NIS-2-Richtlinie

Die Umsetzung in deutsches Recht bringt neue Anforderungen und ein erweitertes Haftungsregime mit sich.

Update: Ende Juli 2024 hat die Bundesregierung eine leicht modifizierte Fassung des NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) verabschiedet. Die verabschiedete Fassung finden Sie im Kopf der Webseite zum Download. Fundamentale Änderungen haben sich gegenüber der Entwurfsfassung nicht ergeben. Nach der Sommerpause geht das NIS-2-Umsetzungsgesetz in das parlamentarische Verfahren. Ein Inkrafttreten bis Oktober 2024 ist möglich, aber unwahrscheinlich.

Die europäische Richtlinie über „Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union“ ( NIS-2-Richtlinie ) ergänzt und aktualisiert die erste Richtlinie zur Gewährleistung einer hohen Netzwerk- und Informationssicherheit aus dem Jahr 2016. Sie ist bereits im Januar 2023 in Kraft getreten und muss von den EU-Mitgliedstaaten bis 17.10.2024 in nationales Recht umgesetzt und von betroffenen Unternehmen angewendet werden.

Das Bundesinnenministerium hat daher Anfang Mai 2024 einen entsprechenden Gesetzesentwurf für das NIS-2-Umsetzungsgesetz in die Anhörung gegeben. Weitere Regulierungen zu diesem Themenkomplex, wie das KRITIS-Dachgesetz, stehen noch an.

Die wachsende Bedeutung des Schutzes vor Cyberangriffen erfasst Unternehmen wie Behörden gleichermaßen. Die Anpassung der gesetzlichen Rahmenbedingungen für behördliches und wirtschaftliches Handeln sollte dazu genutzt werden, die Cyberresilienz von Staat und Wirtschaft in den Mittelpunkt zu stellen. Dabei ist entscheidend, dass die Vorgaben unbürokratisch und rechtssicher umsetzbar sind, auch und gerade für kleine und mittelständische Unternehmen. Mehrfachprüfungen müssen vermieden werden, ebenso wie Digitalisierungsprozesse für Genehmigungsverfahren, die dazu führen können, dass eine Vielzahl sensibler Information im Internet veröffentlicht wird. Hohe Bußgeldtatbestände und komplizierte Regelungen, die wesentliche Fragen offenlassen, führen nicht zum Ziel einer erhöhten Cybersicherheit.

Aus Sicht der chemisch-pharmazeutischen Industrie ist ein ganzheitlicher Ansatz der Regulierungen notwendig, der Verwaltungshandeln auf kommunaler und Länderebene ebenso beinhaltet wie die unternehmerischen Tätigkeiten. Die Belange des Mittelstandes müssen ebenso berücksichtigt werden wie Unterschiede in der Anlagenkonfiguration und -größe sowie die Bedeutung der jeweiligen Produktion und Handel für die Gesellschaft. Schließlich bedarf es auch einer Personal- und Sachausstattung der Behörden dergestalt, dass diese ihrer Beratungsfunktion gerecht werden können.

Der VCI hat sich in seiner Stellungnahme zum Gesetzesentwurf auf die besonderen Belange der Chemie- und Pharmaindustrie fokussiert. Die Stellungnahme finden Sie im Kopf der Seite.

Folgende Links bieten weiterführende Informationen zum Gesetzesentwurf sowie zur NIS-2-Richtlinie im Allgemeinen:

• Bundesministerium des Inneren (BMI)
• Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Stellungnahme des Bundesverbands der deutschen Industrie (BDI)
• OpenKRITIS Übersicht zur NIS-2-Richtlinie
• OpenKRITIS – Mapping NIS2 auf ISO 27001 und KRITIS
• Verband der Chemischen Industrie - Diskussionsvorschlag für praktikable digitale Genehmigungsprozesse