wecon.it-consulting

Es geht weiter - geht es weiter? Nun, immerhin gibt es einen neuen -wieder einmal geleakten- Referentenentwurf (Stand: 26. Mai 2025) zum nationalen NIS-2-Umsetzungsgesetz mit den schlanken Namen "Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung".

Der Einfachheit halber nenne ich es deshalb im Folgenden einfach "NIS2UmsG-E" und gebe einen Überblick über die aus meiner Sicht wesentlichen Änderungen:

Übergreifende Anpassungen im gesamten Artikelgesetz

• Die Namen "Bundesministerium für Inneres", "Bundesministerium für Wirtschaft und Energie", "Bundesministerium der Justiz und für Verbraucherschutz" und "Deutsche Bundesbank" wurden (an die aktuell gültige Namensgebung und Schreibweise) angepasst.
• In Art. 8 "Änderung der Änderung der BSI-Kritisverordnung" NIS2UmsG-E wurde der Begriff "Kritische Infrastruktur" in "kritische Anlage" geändert (betrifft vor allem die Neufassung der BSI-KritisV).

Inhaltliche Änderungen am BSIG-E durch Art. 1 NIS2UmsG-E

• § 28 Abs. 2 Nr. 2 lit b BSIG-E enthält jetzt das durch die NIS-2-Richtlinie erforderliche "oder" (anstelle des "und") und korrigiert damit einen lange vorhandenen Logikfehler in den Bemessungskriterien.
• § 30 Abs. 2 BSIG-E "definiert" die Mindestanforderungen neu. Dabei wurde insbesondere der Begriff "Cyberhygiene" m.E.n. zu eng ausgelegt, denn dieser Begriff meint mehr als klassische Schulungen und beinhaltet regelmäßig auch technische Maßnahmen, bspw. zur Passwortsicherheit.
• § 30 Abs. 7 BSIG-E n.F. enthält nunmehr eine Gebührenbefreiung für "branchenspezifische Sicherheitsstandards" für "besonders wichtige Einrichtungen", m.E. sicher kein wesentlicher Schritt in Richtung mehr "branchenspezifischer Sicherheitsstandards".
• § 30 Abs. 7 BSIG-E a.F. wird gestrichen, dies könnte eine Hürde für den Informationsaustausch darstellen, da die Befürchtung, das BSI könnte Informationen mit anderen Behörden teilen, oder selbst bzw. die andere Behörde könnte Bußgelder aussprechen - beides vlt. nicht ganz unbegründet.
• § 31 Abs. 2 BSIG-E schränkt die Verpflichtung zum Einsatz von SzA nunmehr auf den Scope "kritische Anlagen" ein, eine gute Nachricht für Betreiber "kritischer Anlagen", wenngleich man sich natürlich fragen sollte, ob der Einsatz von SzA nicht auch außerhalb "kritischer Anlagen" angebracht ist.
• § 39 Abs. 1 BSIG-E schränkt die Nachweispflicht für Betreiber kritischer Anlagen auf "kritische Anlagen" ein, die "übrige IT", die aufgrund des größeren Scopes von NIS-2 mit in die Betrachtung fällt, muss somit nach aktuellem Stand nicht in den Nachweis einbezogen werden.
• § 44 BSIG-E setzt als "Mindestanforderung" für die gesamte Bundesverwaltung jetzt auf "Mindeststandards" i.V.m. BSI-Standards und IT-Grundschutz-Kompendium; dadurch (vgl. dazu auch die Erläuterung auf Seite 158 der Gesetzesbegründung) erhält der "IT-Grundschutz [...] hiermit – neben den Mindeststandards – für die Bundesministerien und das Bundeskanzleramt mittelbar Gesetzesrang".
• Anlage 2, Nr. 3.1.1 sieht eine weitere Einschränkung für den Sektor "Produktion, Herstellung und Handel mit chemischen Stoffen" vor; ob diese Definition insgesamt zur NIS-2-Richtlinie konform ist, finde ich mehr als fraglich.

Inhaltliche Anpassungen an der BSI-KritisV durch Art. 8 NIS2UmsG-E

• § 1 BSI-KritisV-E enthält eine Neufassung der "Begriffsbestimmungen". Dabei werden die Definitionen für die Begriffe "Betreiber" und "kritische Dienstleistung" für mich nicht nachvollziehbar ersatzlos gestrichen. Während für die Definition "kritische Dienstleistung" ersatzweise auch auf § 2 Nr. 24 BSIG-E zurückgegriffen werden kann, fehlt dort die Definition "Betreiber".
• § 7 BSI-KritisV bekommt eine neue Überschrift, die den Regelungskontext dieses Sektors nunmehr auf das "Finanzwesen" beschränkt. Damit fallen -im Zusammenhang mit der Neuregelung des Sektors "Sozialversicherungsträger sowie Grundsicherung für Arbeitssuchende"- insbesondere Anlagen im Bereich der privaten Kranken- und Lebensversicherung nicht mehr in den Geltungsbereich.
• § 7 Abs. 6 und 8 BSI-KritisV werden ersatzlos gestrichen. Dies bedeutet vor allem auch, dass der Sonderpassus der "tatsächlichen Sachherrschaft" im bisherigen Abs. 8 entfällt; dieser hatte aber m.E.n. im Bereich des Bankenwesens eine wichtige Funktion, denn er stellte sicher, dass abweichend zur sonstigen Vorgehensweise nicht die Bank, sondern deren IT-Dienstleister direkter Betreiber der "kritischen Anlage" wird. Sollte diese Änderungen kein redaktionelles Versehen sein, sondern tatsächlich mit den geänderten "Begriffsbestimmungen" eine Neuordnung anstrebt werden, wäre damit in diesem Sektor wohl eine bedeutende Änderung der Betreibereigenschaft verbunden.
• § 8 BSI-KritisV-E definiert nunmehr den "Sektor Sozialversicherungsträger sowie Grundsicherung für Arbeitssuchende". Leider wurde der entsprechende Anhang zur BSI-KritisV im Entwurf als "gestrichen" markiert, was aber hoffentlich nur ein redaktionelles Versehen darstellt.
• Anhang 1 Nr. 2.2 BSI-KritisV bekommt eine neue Anlagenkategorie "Digitaler Energiedienst", die die bisherigen Anlagenkategorie "Anlage oder System zur Bündelung und Steuerung elektrischer Leistung" ersetzt bzw. inhaltlich erweitert.

Auch in der Gesetzesbegründung werden umfangreiche Anpassungen vorgenommen, vor allem im Kontext des Finanzbedarfs, der sich durch das Gesetzesvorhaben ergibt. Ansonsten sind m.E.n. vor allem die Erläuterungen zu den Begriffen "Cloud-Computing-Dienste" (Seite 144), "DNS-Dienste" (Seite 145) und "MSP" und "MSSP" (Seite 147) interessant. Allerdings finde ich sie leider nicht wirklich hilfreich und im Falle der Einschränkung im Kontext DNS-Dienst auch mehr als fragwürdig.

Nebenbei bemerkt: Artikel 17 NIS2UmsG-E fordert jetzt ein "Einvernehmen" statt ein "Benehmen", das BSI bekommt hier also im Vergleich zum vorherigen Entwurf mehr Einfluss auf die Gestaltung des IT-SiKat (betrifft den neuen § 5c EnWG-E).

Einige Punkte bleiben aber nach wie vor ungeklärt, so insbesondere die Frage, ob die Einschränkung des Geltungsbereichs durch § 28 Abs. 3 BSIG-E überhaupt konform zur NIS-2-Richtlinie ist und ob man nicht besser beim Begriff der "wesentlichen" (anstelle von "besonders wichtigen") Einrichtungen bleibt. Insgesamt bleibt also abzuwarten, ob und wie schnell die Weiterentwicklung dieses Referentenentwurfs erfolgt. Insbesondere mit Blick auf Art. 8 NIS2UmsG-E erscheint eine Klarstellung und Überarbeitung dringend geboten. Was wir nämlich überhaupt nicht gebrauchen können, ist ein Gesetz mit "halbgarer" Verordnung.

BTW: Offensichtlich weiß das Ministerium selbst noch nicht, dass sein Name geändert wurde, denn der Referentenentwurf stammt noch vom "Bundesministeriums des Innern und für Heimat" *Zwinkersmiley*