Cybersecurity ohne klare Regeln NIS2-Gesetz gescheitert – was nun?

Anbieter zum Thema

msg systems ag

netfiles GmbH

Cloudgermany.de GmbH

Das NIS2-Umsetzungs- und Cybersicherheits­stärkungs­gesetz (NIS2UmsuCG) sollte die europäische NIS-2-Richtlinie in deutsches Recht überführen und die Cybersicherheit wichtiger und besonders wichtiger Einrichtungen im Land verbessern. Trotz seiner Bedeutung konnte das Gesetzgebungs­ver­fah­ren nicht abgeschlossen werden. Was dies genau bedeutet und wie damit umzugehen ist, wird im Folgenden erläutert.

Die Europäische Union verabschiedete mit der NIS-Richtlinie (Richtlinie EU 2016/1148) erstmals eine internationale Regelung zur Netzwerk- und Informationssicherheit. Die ursprüngliche Intention war es, die kritischen Infrastrukturen der einzelnen Mitgliedsstaaten zu stärken, um so eine höhere Resilienz für die Bevölkerung aller Mitgliedsstaaten zu schaffen. Deutschland verabschiedete bereits 2015 – ein Jahr vor der EU-Richtlinie – das IT-Sicherheitsgesetz.

Die Lücken zu NIS wurden sodann in 2017 durch das Gesetz zur Umsetzung der NIS-Richtlinie geschlossen und später durch das IT-Sicherheitsgesetz 2.0 erweitert. Auf Basis der gemachten Erfahrungen der einzelnen Mitgliedsstaaten wurde aufgrund einer vorgeschriebenen Evaluierung die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) entwickelt und am 27.12.2022 im Amtsblatt L333 der EU veröffentlicht. Alle Mitgliedstaaten hatten die Aufgabe bis zum 18.10.2024 die Anforderungen in nationales Recht zu wandeln, also zu transponieren. Zusätzlich wurde die sogenannte CER-Richtlinie (Critical Entities Resilience; Richtlinie (EU) 2022/2557) ziemlich zeitgleich veröffentlicht.

Software-Lieferketten absichern, Teil 1

Gefährdungslage und regulatorisches Rahmenwerk

Nun existieren zwei Richtlinien, die unterschiedliche Bereiche kritischer Infrastrukturen sowie wichtiger und besonders wichtiger Einrichtungen betreffen – die NIS2-Richtlinie zur Cyber­sicher­heit und die CER-Richtlinie zur Resilienz. Beide müssen in nationales Recht transponiert werden. Die Überführung in nationales Recht beider Gesetze sollte mit dem NIS2 Umsetzungs- und Cybersicherheits­stärkungsgesetz (kurz NIS2UmsuCG) und dem KRITIS-Dachgesetz erfolgen. Dabei war das KRITIS-Dachgesetz als Ergänzung zum NIS2UmsuCG angedacht und benötigt zwingend deren Veröffentlichung. Somit steht und fällt alles mit dem NIS2UmsuCG.

Das Diskontinuitätsprinzip im deutschen Bundestag

Da der Gesetzgebungsprozess nicht abgeschlossen wurde, greift das sogenannte Diskontinuitäts­prinzip des Bundestags – ein wesentliches Merkmal des deutschen Parlamentarismus. Es besagt, dass mit dem Ende einer Legislaturperiode alle parlamentarischen Vorgänge, die nicht abgeschlossen wurden, verfallen. Dies betrifft insbesondere Gesetzesvorhaben, die erneut eingebracht und den legislativen Prozess von vorne durchlaufen müssen. Dieses Prinzip gewährleistet, dass jeder neu gewählte Bundestag seine Arbeit unbelastet von den Vorgängen des vorherigen Parlaments aufnehmen kann.

Auswirkungen der vorgezogenen Neuwahlen auf das NIS2UmsuCG

Die politische Landschaft in Deutschland erlebte im Jahr 2024 erhebliche Turbulenzen. Nach dem Bruch der Ampel-Koalition kam es zu vorgezogenen Neuwahlen im Februar 2025. Infolgedessen konnte das parlamentarische Verfahren zum NIS2UmsuCG nicht abgeschlossen werden, da der Gesetzentwurf dem Diskontinuitätsprinzip zum Opfer fiel. Die verpflichtende nationale Umsetzung der Richtlinie in nationales Recht bleibt damit ausstehend.

Flut an Gesetzen, Richtlinien, Verordnungen

Umgang mit zunehmenden rechtlichen Anforderungen an die IT

Folgen des gescheiterten Gesetzesvorhabens

Das Scheitern des NIS2UmsuCG hat mehrere Konsequenzen:

• Verzögerte Umsetzung der NIS2- und CER-Richtlinie: Deutschland verfehlt die von der EU gesetzte Frist zur Implementierung der Richtlinie, was zu Vertragsverletzungsverfahren und möglichen Sanktionen führen kann. Zusätzlich könnten sich Unternehmen auf die Verzögerung verlassen und die Umsetzung wichtiger Sicherheitsmaßnahmen aufschieben, was sie anfälliger für Cyberangriffe macht und damit auch nachhaltig die deutsche Wirtschaft schwächt.

• Unklare Rechtslage: Für wichtige und besonders wichtigen Einrichtungen bleibt unklar, ob und wann das NIS2UmsuCG verhandelt wird. Damit existieren faktisch keine Gesetze, die diese Unternehmen zur Erhöhung der Cybersicherheit verpflichtet. Auch für kritische Infrastrukturen bleibt alles beim Altbekannten.

• Wettbewerbsnachteile: Unternehmen mit internationalen Partnern könnten Wettbewerbsnachteile erleiden, wenn sie die EU-weiten Sicherheitsstandards nicht einhalten.

• Fachkräftemangel: Die Umsetzung der NIS2-Anforderungen kann den Fachkräftemangel im Bereich der IT-Sicherheit verschärfen, da spezialisierte Sicherheitsberater stark nachgefragt sind. Dadurch kann der Tagessatz für Berater steigen, was Unternehmen zu höheren Investitionen in die Modernisierung ihrer IT- und OT-Systeme zwingen würde.

Cybersicherheit wird zur Chefsache

Persönliche Haftungsrisiken aus der EU-Richtlinie NIS2

Ausblick

Es ist zu erwarten, dass die neue Bundesregierung das NIS2UmsuCG erneut in den Bundestag einbringt, um die Cybersicherheitsstandards in Deutschland an die europäischen Vorgaben anzupassen. Angesichts der Dringlichkeit des Themas sollte dies mit hoher Priorität erfolgen, um den internationalen Verpflichtungen nachzukommen. Unternehmen sollten sich also weiterhin an diesem Entwurf orientieren und schon jetzt die gewonnene Zeit sinnvoll nutzen und Strukturen schaffen, um den Anforderungen gerecht zu werden.

* Der Autor Christopher Stradomsky ist Mathematiker (M. Sc.) mit Spezialisierung auf Zahlentheorie und Kryptographie. Seit 2023 unterstützt er bei msg Unternehmen dabei, ihre Cybersecurity zukunftssicher zu gestalten. Zuvor verantwortete er als Informationssicherheitsexperte bei einer akkreditieren Zertifizierungsstelle den Bereich KRITIS, leitete Audits und Zertifizierungen (z. B. ISO 27001, IT-Sicherheitskatalog, eIDAS) und trug maßgeblich zur Sicherheitsoptimierung kritischer Infrastrukturen bei. Seine Schwerpunkte reichen von Cloud und KI bis hin zu regulatorischen Themen wie BSIG und NIS2 – immer mit einem klaren Blick für praxisnahe Lösungen.

(ID:50474425)