wecon.it-consulting

Jetzt geht es aber Schlag auf Schlag: Seit wenigen Tagen steht erneut ein geleakter "Entwurf eines Gesetzes zur Umsetzung der NIS-2 Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung" (Stand: 2. Juni 2025) zur Diskussion bereit. Der Einfachheit halber nenne ich diesen wieder NIS2UmsG-E und stelle im Folgenden die wesentlichen Änderungen ggü. dem Entwurf mit Stand vom 26. Mai 2025 vor.

• In den Begriffsbestimmungen wurde in § 2 Nr. 24 "kritische Dienstleistung" BSIG-E folgerichtig nunmehr der (Teil-)Sektor "Versicherungswesen" gestrichen bzw. durch den neuen Sektor "Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende" ersetzt. Das manifestiert meine Überlegung, dass insbesondere private Kranken- und Lebensversicherungen nicht mehr in den Anwendungsbereich der "kritischen Anlagen" fallen sollen. Eine Erklärung dazu wäre, dass diese ja als Teilaspekt der Finanzwirtschaft auch durch den "Digital Operational Resilience Act" (DORA) reguliert sind und man hier eine unnötige Doppelregulierung grundsätzlich vermeiden möchte.
• Weiterhin fällt auf, dass es eine Änderung im neuen § 28 Abs. 3 BSIG-E gibt, die es tatsächlich in sich haben könnte. Denn die Einschränkung in § 28. Abs. 3 S. 1 Nr. 1 BSIG-E a.F., dass bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme auf "die der Einrichtungsart zuzuordnende Geschäftstätigkeit abzustellen" ist aufgehoben worden. jetzt heißt es in § 28 Abs. 3 BSIG-E: "Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind." Das weitet den Anwendungsbereich grundsätzlich (wieder) aus, gleichzeitig ist aber wieder einmal fraglich, ob diese Regelung konform zur NIS-2-Richtlinie ist, die m.E.n. grundsätzlich keinerlei solche Ausnahmen vorsieht.
• In den Regelungen zum Erlass von Rechtsverordnungen wurde in § 56 Abs. 4 BSIG-E, der die Rechtsverordnung bzgl. "kritischer Anlagen" regelt,  der Passus "nach Anhörung von Vertretern der Wissenschaft, der betroffenen Betreiber und der betroffenen Wirtschaftsverbände" gestrichen.  Das ist mir insoweit unverständlich, da die alte Formulierung auch keine verbindliche Regelung enthielt, die Ergebnisse der Anhörung umsetzen zu müssen. Durch diese vollständige Streichung wird einmal mehr der Eindruck erweckt, die Regelungen der BSI-KritisV werden ohne diejenigen erdacht, die von diesen schlussendlich betroffen sind.
• In Art. 7 NIS2UmsG-E fehlt immer noch der Anhang zur Definition der Schwellenwerte für den neu geschaffenen Sektor "Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende". Ebenso haben die mir unverständlichen Streichung der Definitionen für "Betreiber" und "kritische Dienstleistungen" sowie die Streichung der Regelung zur "tatsächlichen Sachherrschaft" Bestand. Insgesamt ist dieser Artikel des NIS2UmsG-E damit immer noch unvollständig und inhaltlich fragwürdig. Insbesondere hier bleibt also abzuwarten, wie sich der Referentenentwurf weiter entwickelt.

Summa summarum: Es gibt nach wie vor viele offene Baustellen, aber immerhin trägt der Referentenentwurf jetzt den richtigen Namen des federführenden Ministeriums: "Bundesministerium des Innern". Na wenn das kein Grund zur Hoffnung ist *Zwinkersmiley*

Es geht weiter - geht es weiter? Nun, immerhin gibt es einen neuen -wieder einmal geleakten- Referentenentwurf (Stand: 26. Mai 2025) zum nationalen NIS-2-Umsetzungsgesetz mit den schlanken Namen "Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung".

Der Einfachheit halber nenne ich es deshalb im Folgenden einfach "NIS2UmsG-E" und gebe einen Überblick über die aus meiner Sicht wesentlichen Änderungen:

Übergreifende Anpassungen im gesamten Artikelgesetz

• Die Namen "Bundesministerium für Inneres", "Bundesministerium für Wirtschaft und Energie", "Bundesministerium der Justiz und für Verbraucherschutz" und "Deutsche Bundesbank" wurden (an die aktuell gültige Namensgebung und Schreibweise) angepasst.
• In Art. 8 "Änderung der Änderung der BSI-Kritisverordnung" NIS2UmsG-E wurde der Begriff "Kritische Infrastruktur" in "kritische Anlage" geändert (betrifft vor allem die Neufassung der BSI-KritisV).

Inhaltliche Änderungen am BSIG-E durch Art. 1 NIS2UmsG-E

• § 28 Abs. 2 Nr. 2 lit b BSIG-E enthält jetzt das durch die NIS-2-Richtlinie erforderliche "oder" (anstelle des "und") und korrigiert damit einen lange vorhandenen Logikfehler in den Bemessungskriterien.
• § 30 Abs. 2 BSIG-E "definiert" die Mindestanforderungen neu. Dabei wurde insbesondere der Begriff "Cyberhygiene" m.E.n. zu eng ausgelegt, denn dieser Begriff meint mehr als klassische Schulungen und beinhaltet regelmäßig auch technische Maßnahmen, bspw. zur Passwortsicherheit.
• § 30 Abs. 7 BSIG-E n.F. enthält nunmehr eine Gebührenbefreiung für "branchenspezifische Sicherheitsstandards" für "besonders wichtige Einrichtungen", m.E. sicher kein wesentlicher Schritt in Richtung mehr "branchenspezifischer Sicherheitsstandards".
• § 30 Abs. 7 BSIG-E a.F. wird gestrichen, dies könnte eine Hürde für den Informationsaustausch darstellen, da die Befürchtung, das BSI könnte Informationen mit anderen Behörden teilen, oder selbst bzw. die andere Behörde könnte Bußgelder aussprechen - beides vlt. nicht ganz unbegründet.
• § 31 Abs. 2 BSIG-E schränkt die Verpflichtung zum Einsatz von SzA nunmehr auf den Scope "kritische Anlagen" ein, eine gute Nachricht für Betreiber "kritischer Anlagen", wenngleich man sich natürlich fragen sollte, ob der Einsatz von SzA nicht auch außerhalb "kritischer Anlagen" angebracht ist.
• § 39 Abs. 1 BSIG-E schränkt die Nachweispflicht für Betreiber kritischer Anlagen auf "kritische Anlagen" ein, die "übrige IT", die aufgrund des größeren Scopes von NIS-2 mit in die Betrachtung fällt, muss somit nach aktuellem Stand nicht in den Nachweis einbezogen werden.
• § 44 BSIG-E setzt als "Mindestanforderung" für die gesamte Bundesverwaltung jetzt auf "Mindeststandards" i.V.m. BSI-Standards und IT-Grundschutz-Kompendium; dadurch (vgl. dazu auch die Erläuterung auf Seite 158 der Gesetzesbegründung) erhält der "IT-Grundschutz [...] hiermit – neben den Mindeststandards – für die Bundesministerien und das Bundeskanzleramt mittelbar Gesetzesrang".
• Anlage 2, Nr. 3.1.1 sieht eine weitere Einschränkung für den Sektor "Produktion, Herstellung und Handel mit chemischen Stoffen" vor; ob diese Definition insgesamt zur NIS-2-Richtlinie konform ist, finde ich mehr als fraglich.

Inhaltliche Anpassungen an der BSI-KritisV durch Art. 8 NIS2UmsG-E

• § 1 BSI-KritisV-E enthält eine Neufassung der "Begriffsbestimmungen". Dabei werden die Definitionen für die Begriffe "Betreiber" und "kritische Dienstleistung" für mich nicht nachvollziehbar ersatzlos gestrichen. Während für die Definition "kritische Dienstleistung" ersatzweise auch auf § 2 Nr. 24 BSIG-E zurückgegriffen werden kann, fehlt dort die Definition "Betreiber".
• § 7 BSI-KritisV bekommt eine neue Überschrift, die den Regelungskontext dieses Sektors nunmehr auf das "Finanzwesen" beschränkt. Damit fallen -im Zusammenhang mit der Neuregelung des Sektors "Sozialversicherungsträger sowie Grundsicherung für Arbeitssuchende"- insbesondere Anlagen im Bereich der privaten Kranken- und Lebensversicherung nicht mehr in den Geltungsbereich.
• § 7 Abs. 6 und 8 BSI-KritisV werden ersatzlos gestrichen. Dies bedeutet vor allem auch, dass der Sonderpassus der "tatsächlichen Sachherrschaft" im bisherigen Abs. 8 entfällt; dieser hatte aber m.E.n. im Bereich des Bankenwesens eine wichtige Funktion, denn er stellte sicher, dass abweichend zur sonstigen Vorgehensweise nicht die Bank, sondern deren IT-Dienstleister direkter Betreiber der "kritischen Anlage" wird. Sollte diese Änderungen kein redaktionelles Versehen sein, sondern tatsächlich mit den geänderten "Begriffsbestimmungen" eine Neuordnung anstrebt werden, wäre damit in diesem Sektor wohl eine bedeutende Änderung der Betreibereigenschaft verbunden.
• § 8 BSI-KritisV-E definiert nunmehr den "Sektor Sozialversicherungsträger sowie Grundsicherung für Arbeitssuchende". Leider wurde der entsprechende Anhang zur BSI-KritisV im Entwurf als "gestrichen" markiert, was aber hoffentlich nur ein redaktionelles Versehen darstellt.
• Anhang 1 Nr. 2.2 BSI-KritisV bekommt eine neue Anlagenkategorie "Digitaler Energiedienst", die die bisherigen Anlagenkategorie "Anlage oder System zur Bündelung und Steuerung elektrischer Leistung" ersetzt bzw. inhaltlich erweitert.

Auch in der Gesetzesbegründung werden umfangreiche Anpassungen vorgenommen, vor allem im Kontext des Finanzbedarfs, der sich durch das Gesetzesvorhaben ergibt. Ansonsten sind m.E.n. vor allem die Erläuterungen zu den Begriffen "Cloud-Computing-Dienste" (Seite 144), "DNS-Dienste" (Seite 145) und "MSP" und "MSSP" (Seite 147) interessant. Allerdings finde ich sie leider nicht wirklich hilfreich und im Falle der Einschränkung im Kontext DNS-Dienst auch mehr als fragwürdig.

Nebenbei bemerkt: Artikel 17 NIS2UmsG-E fordert jetzt ein "Einvernehmen" statt ein "Benehmen", das BSI bekommt hier also im Vergleich zum vorherigen Entwurf mehr Einfluss auf die Gestaltung des IT-SiKat (betrifft den neuen § 5c EnWG-E).

Einige Punkte bleiben aber nach wie vor ungeklärt, so insbesondere die Frage, ob die Einschränkung des Geltungsbereichs durch § 28 Abs. 3 BSIG-E überhaupt konform zur NIS-2-Richtlinie ist und ob man nicht besser beim Begriff der "wesentlichen" (anstelle von "besonders wichtigen") Einrichtungen bleibt. Insgesamt bleibt also abzuwarten, ob und wie schnell die Weiterentwicklung dieses Referentenentwurfs erfolgt. Insbesondere mit Blick auf Art. 8 NIS2UmsG-E erscheint eine Klarstellung und Überarbeitung dringend geboten. Was wir nämlich überhaupt nicht gebrauchen können, ist ein Gesetz mit "halbgarer" Verordnung.

BTW: Offensichtlich weiß das Ministerium selbst noch nicht, dass sein Name geändert wurde, denn der Referentenentwurf stammt noch vom "Bundesministeriums des Innern und für Heimat" *Zwinkersmiley*