Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist noch nicht erlassen. Es tritt nach abschließender Behandlung und Beschlussfassung im Bundestag zum im Gesetz genannten Termin in Kraft. Ein Termin kann heute noch nicht genannt werden. Das Bundesministerium des Innern und für Heimat (BMI) ist die zuständige Behörde in dem laufenden Gesetzgebungsverfahren.

Aktuelle Informationen zum Gesetzgebungsverfahren und Umsetzungsstand finden Sie auf den Webseiten des BMI.

Unternehmen sollten sich vor allem auf die NIS-2-Regulierung vorbereiten, indem sie ihre Informationssicherheit verbessern und konkrete technisch-organisatorische Maßnahmen umsetzen. Unbenommen der zu erwartenden gesetzlichen Regulierung durch die Änderungen des BSI-Gesetzes aufgrund der Umsetzung der NIS-2-Richtlinie empfiehlt das BSI auf Grund der IT-Sicherheitslage jederzeit und für jedes Unternehmen, das eigene IT-Sicherheitsniveau kontinuierlich zu verbessern und zu erhöhen.

Das aktuell gültige BSI-Gesetz findet sich auf Gesetze-im-Internet.

Am 27.12.2022 wurde die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2-Richtlinie) im Amtsblatt L333 der Europäischen Union veröffentlicht.

Aktuelle Informationen zum Gesetzgebungsverfahren und Umsetzungsstand finden Sie auf den Webseiten des BMI.

Wir bitten um Verständnis, dass das BSI vor Abschluss des Gesetzgebungsverfahrens und der Beschlussfassung im Bundestag grundsätzlich nur äußerst begrenzt Auskunft zu den möglichen Regelungen eines zukünftigen BSI-Gesetzes nach Umsetzung der NIS-2-Richtlinie der EU geben kann und auf den Abschluss des Gesetzgebungsverfahrens angewiesen ist. Eine individuelle Rechtsberatung ist dem BSI darüber hinaus nicht möglich. Das BMI ist zuständige Behörde im laufenden Gesetzgebungsverfahren.

Von dem laufenden Gesetzgebungsverfahren abgesehen, können sich Unternehmen mit Ihren Fragen zur Cyber- und Informationssicherheit natürlich gerne an das BSI wenden.

Unternehmen sind von der Umsetzung der NIS-2-Richtlinie erfasst, wenn sie unter eine oder mehrere Einrichtungsdefinitionen der Anlagen 1 und 2 fallen und zudem die im Gesetz festgeschriebenen Größenschwellen für Mitarbeiterzahl und Umsatz erreichen oder überschreiten (sog. Size-Cap). Unabhängig von ihrer Größe werden von der NIS-2-Richtlinie auch bestimmte Einrichtungen erfasst, etwa wenn die Dienste erbracht werden von:

• Anbietern von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten;
• Vertrauensdiensteanbietern;
• Namenregistern der Domäne oberster Stufe und Domänennamensystem-Diensteanbietern;

Darüber hinaus enthält die NIS-2-Richtlinie weitere Sonderfälle.

Ob Sie als Betreiber einer kritischen Anlage gelten (als Teilmenge besonders wichtiger Einrichtungen), ist wie bisher anhand der BSI-Kritisverordnung zu prüfen.

Zu den Regelungen eines zukünftigen BSI-Gesetzes kann erst nach Umsetzung der NIS-2-Richtlinie der EU und Abschluss des Gesetzgebungsverfahrens Auskunft gegeben werden.

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist noch nicht erlassen. Es tritt nach abschließender Behandlung und Beschlussfassung im Bundestag zum im Gesetz genannten Termin in Kraft. Ein Termin kann heute noch nicht genannt werden. Das Bundesministerium des Innern und für Heimat (BMI) ist die zuständige Behörde in dem laufenden Gesetzgebungsverfahren.

Aktuelle Informationen zum Gesetzgebungsverfahren und Umsetzungsstand finden Sie auf den Webseiten des BMI.

Ob Ihr Unternehmen voraussichtlich unter den Anwendungsbereich der NIS-2-Richtlinie der EU fallen wird, können Sie mit der NIS-2-Betroffenheitsprüfung unverbindlich und selbständig prüfen.

Die englischen Begriffe aus der NIS-2-Richtlinie sind im NIS2UmsuCG wie folgt ins Deutsche übertragen worden:

important entities → wichtige Einrichtungen
essential entities → besonders wichtige Einrichtungen.

Von besonders wichtige und wichtige Einrichtungen werden gemäß eines zukünftigen BSI-Gesetzes nach Umsetzung der NIS-2-Richtlinie der EU voraussichtlich verschiedene, je nach Einrichtungsart abgestufte Pflichten zu erfüllen sein, wie beispielsweise:

• sich zu registrieren
• erhebliche Sicherheitsvorfälle (in Bezug auf Cyber- und Informationssicherheit) zu melden
• Risikomanagementmaßnahmen zu ergreifen
• am Informationsaustausch teilzunehmen
• Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen umzusetzen

Sollten Sie zudem Betreiber einer kritischen Anlage sein, werden Sie voraussichtlich erweiterte Risikomanagmentmaßnahmen zu ergreifen und die Erfüllung von Nachweispflichten umzusetzen haben.

Zu den exakten Regelungen eines zukünftigen BSI-Gesetzes kann erst nach Umsetzung der NIS-2-Richtlinie der EU und Abschluss des Gesetzgebungsverfahrens Auskunft gegeben werden.

Nach Verabschiedung eines geänderten BSI-Gesetzes zur Umsetzung der NIS2-Richtlinie der EU wird das BSI konkrete Hinweise zu den einzelnen Pflichten und Maßnahmen geben.

Für alle Anlagen, die aktuell Kritische Infrastrukturen gemäß BSIG sind, ergeben sich bzgl. der Nachweisfristen zum jetzigen Zeitpunkt keine Änderungen. Zu evtl. Neuregelungen und der Ausgestaltung des Übergangs wird das BSI nach Verabschiedung des Gesetzes informieren.

Neue Verpflichtungen auf Basis eines zukünftiges BSI-Gesetzes nach Umsetzung der NIS-2-Richtlinie der EU gelten ab Inkrafttreten des geänderten BSI-Gesetzes, mit den dort ggf. genannten Fristen.