Die Bundesregierung hat heute den Entwurf zur nationalen Umsetzung der europäischen NIS-2-Richtlinie vorgelegt. Ziel des Gesetzes ist es, das deutsche IT-Sicherheitsrecht an die gestiegene Bedrohungslage im Cyberraum anzupassen. Zentrale Änderungen betreffen die Erweiterung des Anwendungsbereichs und eine Stärkung der Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Der Gesetzentwurf zur Änderung des BSI-Gesetzes sieht vor, neben Betreibern Kritischer Infrastrukturen künftig auch sogenannte „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ zu regulieren. Damit steigt die Zahl der vom Gesetz erfassten Organisationen von etwa 4500 auf rund 29.500.

Diese Einrichtungen müssen künftig unter anderem IT-Sicherheitsvorfälle melden, sich beim BSI registrieren und ein Risikomanagement umsetzen. Vorgeschrieben sind technische und organisatorische Maßnahmen wie Risikoanalysen, Sicherheitskonzepte, Schulungen, Multi-Faktor-Authentifizierung sowie Maßnahmen zur Absicherung der Lieferkette.

Ein besonderes Augenmerk liegt auf der Verantwortung der Unternehmensleitungen: Geschäftsführungen betroffener Organisationen sind verpflichtet, sich in Cyberrisikomanagement schulen zu lassen und die Einhaltung der Sicherheitsmaßnahmen zu überwachen.

Auch für die Bundesverwaltung enthält der Entwurf neue Vorgaben. Einrichtungen des Bundes sollen künftig mindestens die Anforderungen des IT-Grundschutz-Kompendiums sowie bestehende BSI-Mindeststandards erfüllen. Damit soll eine einheitliche IT-Governance-Struktur über alle Ressorts und Behörden hinweg geschaffen werden.

BSI-Präsidentin Claudia Plattner betonte die Bedeutung des Vorhabens: „Mit dem heutigen Regierungsentwurf geht Deutschland einen wichtigen Schritt in Richtung einer resilienten Cybernation. Um Wohlstand und Stabilität weiterhin sichern zu können, müssen Wirtschaft und Staat sich besser gegen Cybergefahren wappnen. Die Wirtschaft braucht dabei Planungssicherheit: Unternehmen müssen schnell und rechtssicher feststellen können, ob sie von der NIS-2-Richtlinie betroffen sind.“

Zur Unterstützung potenziell betroffener Organisationen bietet das BSI Beratungsangebote sowie eine interaktive Online-Prüfung an, abrufbar unter: www.bsi.bund.de/dok/nis-2.