Neuer Referentenentwurf zur NIS2-Umsetzung Die NIS2-Umsetzung kommt näher!

Anbieter zum Thema

WatchGuard Technologies GmbH

Impossible Cloud GmbH

cyberintelligence.institute GmbH

Ein neuer Referentenentwurf zum NIS2-Umsetzungsgesetz macht Schlag­zeilen. Offensichtlich geht es in dem Gesetzgebungsprozess nun wieder weiter. Auch wenn die Änderungen zum Beispiel im Risiko­manage­ment-Bereich gering sind, sollte dies ein klarer Weckruf sein: Abwarten ist für Unternehmen der falsche Weg.

Ein Grund, warum viele Organisationen gespannt auf die Umsetzung der NIS2-Richtlinie in Deutschland blicken, sind die verschärften Anforderungen, die dann einzuhalten sind, darunter die Fristen für die Meldepflichten. Allerdings hat Deutschland selbst eine Frist der NIS2-Richtlinie überschritten, die Frist zur Umsetzung der EU-Richtlinie in nationales Recht.

Anfang Mai 2025 hatte die EU-Kommission beschlossen, eine mit Gründen versehene Stellungnahme an 19 Mitgliedstaaten (Bulgarien, Tschechien, Dänemark, Deutschland, Estland, Irland, Spanien, Frankreich, Zypern, Lettland, Luxemburg, Ungarn, die Niederlande, Österreich, Polen, Portugal, Slowenien, Finnland und Schweden) zu richten, weil sie die vollständige Umsetzung der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) nicht mitgeteilt haben. Bekanntlich mussten diese Mitgliedstaaten eigentlich die NIS2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen.

Auch Deutschland hat ab Anfang Mai 2025 zwei Monate Zeit bekommen, darauf zu reagieren und die erforderlichen Maßnahmen zu ergreifen. Es handelt sich dabei um die zweite von insgesamt drei Stufen im Vertragsverletzungsverfahren.

Die Umsetzung steht aus, aber es gibt einen neuen Referentenentwurf

Seit Anfang Juni 2025 wird nun über einen neuen Referentenentwurf aus dem Bundes­innen­ministerium berichtet. Zur Einordnung: Erster Schritt im Gesetzgebungsprozess ist der Referentenentwurf. Er wird vom fachlich zuständigen Ministerium erstellt. Zu den Referenten­entwürfen können die Bundesländer, Verbände, Organisationen und Institutionen eine schriftliche Stellungnahme abgeben. Dann kommt der Kabinettsbeschluss (Regierungs­entwurf), Stellungnahme im Bundesrat, Lesungen im Bundestag und dann erst der Abschluss des Gesetzes.

Der weitere Weg zur Umsetzung kann schnell gehen oder auch nicht, es können natürlich auch noch so einige Änderungen eintreten. Trotzdem ist ein solcher, neuer Referentenentwurf spannend, zumal man diesen als „Lebenszeichen“ für eine NIS2-Umsetzung sehen kann. Bei der EU-Kommission kann man ebenfalls sehen, wie dort der Grad der Umsetzung in Deutschland dokumentiert wird.

Beispiele für Änderungen: Risikomanagement-Maßnahmen

Auch das BSI (Bundesamt für Sicherheit in der Informationstechnik) macht schon seit längerem deutlich: Die Umsetzung der NIS-2 Richtlinie bleibt weiterhin vordringlich. Deshalb sollte man als Unternehmen auch die Forderungen der NIS2-Richtlinie nicht auf die lange Bank schieben, sondern Vorbereitungen treffen.

Entsprechend lohnt sich auch ein genauer Blick auf die geforderten Risikomanagement-Maßnahmen und die aktuellen Änderungen daran, die man in dem neuen Referentenentwurf vorfindet:

Zum Lieferkettenschutz findet man jetzt die Formulierung „Sicherheit der Lieferkette ein­schließ­lich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“, gestrichen wurde „zwischen den einzelnen Einrichtungen“. Man könnte daraus schließen, dass man als Unternehmen die Beziehung zu seiner Lieferkette betrachten muss, nicht aber die zwischen den einzelnen Lieferanten.

„Cyberhygiene“ findet sich jetzt nicht mehr in den Risikomanagement-Maßnahmen, auch wenn man sich gerade an das neue Wort gewöhnt hatte. Nun steht dort: „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Dabei erscheint es eher kritisch, nur „grundlegende Schulungen und Sensibilisierungsmaßnahmen“ zu fordern, besser wäre wohl „grundlegend“ gestrichen worden.

„Verschlüsselung“ wird als Wort nicht mehr explizit genannt, sondern „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“.

Eine Änderung ist auch die „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“. Das „Management der Anlagen“ wurde entfernt.

Diese Beispiele für das Risikomanagement zeigen, dass die Änderungen an diesen Stellen eher gering sind, deshalb sollte die Botschaft des neuen Referentenentwurfs insbesondere sein: Die NIS2-Umsetzung kommt, noch ist nicht klar wann genau, aber dass sie kommt, das ist klar, also genau wie bei Cyberangriffen, auf die man sich besser vorbereiten soll.

NIS-Umsetzung gibt es schon auf Länderebene

Übrigens: Auch wenn sich alle Augen auf den Bund richten, die Bundesländer haben bereits etwas für die Umsetzung von NIS2 getan: Rheinland-Pfalz zum Beispiel hat bereits am 8. Oktober 2024 eine Verwaltungsvorschrift zur Umsetzung der NIS-2-Richtlinie in der Landes­verwaltung beschlossen. Sie gilt für Einrichtungen der öffentlichen Verwaltung in Rheinland‑Pfalz, die nach einer risikobasierten Bewertung Dienste erbringen, deren Störung erhebliche Auswirkungen auf kritische gesellschaftliche oder wirtschaftliche Tätigkeiten haben könnte.

Und nicht nur das BSI hat Unterstützungsangebote zu NIS2. Auch auf Landesebene gibt es bereits Anlaufstellen zum Beispiel für NIS2, an die sich kleine und mittlere Unternehmen wenden können. Dazu die NRW-Ministerin für Wirtschaft, Industrie, Klimaschutz und Energie, Mona Neubaur: „Es geht jetzt vor allem darum, dass wir die Auswirkungen der NIS-2-Richtlinie bekannt machen und Unternehmen bei der Umsetzung unterstützen.“

Das sollten Unternehmen auch jetzt nutzen, nicht erst, wenn das Umsetzungsgesetz auf Bundesebene fertig ist.

(ID:50457302)