Mit dem heutigen Kabinettsbeschluss zur Umsetzung der europäischen NIS-2-Richtlinie in deutsches Recht sollen künftig rund 30.000 Unternehmen schärfere Vorgaben zur Cybersicherheit einhalten. Der TÜV-Verband unterstützt den Entwurf grundsätzlich, sieht jedoch Nachbesserungsbedarf.

„Deutschland ist Ziel hybrider Angriffe und Cyberattacken auf Unternehmen, kritische Infrastrukturen und politische Institutionen gehören zur Tagesordnung. Die Umsetzung der NIS-2-Richtlinie in nationales Recht ist ein wichtiger Schritt, um die Cybersicherheit in der deutschen Wirtschaft zu verbessern. Das Gesetz ist längst überfällig und muss angesichts der Bedrohungslage im Cyberraum zügig beschlossen werden“, sagte Marc Fliehe, Fachbereichsleiter Digitalisierung und Bildung beim TÜV-Verband.

Nach Ansicht des Verbands besteht insbesondere bei folgenden Punkten Handlungsbedarf:

1. Unklare Ausnahmeregelungen: Die im Gesetz vorgesehene Ausnahme für „vernachlässigbare“ Geschäftstätigkeiten sei zu unbestimmt. Der Begriff werde nicht näher erläutert, was zu Rechtsunsicherheit und einer potenziellen Umgehung regulierungspflichtiger Bereiche führen könne. Der Verband fordert eine eindeutige und europarechtskonforme Ausgestaltung.
2. Nachweispflichten konkretisieren: Die aktuelle Umsetzung sieht laut TÜV-Verband lediglich stichprobenartige Einzelfallprüfungen vor. Damit werde das Ziel regelmäßiger Kontrolle verfehlt. Zudem kritisiert der Verband die geplante Verlängerung der Nachweisfristen für Betreiber kritischer Infrastrukturen von zwei auf drei Jahre. Fliehe bezeichnete diesen Schritt angesichts der Bedrohungslage als „mehr als kontraproduktiv“.
3. Unabhängige Zertifizierungen stärken: Um Vertrauen in die Umsetzung von Sicherheitsmaßnahmen zu schaffen, schlägt der Verband vor, verpflichtend unabhängige, akkreditierte Konformitätsbewertungsstellen in den Nachweisprozess einzubeziehen.
4. Lieferkettensicherheit konkretisieren: Der Verband fordert verbindliche Orientierungshilfen für Unternehmen, um Anforderungen wie „Security by Design“ praxistauglich umsetzen zu können. Ziel sei es, Auslegungsspielräume zu reduzieren und rechtliche Klarheit zu schaffen.

Das NIS-2-Umsetzungsgesetz verpflichtet Unternehmen unter anderem zu Risikoanalysen, Sicherheitskonzepten, Maßnahmen zur IT-Vorfallbewältigung, Verschlüsselung, Zugangskontrollen sowie Schulungen und Notfallplänen. Die Anforderungen richten sich nach Größe, Branche und Kritikalität des Unternehmens und müssen dem „Stand der Technik“ entsprechen.