Inhalte
Besondere Neuerung: Konzerninterne IT fällt unter „Digitale Infrastruktur“
Der neue Entwurf stellt klar: Managed Services Provider („MSP“) – Dienstleistern, die für ihre Kunden IT-Dienste langfristig übernehmen und betreiben – können auch dann unter die NIS2-Regulierung fallen, wenn sie ausschließlich für Unternehmen desselben Konzerns tätig sind. Laut Begründung (S. 147 des Entwurfs) ist der Kundenkreis für die Einordnung als MSP unerheblich. Zwar fehlt eine vergleichbare Klarstellung zu Rechenzentrumsdiensten, doch dürfte hier dieselbe Auslegung gelten.
Konsequenz: Selbst Unternehmensgruppen, deren Geschäftstätigkeit außerhalb der NIS2-relevanten Sektoren liegt, können damit durch ihre interne IT-Infrastruktur unter die hohen Anforderungen der NIS2 fallen.
Weitere Neuerungen des Regierungsentwurfs im Überblick:
Der neue Referentenentwurf baut im Übrigen mit geringfügigen Änderungen im Wesentlichen auf den Vorentwurf aus der letzten Legislaturperiode auf:
Konkretisierung der Sicherheitsmaßnahmen der Bundesverwaltung: Der Entwurf präzisiert die von Einrichtungen der Bundesverwaltung künftig umzusetzenden Sicherheitsmaßnahmen und verkürzt zugleich den Nachweiszeitraum für die Erfüllung der Anforderungen.
Anpassungen im Zusammenhang mit der Betroffenheit:
- Auftrennung des Sektors „Finanz- und Versicherungswesen“ in „Sozialversicherungsträger sowie die Grundsicherung für Arbeitssuchende“ als eigenständigen Sektor neben dem Sektor „Finanzwesen“.
- Der Entwurf trägt den aktuellen Entwicklungen im Energiesektor Rechnung und führt mit den „Betreibern digitaler Energiedienste“ eine neue Unterkategorie ein und verpflichtet künftig auch Akteure wie virtuelle Kraftwerke und Demand-Response-Plattformen zu IT-Sicherheitsmaßnahmen.
Erweiterte Sicherheitsvorgaben für Betreiber kritischer Anlagen: Verpflichtung zu Systemen zur Angriffserkennung (SzA) als Teil ihres IT-Sicherheits-Managements.
Klarstellung bei der Haftung der Geschäftsleitung: Es gelten die allgemeinen gesetzlichen Regelungen des Gesellschaftsrechts zur Leitungshaftung.
Entkoppelung von KRITIS-DachG und NIS-2-Umsetzung: Der neue Entwurf löst die bisher enge Verzahnung mit dem KRITIS-DachG weitgehend auf.
Die Umsetzung der NIS2-Richtlinie hätte eigentlich bereits bis zum 17. Oktober 2024 erfolgen müssen. Angesichts drohender EU-Sanktionen aufgrund des bereits laufenden Vertragsverletzungsverfahrens gegen Deutschland ist nun mit einer zügigen Verabschiedung des Gesetzes zu rechnen. Auch wenn das genaue Inkrafttretensdatum noch offen ist, sollten betroffene Unternehmen bereits jetzt prüfen, ob sie unter den Anwendungsbereich fallen – und mit den notwendigen Umsetzungsmaßnahmen beginnen. Denn eine Übergangsfrist ist nicht vorgesehen.
Wir behalten die Entwicklungen im Blick und werden Sie über den weiteren Gesetzgebungsprozess fortlaufend informieren.
