wecon.it-consulting

Jetzt geht es aber Schlag auf Schlag: Seit wenigen Tagen steht erneut ein geleakter "Entwurf eines Gesetzes zur Umsetzung der NIS-2 Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung" (Stand: 2. Juni 2025) zur Diskussion bereit. Der Einfachheit halber nenne ich diesen wieder NIS2UmsG-E und stelle im Folgenden die wesentlichen Änderungen ggü. dem Entwurf mit Stand vom 26. Mai 2025 vor.

• In den Begriffsbestimmungen wurde in § 2 Nr. 24 "kritische Dienstleistung" BSIG-E folgerichtig nunmehr der (Teil-)Sektor "Versicherungswesen" gestrichen bzw. durch den neuen Sektor "Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende" ersetzt. Das manifestiert meine Überlegung, dass insbesondere private Kranken- und Lebensversicherungen nicht mehr in den Anwendungsbereich der "kritischen Anlagen" fallen sollen. Eine Erklärung dazu wäre, dass diese ja als Teilaspekt der Finanzwirtschaft auch durch den "Digital Operational Resilience Act" (DORA) reguliert sind und man hier eine unnötige Doppelregulierung grundsätzlich vermeiden möchte.
• Weiterhin fällt auf, dass es eine Änderung im neuen § 28 Abs. 3 BSIG-E gibt, die es tatsächlich in sich haben könnte. Denn die Einschränkung in § 28. Abs. 3 S. 1 Nr. 1 BSIG-E a.F., dass bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme auf "die der Einrichtungsart zuzuordnende Geschäftstätigkeit abzustellen" ist aufgehoben worden. jetzt heißt es in § 28 Abs. 3 BSIG-E: "Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind." Das weitet den Anwendungsbereich grundsätzlich (wieder) aus, gleichzeitig ist aber wieder einmal fraglich, ob diese Regelung konform zur NIS-2-Richtlinie ist, die m.E.n. grundsätzlich keinerlei solche Ausnahmen vorsieht.
• In den Regelungen zum Erlass von Rechtsverordnungen wurde in § 56 Abs. 4 BSIG-E, der die Rechtsverordnung bzgl. "kritischer Anlagen" regelt,  der Passus "nach Anhörung von Vertretern der Wissenschaft, der betroffenen Betreiber und der betroffenen Wirtschaftsverbände" gestrichen.  Das ist mir insoweit unverständlich, da die alte Formulierung auch keine verbindliche Regelung enthielt, die Ergebnisse der Anhörung umsetzen zu müssen. Durch diese vollständige Streichung wird einmal mehr der Eindruck erweckt, die Regelungen der BSI-KritisV werden ohne diejenigen erdacht, die von diesen schlussendlich betroffen sind.
• In Art. 7 NIS2UmsG-E fehlt immer noch der Anhang zur Definition der Schwellenwerte für den neu geschaffenen Sektor "Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende". Ebenso haben die mir unverständlichen Streichung der Definitionen für "Betreiber" und "kritische Dienstleistungen" sowie die Streichung der Regelung zur "tatsächlichen Sachherrschaft" Bestand. Insgesamt ist dieser Artikel des NIS2UmsG-E damit immer noch unvollständig und inhaltlich fragwürdig. Insbesondere hier bleibt also abzuwarten, wie sich der Referentenentwurf weiter entwickelt.

Summa summarum: Es gibt nach wie vor viele offene Baustellen, aber immerhin trägt der Referentenentwurf jetzt den richtigen Namen des federführenden Ministeriums: "Bundesministerium des Innern". Na wenn das kein Grund zur Hoffnung ist *Zwinkersmiley*