Der aktuelle Referentenentwurf der deutschen NIS2-Umsetzung wurde im Mai 2024 vom BMI veröffentlicht. Der Entwurf vom NIS2UmsuCG dient der Verbändeabstimmung bis Anfang Juni und soll am 1. Oktober 2024 in Kraft treten – so der Entwurf in Artikel 29.
Es ändert sich nicht viel für Betreiber zu den letzten bekannten Entwürfen: Pflichten bleiben im Grunde gleich, an der Betroffenheit und Zuständigkeit im Bund ändern sich Randfälle. Sonst gibt es viele Änderungen an Struktur, Definitionen – ohne tiefe Folgen für Betreiber.
Präzisierung der Betroffenheit im NIS2-Sektor Chemie auf NACE 20
Anpassung weiterer Definitionen in NIS2-Sektoren und Betreibern (IXPs, CDNs, Weltraum)
Definition der regulierten Einrichtungen: Reihenfolge angepasst, Finanzunternehmen sind nun (doch) Einrichtungen aber von Pflichten ausgenommen, Pflichten angepasst
Betroffenheit der öffentlichen Hand: Mehr Ausschlüsse (Kammern, IHKn, Auswärtiges Amt, Nachrichtendienste) und umgeschriebene Ausschlüsse (öffentliche IT und Cloud Provider)
Authentizität nun kein explizites Schutzziel mehr bei §30 Maßnahmen
Konformitätsbewertung neu hinzugekommen
Bußgeldvorschriften angepasst in Tatbeständen und Höhe (kompliziert)
Pflicht zur Teilnahme am Informationsaustausch für Einrichtung fällt weg
Dafür enthält der Entwurf vom NIS2UmsuCG nun die meisten Änderungen am EnWG für Energiebetreiber und TKG für Telekommunikationsanbieter. Wenig überraschend – die parallele Regulierung mit BNetzA bleibt bestehen + neue EnWG-Sicherheitskataloge. Dafür erbt das TKG §30 NIS2-Maßnahmen in §165 TKG-E – und dafür vielleicht keinen neuen Sicherheitskatalog.
Weitere bemerkenswerte Annahmen im Entwurf, vor allem in der lesenswerten Begründung:
Prognose der Einrichtungen steigt auf 8.250 (besonders wichtig) und 21.600 (wichtig)
Das BSI geht von 24 BSI-Prüfungen nach §65 bei Einrichtungen pro Jahr aus
Der Gesetzgeber geht von 2,1 Mrd. EUR einmaligem und 2,1 Mrd. jährlichem Aufwand für neue Einrichtungen aus, vor allem durch Anpassung digitaler Geschäftsprozesse
Drei Millionen Geschäftsleiter und Mitarbeiter müssen pro Jahr für NIS2 geschult werden.
Über 1.500 neue Stellen im Bund, davon 549 beim BSI für neue Aufgaben und Pflichten
Ob dieser Entwurf den Prozess der Gesetzgebung bis zum 1. Oktober 2024 schafft?