NIS2-UmsetzungBundestag beschließt Cybersicherheitsgesetz

Die Cybersicherheitslage Deutschlands ist angespannt: Insbesondere durch schlecht geschützte Angriffsflächen ist die Bundesrepublik im digitalen Raum verwundbar. Dies zeigte zuletzt der aktuelle Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) (wir berichteten). Nun hat der Deutsche Bundestag das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie verabschiedet, um das nationale IT-Sicherheitsrecht umfassend zu modernisieren. Die Richtlinie erhöht die Anforderungen an die Cybersicherheit der Bundesverwaltung wie auch bestimmter Unternehmen. Das BSI nimmt in beiden Bereichen eine Schlüsselposition ein: Es wird die zentrale Stelle für die Cybersicherheit der Bundesverwaltung, zudem wird es Aufsichtsbehörde für die von der Richtlinie betroffenen Unternehmen.

BSI wird CISO Bund

Von den Einrichtungen der Bundesverwaltung verlangt das Gesetz, Mindestanforderungen der Informationssicherheit zu erfüllen, die sich unter anderem aus dem IT-Grundschutz-Kompendium des BSI und aus Mindeststandards für die Sicherheit in der Informationstechnik des Bundes ergeben. Der angespannten Lage im Cyberraum muss zudem eine robuste IT-Governance-Struktur in der Bundesverwaltung entgegengesetzt werden, die sich über alle Ressorts, Behörden und Institutionen erstreckt und dem Ziel dient, IT-Sicherheit gemeinsam zu organisieren und kontinuierlich zu verbessern. Die Koordination dieser Aktivitäten übernimmt künftig das BSI in der Funktion des Chief Information Security Officer (CISO) Bund.

Gebündelte Kompetenzen

Mit diesem Gesetz werde ein entscheidender Teil der digitalen Angriffsfläche viel besser als bisher geschützt, sagte die BSI-Präsidentin Claudia Plattner. Sie dankte dem Bundesinnenminister und den Mitgliedern der Bundesregierung, die dies ermöglicht haben, ebenso wie dem Bundesdigitalminister. „Wir freuen uns sehr auf die Intensivierung der Zusammenarbeit“, so Plattner. „Es ist von großem Nutzen, dass Mandat, Expertise und Ressourcen für die operative Umsetzung von Cybersicherheit innerhalb der Bundesverwaltung nun an einer Stelle gebündelt und stringent eingesetzt werden können. Diese Aufgabe nehmen wir gerne an, wir sind uns ihrer Größe aber auch mehr als bewusst. Daher werden wir in kollegialer Zusammenarbeit mit den Regierungsressorts die dringend benötigte Resilienz der Bundesverwaltung signifikant stärken, Digitalisierungsprojekte des Bundes konstruktiv begleiten und dabei nicht nur die nötige Fachkompetenz, sondern auch Neutralität, Aufwandseffizienz und Kontinuität sicherstellen“, so die BSI-Chefin.

29.500 Einrichtungen fallen unter NIS2

Das NIS2-Umsetzungsgesetz umfasst eine Novellierung des BSI-Gesetzes (BSIG), von dem bislang rund 4.500 Einrichtungen des Wirtschaftsraums erfasst waren: Betreiber Kritischer Infrastrukturen (KRITIS), Anbieter digitaler Dienste sowie Unternehmen „im besonderen öffentlichen Interesse“. Mit dem Inkrafttreten des NIS2-Gesetzes wird dieser Radius um die Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ erweitert, sodass das BSI künftig rund 29.500 Einrichtungen beaufsichtigen wird, für die neue gesetzliche Pflichten in der IT-Sicherheit gelten. Betroffene Unternehmen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden sowie technische und organisatorische Risikomanagement-Maßnahmen implementieren.

Mit einem Starterpaket will das BSI betroffenen Unternehmen klare Informationen an die Hand geben, um die Verpflichtungen, die sich aus der NIS2-Richtlinie ergeben, erfolgreich umzusetzen. Mit Inkrafttreten wird das BSI zudem virtuelle Kick-off-Seminare anbieten, in denen Unternehmen unter anderem Schritt-für-Schritt-Anleitungen für die Betroffenheitsprüfung sowie Registrierungs- und Meldeprozesse erhalten.