Mit dem Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht modernisiert und der angespannten Bedrohungslage im Cyberraum Rechnung getragen werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) begrüßt den Entwurf und die damit verbundene Schlüsselrolle bei der Umsetzung.
Der Gesetzesentwurf zur Umsetzung von der zweiten Network and Information Security (NIS) Direktive sieht unter anderem vor, das BSI-Gesetz (BSIG) zu novellieren und den Kreis der regulierten Organisationen um die Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ zu erweitern. Bislang waren rund 4500 Einrichtungen vom BSIG erfasst: Betreiber Kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse. Mit der Erweiterung wird das BSI künftig rund 29.500 Einrichtungen beaufsichtigen, für die neue gesetzliche Pflichten in der IT-Sicherheit greifen.
Die besonders wichtigen und wichtige Einrichtungen müssen sich registrieren, erhebliche Sicherheitsvorfälle melden sowie technische und organisatorische Risikomanagement-Maßnahmen implementieren. Dazu zählen unter anderem Risikoanalysen, Konzepte zur Bewältigung von Sicherheitsvorfällen, Sicherheit der Lieferkette, Schulungen und Sensibilisierungsmaßnahmen, Multi-Faktor-Authentifizierung und sichere Kommunikation. Zudem macht die NIS-2-Richtlinie Cybersicherheit zur Chefsache. Das heißt, das Geschäftsführungen betroffener Einrichtungen dazu verpflichtet sind, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich zu Fragen der Bewertung und des Managements von Cyberrisiken schulen zu lassen.
