Seit dem 16. Januar 2023 ist die NIS-2-Richtlinie (EU) 2022/2555 auf europäischer Ebene in Kraft. Sie hat zum Ziel, die Cybersicherheitsanforderungen für kritische und wirtschaftlich bedeutende Einrichtungen in zentralen, EU-weit geltenden Vorgaben zu vereinheitlichen. Ihr Anspruch ist hoch: mehr Schutz, mehr Transparenz, mehr Resilienz – europaweit und branchenübergreifend.

Doch knapp zwei Jahre später zeigt sich: Die Umsetzung in Deutschland (wir berichteten) ist nicht frei von Herausforderungen, politischen Kompromissen und kritischen Stimmen. Ein neuer, aktualisierter Referentenentwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) liegt seit dem 23.06.2025 vor. Bereits terminologisch hat sich etwas geändert: Der Referentenentwurf firmiert unter dem Titel

„Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“.

Was regelt er konkret? Wer ist betroffen? Und was sagen Fachkreise dazu? Mit diesen Fragen befasst sich der vorliegende Blogbeitrag.

Zielsetzung und Reichweite der NIS-2-Richtlinie

Die NIS-2-Richtlinie ersetzt die ursprüngliche NIS-Richtlinie von 2016. Während NIS1 lediglich sieben Sektoren mit sog. Betreibern kritischer Infrastrukturen adressierte, erweitert NIS2 den Anwendungsbereich erheblich:

Insgesamt 18 Sektoren werden reguliert, darunter Energie, Verkehr, Gesundheit, digitale Dienste, Herstellung von kritischen Produkten, Verwaltung, Raumfahrt, Abwasserentsorgung und öffentliche elektronische Kommunikation.

Unternehmen werden in „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ – sowie den deutschen Sonderweg der „kritischen Anlagen“ – unterteilt, je nach Sektor und Unternehmensgröße. Die sog. Size-Cap-Rule gilt ab 250 Mitarbeitenden oder 50 Mio. Euro Jahresumsatz (Ausnahmen möglich).

Damit fallen laut Schätzungen des Bundesministeriums des Inneren (BMI) etwa 42.000 Unternehmen in Deutschland unter den Anwendungsbereich – deutlich mehr als unter NIS1 (wir berichteten).

Der Referentenentwurf des NIS2UmsuCG: Ein Artikelgesetz mit über 28 Einzeländerungen

Das BMI hat nun im Juni 2025 den o. g. aktualisierten Referentenentwurf veröffentlicht. Dieser setzt die Richtlinie nicht nur in nationales Recht um, sondern überarbeitet auch zentrale Bestandteile des BSI-Gesetzes (BSIG). Im Wesentlichen hat sich zum Entwurf von Anfang Juni nur wenig geändert (vgl. hier).

Zu den wichtigsten Regelungen zählen:

  • § 30 Risikomanagementpflichten: Alle müssen Maßnahmen zur Vermeidung und Beherrschung von Sicherheitsrisiken umsetzen, orientiert am Stand der Technik.
  • § 32 Meldepflichten: Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden – ggf. auch vorläufig.
  • § 61–62 Aufsicht: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält umfangreiche Prüf- und Durchsetzungsbefugnisse, auch mit Sanktionen bis 10 Mio. Euro.
  •  § 48 CISO Bund: Einführung einer Koordinierungsstelle für Informationssicherheit auf Bundesebene.
  •  § 29 Sektor Staat & Verwaltung: Bundesbehörden gelten grundsätzlich als besonders wichtige Einrichtungen, erhalten jedoch weitreichende Ausnahmen.
  • keine Verpflichtung zur Risikoanalyse nach § 30
  • Ausnahmen bei Meldepflichten (§ 32)
  • kein Bußgeld bei Verstößen

Bestimmte Behörden (z. B. Nachrichtendienste, Polizei, Bundeswehr) sind teilweise explizit ausgenommen.

Auch eine zentrale Plattform zur Risikoanalyse, das Unternehmensregister, und gemeinsame Meldeinfrastrukturen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und anderen Behörden sind geplant.

Umsetzungspflichten: ISMS, BCM und Risikoanalyse

Das BSI hat im Juni 2025 einen ausführlichen Leitfaden zur NIS-2-Risikoanalyse veröffentlicht. Dieser betont, dass eine reine IT-Betrachtung nicht ausreichend ist, um die Anforderungen zu erfüllen. Vielmehr müsse ein umfassendes Lagebild entstehen, das auch externe Abhängigkeiten, betriebliche Prozesse und Notfallmanagement umfasst.

Einrichtungen, die bereits nach ISO/IEC 27001 zertifiziert sind, müssen daher oft umfangreich nacharbeiten, um die Anforderungen der NIS2 vollständig zu erfüllen.

Kritik aus der Fachwelt und Fachanhörungen

Das BMI hatte für den 4. Juli eine Anhörung von Verbänden und Ländergremien angesetzt, um den Referentenentwurf auf Basis der Fachgremien ein „Peer-Review“ durchlaufen zu lassen. Bis zu diesem Stichtag konnten Eingaben eingereicht werden. Die Resonanz war groß und zu den Kernaussagen zählten u. a.:

  1. Ausnahmen für Behörden: Viele Bundesstellen (z. B. Ministerien, Nachrichtendienste) sind formal als besonders wichtige Einrichtungen erfasst, aber de facto ausgenommen (s. o.).
  2. Vereinheitlichung der Systematik: einheitliche Cybersicherheitsstandards sind auf förderaler Ebene (Länder und Bund) nicht definiert (siehe Stellungnahme).
  3. Keine Harmonisierung von KRITIS-Dachgesetz und nationaler Umsetzung NIS2
  4. Fehlende Einbindung der kommunalen Ebene: Zahlreiche Cybervorfälle betreffen Kommunen, doch sie unterliegen nicht den Pflichten des Gesetzes – weder explizit noch systematisch. Nichtsdestotrotz ist das Gefährdungspotential den Kommunen bewusst.
  5. Anwendungsbereich: Der Ausnahmetatbestand „vernachlässigbare Geschäftstätigkeiten“ bedarf einer Konkretisierung, um Inkonsistenzen bei regulierten Stellen zu vermeiden.
  6. Aufsichtsbehörden: Unklare Rolle des BSI im nationalen Verwaltungsgefüge; das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) wird gar nicht berücksichtigt.
  7. Überregulierung zivilgesellschaftlicher Akteure: Gemeinnützige DNS-Dienste (z. B. Freifunk, Digitalcourage) fallen unter die Definition besonders wichtiger Einrichtungen – obwohl sie keine kritischen Funktionen erfüllen.
  8. Mangelnde Transparenz und Evaluation: Weder die Schwellenwertdefinitionen noch die gesetzgeberische Wirkung werden regelmäßig wissenschaftlich überprüft.

Klarheit besteht seit der Anhörung zumindest, was die Agenda des Gesetzgebungsverfahrens anbetrifft:

  • Juli 2025: Kabinettsbeschluss
  • August 2025: Zuleitung Bundesrat
  • September 2025: Bundesrat 1. Durchgang
  • Herbst 2025: Bundestag 1. Lesung
  • Ebd.: Sachverständigenanhörung
  • TBD: Bundestag 2. und 3. Lesung
  • TBD: Bundesrat 2. Durchgang
  • Bis Ende 2025: Verkündung und Inkrafttreten

Auch auf Seiten staatlicher Stellen besteht Grund zur Kritik, ebenso wie Hoffnung, die in die Umsetzung von NIS2 gesetzt werden kann. So hat der Bundesrechnungshof die Cybersicherheit des Bundes insgesamt gerügt (vgl. im Folgenden hier). In dem 46 Seiten langen Bericht wird der Status quo kritisch unter die Lupe genommen: Trotz der wachsenden Bedeutung staatlicher Resilienz gegenüber hybriden Bedrohungen offenbart die aktuelle Lage der IT-Infrastruktur des Bundes erhebliche strukturelle Defizite. Im Bericht wird nicht nur vor „eklatanten Sicherheitslücken in den Rechenzentren und Netzen des Bundes“ gewarnt, sondern auch konstatiert, dass die föderale IT auf die gegenwärtige Bedrohungslage nicht vorbereitet sei. Es mangele bereits an grundlegenden Voraussetzungen für einen funktionierenden IT-Betrieb in Krisenzeiten – so erfüllten weniger als 10 % der Einrichtungen die definierten Mindestanforderungen.

Diese strukturellen Schwächen werden durch organisatorische Fragmentierung verstärkt. Die Analyse benennt eine zersplitterte Cybersicherheitsarchitektur mit derzeit 77 staatlichen Akteuren, die sich mit Fragen der Cyberabwehr befassen – eine Zahl, die kontinuierlich ansteigt. Der daraus resultierende Mangel an strategischer Steuerung und Wirksamkeit führt zu einer Überlagerung von Zuständigkeiten, einer Verdünnung von Verantwortung und letztlich zu Ineffizienz in der operativen Krisenbewältigung.

Die Forderung des Bundesrechnungshofes ist daher eindeutig: Die Prüfer empfehlen eine tiefgreifende Reform der Cybersicherheitssteuerung, einschließlich klarer Verantwortlichkeiten, konsolidierter Finanzen und eines robusten Lagebild-Controllings, um die Handlungsfähigkeit des Staates in Extremszenarien zu sichern. Die Bundesregierung müsse ihre Cybersicherheitsziele klar definieren, priorisieren und mit überprüfbaren Kennziffern unterlegen. Ein effektives Controlling, ein koordiniertes Lagebild sowie eine strategische Reform der föderalen Cybersicherheitsarchitektur seien erforderlich, um die Handlungsfähigkeit des Staates in Extremszenarien zu sichern.

Operative Umsetzung: Herausforderungen für Wirtschaft und Verwaltung

Für die betroffenen Unternehmen stellen sich nun drängende Fragen:

  • Wer übernimmt die Rolle des Verantwortlichen nach § 30 – Informationssicherheits-Beauftragte (ISB), Chief Information Security Officer (CISO) oder Geschäftsführung?
  • Wie wird die Risikoanalyse konkret durchgeführt und dokumentiert?
  • Welche Anforderungen gelten an die Lieferkettensicherheit?
  • Wie gehen Unternehmen mit Mehrfachpflichten um – z. B. durch gleichzeitige Anforderungen aus NIS2, KRITIS-Dachgesetz oder anderen Branchenregeln?

Es herrschen Inkonsistenzen zwischen Mitgliedsstaaten, aber auch auf bundesdeutscher Ebene bei den Ländern, und ein „Mangel an Orientierung für OT-lastige Unternehmen“. Auch im Gesundheitswesen, bei Verkehrsträgern oder Entsorgern ist die Lage oft unklar, da Sektoraufsichten noch fehlen oder Regelungen widersprüchlich wirken. Auch der deutsche Sonderweg mit den „kritischen Anlagen“ als Teilmenge der BWE sorgt für Unruhe.

Neue Perspektive: Was bedeutet NIS2 für Konformitätsbewertungsstellen und Auditoren?

Die Umsetzung der NIS-2-Richtlinie hat auch Auswirkungen auf den Prüf- und Zertifizierungsmarkt. Zwar schreibt die Richtlinie keine formale Zertifizierungspflicht nach ISO/IEC 27001 oder vergleichbaren Standards vor – doch die Einführung von Risikomanagementpflichten, Maßnahmen „nach Stand der Technik“ und die behördliche Aufsicht erzeugen einen faktischen Bedarf an Nachweisführung (wir berichteten).

Für Konformitätsbewertungsstellen (KBS), die z. B. nach ISO/IEC 17021-1 oder 17065 akkreditiert sind, ergeben sich damit neue Aufgabenfelder:

  • Unternehmen benötigen externe Unterstützung bei der Bewertung ihrer Risikomanagementsysteme, insbesondere bei der Angemessenheit der Maßnahmen.
  • Auch die Prüfung auf Erfüllung gesetzlicher Anforderungen außerhalb formaler Zertifizierung (z. B. Gap-Analysen, Reifegradanalysen, Prüfberichte nach §8a BSIG analog) wird zunehmend nachgefragt.
  • Besonders in sektorspezifischen Kontexten (z. B. Energie, Verkehr, Gesundheits-wesen) erwarten Unternehmen komplementäre Aussagen zur Einhaltung von BSI-Vorgaben, IT-Sicherheitskatalogen und branchenspezifischen Standards (B3S).

Für Auditoren im Bereich Informationssicherheit verändert sich der Fokus:

  • Die bisherige ISO/IEC 27001-Ausrichtung reicht für eine vollständige Konformitätsbewertung nach NIS2 oft nicht mehr aus.
  • Zusätzliche Kompetenzen zu gesetzlichen Anforderungen, Schwellenwertsystematik, Meldepflichten und Aufsichtsinstrumenten sind notwendig.
  • Auch der Umgang mit neuen Prüfgegenständen, wie der NIS2-Risikoanalyse (nach BSI-Leitfaden) oder der Nachweisführung gemäß § 30 BSIG-E, wird künftig Teil des Prüfportfolios sein.

Langfristig könnten sich hier – analog zu § 8a BSIG – eigene Auditansätze etablieren, insbesondere wenn die Bundesländer, das BSI oder die Aufsichtsbehörden auf evidenzbasierte Berichte unabhängiger Stellen zurückgreifen wollen. Auch der „Stand der Technik“ wird in Zukunft verstärkt durch Auditergebnisse und Best Practices geprägt – mit einer wachsenden Rolle für die qualitätsgesicherte Prüfung durch akkreditierte Stellen.

NIS2 als Chance – oder „bürokratischer Knoten“?

Die NIS-2-Richtlinie bietet die Chance auf einheitliche, verbindliche und sektorübergreifende Cybersicherheitsstandards in der EU. Doch der deutsche Umsetzungsentwurf verfehlt aus Sicht vieler Fachleute dieses Ziel noch in Teilen:

  • Zu viele Ausnahmen schwächen die Glaubwürdigkeit des Gesetzes.
  • Unklare Aufsichtsstrukturen behindern eine effiziente Kontrolle.
  • Praktische Hilfsmittel wie BSI-Leitfäden sind hilfreich, kommen aber spät.

Die Rolle der Auditoren und Konformitätsbewertungsstellen wird unter NIS2 nicht direkt gesetzlich definiert – aber indirekt gestärkt: durch den Nachweisdruck bei Unternehmen, die Komplexität der regulatorischen Anforderungen und die verstärkte Orientierung an Best Practices.

Für den Zertifizierungsmarkt entsteht damit ein neues Tätigkeitsfeld – allerdings mit dem Erfordernis, über den rein normativen Rahmen hinaus gesetzliche, sektorale und operationale Expertise aufzubauen.

Es bleibt zu hoffen, dass der nun anstehende parlamentarische Prozess die zahlreichen kritischen Anmerkungen aus Fachwelt und Praxis ernst nimmt. Denn Cybersicherheit braucht nicht nur Vorschriften, sondern Klarheit, Verbindlichkeit und Vertrauen. Die Politik scheint sich die Kritik zumindest bereits zu Herzen zu nehmen, so wurde eine signifikante Erhöhung der finanziellen und personellen Ausstattung der Cybersicherheit in Deutschland für 2026 ausgelobt.

| | , | , , , , , , , , , , , , , , , , , | 10 Kommentare