STELLUNGNAHME | DIGITALPOLITIK | CYBERSICHERHEIT
Referentenentwurf des BMI zum NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz NIS2UmsuCG unbürokratisch und auf Basis digitaler Lösungen implementieren
27. Mai 2024 Executive Summary Angesichts der stetig steigenden Cyberbedrohungslage unterstützt die deutsche Wirtschaft das Bestreben, die Cyberresilienz von Staat und Wirtschaft durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) nachhaltig zu stärken. Cybersicherheitsanforderungen, die die Breite der deutschen Industrie erfüllen müssen, haben das Potenzial, das Cybersicherheitsniveau der InnoNation, also des Industrie- und Innovationsstandorts Deutschland, zu erhöhen. Sie werden jedoch nur dann dieses Ziel erreichen, wenn sie praxisnah und möglichst unbürokratisch umgesetzt werden. Hierfür ist es unabdingbar, dass ▪
Unternehmen ihren Melde-, Nachweis- und Registrierungspflichten volldigital nachkommen können und das BSI Information Sharing Portal ein tagesaktuelles Cybersicherheitslagebild auf Basis anonymisierter Informationen aus den Meldungen bietet;
▪
Kompetenzen zwischen Bundes- und Landesbehörden überlappungsfrei geregelt werden;
▪
Rechtsunsicherheiten in der Anwendung des NIS2UmsuCG vermieden werden, indem das Bundesamt noch vor Inkrafttreten branchenspezifische Handreichungen veröffentlicht;
▪
neben der Gesetzgebung die Sicherheitskultur mit konkreten Maßnahmen gefördert wird, wie z. B. der Vertrauenswürdigkeitsüberprüfung von Mitarbeitenden;
▪
europaweit agierende Unternehmen nur in einem Mitgliedstaat gebündelt für die gesamte EU ihren Melde-, Nachweis- und Registrierungspflichten nachkommen müssen und
▪
die Anforderungen der NIS-2-Richtlinie – insbesondere bezüglich des Anwendungsbereichs und der umzusetzenden Maßnahmen – EU-weit einheitlich implementiert werden.
Positive Elemente des Referentenentwurfs: ▪
Streichung „Unternehmen im besonderen öffentlichen Interesse“: Die deutsche Industrie begrüßt, dass die Kategorie „Unternehmen im besonderen öffentlichen Interesse“ ersatzlos gestrichen wurde und künftig neben Betreibern Kritischer Anlagen nur noch wichtige Einrichtungen und besonders wichtige Einrichtungen existieren. Die Streichung des deutschen Sonderwegs stärkt die europaweite Harmonisierung der Cybersicherheitsregulierung. Zugleich wäre wünschenswert, dass direkt im NIS2UmsuCG die Schwellenwerte für Kritische Anlagen definiert würden und auf eine nachgelagerte Rechtsverordnung verzicht-et werden würde.
▪
Nachweispflichten frühestens nach drei Jahren: Die deutsche Industrie begrüßt, dass alle in den Anwendungsbereich des NIS2UmsuCG fallenden Einrichtungen frühestens drei Jahre nach Inkrafttreten des Gesetzes zur Vorlage von Nachweisen verpflichtet werden können. Dies
Steven Heckler | Stellvertretender Abteilungsleiter Digitalisierung und Innovation | s.heckler@bdi.eu | www.bdi.eu