Die Bundesregierung will mit dem vorgelegten Gesetzentwurf zwei Fliegen mit einer Klappe schlagen: Zum einen die Richtlinie umsetzen, zum anderen wesentliche Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung regeln.
In einer Anhörung im Innenausschuss kritisierten die geladenen Sachverständigen den Entwurf auf breiter Front: Bauchschmerzen bereiten ihnen die Ausnahmeregelungen für staatliche Verwaltungen. Auch müsse das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz besser mit dem KRITIS-Dachgesetz verzahnt werden, dazu bleibe die Rolle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) unklar. Und: Der Entwurf werde datenschutzrechtlichen Anforderungen nicht gerecht.
Zweifel an Erreichen höheren allgemeinen Cybersicherheitsniveaus
Unterschiedliche Umsetzungen der NIS-2-Richtlinie in den Mitgliedstaaten stellten für EU-weit agierende Unternehmen eine Herausforderung dar, sagte Boris Eisengräber, Leiter Cyber Security des Software-Unternehmens Schwarz Digits. Effektive Reaktionen auf Cyberangriffe würden so erschwert, sagte er. Ein effektives Cybersicherheitsniveau könne nicht allein durch das BSI oder die jeweiligen Sicherheitsfunktionen in Unternehmen gewährleistet werden, betonte Eisengräber. Dies sei vielmehr eine gesamtgesellschaftliche Aufgabe. Der Ausschluss staatlicher Stellen und Behörden im Gesetz sei daher der falsche Weg und schwäche die staatliche Vorbildfunktion und das einheitliche Cybersicherheitsniveau.
Sven Herpig, Lead Cybersecurity Policy and Resilience interface beim Verein Tech analysis and policy ideas for Europe, sieht die mit der NIS-2-Umsetzung verbundene Chance zur Erreichung einer harmonisierten IT-Sicherheitsregulierung als vertan an. Deutschland behalte nun neben seiner fragmentierten IT-Sicherheitsarchitektur, seiner fragmentierten Cybersicherheitsstrategie auch eine fragmentierte IT-Sicherheitsregulierung. "Das ist weder effektiv noch effizient oder im Sinne der Cybersicherheit dieses Landes", befand er. Auch die im Koalitionsvertrag festgeschriebene unabhängigere Aufstellung des BSI werde mit dem Gesetzentwurf nicht angegangen.
Nach Einschätzung von Dennis-Kenji Kipker, Professor an der Universität Bremen, enthält der Entwurf noch zu viele Schwächen und Unklarheiten, teilweise auch Maßgaben, "die der Erhöhung des allgemeinen Cybersicherheitsniveaus nicht förderlich sind". Hauptkritikpunkte beträfen dabei die nach wie vor im nationalen Verwaltungsgefüge unklare Rolle des BSI, die nicht angetastet worden sei. Und das, obwohl das BSI nicht nur in seiner Rolle als Zentralstelle für Cybersicherheit einen massiven weiteren Ausbau erfahren solle, sondern mit NIS-2 auch zahlreiche weitere Befugnisse erhalten werde. Im Hinblick auf den Datenschutz enthält der Entwurf laut Kipker weitere erhebliche und nennenswerte Schwächen, "die teils sogar unionsrechtswidrig sein dürften".
Experte spricht von "Cybersicherheitsschwächungsgesetz"
Von einem Rückschritt sprach Timo Kob, Vorstandsmitglied der HiSolutions AG. Mit Blick auf die Ausnahmen, die für nachgeordnete Behörden gemacht würden, sagte Kob: "Wenn man sagt, dass Ketten nur so stark sind wie das schwächste Glied, dann haben wir hier ein Cybersicherheitsschwächungsgesetz", sagte er. Das Gesetz müsse schnellstens eingeführt werden, forderte er: "Aber ohne die Schwächung auf staatlicher Seite".
Die Neuregelung müsse zu einer deutlichen Stärkung der Rolle des BSI als nationale Cybersicherheitsbehörde führen, betonte Andreas Könen, Senior Fellow des Brandenburgischen Instituts für Gesellschaft und Sicherheit (BIGS). Deutliche Schwächen sehe er da, wo es um die Regulierung der Bundesbehörden gehe. Es werde unterschieden zwischen den Ministerien und dem Kanzleramt auf der einen Seite, die höhere Anforderungen erfüllen müssten, und den Bundesbehörden, die unter den schon erreichten Regulierungsstand zurückfielen. "Das ist ein falsches Signal – auch an die Wirtschaft, die jetzt viel breiter reguliert wird", sagte er.
Glaubwürdigkeitsproblem und kontraproduktive Doppelstrukturen
Aus Sicht von Felix Kuhlenkamp vom IT-Branchenverband Bitkom ist mit den Ausnahmen für die Bundesbehörden ein Glaubwürdigkeitsproblem verbunden. Aus Sicht der deutschen Wirtschaft sei zudem die Kommunikation und Unterstützung für regulierte Einrichtungen verbesserungswürdig. In anderen Ländern würden die betroffenen Unternehmen von der Regierung aktiv informiert. In Deutschland hingegen müssten 30.000 Unternehmen selbst herausfinden, "ob sie von NIS-2 betroffen sind". Kuhlenkamp sprach sich zudem für eine gezielte Aufstockung der Mittel für das BSI aus. Würden diese sinnvoll und an der richtigen Stelle eingesetzt, helfe das den Unternehmen, die bei der Umsetzung auf die fachliche Unterstützung durch das BSI zurückgreifen wollten.
Die Bedrohungslage sei im Cyberraum anhaltend hoch, sagte BSI-Präsidentin Claudia Plattner. Ein sehr hohes Risiko gebe es für kritische Infrastrukturen, Bundesverwaltungen und politische Institutionen. "Cybersicherheit ist inzwischen nationale Sicherheit. Und die braucht das Gesetz dringend", sagte Plattner. Gleichwohl gebe es Nachbesserungsbedarf, so die BSI-Präsidentin. So müssten aus ihrer Sicht IT-Sicherheitsvorgaben für alle Bereiche der Bundesverwaltung gleichermaßen gelten. Die aktuell formulierten Ausnahmen könne man sich nicht leisten. Zudem entstehe ein massives Glaubwürdigkeitsproblem, "wenn wir selber nicht bereit sind zu tun, was wir von der Wirtschaft erwarten". Plattner sprach sich zudem dafür aus, einen starken Chief Information Security Officer (CISO Bund) als zentralen Koordinator beim BSI anzusiedeln.
Haya Shulmann von der Johann Wolfgang Goethe-Universität Frankfurt am Main forderte, die Funktion des CISO Bund im Gesetzentwurf zu konkretisieren. Ein CISO sei stets Teil der Organisation, für deren Cybersicherheit er verantwortlich ist, benötige aber ein hohes Maß an Autonomie hinsichtlich Kommunikation in und außerhalb der Organisation und hinsichtlich der Ausübung seines Vetorechts. Die meisten der üblichen CISO-Funktionen lägen heute und auch nach dem NIS-2-Umsetzungsgesetz beim BSI, sagte Shulmann. Die CISO-Funktion sollte daher ihrer Auffassung nach dem BSI zugeordnet werden. Andernfalls bestehe die Gefahr kontraproduktiver Doppelstrukturen und einer Gefährdung der Autorität und Autonomie des BSI.
