Das Bundeskabinett hat in seiner Sitzung am 24. Juli 2024 den Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) verabschiedet.

Mit dem Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) soll das Cybersicherheitsniveau in Deutschland angehoben werden. Im Vorfeld hatte sich der DSLV Bundesverband Spedition und Logistik mit mehreren Stellungnahmen und in Verbandsanhörungen an der Entstehung des Gesetzes beteiligt, zuletzt mit einer Stellungnahme am 3. Juli 2024.

Wesentliche Regelungsgegenstände des vorliegenden Gesetzesentwurfs sind:

• In Zukunft fallen zwei Arten von Betreibern unter die Regulierung:
  • Betreiber von besonders wichtigen Einrichtungen (juristische Personen, die mehr als 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen; ebenfalls die bisherigen Kritis-Betreiber nach BSI-KritisV) und
  • Betreiber von wichtigen Einrichtungen (juristische Personen, die 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen).

Ob ein Unternehmen ein Betreiber einer wichtigen oder besonders wichtigen Einrichtung ist, bestimmt sich zudem nach Artikel 1 § 28 in Verbindung mit Anlage 1 und 2 des NIS2UmsuCG. Die Anlagen enthalten die Sektoren der besonders wichtigen und wichtigen Einrichtungen. Logistik ist kein eigenständiger Sektor und auch kein Subsektor im Sektor Transport und Verkehr. Eine Betroffenheit der gesamten Logistikbranche konnte damit abgewendet werden, eine Betroffenheit einzelner Logistikunternehmen kann sich trotzdem aus anderen Tatbeständen der Anlagen 1 und 2 ergeben (siehe dazu die angehängte DSLV Stellungnahme).

• Wichtig: gemäß § 28 Absatz 3 ist bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach den Absätzen 1 und 2 auf die der Einrichtungsart zuzuordnende Geschäftstätigkeit abzustellen. Beispiel: Wenn ein Unternehmen mit 100 Mitarbeitern nur 20 Mitarbeiter in dem für das NIS2UmsuCG relevanten Geschäftsbereich beschäftigt, so ist dieses, ausgehend von der Mitarbeiterzahl, kein Betreiber einer wichtigen Einrichtung.

• Ist man Betreiber einer wichtigen oder besonders wichtigen Einrichtung, ergeben sich insbesondere Melde- und Berichtspflichten, die in §§ 30 bis 42 festgelegt sind. Darunter fallen z. B.:
  • Die Umsetzung von geeigneten, verhältnismäßigen und wirksamen technischen, sowie organisatorischen Risikomanagementmaßnahmen (§ 30), um Störungen der informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
  • Meldepflichten nach § 32 bei einem relevanten Sicherheitsvorfall.
  • Eine Registrierungspflicht nach § 33 für wichtige und besonders wichtige Einrichtungen.
  • Eine Nachweispflicht gem. § 39 über die Umsetzung der Maßnahmen, drei Jahre nachdem man sich als Betreiber gemeldet hat.

Der Gesetzentwurf wird nun dem Bundestag zur parlamentarischen Beratung zugeleitet. Der Vorschlag wird voraussichtlich im Frühherbst zunächst im Bundestag debattiert und verabschiedet, bevor der Bundesrat abschließend zustimmen muss. Die Umsetzung der NIS-2-Richtlinie soll eigentlich bis zum 17. Oktober 2024 erfolgen. Durch das parlamentarische Verfahren, die Verkündung im Amtsblatt und das Inkrafttreten ist ein Abschluss vor 2025 möglich, aber unwahrscheinlich.