KRITIS-Dachgesetz
Gesetzgebung NIS-2 und CER – Verzögerung bei der Cyber-Nation
· 2025
Manche Beobachtenden schätzen die Zahl der von der Network and Information Systems 2.0 Directive – kurz NIS-2-Richtlinie – Betroffenen auf etwa die Hälfte aller Unternehmen in Deutschland, das summiert sich auf rund 30.000 bis 50.000 Organisationen. Im aktuellen Gesetzentwurf vom 15. August 2025 veranschlagt die Bundesregierung für die Wirtschaft eine Erhöhung des „jährlichen Erfüllungsaufwands um rund 2,3 Milliarden Euro“. Zusätzlich zu einem „einmaligen Aufwand von rund 2,2 Milliarden Euro“.
Für die NIS-2-Konformität empfehlen Sicherheits-Consultants die Integration eines Informationssicherheits-Management-Systems als notwendige technische und organisatorische Verbesserung innerhalb des Unternehmens. Zusätzlich werden neue Prozesse, Dokumentationen und regelmäßige Updates notwendig. Management und IT-Abteilungen sind verpflichtet, die IT-Systeme ständig an die jeweilige Bedrohungslage anzupassen.
CER und NIS-2 werden getrennt voneinander formuliert
Die Critical Entities Resilience Directive – kurz CER – gilt als Schwesterregelung zu NIS-2, das Bundesministerium des Innern erstellte sie in einem getrennten Gesetzgebungsverfahren. Sie zielt auf die physische Resilienz kritischer Einrichtungen gegenüber Bedrohungen ab. Auch hier arbeitet die Bundesregierung mit einiger Verspätung an der Gesetzgebung, Ende August schickte sie schließlich den ersten Gesetzentwurf ins Parlament.
Das Ziel ist es, die kritische Infrastruktur physisch zu stärken gegen militärische oder geheimdienstliche Attacken, gegen Naturkatastrophen, Sabotage, Terroranschläge oder auch Stromausfälle. Insider aus der IT-Industrie kritisieren, dass der Staat die von der EU vorgegebenen Sicherheitsrichtlinien nur sehr schleppend in Gesetze umsetzt – und deshalb auch die Unternehmen nur mit einiger Verzögerung die Sicherheitsvorgaben integrieren.
Für NIS-2 schätzt die Regierung einen jährlichen Erfüllungsaufwand von rund 2,3 Milliarden Euro.
Bedrohungslage verschärft sich täglich
Dabei gibt es laut Vertretern der Industrie ausreichend viele Lösungen, Konzepte und Produkte, um die Vorgaben beherrschbar zu machen und in Technologie und Prozesse zu gießen. Und Handeln ist dringend notwendig. Die Verantwortlichen beobachten jeden Tag, wie sich die Zeitfenster zur Umsetzung langsam schließen – unter anderem auch deshalb, weil die Europäische Union schon an den weiteren Verschärfungen der Sicherheitsbestimmungen arbeitet. Wer jetzt nicht handelt, dem droht ein Rückstand, der sich nicht nur auf die eigene Cybersicherheit auswirken wird. Die Unternehmen bleiben angreifbar; zusätzlich reagiert der Staat auf Schäden in ungeschützten Systemen mit hohen Strafen – für die Geschädigten. Auch Business-Partner und Kunden sanktionieren häufig Verzögerungen oder Lecks bei den Security-Anforderungen.
KRITIS-Dachgesetz: Rechtliche Situation ist unklar
Die rechtliche Situation ist unübersichtlich, da immer mehr Unternehmen digitale Dienstleistungen in ihren Produkten anbieten. Beispiel Automobilindustrie: Zwar fallen Montage und Vertrieb von Fahrzeugen nicht direkt unter die kritischen Infrastrukturen. Doch agieren die Konzerne mit Blick auf deren Vernetzung wie ein Infrastrukturanbieter. Die Konzerne managen über Remote-Zugriff eine Vielzahl von computergesteuerten Komponenten in den Fahrzeugen. Und sie bauen diese Vernetzung über eigene Mobilitätsnetzwerke aus. So erweitern sie ihre Infrastruktur zu den Ladegeräten der Elektrofahrzeuge, sie verlinken Autos mit Verkehrsleit- und Telematik- und Flottenmanagementsystemen. Perspektivisch binden sie die autonomen Steuersysteme für selbstfahrende Autos an ihre Rechenzentren an – und könnten, so warnen Security-Experten, ein Sicherheitsdebakel auf Deutschlands Straßen auslösen.