Der von der Bundesregierung vorgelegte Gesetzentwurf zur Umsetzung der sogenannten NIS-2-Richtlinie der EU, der zugleich der „Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ (20/13184) dienen soll, ist bei einer öffentlichen Anhörung des Innenausschusses am Montag, 4. November 20204, auf Kritik gestoßen. Ziel der NIS-2-Richtlinie ist laut Bundesregierung die Einführung verbindlicher Maßnahmen für Verwaltung und Wirtschaft, mit denen in der gesamten Europäischen Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll.
Die Sachverständigen waren sich einig, dass eine Umsetzung der NIS-2-Richtlinie zügig erfolgen müsse. Insbesondere die Ausnahmeregelungen für staatliche Verwaltungen stießen jedoch auf Widerspruch. Gleichzeitig wurde eine bessere Verzahnung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes mit dem KRITIS-Dachgesetz sowie eine Klarstellung der Rolle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gefordert.
Kritik an fehlender Harmonisierung
Unterschiedliche Umsetzungen der NIS-2-Richtlinie in den Mitgliedstaaten stellten für EU-weit agierende Unternehmen eine Herausforderung dar, sagte Boris Eisengräber, Leiter Cyber Security des Software-Unternehmens Schwarz Digits. Effektive Reaktionen auf Cyberangriffe würden so erschwert, sagte er. Ein effektives Cybersicherheitsniveau könne nicht allein durch das BSI oder die jeweiligen Sicherheitsfunktionen in Unternehmen gewährleistet werden, betonte Eisengräber. Dies sei vielmehr eine gesamtgesellschaftliche Aufgabe. Der Ausschluss staatlicher Stellen und Behörden im Gesetz sei daher der falsche Weg und schwäche die staatliche Vorbildfunktion und das einheitliche Cybersicherheitsniveau.
Sven Herpig, Lead Cybersecurity Policy and Resilience interface beim Verein Tech analysis and policy ideas for Europe, sieht die mit der NIS-2-Umsetzung verbundene Chance zur Erreichung einer harmonisierten IT-Sicherheitsregulierung als vertan an. Deutschland behalte nun neben seiner fragmentierten IT-Sicherheitsarchitektur, seiner fragmentierten Cybersicherheitsstrategie auch eine fragmentierte IT-Sicherheitsregulierung. „Das ist weder effektiv noch effizient oder im Sinne der Cybersicherheit dieses Landes“, befand er. Auch die im Koalitionsvertrag festgeschriebene unabhängigere Aufstellung des BSI werde mit dem Gesetzentwurf nicht angegangen.
Viele Schwächen und Unklarheiten im Gesetzentwurf
Nach Einschätzung von Prof. Dr. Dennis-Kenji Kipker von der Universität Bremen enthält der Entwurf noch zu viele Schwächen und Unklarheiten, teilweise auch Maßgaben, „die der Erhöhung des allgemeinen Cybersicherheitsniveaus nicht förderlich sind“. Hauptkritikpunkte beträfen dabei die nach wie vor im nationalen Verwaltungsgefüge unklare Rolle des BSI, die nicht angetastet worden sei. Und das, obwohl das BSI nicht nur in seiner Rolle als Zentralstelle für Cybersicherheit einen massiven weiteren Ausbau erfahren solle, sondern mit NIS-2 auch zahlreiche weitere Befugnisse erhalten werde. Im Hinblick auf den Datenschutz enthält der Entwurf laut Kipker weitere erhebliche und nennenswerte Schwächen, „die teils sogar unionsrechtswidrig sein dürften“.
Von einem Rückschritt sprach Prof. Timo Kob, Vorstandsmitglied der HiSolutions AG. Mit Blick auf die Ausnahmen, die für nachgeordnete Behörden gemacht würden, sagte Kob: „Wenn man sagt, dass Ketten nur so stark sind, wie das schwächste Glied, dann haben wir hier ein Cybersicherheitsschwächungsgesetz“, sagte er. Das Gesetz müsse schnellstens eingeführt werden, forderte er. „Aber ohne die Schwächung auf staatlicher Seite“, fügte Kob hinzu.
Forderung nach stärkerer Rolle des BSI
Die Neuregelung müsse zu einer deutlichen Stärkung der Rolle des BSI als nationale Cybersicherheitsbehörde führen, betonte Andreas Könen, Senior Fellow des Brandenburgischen Instituts für Gesellschaft und Sicherheit (BIGS). Deutliche Schwächen sehe er da, wo es um die Regulierung der Bundesbehörden gehe. Es werde unterschieden zwischen den Ministerien und dem Kanzleramt auf der einen Seite, die höhere Anforderungen erfüllen müssten, und den Bundesbehörden, die unter den schon erreichten Regulierungsstand zurückfielen. „Das ist ein falsches Signal - auch an die Wirtschaft, die jetzt viel breiter reguliert wird“, sagte er.
Ein Glaubwürdigkeitsproblem ist aus Sicht von Felix Kuhlenkamp vom IT-Branchenverband Bitkom mit den Ausnahmen für die Bundesbehörden verbunden. Aus Sicht der deutschen Wirtschaft sei zudem die Kommunikation und Unterstützung für regulierte Einrichtungen verbesserungswürdig. In anderen Ländern würden die betroffenen Unternehmen von der Regierung aktiv informiert. In Deutschland hingegen müssten 30.000 Unternehmen selbst herausfinden, „ob sie von NIS-2 betroffen sind“.
Kuhlenkamp sprach sich zudem für eine gezielte Aufstockung der Mittel für das BSI aus. Würden diese sinnvoll und an der richtigen Stelle eingesetzt, helfe das den Unternehmen, die bei der Umsetzung auf die fachliche Unterstützung durch das BSI zurückgreifen wollten.
BSI-Präsidentin: Gesetz ist dringend
Die Bedrohungslage sei im Cyberraum anhaltend hoch, sagte BSI-Präsidentin Claudia Plattner. Ein sehr hohes Risiko gebe es für kritische Infrastrukturen, Bundesverwaltungen und politische Institutionen. „Cybersicherheit ist inzwischen nationale Sicherheit. Und die braucht das Gesetz dringend“, sagte Plattner. Gleichwohl gebe es Nachbesserungsbedarf, so die BSI-Präsidentin. So müssten aus ihrer Sicht IT-Sicherheitsvorgaben für alle Bereiche der Bundesverwaltung gleichermaßen gelten. Die aktuell formulierten Ausnahmen könne man sich nicht leisten.
Zudem entstehe ein massives Glaubwürdigkeitsproblem, „wenn wir selber nicht bereit sind zu tun, was wir von der Wirtschaft erwarten“. Plattner sprach sich zudem dafür aus, einen starken Chief Information Security Officers (CISO Bund) als zentralen Koordinator beim BSI anzusiedeln.
Experte sieht Autorität des BSI in Gefahr
Dr. Haya Schulmann von der Johann Wolfgang Goethe-Universität Frankfurt am Main forderte, die Funktion des CISO Bund im Gesetzentwurf zu konkretisieren. Ein CISO sei stets Teil der Organisation, für deren Cybersicherheit er verantwortlich ist, benötige aber ein hohes Maß an Autonomie hinsichtlich Kommunikation in und außerhalb der Organisation und hinsichtlich der Ausübung seines Vetorechts.
Die meisten der üblichen CISO-Funktionen lägen heute und auch nach dem NIS2-Umsetzungsgesetz beim BSI, sagte Shulmann. Die CISO-Funktion sollte daher ihrer Auffassung nach dem BSI zugeordnet werden. Andernfalls bestehe die Gefahr kontraproduktiver Doppelstrukturen und einer Gefährdung der Autorität und Autonomie des BSI. (hau/04.11.2024)