Stellungnahme der GDD zum NIS-2-Umsetzungsgesetz
Der Bundestagsinnenausschuss behandelt am 4. November 2024 den Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, das wesentliche Grundzüge für Informationssicherheitsmanagement in der Bundesverwaltung festlegen soll.
Kernpunkte der Gesellschaft für Datenschutz und Datensicherheit (GDD):
- Begriffsklarheit
Die GDD kritisiert die unklaren Begriffsdefinitionen im Gesetzesentwurf. Sie fordert eine präzisere Sprache, um Missverständnisse und Unsicherheiten für Anwender zu vermeiden. - Klarer Auftrag für das BSI
Die GDD plädiert dafür, das Bundesamt für Sicherheit in der Informationstechnik (BSI) gesetzlich ausschließlich als neutrale, technisch-wissenschaftliche Instanz zur IT-Sicherheitsförderung zu positionieren. Das BSI soll weder politische Interessen vertreten noch Sicherheitslücken gezielt zur Weitergabe an andere Behörden zurückhalten. - IT-Sicherheitsverpflichtungen für die Bundesverwaltung
Obwohl der Entwurf spezifische Pflichten für Bundesbehörden vorsieht, bleiben viele durch Ausnahmeregelungen abgeschwächt. Die GDD fordert, dass öffentliche Stellen als Vorbild im Bereich der IT-Sicherheit agieren und nicht von Pflichten befreit werden. - Meldepflichten vereinheitlichen
Im Sinne der Entbürokratisierung regt die GDD an, verschiedene Meldeverpflichtungen, z.B. gemäß NIS-2 und DS-GVO, in eine einzige, konsolidierte Meldung zu integrieren. - Bußgeldregelungen präzisieren
Das Gesetz soll doppelte Bußgelder bei IT-Sicherheitsverstößen verhindern. Der Entwurf erlaubt aktuell aber nur das Wegfallen eines Bußgelds des BSI, wenn zuerst ein DSGVO-Bußgeld verhängt wurde – und nicht umgekehrt. Die GDD fordert eine einheitliche Regelung. - Evaluierung der BSI-Befugnisse
Seit 2015 wurden die Kompetenzen des BSI durch vier Gesetzesreformen erheblich erweitert, ohne eine vollständige Evaluation der Maßnahmen. Die GDD fordert eine längst überfällige Prüfung, um das Kosten-Nutzen-Verhältnis der gestiegenen Anforderungen für die Wirtschaft festzustellen. - Einbindung der Landes- und Kommunalverwaltung
Die GDD betont die Notwendigkeit verbindlicher Regelungen auch für Landes- und Kommunalverwaltungen. Bereits 2023 sprach sie sich durch einen offenen Brief des TeleTrust für eine umfassendere Implementierung der NIS-2-Richtlinie aus.
Zur vollständigen Stellungnahme der GDD
(Foto: Maxim – stock.adobe.com)
Das könnte Sie auch interessieren
-
Kennzeichnung KI-generierter Werbeinhalte
Die Wettbewerbszentrale hat einen Leitfaden zu den Kennzeichnungspflichten für KI-generierte Inhalte in der Werbung vorgelegt, der die seit dem 2. August 2026 geltenden Transparenzvorschriften der KI-Verordnung (Art. 50 KI-VO) mit dem lauterkeitsrechtlichen Rahmen des UWG verzahnt. Deepfakes bei Bild, Ton und Video Nach Art. 50 Abs. 4 KI-VO müssen Betreiber – definiert als jede Person
Mehr erfahren -
Kein Anspruch auf vollständige Kopie eines Compliance-Berichts
Das Bundesarbeitsgericht hat mit Urteil vom 16.04.2026 (8 AZR 169/25) klargestellt, dass sich das datenschutzrechtliche Auskunftsrecht nach Art. 15 Abs. 1 i.V.m. Abs. 3 S. 1 DS-GVO grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten bezieht und nicht auf das Dokument als Ganzes. Sachverhalt Eine leitende Angestellte war Gegenstand einer arbeitgeberseitig beauftragten Compliance-Untersuchung
Mehr erfahren -
Praxisleitfaden zu KI-Systemen mit geringem Risiko
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV) hat im Juli 2026 einen praxisorientierten Leitfaden zum datenschutzkonformen und digital-souveränen Einsatz Künstlicher Intelligenz vorgelegt. Adressiert werden explizit Verantwortliche in kleineren Verwaltungen sowie KMU, die KI-Systeme mit begrenztem oder minimalem Risiko im Sinne der KI-VO einsetzen – etwa interne Chatbots oder Text-Zusammenfassungstools. Damit schließt der LfDI
Mehr erfahren
