Cybersicherheit: Umsetzung der NIS-2-Richtlinie ist gescheitert

Auch nach nachträglichen Verhandlungen zwischen SPD, Grünen und FDP nach dem Bruch der Ampel-Koalition konnte keine Einigung zur Umsetzung der NIS-2-Richtlinie (siehe: Vorsicht 2025: Diese Gesetze müssen Sie kennen)erzielt werden. Damit bleibt mehr als zwei Jahre nach Verabschiedung der EU-Richtlinie eine regulatorische Lücke bestehen, und die Umsetzungsfrist der EU wird weiter überschritten.

Nach dem Ende der Ampel-Regierung bestand kurzzeitig Hoffnung, dass dieses wichtige Gesetz doch noch verabschiedet wird, da es als essenziell für die digitale Sicherheit kritischer Infrastrukturen gilt. Letztlich scheiterten die Verhandlungen jedoch. Hauptstreitpunkte waren zuletzt:

• Schwachstellenmanagement: Die FDP wollte ein verpflichtendes Schwachstellenmanagement in das Gesetz aufnehmen, das Unternehmen dazu verpflichtet hätte, aktiv nach Sicherheitslücken zu suchen und diese zu schließen. Die SPD war dagegen, weil sie befürchtete, dass dies zu einer übermäßigen Belastung für Unternehmen führen könnte.
  
• Verantwortlichkeiten und Aufsicht: Es gab Uneinigkeit darüber, welche Behörde für die Überwachung und Durchsetzung des Gesetzes zuständig sein soll. Die Grünen forderten eine zentrale Behörde, während die FDP eine dezentrale Lösung bevorzugte.
  
• Fristen und Übergangsregelungen: Die FDP wollte Unternehmen mehr Zeit für die Umsetzung der neuen Vorschriften geben. Die SPD und Grünen bestanden auf eine zügige Umsetzung, um EU-Vorgaben einzuhalten und Cyberrisiken schnell zu minimieren.

Letztlich führte die Uneinigkeit dazu, dass das Gesetz nicht mehr vor der Bundestagswahl verabschiedet werden konnte.

Droht ein Vertragsverletzungsverfahren?

Die neue Bundesregierung wird sich mit der Umsetzung der NIS-2-Richtlinie befassen müssen, um die EU-Vorgaben schnellstmöglich in deutsches Recht zu überführen. Allerdings sind weitere Verzögerungen absehbar, da die Gesetzesvorlagen neu eingebracht, beraten und verabschiedet werden müssen. Die ursprüngliche Umsetzungsfrist bis Oktober 2024 wird somit weiter überschritten. Die EU-Kommission prüft bereits ein Vertragsverletzungsverfahren gegen Deutschland.

Ohne ein NIS-2-Gesetz kann auch das sogenannte Kritis-Dachgesetz nicht umgesetzt werden. Beide Gesetze sollten ein umfassendes Regelwerk zur Absicherung kritischer Infrastrukturen schaffen, indem sie digitale und physische Schutzmaßnahmen miteinander verknüpfen.

Unternehmen sollten dennoch vorbereitet sein

Trotz der unklaren rechtlichen Lage sollten Unternehmen proaktiv handeln. Angesichts der zunehmenden Bedrohung durch Cyberangriffe ist es essenziell, Sicherheitslücken zu minimieren - auch ohne verbindliche nationale Vorgaben. Unternehmen sollten sich mit den Anforderungen der NIS-2-Richtlinie vertraut machen, um sich frühzeitig auf eine EU-weite Angleichung der Cyber-Resilienz vorzubereiten und Mindeststandards umzusetzen.