Worum ging es?

Der Gesetzentwurf der Bundesregierung setzt die europäische NIS-2-Richtlinie in nationales Recht um und regelt wesentliche Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung. Er verpflichtet besonders wichtige Einrichtungen zu Risikoanalysen, Notfallplänen und Verschlüsselungslösungen und stärkt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Zudem wird ein Chief Information Security Officer (CISO) des Bundes im BSI verankert und der Bundesverwaltung die Möglichkeit gegeben, kritische Komponenten von Anbietern aus sicherheitsgefährdenden Staaten zu untersagen.

CDU/CSUdafür

• Die Umsetzung der NIS-2-Richtlinie schließt eine jahrelange Verzögerung aus der Ampel-Zeit und stärkt die Cybersicherheit in Deutschland.
• Mit dem CISO Bund als Vizepräsidentenstelle im BSI und der Einbeziehung der gesamten Bundesverwaltung setzt der Staat ein Vorbildsignal gegenüber der Wirtschaft.
• Der Mechanismus zur Untersagung kritischer Komponenten wurde im Einvernehmen mit betroffenen Ministerien und unter Anhörung der Wirtschaft gestaltet.

AfDdafür

• Die Umsetzung der NIS-2-Richtlinie ist längst überfällig, da die Frist zum Schutz kritischer Infrastrukturen bereits im Oktober 2024 abgelaufen war.
• Der Gesetzentwurf erreicht einen angemessenen Ausgleich zwischen Sicherheitsstandards und dem Schutz vor Überbürokratisierung, auch für kleinere Unternehmen.
• Die Erweiterung der BSI-Unterstützung auf Fälle von Ausländerextremismus gegen auswärtige Belange Deutschlands wurde als wichtiger Punkt begrüßt.

SPDdafür

• Deutschland gehört zu den am häufigsten durch staatliche Akteure attackierten Ländern weltweit; das Gesetz stärkt die digitale Souveränität durch den Fokus auf europäische Komponenten in kritischer Infrastruktur.
• Die Einbeziehung der gesamten Bundesverwaltung ist sowohl eine Frage der Gerechtigkeit gegenüber der Wirtschaft als auch eine zentrale Sicherheitsfrage.
• Die Möglichkeit, kritische Komponenten von Anbietern aus autoritären Staaten zu verbieten, erhöht die Resilienz der kritischen Infrastruktur.

Bündnis 90/Die Grünendagegen

• Der ursprüngliche Regierungsentwurf erhielt in der Anhörung einhellig vernichtende Kritik aller Sachverständigen; die Verbesserungen durch die Koalition werden anerkannt, reichen aber nicht aus.
• Das Gesetz enthält kein verantwortungsvolles, transparentes und vom Bundesverfassungsgericht gefordertes IT-Schwachstellenmanagement, was die Sicherheit des Landes schwächt und das Vorhaben auf verfassungsrechtlich unsicheres Terrain stellt.
• NIS-2 und das KRITIS-Dachgesetz werden nicht kohärent aufeinander abgestimmt, was den Betreibern kritischer Infrastrukturen Schaden entstehen lässt.

Die Linkeenthalten

• Die Regelungen orientieren sich an Beschäftigten- und Umsatzzahlen statt an der tatsächlichen Kritikalität oder Absicherungswürdigkeit eines Systems.
• Kommunen wurden ohne rechtliche Notwendigkeit aus dem Gesetz ausgenommen, obwohl Cyberangriffe auf kommunale IT-Dienstleister bereits Millionen von Menschen betroffen haben.
• Das BSI darf nicht als Helfershelfer für Sicherheitsbehörden fungieren, die Schwachstellen bewusst offenhalten; ein tagesaktuelles IT-Lagebild und ein echtes Schwachstellenmanagement fehlen.

---

Quellen

• Protokoll: https://dserver.bundestag.de/btp/21/21040.pdf