BundesregierungNIS2-Richtlinie beschlossen

Das Bundeskabinett hat gestern (30. Juli 2025) den Gesetzentwurf von Bundesinnenminister Alexander Dobrindt zur Stärkung der Cybersicherheit beschlossen. Damit wird die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit – die NIS2-Richtlinie – in deutsches Recht umgesetzt. Dies sei, so das Bundesministerium des Innern (BMI), eine umfassende Modernisierung des bestehenden IT-Sicherheitsrechts. Der Gesetzentwurf sieht unter anderem vor, das BSI-Gesetz (BSIG) zu novellieren und den Kreis der regulierten Organisationen – zu denen bisher die Betreiber Kritischer Infrastrukturen (KRITIS) gehörten – um die Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ zu erweitern. Bislang waren rund 4.500 Einrichtungen vom BSIG erfasst. Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) sollen es künftig rund 29.500 Einrichtungen sein, für die gesetzliche Pflichten in der IT-Sicherheit greifen. Betroffen sind etwa Unternehmen aus den Bereichen Energie, Gesundheit, Transport oder digitale Dienste.

Umfassender Schutz

Laut BSI müssen sich „besonders wichtige“ und „wichtige“ Einrichtungen unter anderem registrieren, erhebliche Sicherheitsvorfälle nach einem gestuften Verfahren melden sowie technische und organisatorische Risikomanagement-Maßnahmen implementieren. Dazu zählen etwa Risikoanalysen, Konzepte zur Bewältigung von Sicherheitsvorfällen, Sicherheit der Lieferkette, Schulungen, Multi-Faktor-Authentifizierung und sichere Kommunikation. Zudem sind Geschäftsführungen betroffener Einrichtungen verpflichtet, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich entsprechend schulen zu lassen. Von Einrichtungen der Bundesverwaltung verlangt der Gesetzentwurf, Mindestanforderungen der Informationssicherheit zu erfüllen, die sich unter anderem aus dem IT-Grundschutz-Kompendium des BSI und Mindeststandards für die Sicherheit in der Informationstechnik des Bundes ergeben. Das BSI stellt umfangreiche Informationen zur NIS2-Richtlinie bereit, inklusive eines digitalen Tools zur Selbsteinschätzung, der sogenannten Betroffenheitsprüfung.

Stärkere Rolle für das BSI

Grundsätzlich wird das Bundesamt für Sicherheit in der Informationstechnik mehr Befugnisse zur Aufsicht und Durchsetzung erhalten. Zudem können bei schwerwiegenden Verstößen künftig auch Bußgelder verhängt werden, die sich am Jahresumsatz des Unternehmens orientieren. „Mit dem Regierungsentwurf geht Deutschland einen wichtigen Schritt in Richtung einer resilienten Cybernation“, betonte die BSI-Präsidentin Claudia Plattner. Und auch für den Cyberschutz des Staates sei der Regierungsentwurf ein wichtiger Meilenstein. „Dass Einrichtungen der Bundesverwaltung BSI-Standards wie den IT-Grundschutz umsetzen, ist dafür wesentliche Voraussetzung. Der stetig wachsenden Bedrohungslage im Cyberraum muss besonders in der Bundesverwaltung zudem eine wirkungsvolle Antwort in Form einer robusten IT-Governance-Struktur entgegengesetzt werden. Diese Struktur sollte sich über alle Ressorts, Behörden und Institutionen der Bundesverwaltung erstrecken und dem Ziel dienen, IT-Sicherheit gemeinsam zu organisieren und kontinuierlich zu verbessern“, so Plattner.