IT-Planungsrat I: Keine Einigkeit bei NIS-2

Bund und Länder diskutieren schon lange darüber, wie die für Cybersicherheit so wichtige NIS-2-Richtlinie möglichst einheitlich umgesetzt werden kann, nun das Ergebnis: „Aufgrund der heterogenen Ausgangslage erscheint eine länderübergreifend einheitliche Umsetzungsweise kaum möglich.“ Das geht aus den Sitzungsunterlagen des Bund-Länder-Gremiums IT-Planungsrat hervor, die SZ Dossier vorliegen. Die Sitzung findet am 20. März in Düsseldorf im Rahmen des jährlichen Kongresses des Gremiums statt.

Worum es geht: Die NIS-2-Richtlinie, die Mitte Januar 2023 in Kraft getreten ist, soll dafür sorgen, das Cybersicherheitsniveau in der Europäischen Union zu erhöhen. Im Vergleich zur ersten NIS-Richtlinie aus 2016 gelten deutlich strengere Vorgaben und vereinheitlichte Sanktionsmöglichkeiten. Unter anderem müssen Zuständigkeiten und Aufsichtsbehörden klar benannt werden. Für den Bund bedeutet das zum Beispiel, dass derzeit die Stelle eines Chief Information Security Officers (CISO) geschaffen wird – um die das Bundesinnenministerium (BMI) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ringen (SZ Dossier berichtete). Für die Wirtschaft bedeutet die Richtlinie, dass mehr Sektoren als bisher von Auflagen betroffen sind. Als umgesetzt gilt die Richtlinie, wenn Mitgliedsstaaten betroffene Einrichtungen identifiziert und entsprechende Gesetze bis zum 17.10.2024 erlassen haben.