Neue Cybersicherheitsregeln: NIS2-Umsetzungsgesetz passiert Bundeskabinett

BERLIN / MÜNCHEN (IT BOLTWISE) – Das NIS2-Umsetzungsgesetz hat eine wichtige Hürde auf dem Weg zum Gesetz genommen, nachdem das Bundeskabinett dem Entwurf zugestimmt hat.

Das Gesetz zur Umsetzung der überarbeiteten Netzwerk- und Informationssicherheitsrichtlinie (NIS2) der Europäischen Union führt zu weitreichenden Änderungen im Bereich der Cybersicherheit in Deutschland. Es erweitert den Kreis der Unternehmen und öffentlichen Stellen, die strenge Sicherheitsvorgaben einhalten müssen. Insgesamt sind 29.500 Einrichtungen von den neuen Regelungen betroffen.

Die NIS2-Richtlinie unterscheidet zwischen „wichtigen“ und „besonders wichtigen“ Einrichtungen, wobei letztere strengen Anforderungen unterliegen. Darunter fallen Betreiber kritischer Infrastrukturen ab einer bestimmten Größe, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und große Telekommunikationsnetzbetreiber.

Besonders bemerkenswert ist die Einführung einer Meldepflicht für erhebliche Sicherheitsvorfälle. Unternehmen müssen solche Vorfälle innerhalb von 24 Stunden melden und innerhalb von 72 Stunden aktualisieren. Die genaue Definition eines „erheblichen Sicherheitsvorfalls“ wird in einem Umsetzungsrechtsakt der EU-Kommission geklärt.

Neben der IT-Sicherheit legt das Gesetz auch Wert auf den Schutz aller IT-Systeme, die von den Einrichtungen betrieben werden, einschließlich Büro-IT. Dies bedeutet, dass selbst Faxgeräte und Buchhaltungssysteme entsprechend geschützt werden müssen.

Die Verantwortung für die Einhaltung der Sicherheitsvorgaben liegt bei der Geschäftsführung, die nach den Regeln des Gesellschaftsrechts haftbar gemacht wird. Unternehmen müssen außerdem regelmäßige Sicherheitsaudits und Zertifizierungen durchführen.

Ein besonders umstrittener Punkt ist der Umgang mit „kritischen Komponenten“, deren Einsatz vom Bundesinnenministerium genehmigt werden muss. Diese Regelung betrifft auch Komponenten, die von Huawei stammen könnten.