Beiträge

Referentenentwurf des BMI: NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG

Hier stellt die AG KRITIS zur Transparenz allen Interessierten die öffentlich gewordenen Referentenentwürfe des „Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG)“ bereit.

Über mehrere voneinander unabhängige Quellen wurden uns verschiedene Bearbeitungsstände des RefE NIS2UmsuCG zugespielt, so dass wir diese hier für den demokratischen Diskurs veröffentlichen.

Dem BMI ist durch die Festlegungen der gemeinsamen Geschäftsordnung der Ministerien bedauerlicherweise untersagt, Referentenentwürfe dieser Art zu veröffentlichen. Um dieses grundlegende Problem für frühzeitige zivilgesellschaftliche Einbindung zu beheben, hat das BMI zumindest das Diskussionspapier veröffentlicht und die AG KRITIS veröffentlicht im Sinne der zivilgesellschaftlichen Transparenz alle Versionen, die uns zugespielt werden.

Sollten zukünftig neue Versionen in Umlauf kommen, werden wir diese hier sammeln und veröffentlichen.

Du hast eine Version, die hier noch nicht gelistet ist? Gerne bei uns melden und bereitstellen. Danke im Voraus.

Timeline der NIS2UmsuCG Versionen:

02.12.2024 NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – Gesamtübersicht Formulierungshilfe) (221 Seiten)

02.12.2024 NIS2UmsuCG (Formulierungshilfe der Bundesregierung) (3 Seiten)

29.11.2024 NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – Gesamtübersicht Formulierungshilfe) (221 Seiten)

29.11.2024 NIS2UmsuCG (Formulierungshilfe der Bundesregierung) (3 Seiten)

25.11.2024 NIS2UmsuCG (Anwendung auf Bundesverwaltung) (2 Seiten)

02.10.2024 NIS2UmsuCG (Bundestagssentwurf) (210 Seiten)

16.08.2024 NIS2UmsuCG (Bundesratsentwurf) (225 Seiten)

22.07.2024 NIS2UmsuCG (verabschiedeter Regierungsentwurf) (208 Seiten)

19.07.2024 NIS2UmsuCG (212 Seiten)

24.06.2024 NIS2UmsuCG (200 Seiten)

24.06.2024 Vergleichsfassung zum Bearbeitungsstand 07.05.2024 10:19 (223 Seiten)

03.06.2024 Foliensatz des BMI (Referentenentwurf für ein NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) (19 Seiten)

07.05.2024 NIS2UmsuCG (189 Seiten)

22.12.2023 NIS2UmsuCG (164 Seiten)

27.09.2023 Diskussionspapier des BMI (Wirtschaftsbezogene Regelungen zur Umsetzung der NIS-2-Richtlinie in Deutschland) (58 Seiten)

03.07.2023 NIS2UmsuCG (146 Seiten)

03.04.2023 NIS2UmsuCG (243 Seiten)

To be continued…

 

Bei weiteren sachdienlichen Hinweisen wenden Sie sich bitte an Ihre nächste Kontaktperson der AG KRITIS.

Für Risiken und Nebenwirkungen kontaktieren Sie Ihre Abgeordneten.

 

Alle Veröffentlichungen zu NIS2UmsuCG Referentenentwürfen findet ihr hier:

Alle Veröffentlichungen zu KRITIS Dachgesetz Referentenentwürfen findet ihr hier:

Alle Veröffentlichungen zu IT-SiG 2.0 Referentenentwürfen findet ihr hier:

 

Schriftliche Stellungnahme zum Gesetzentwurf der Bundesregierung des NIS2UmsuCG vom 02.10.2024

Update auf v1.1 am 27.10.2024: Ergänzungen durch Feedback von den Mitgliedern der AG KRITIS als auch aus der Zivilgesellschaft.

Mit dem vorliegenden Referentenentwurf (Gesetzentwurf der Bundesregierung, Drucksache 20/13184) des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz), kurz NIS2UmsuCG, wird die Umsetzung der EU NIS2-Richtlinie (2022/2555) angestrebt. Damit einher geht eine Ausweitung des Geltungsbereiches von Betreibern kritischer Anlagen (ehem. sogenannte KRITIS-Betreiber) und der als wichtige und besonders wichtige Einrichtungen definierten sonstigen Unternehmen.

Das NIS2UmsuCG ist ein Artikelgesetz, welches insgesamt über 23 Gesetze und Verordnungen ändern soll. Unsere Kommentierung bezieht sich hierbei ausschließlich auf die unter Artikel 1 eingebrachte Änderung des BSI-Gesetzes.

Der Gesetzesentwurf bringt grundsätzlich einige Klarheiten und tiefgreifende Regulierungen im KRITIS-Umfeld mit sich. Gleichzeitig bewirken unnötige Komplexität und Ausschlüsse eine zerklüftete Regelung insgesamt, aber insbesondere auch der KRITIS-Sektoren. Im Ergebnis ergibt sich die Einstufung einer konkreten Einrichtung als auch der daraus abzuleitenden erforderlichen Tätgikeiten leider erst nach ausführlicher und individueller Betroffenheitsprüfung.

Mit dem neuen Referentenentwurf vom 02.10.2024 werden aus unserer Sicht keine wesentlichen Verbesserungen zu den bisherigen Referentenentwürfen erreicht und lediglich Defizite aufrechtgehalten.

Zur Berücksichtigung der Zivilgesellschaft (gemäß Kolaitionsvertrag!) stellt die AG KRITIS fest:

Definitionen wie „kritische Anlagen“ können § 56 entsprechend durch Rechtsverordnungen konkretisiert werden. Diese werden durch das BMI im Zusammenwirken mit anderen Ministerien erarbeitet. Bereits im Entwurf vom 07.05.2024 wurde in Absatz 4 die Einbindung der Zivilgesellschaft für die Definition von „kritischen Anlagen“ entfernt. Im aktuellen Referentenentwurf wurde diese fehlgeleitete Anpassung auf alle 5 Absätze des Artikels ausgeweitet und betrifft somit die Definition von kritischen Anlagen, erheblichen Sicherheitsvorfällen, die Verfahren zur Erteilung von Sicherheitszertifikaten, wann die Sicherheitszertifikate verpflichtend sind, sowie das Sicherheitskennzeichen. Entgegen der bisherigen Praxis sollen Akteure aus der Wirtschaft und der Wissenschaft nicht (mehr) eingebunden werden.

Für alle Regelungen des § 56 fordern wir weiterhin die verbindliche Einbindung der Zivilgesellschaft, die bisher und offenbar auch zukünftig weiterhin keine Berücksichtigung finden soll.

Abschließend betonen wir als AG KRITIS erneut, dass ein transparenter Prozess in der Gesetzgebung sowie umfassende und zeitlich angemessene Beteiligungsverfahren der Wirtschaft, Wissenschaft und Zivilgesellschaft bei derart tiefgreifenden und weitreichenden Gesetzgebungsverfahren dringend geboten ist.

Insbesondere hinsichtlich einer einheitlichen und kongruenten Regulierung im KRITIS-Umfeld betrachten wir als AG KRITIS eine gleichzeitige Veröffentlichung und Diskussion von Gesetzesentwürfen zur Umsetzung der NIS2-Richtlinie (NIS2UmsuCG) und CER-Richtlinie (KRITIS-Dachgesetz) sowie der im NIS2UmsuCG vorgesehenen Verordnungen für zwingend erforderlich.

Es scheint, als sei weiterhin keine vollständige Harmonisierung der Regelungen zwischen den beiden Gesetzesvorlagen erfolgt – was aktuell aufgrund der mangelnden Transparenz nicht überprüfbar ist. Übrig bleibt eine unsichere Lage bei allen potenziell betroffenen Einrichtungen und ihren Lieferketten, sowie bei allen verantwortlichen Aufsichtsbehörden und Zuständigen für die Umsetzung und Einhaltung der kommenden Regulierungen als auch bei der Wissenschaft, Forschung und zuletzt auch der fachkundigen Bevölkerung, die willens sind, ihren Beitrag durch Fachexpertise ehrenamtlich und kostenfrei beizutragen, dies aber nicht angemessen in den intransparenten Dialog einbringen können.

Alle NIS2UmsuCG Referentenentwürfe findet ihr hier:

Artikel: heise.de – Bundesrat schiebt Ausschussempfehlungen zu NIS2 wortlos durch​

Manuel ‚HonkHase‘ Atug erklärt bei heise.de, was es mit den aktuellen Ausschussempfehlungen zu NIS2 auf sich hat.

Mit der Formulierung „durch vergleichbare landesrechtliche Vorschriften“ müssten verschiedene Gebietskörperschaften der Bundesländer zukünftig das BSI-Gesetz als Maßstab nehmen, selbst wenn es gegebenenfalls über die in der EU geforderten NIS2-Mindestmaßnahmen hinaus geht. Damit das nicht passiert, soll diese Formulierung auf „die NIS-2-Richtlinie umsetzende landesrechtliche Vorschriften“ geändert werden. Sonst müsste man in den 16 Bundesländern zu viele und vor allem bundeseinheitliche Cybersicherheitsmaßnahmen umsetzen.

Auch im Entwurf des KRITIS-Dachgesetzes sind – wie im NIS2-Entwurf – die Schwellenwerte grundsätzlich zu hinterfragen, aufgrund der besonderen Stellung der Daseinsvorsorge im Gesundheitsbereich. Die Sinnhaftigkeit der alleinig entscheidenden Schwellenwerte solle daher vor diesem Hintergrund erneut geprüft werden. Die AG KRITIS sieht diesen Punkt seit vielen Jahren bei fast allen KRITIS-Sektoren und -Branchen ebenfalls so und würde es begrüßen, wenn das endlich entsprechend der tatsächlichen Lagesituation angepasst werden würde.

Da Krankenhäuser nach § 108 SGB V erst nach einer Übergangsfrist von fünf Jahren Nachweise vorlegen müssen, wurde eine entsprechend verlängerte Übergangsfrist auch für die wichtigen Einrichtungen gefordert. Erste Nachweise kommen damit erst frühestens 2030.

Alle aktuellen NIS2UmsuCG Referentenentwürfe veröffentlichen wir wie immer hier:

Artikel: heise.de – Kommentar: Schallende Ohrfeige für desolate NIS-2-Umsetzung

Manuel ‚HonkHase‘ Atug hat einen Kommentar bei heise.de über die Eskalation des Bundesrechnungshofes zum mangelhaften Umsetzungsstand der NIS2 Richtlinie veröffentlicht.

„Die Bundesregierung und das Bundesinnenministerium sind stets bemüht, die EU-NIS2-Richtlinie im Rahmen der ihnen gegebenen Möglichkeiten umzusetzen.“ So könnte das vom Bundesrechnungshof (BRH) ausgestellte Arbeitszeugnis für die Bundesregierung und insbesondere auch das Bundesinnenministerium (BMI) lauten. Das lernunwillige und bockige Verhalten des Ministeriums wird an allen Ecken und Enden zu Recht bemängelt.

Der BRH ist dabei nicht um klare Worte verlegen, die glatt aus dem Maschinenraum der AG KRITIS stammen könnten. So laufe die Bundesregierung Gefahr, „ihr Ziel zu verfehlen, die Informations- und Cybersicherheit zu verbessern.“ Bereits bekannte Defizite würden nicht aufgegriffen und zentrale Punkte für die Cybersicherheit auch nach mehrfachen Ressortabstimmungen nicht adressiert. Und da wichtige Regelungen nicht für die gesamte Bundesverwaltung in einheitlicher Weise verbindlich sein sollen, drohe das Gesetz, ein „Flickenteppich“ zu werden, der alle Beteiligten gefährdet. So bleibe das NIS2UmsuCG weit hinter den selbst gesteckten Zielen zurück.

Alle aktuellen NIS2UmsuCG Referentenentwürfe veröffentlichen wir wie immer hier:

Schriftliche Stellungnahme zum Referentenentwurf des NIS2UmsuCG vom 24.06.2024

Mit dem vorliegenden Referentenentwurf des NIS2UmsuCG wird die Umsetzung der EU NIS2-Richtlinie (2022/2555) angestrebt. Damit einher geht eine Ausweitung des Geltungsbereiches von Betreibern kritischer Anlagen (ehem. sogenannte KRITIS-Betreiber) und der als wichtige und besonders wichtige Einrichtungen definierten sonstigen Unternehmen.

Das NIS2UmsuCG ist ein Artikelgesetz, welches insgesamt über 23 Gesetze und Verordnungen ändern soll. Unsere Kommentierung bezieht sich hierbei ausschließlich auf die unter Artikel 1 und in Teilen unter Artikel 2 eingebrachte Änderung des BSI-Gesetzes.

Der Gesetzesentwurf bringt grundsätzlich einige Klarheiten und tiefgreifende Regulierungen im KRITIS-Umfeld mit sich. Gleichzeitig bewirken unnötige Komplexität und Ausschlüsse eine zerklüftete Regelung insgesamt, aber insbesondere auch der KRITIS-Sektoren. Im Ergebnis ergibt sich die Einstufung einer konkreten Einrichtung als auch der daraus abzuleitenden erforderlichen Tätgikeiten leider erst nach ausführlicher und individueller Betroffenheitsanalyse.

Mit dem neuen Referentenentwurf vom 24.06.2024 werden aus unserer Sicht keine Verbesserungen zum Referentenentwurf vom 07.05.2024 erreicht und lediglich neue Defizite eingebaut.

Zur Berücksichtigung der Zivilgesellschaft (gemäß Kolaitionsvertrag!) stellt die AG KRITIS fest:

Definitionen wie „kritische Anlagen“ können § 58 entsprechend durch Rechtsverordnungen konkretisiert werden. Diese werden durch das BMI im Zusammenwirken mit anderen Ministerien erarbeitet. Bereits im Entwurf vom 07.05.2024 wurde in Absatz 4 die Einbindung der Zivilgesellschaft für die Definition von „kritischen Anlagen“ entfernt. Im aktuellen Referentenentwurf wurde diese fehlgeleitete Anpassung auf alle 5 Absätze des Artikels ausgeweitet und betrifft somit die Definition von kritischen Anlagen, erheblichen Sicherheitsvorfällen, die Verfahren zur Erteilung von Sicherheitszertifikaten, wann die Sicherheitszertifikate verpflichtend sind, sowie das Sicherheitskennzeichen. Entgegen der bisherigen Praxis sollen Akteure aus der Wirtschaft und der Wissenschaft nicht (mehr) eingebunden werden.

Für alle Regelungen des § 58 fordern wir weiterhin die verbindliche Einbindung der Zivilgesellschaft, die bisher und offenbar auch zukünftig weiterhin keine Berücksichtigung finden soll.

Abschließend betonen wir als AG KRITIS erneut, dass ein transparenter Prozess in der Gesetzgebung sowie umfassende und zeitlich angemessene Beteiligungsverfahren der Wirtschaft, Wissenschaft und Zivilgesellschaft bei derart tiefgreifenden und weitreichenden Gesetzgebungsverfahren dringend geboten ist.

Insbesondere hinsichtlich einer einheitlichen und kongruenten Regulierung im KRITIS-Umfeld betrachten wir als AG KRITIS eine gleichzeitige Veröffentlichung und Diskussion von Gesetzesentwürfen zur Umsetzung der NIS2-Richtlinie (NIS2UmsuCG) und CER-Richtlinie (KRITIS-Dachgesetz) sowie der im NIS2UmsuCG vorgesehenen Verordnungen für zwingend erforderlich.

Es scheint, als sei keine vollständige Harmonisierung der Regelungen zwischen den beiden Gesetzesvorlagen erfolgt – was aktuell aufgrund der mangelnden Transparenz nicht überprüfbar ist. Übrig bleibt eine unsichere Lage bei allen potenziell betroffenen Einrichtungen und ihren Lieferketten, sowie bei allen verantwortlichen Aufsichtsbehörden und Zuständigen für die Umsetzung und Einhaltung der kommenden Regulierungen als auch bei der Wissenschaft, Forschung und zuletzt auch der fachkundigen Bevölkerung, die willens sind, ihren Beitrag durch Fachexpertise ehrenamtlich und kostenfrei beizutragen, dies aber nicht angemessen in den intransparenten Dialog einbringen können.

Alle NIS2UmsuCG Referentenentwürfe findet ihr hier:

Schriftliche Stellungnahme zum Referentenentwurf des NIS2UmsuCG vom 07.05.2024

Mit dem vorliegenden Referentenentwurf des NIS2UmsuCG vom 07.05.2024 wird die Umsetzung der EU NIS2-Richtlinie (2022/2555) angestrebt. Damit einher geht eine Ausweitung des Geltungsbereiches von Betreibern kritischer Anlagen (ehem. sogenannte KRITIS-Betreiber) und der als wichtige und besonders wichtige Einrichtungen definierten sonstigen Unternehmen.

Das NIS2UmsuCG ist ein Artikelgesetz, welches insgesamt über 23 Gesetze und Verordnungen ändert. Unsere Kommentierung bezieht sich hierbei ausschließlich auf die unter Artikel 1 und in Teilen unter Artikel 2 eingebrachte Änderung des BSI-Gesetzes.

Der Gesetzesentwurf bringt einige Klarheiten und tiefgreifende Regulierungen im KRITIS-Umfeld mit sich. Gleichzeitig bewirken unnötige Komplexität und Ausschlüsse eine zerklüftete Regelung insgesamt, aber insbesondere auch der KRITIS-Sektoren. Im Ergebnis ergibt sich die Einstufung einer konkreten Einrichtung als auch der daraus abzuleitenden erforderliochen Tätgikeiten leider erst nach ausführlicher und individueller Betroffenheitsanalyse.

Für den Sektor Staat und Verwaltung argumentiert die AG KRITIS:

Für den KRITIS Sektor Staat und Verwaltung gelten im Zuge des NIS2UmsuCG unzählige Sonderregelungen und Ausnahmen. Damit unterliegt die Verwaltung insbesondere des Bundes wieder zahlreichen Sonderregelungen und die Verwaltungen auf Kommunaler und Bundeslandebene werden vollständig außen vor gelassen und überhaupt nicht adressiert. Dies ist im Hinblick auf die vielen und teilweise sehr weitreichenden Cybersicherheitsvorfälle wie Landkreis Anhalt Bitterfeld oder SIT.NRW (über 100 Kommunen waren monatelang betroffen und faktisch handlungsunfähig!) nicht mehr nachvollziehbar, offensichtlich soll der Jahrzehnte gepflegte Investitionsstau weiterhin aufrecht gehalten werden. Die Kette an Cybersicherheitsversagen und Verantwortungsdiffusion kann beispielsweise unter der ehrenamtlich gepflegten Webseite https://kommunaler-notbetrieb.de eingesehen werden und erweitert sich derweil kontinuierlich.

Abschließend betonen wir als AG KRITIS erneut, dass ein transparenter Prozess in der Gesetzgebung sowie umfassende und zeitlich angemessene Beteiligungsverfahren der Wirtschaft, Wissenschaft und Zivilgesellschaft bei derart tiefgreifenden und weitreichenden Gesetzgebungsverfahren dringend geboten ist.

Insbesondere hinsichtlich einer einheitlichen und kongruenten Regulierung im KRITIS-Umfeld betrachten wir als AG KRITIS eine gleichzeitige Veröffentlichung und Diskussion von Gesetzesentwürfen zur Umsetzung der NIS2-Richtlinie (NIS2UmsuCG) und CER-Richtlinie (KRITIS-Dachgesetz) für zwingend erforderlich.

Es scheint, als sei keine vollständige Harmonisierung der Regelungen zwischen den beiden Gesetzesvorlagen erfolgt – was aber aktuell aufgrund der mangelnden Transparenz nicht überprüfbar ist. Übrig bleibt eine unsichere Lage bei allen potentiell betroffenen Einrichtungen und ihren Lieferketten als auch bei allen verantwortlichen Aufsichtsbehörden und Zuständigen für die Umsetzung und Einhaltung der kommenden Regulierungen sowie der Wissenschaft, Forschung und zuletzt auch der fachkundigen Bevölkerung, die willens sind, ihren Beitrag durch Fachexpertise ehrenamtlich und kostenfrei beizutragen, dies aber nicht angemessen in den intransparenten Dialog einbringen können.

Alle NIS2UmsuCG Referentenentwürfe findet ihr hier:

Artikel: heise.de – Kommentar zum NIS2-Gesetz: Jetzt haftet endlich der Chef für Cybersicherheit

Manuel ‚HonkHase‘ Atug hat einen Kommentar bei heise.de über das kommende NIS2-Gesetz und den vielen Defiziten darin veröffentlicht.

Kommunen und Landkreise bleiben auch mit der neuen Richtlinie im Cyberraum verwundbar, da das Gesetz sie nicht als relevante öffentliche Verwaltung sieht. Am Ende müsste der Bund den circa 11.500 Kommunen die Cybersicherheit bezahlen, wenn er diese einfordert. Und das will er offenbar nicht. So wurde vorab im IT-Planungsrat per Beschluss empfohlen, die Kommunen und Landkreise nicht (!) in NIS2 aufzunehmen – so sieht der Digitalisierungsgrad der öffentlichen Verwaltung also aus. Durch das massive Ausklammern der öffentlichen Verwaltung und die vielen Ausnahmen verkommt das Cybersicherheitsstärkungsgesetz eher zu einem Cybersicherheitsschwächungsgesetz. Schade, Chance wieder einmal vertan.

Auch alle Einrichtungen, die für die nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind oder Dienste erbringen, sind ausgenommen. Das schließt Einrichtungen zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten ein. Des Weiteren können das Bundesministerium des Innern und für Heimat, das Bundeskanzleramt, das Bundesministerium der Justiz, das Bundesministerium für Verteidigung sowie die Ministerien für Inneres und Justiz der Länder besonders wichtige oder wichtige Einrichtungen von den NIS2-Verpflichtungen befreien lassen; eine weitere Ausnahmeregelung, die der Cybersicherheit nicht förderlich ist.

Alle aktuellen NIS2UmsuCG Referentenentwürfe veröffentlichen wir wie immer hier: