gelten, laut Entwurf rund 14 500 Unternehmen, sowie Einrichtungen der Bundesverwaltung und nach der Ausschussfassung auch deren nachgeordnete Behörden. Hinzu kommen Sozialversicherungsträger sowie die Länder, die nach der Ausschussfassung bei Unterstützung und Beratung durch das BSI einbezogen werden.

Was es kostet

Für Bürgerinnen und Bürger entsteht laut Entwurf kein zusätzlicher Aufwand. Die Wirtschaft trägt rund 2,3 Milliarden Euro jährlich und einmalig rund 2,2 Milliarden Euro, davon rund 2,4 Millionen Euro Bürokratiekosten aus Informationspflichten. Dem Bund entstehen einmalig rund 59 Millionen Euro und bis 2029 im Schnitt rund 212 Millionen Euro jährlich, insgesamt 906 Millionen Euro bis 2029; dazu kommen 119 Millionen Euro jährlicher und 63 Millionen Euro einmaliger Erfüllungsaufwand des Bundes, 166 000 Euro jährlich bei den Ländern und 16,6 Millionen Euro jährlich bei den Sozialversicherungsträgern.

Zusammengefasst aus dem Vorblatt von Drucksache 21/1501 + 21/2782 – so beschreiben die Initiatoren ihr Vorhaben. Redaktionell geprüft.