NIS2-Umsetzungsgesetz Deutschland: Finale Gesetzgebungsphase

Zusammenfassung

Das Bundeskabinett hat den finalen Regierungsentwurf des „Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung" beschlossen. Mit dem Gesetz wird die Aufsicht des BSI wesentlich erweitert: Statt bisher ca. 4.500 sind künftig rund 29.500 Einrichtungen betroffen, insbesondere durch Ausweitung auf „wichtige" und „besonders wichtige" Unternehmen in 18 Wirtschaftssektoren.

Management-Perspektive:

• Betroffenheit: Unternehmen ab 250 Mitarbeitenden oder mit mindestens 50 Mio. Euro Jahresumsatz in den vorgesehenen 18 regulierten Sektoren
• Compliance-Anforderungen: Registrierungspflicht beim BSI, verpflichtende Risikoanalysen und Risikomanagement-Maßnahmen, Meldepflichten bei Sicherheitsvorfällen, Einführung von Multi-Faktor-Authentifizierung
• Geschäftsführerhaftung: Klare persönliche Verantwortung der Unternehmensleitung für die Umsetzung und Einhaltung der Cybersicherheitsanforderungen
• Zeitrahmen: Geplantes Inkrafttreten Ende 2025 bis Anfang 2026; Gesetz befindet sich im parlamentarischen Verfahren mit abschließender Verabschiedung noch offen

Technische Perspektive:

• Risikomanagement: Verpflichtende Erstellung und Umsetzung von Risikoanalysen, kontinuierliche Überprüfung und Incident-Response-Konzepte
• Supply Chain Security: Explizite Anforderungen zur Absicherung der Lieferketten- und Dienstleisterbeziehungen
• Technische Maßnahmen: Sicherheitstechnologien wie Multi-Faktor-Authentifizierung, verschlüsselte Kommunikation, regelmäßige Mitarbeiterschulungen und Sensibilisierung

Risikoeinschätzung: HOCH

Empfehlung:

• Kurzfristig: Umfassende Betroffenheitsprüfung durchführen, detaillierte Gap-Analyse der bestehenden Cybersecurity-Maßnahmen starten
• Mittelfristig: Aufbau oder Anpassung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001; sorgfältige Dokumentation der Maßnahmen und Prozesse
• Strategisch: Integration der NIS2-Anforderungen in bestehende Compliance-Programme und IT-Governance, frühzeitige Budgetplanung für die Phasen 2025/2026, regelmäßige Schulungen und Audits etablieren