Effektive Reaktionen auf Cyberangriffe erschwert


Expertenkritik an geplanter Umsetzung der NIS-2-Richtlinie
Unterschiedliche Umsetzungen der NIS-2-Richtlinie in den Mitgliedstaaten stellten für EU-weit agierende Unternehmen eine Herausforderung dar



Der von der Bundesregierung vorgelegte Gesetzentwurf zur Umsetzung der sogenannten NIS-2-Richtlinie der EU, der zugleich der "Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung" (20/13184) dienen soll, ist bei einer öffentlichen Anhörung des Innenausschusses auf Kritik gestoßen. Ziel der NIS-2-Richtlinie ist laut Bundesregierung die Einführung verbindlicher Maßnahmen für Verwaltung und Wirtschaft, mit denen in der gesamten Europäischen Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll.

Die Sachverständigen waren sich einig, dass eine Umsetzung der NIS-2-Richtlinie zügig erfolgen müsse. Insbesondere die Ausnahmeregelungen für staatliche Verwaltungen stießen jedoch auf Widerspruch. Gleichzeitig wurden eine bessere Verzahnung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes mit dem KRITIS-Dachgesetz sowie eine Klarstellung der Rolle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gefordert.

Unterschiedliche Umsetzungen der NIS-2-Richtlinie in den Mitgliedstaaten stellten für EU-weit agierende Unternehmen eine Herausforderung dar, sagte Boris Eisengräber, Leiter Cyber Security des Software-Unternehmens Schwarz Digits. Effektive Reaktionen auf Cyberangriffe würden so erschwert, sagte er. Ein effektives Cybersicherheitsniveau könne nicht allein durch das BSI oder die jeweiligen Sicherheitsfunktionen in Unternehmen gewährleistet werden, betonte Eisengräber. Dies sei vielmehr eine gesamtgesellschaftliche Aufgabe. Der Ausschluss staatlicher Stellen und Behörden im Gesetz sei daher der falsche Weg und schwäche die staatliche Vorbildfunktion und das einheitliche Cybersicherheitsniveau.

Sven Herpig, Lead Cybersecurity Policy and Resilience interface beim Verein Tech analysis and policy ideas for Europe, sieht die mit der NIS-2-Umsetzung verbundene Chance zur Erreichung einer harmonisierten IT-Sicherheitsregulierung als vertan an. Deutschland behalte nun neben seiner fragmentierten IT-Sicherheitsarchitektur, seiner fragmentierten Cybersicherheitsstrategie auch eine fragmentierte IT-Sicherheitsregulierung. "Das ist weder effektiv noch effizient oder im Sinne der Cybersicherheit dieses Landes", befand er. Auch die im Koalitionsvertrag festgeschriebene unabhängigere Aufstellung des BSI werde mit dem Gesetzentwurf nicht angegangen.

Nach Einschätzung von Professor Dennis-Kenji Kipker von der Universität Bremen enthält der Entwurf noch zu viele Schwächen und Unklarheiten, teilweise auch Maßgaben, "die der Erhöhung des allgemeinen Cybersicherheitsniveaus nicht förderlich sind". Hauptkritikpunkte beträfen dabei die nach wie vor im nationalen Verwaltungsgefüge unklare Rolle des BSI, die nicht angetastet worden sei. Und das, obwohl das BSI nicht nur in seiner Rolle als Zentralstelle für Cybersicherheit einen massiven weiteren Ausbau erfahren solle, sondern mit NIS-2 auch zahlreiche weitere Befugnisse erhalten werde. Im Hinblick auf den Datenschutz enthält der Entwurf laut Kipker weitere erhebliche und nennenswerte Schwächen, "die teils sogar unionsrechtswidrig sein dürften".

Von einem Rückschritt sprach Timo Kob, Vorstandsmitglied der HiSolutions AG. Mit Blick auf die Ausnahmen, die für nachgeordnete Behörden gemacht würden, sagte Kob: "Wenn man sagt, dass Ketten nur so stark sind, wie das schwächste Glied, dann haben wir hier ein Cybersicherheitsschwächungsgesetz", sagte er. Das Gesetz müsse schnellstens eingeführt werden, forderte er. "Aber ohne die Schwächung auf staatlicher Seite", fügte Kob hinzu.

Die Neuregelung müsse zu einer deutlichen Stärkung der Rolle des BSI als nationale Cybersicherheitsbehörde führen, betonte Andreas Könen, Senior Fellow des Brandenburgischen Instituts für Gesellschaft und Sicherheit (BIGS). Deutliche Schwächen sehe er da, wo es um die Regulierung der Bundesbehörden gehe. Es werde unterschieden zwischen den Ministerien und dem Kanzleramt auf der einen Seite, die höhere Anforderungen erfüllen müssten, und den Bundesbehörden, die unter den schon erreichten Regulierungsstand zurückfielen. "Das ist ein falsches Signal - auch an die Wirtschaft, die jetzt viel breiter reguliert wird", sagte er.

Ein Glaubwürdigkeitsproblem ist aus Sicht von Felix Kuhlenkamp vom IT-Branchenverband Bitkom mit den Ausnahmen für die Bundesbehörden verbunden. Aus Sicht der deutschen Wirtschaft sei zudem die Kommunikation und Unterstützung für regulierte Einrichtungen verbesserungswürdig. In anderen Ländern würden die betroffenen Unternehmen von der Regierung aktiv informiert. In Deutschland hingegen müssten 30.000 Unternehmen selbst herausfinden, "ob sie von NIS-2 betroffen sind".

Kuhlenkamp sprach sich zudem für eine gezielte Aufstockung der Mittel für das BSI aus. Würden diese sinnvoll und an der richtigen Stelle eingesetzt, helfe das den Unternehmen, die bei der Umsetzung auf die fachliche Unterstützung durch das BSI zurückgreifen wollten.

Die Bedrohungslage sei im Cyberraum anhaltend hoch, sagte BSI-Präsidentin Claudia Plattner. Ein sehr hohes Risiko gebe es für kritische Infrastrukturen, Bundesverwaltungen und politische Institutionen. "Cybersicherheit ist inzwischen nationale Sicherheit. Und die braucht das Gesetz dringend", sagte Plattner. Gleichwohl gebe es Nachbesserungsbedarf, so die BSI-Präsidentin. So müssten aus ihrer Sicht IT-Sicherheitsvorgaben für alle Bereiche der Bundesverwaltung gleichermaßen gelten. Die aktuell formulierten Ausnahmen könne man sich nicht leisten.

Zudem entstehe ein massives Glaubwürdigkeitsproblem, "wenn wir selber nicht bereit sind zu tun, was wir von der Wirtschaft erwarten". Plattner sprach sich zudem dafür aus, einen starken Chief Information Security Officers (CISO Bund) als zentralen Koordinator beim BSI anzusiedeln.

Haya Shulmann von der Johann Wolfgang Goethe-Universität Frankfurt am Main forderte, die Funktion des CISO Bund im Gesetzentwurf zu konkretisieren. Ein CISO sei stets Teil der Organisation, für deren Cybersicherheit er verantwortlich ist, benötige aber ein hohes Maß an Autonomie hinsichtlich Kommunikation in und außerhalb der Organisation und hinsichtlich der Ausübung seines Vetorechts.

Die meisten der üblichen CISO-Funktionen lägen heute und auch nach dem NIS2-Umsetzungsgesetz beim BSI, sagte Shulmann. Die CISO-Funktion sollte daher ihrer Auffassung nach dem BSI zugeordnet werden. Andernfalls bestehe die Gefahr kontraproduktiver Doppelstrukturen und einer Gefährdung der Autorität und Autonomie des BSI.

Das Video der Anhörung und die Stellungnahmen der Sachverständigen auf bundestag.de: https://www.bundestag.de/dokumente/textarchiv/2024/kw45-pa-inneres-cyber-1026336
(Deutscher Bundestag: ra)

eingetragen: 13.11.24
Newsletterlauf: 20.01.25


Meldungen: Bundestag, Bundesregierung, Bundesrat

  • AfD will Gebäudeenergiegesetz abschaffen

    Die AfD-Fraktion will das Gebäudeenergiegesetz (GEG) abschaffen und verlangt in einem Antrag (21/227) außerdem, auf die CO2-Bepreisung von Heizöl und Gas zu verzichten. Die entsprechenden Vorschriften sollen "schnellstmöglich, vollständig und ersatzlos" gestrichen werden. Zudem soll die Umsetzung aller entsprechenden EU Verordnungen und Richtlinien (etwa der sogenannte Green Deal der EU) sowie damit verbundene Regulierungen wie der CO2-Grenzausgleich sofort beendet werden.

  • Änderung der Verordnung (EU) 2017/625

    Die Bundestagsfraktion von Bündnis90/Die Grünen drängt auf eine verpflichtende Produktkennzeichnung für Lebensmittel, die genomisch verändert wurden. Anlass ist ein Vorschlag der Europäischen Kommission, die im Juli 2023 einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über mit genomischen Techniken gewonnene Pflanzen und die aus ihnen gewonnenen Lebens- und Futtermittel vorgelegt hat.

  • Steuerhinterziehung & Cum-Cum

    Die Fraktion Bündnis 90/Die Grünen verlangt in einem Antrag (21/226), organisierte Steuerhinterziehung wie die sogenannten Cum-Cum-Deals aufzuklären und die Steuermilliarden konsequent zurückzufordern. Dazu sollen die Aufbewahrungsfristen für Belege bei Finanzinstitutionen verlängert werden. Der Antrag steht am Donnerstag auf der Tagesordnung des Deutschen Bundestages.

  • Ausschuss gegen Cum-Cum-Antrag der Grünen

    Der Finanzausschuss hat mit den Stimmen der Fraktionen von CDU/CSU und SPD einen Antrag der Fraktion von Bündnis 90/Die Grünen mit dem Titel "Organisierte Steuerhinterziehung wie Cum-Cum-Deals aufklären, Steuermilliarden konsequent zurückfordern und Aufbewahrungsfristen für Belege bei Finanzinstitutionen verlängern" (21/226) abgelehnt. Für den Antrag stimmten neben der Antragstellerin die Fraktionen der AfD und Die Linke.

  • Versorgungslage signifikant verbessert

    Die Inbetriebnahme des vom Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) entwickelten Frühwarnsystems bei Arzneimittel-Lieferengpässen in einer funktionsfähigen Basisversion ist nach Angaben der Bundesregierung für das vierte Quartal 2025 vorgesehen. Der Aufbau des Frühwarnsystems habe insbesondere bei der Beobachtung und Bewertung der Versorgung mit antibiotikahaltigen Arzneimitteln für Kinder unterstützende Daten geliefert, heißt es in der Antwort (21/338) der Bundesregierung auf eine Kleine Anfrage (21/171) der AfD-Fraktion.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen