Informationssicherheit in der Bundesverwaltung
Der Bundestag hat am Donnerstag, 11. September 2025, erstmals einen Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (21/1501) beraten. Im Anschluss an die einstündige erste Lesung wurde die Vorlage zur weiteren Beratung an die Ausschüsse überwiesen. Die Federführung liegt beim Innenausschuss.
Regierung: Die Bedrohungslage ist angespannt
Da Deutschland eine große Wirtschaftsnation in Europa und eine strategische Drehscheibe der Nato sei, hätten die „Feinde unseres Wohlstandes und unserer Demokratie unseren Cyberraum im Visier“, sagte die Parlamentarische Staatssekretärin im Bundesministerium des Innern, Daniela Ludwig (CSU), zu Beginn der Debatte. Die Bedrohungslage sei angespannt, die Cyberangriffe nähmen weiter zu – „von Kriminellen wie auch von ausländischen Nachrichtendiensten“. Hacker erpressten Konzerne, Krankenhäuser und Kommunen. Sie könnten „ganze Infrastrukturen lahmlegen“.
Daher, so Ludwig, sei es höchste Zeit zu handeln. Mit der Umsetzung der NIS2-Richtlinie werde ein deutlich höheres Sicherheitsniveau für die Wirtschaft und die Bundesverwaltung erreicht. Die Richtlinie sehe Mindestanforderungen an organisatorische und technische Maßnahmen sowie Meldepflichten über Sicherheitsvorfälle vor. Betroffen davon seien künftig mehr Unternehmen in mehr Wirtschaftsbereichen. Statt jetzt 4.500 Unternehmen seien es in der Zukunft mehr als 30.000.
AfD: Gesetzliche Mindeststandards unausweichlich
Steffen Janich (AfD) kündigte die Zustimmung seiner Fraktion zu der Vorlage an. Gesetzliche Mindeststandards für den Schutz des Cyberraums seien unausweichlich, befand er. Zwar führe deren Implementierung bei den Unternehme zu höheren Kosten und mehr Bürokratie. Wer dies ablehne müsse sich aber fragen lassen, „ob ihm das Risiko einer Insolvenz seines Unternehmens wirklich lieber ist“.
Janich verwies darauf, dass schon unter der Ampel-Koalition die NIS2-Umsetzung geplant war, dies aber nach dem Koalitions-Aus nicht mehr umsetzbar gewesen sei. Das Gute daran sei, dass die Unternehmen nun fast ein Jahr mehr Zeit hatten, um die notwendige Registrierung vorzubereiten. Dass Unternehmen mit weniger als 50 Mitarbeitern „von dem Bürokratieaufwuchs verschont bleiben“, sei zu begrüßen, so der AfD-Abgeordnete. Auch diese Unternehmen sollten aber die IT-Sicherheit ihrer Netzwerke ernst nehmen.
SPD: IT-Sicherheit ist kein technisches Detail
Die Cyberangriffe seien kein Randphänomen und die Bedrohungslage sehr real, sagte Johannes Schätzl (SPD). Laut dem Branchenverband Bitkom verursachten die Angriffe bei den Unternehmen in Deutschland jährlich einen Schaden in Höhe von 260 Milliarden Euro. IT-Sicherheit sei kein technisches Detail, sondern eine Frage der öffentlichen Sicherheit, betonte er. Genauso wie auf Feuerwehr und Polizei zurückgegriffen werde, müsse man auch auf eine digitale Feuerwehr zurückgreifen können, „die Angriffe verhindert, erkennt und bestenfalls abwehren kann“.
Im parlamentarischen Verfahren werde noch über einige Punkte zu reden sein, so Schätzl. Es müsse darüber gesprochen werden, „wie wir das Bundesamt für die Informationssicherheit (BSI) noch mehr stärken können“ und wie weit der Anwendungsbereich des Gesetzes gezogen werden soll. „Egal wie stark wir die Tresortür vorne noch verstärken: Wenn die Nebeneingangstür offenbleibt, haben wir in der IT-Sicherheit wenig gewonnen“, sagte der SPD-Abgeordnete.
Grüne kritisieren „entkernte“ Vorlage
Konstantin von Notz (Bündnis 90/Die Grünen) konstatierte: „Im Bereich der IT-Sicherheit brennt die Hütte seit Jahren lichterloh.“ Die Lage sei deshalb so schlimm, weil man 15 Jahre das Digitale als Neuland verbrämt habe und als einzige Antwort auf die komplexen Sicherheitsherausforderungen im digitalen Zeitalter „immer mit der Vorratsdatenspeicherung um die Ecke kommt“, sagte der Grünenabgeordnete an die Union gewandt. Damit müsse Schluss sein.
Notz wies daraufhin, dass die Grünen schon in der vergangenen Legislaturperiode auf eine Umsetzung der NIS-Richtlinie gedrängt hätten. Nach dem Bruch der Ampel sei man auf die Union zugekommen, die sich aber der staatspolitischen Verantwortung entzogen habe. Nun komme von der aktuellen Bundesregierung eine „völlig entkernte Vorlage“. Es gebe kein Schwachstellenmanagement und auch keine Aufnahme der öffentlichen Verwaltung in den KRITIS-Bereich, bemängelte er.
Linke fordert dynamische Fehlerkultur
Donata Vogtschmidt (Die Linke) kritisierte ebenfalls, dass „ausgerechnet der Staat selbst versucht, sich aus der Cybersicherheit zurückzuziehen“. Einen IT-Grundschutz solle es laut Entwurf nur noch für das Kanzleramt und die Ministerien geben – nicht aber für die übrige Bundesverwaltung.
Selbst diese „laschen Anforderungen“ sollen laut Vogtschmidt dem BSI erst nach fünf statt nach drei Jahren nachgewiesen werden müssen. „Mit dynamischer Fehlerkultur und Lernprozessen hat das herzlich wenig zu tun“, befand die Linken-Abgeordnete. Und das, obwohl die Bundesverwaltung bei Vernachlässigung nicht einmal die Bußgelder fürchten müsse, die anderen Bereichern bei Verstößen auferlegt würden.
Union: Der Gesetzentwurf ist ein Anfang
Marc Henrichmann (CDU/CSU) ging auf den Vorwurf der Grünen ein. Die Ampel-Regierung habe sich beim Versuch der NIS2-Umsetzung in ideologischen Debatten untereinander „komplett verloren“. Nach dreieinhalb Jahren, „auf den letzten Drücker“, als die Union guten Willens gewesen sei, hätten die Grünen so viele Veränderungen in das Gesetz eingebaut „und die ganze Wirtschaft auf Links gedreht“. So könne man aber keine Gesetze machen, befand Henrichmann.
Der vorliegende Gesetzentwurf sei ein Anfang, „aber noch nicht rund“, so der Unionsabgeordnete. Es reiche nicht aus, nur die Bundesministerien und das Kanzleramt miteinzubeziehen. Auch die nachgeordneten Behörden des Bundes müssten erfasst werden. Schließlich sei das schwächste Glied einer Kette entscheidend dafür, „ob sie reißt und wie groß der Schaden wird“. Dabei gehe es auch um eine Vorbildwirkung. „Wie will ich Mittelständlern und Unternehmen erklären, dass sie entsprechende Vorkehrungen treffen müssen, die für Bürokratie sorgen und Geld kosten, während der Bund sagt, er macht es nicht, weil es zu teuer ist“, sagte er.
Vorgaben aus Brüssel
Die Nis-2-Richtlinie setzt unter anderem strengere Sicherheitsanforderungen voraus, sieht umfangreiche Meldepflichten bei Sicherheitsvorfällen sowie schärfere Sanktionen bei Verstößen vor. Ziel ist nach Regierungsangaben die Einführung verbindlicher Maßnahmen für Verwaltung und Wirtschaft, um in der gesamten Europäischen Union „ein hohes gemeinsames Cybersicherheitsniveau“ sicherzustellen.
Entsprechend der unionsrechtlichen Vorgaben soll der mit dem IT-Sicherheitsgesetz und IT-Sicherheitsgesetz 2.0 geschaffene Ordnungsrahmen durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz für den Bereich bestimmter Unternehmen erweitert werden. Zusätzlich sollen entsprechende Vorgaben für die Bundesverwaltung eingeführt werden. Der Entwurf sieht vor, dass der Anwendungsbereich ausgeweitet und neue Einrichtungskategorien eingeführt werden. Zudem soll die bislang einstufige Meldepflicht bei Sicherheitsvorfällen durch ein dreistufiges Melderegime ersetzt werden. Das Instrumentarium des Bundesamts für Sicherheit in der Informationstechnik (BSI) soll im Hinblick auf Aufsichtsmaßnahmen erweitert werden. Darüber hinaus soll in der Bundesverwaltung ein zentraler Koordinator (CISO Bund) für Maßnahmen zur Informationssicherheit in deren Einrichtungen etabliert werden. Dieser soll auch die Ressorts bei der Umsetzung der Vorgaben für das Informationssicherheitsmanagement unterstützen.
Laut der Bundesregierung hat die Europäische Kommission das Risiko für die Sicherheit kritischer Infrastruktur vor physischen und Cyberangriffen als eines von vier Hauptrisiken für die europäische Volkswirtschaft identifiziert. Die Erhöhung der Resilienz der Wirtschaft gegenüber den Gefahren krimineller oder staatlicher Angriffe sei eine zentrale Aufgabe für die beteiligten Akteure in Staat, Wirtschaft und Gesellschaft, heißt es weiter. Für das Informationssicherheitsmanagement in der Bundesverwaltung haben sich „die bisherigen Steuerungsinstrumente auf überwiegend untergesetzlicher Basis als nicht ausreichend effektiv erwiesen“, um eine flächendeckend wirksame Steigerung des Sicherheitsniveaus zu erreichen, heißt es im Entwurf.
Für den Bundeshaushalt entstehen durch das Gesetz bei der Bundesverwaltung einmalige Ausgaben in Höhe von rund 59 Millionen Euro sowie bis zum Jahr 2029 laufende jährliche Ausgaben in Höhe von durchschnittlich rund 212 Millionen Euro. Der Wirtschaft sollen einmalig 2,2 Milliarden Euro sowie laufend 2,3 Milliarden Euro jährlich an Kosten entstehen. Mehrausgaben für Länder und Kommunen sind nicht vorgesehen.
Stellungnahme des Bundesrates
Der Bundesrat begrüßt die geplante Umsetzung der NIS-2-Richtlinie, fordert aber zahlreiche Nachbesserungen vor allem bei der Einbindung der Länder und bei Entbürokratisierung, Umsetzbarkeit und beim Verbraucherschutz. Die Bundesregierung lehnt diese Forderungen mehrheitlich ab, wie aus der Stellungnahme des Bundesrates (21/2072) hervorgeht.
Unter anderem fordert die Länderkammer für eine bessere Bekämpfung von Fake-Shops und den Schutz von Verbrauchern, Domain-Namen-Registrierungsdaten vollständig in der Datenbank vorzuhalten sowie einen Echtzeit-Zugriff auf Registrierungsdaten durch berechtigte Stellen. Weiter fordert der Bundesrat, die Länder sollten explizit in Unterstützungsaufgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) aufgenommen werden und die Informationsaustausch- und Meldeplattform sollte für die Länder geöffnet werden. Damit Meldeverfahren vollständig digital und medienbruchfrei über eine Online-Plattform laufen, schlagen die Länder Online-Formulare des BSI vor, die gleichzeitig Meldungen nach NIS-2 und Datenschutz-Grundverordnung (DSGVO) ermöglichen.
Zwei kleinere Änderungsvorschläge will die Bundesregierung prüfen, wie aus ihrer Gegenäußerung hervorgeht. (hau/lbr/vom/13.10.2025)
