Stellungnahme der GDD zum NIS-2-Umsetzungsgesetz

Der Bundestagsinnenausschuss behandelt am 4. November 2024 den Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, das wesentliche Grundzüge für Informationssicherheitsmanagement in der Bundesverwaltung festlegen soll.

Kernpunkte der Gesellschaft für Datenschutz und Datensicherheit (GDD):

• Begriffsklarheit
  Die GDD kritisiert die unklaren Begriffsdefinitionen im Gesetzesentwurf. Sie fordert eine präzisere Sprache, um Missverständnisse und Unsicherheiten für Anwender zu vermeiden.
• Klarer Auftrag für das BSI
  Die GDD plädiert dafür, das Bundesamt für Sicherheit in der Informationstechnik (BSI) gesetzlich ausschließlich als neutrale, technisch-wissenschaftliche Instanz zur IT-Sicherheitsförderung zu positionieren. Das BSI soll weder politische Interessen vertreten noch Sicherheitslücken gezielt zur Weitergabe an andere Behörden zurückhalten.
• IT-Sicherheitsverpflichtungen für die Bundesverwaltung
  Obwohl der Entwurf spezifische Pflichten für Bundesbehörden vorsieht, bleiben viele durch Ausnahmeregelungen abgeschwächt. Die GDD fordert, dass öffentliche Stellen als Vorbild im Bereich der IT-Sicherheit agieren und nicht von Pflichten befreit werden.
• Meldepflichten vereinheitlichen
  Im Sinne der Entbürokratisierung regt die GDD an, verschiedene Meldeverpflichtungen, z.B. gemäß NIS-2 und DS-GVO, in eine einzige, konsolidierte Meldung zu integrieren.
• Bußgeldregelungen präzisieren
  Das Gesetz soll doppelte Bußgelder bei IT-Sicherheitsverstößen verhindern. Der Entwurf erlaubt aktuell aber nur das Wegfallen eines Bußgelds des BSI, wenn zuerst ein DSGVO-Bußgeld verhängt wurde – und nicht umgekehrt. Die GDD fordert eine einheitliche Regelung.
• Evaluierung der BSI-Befugnisse
  Seit 2015 wurden die Kompetenzen des BSI durch vier Gesetzesreformen erheblich erweitert, ohne eine vollständige Evaluation der Maßnahmen. Die GDD fordert eine längst überfällige Prüfung, um das Kosten-Nutzen-Verhältnis der gestiegenen Anforderungen für die Wirtschaft festzustellen.
• Einbindung der Landes- und Kommunalverwaltung
  Die GDD betont die Notwendigkeit verbindlicher Regelungen auch für Landes- und Kommunalverwaltungen. Bereits 2023 sprach sie sich durch einen offenen Brief des TeleTrust für eine umfassendere Implementierung der NIS-2-Richtlinie aus.

Zur vollständigen Stellungnahme der GDD

(Foto: Maxim – stock.adobe.com)