NIS2-Richtlinie verspätet sich

konstakorhonen – shutterstock.com

Obwohl angesichts der steigenden Zahl von Angriffen Mindestvorgaben für die Cybersicherheit und Meldepflichten bei Cybervorfällen dringend nötig wären, lässt eine entsprechende Richtlinie hierzulande weiter auf sich warten. Wie eine Anfrage des Bundesverbandes der mittelständischen Wirtschaft (BVMW) ergab, rechnet das Bundesministerium des Innern (BMI) nicht mit einer fristgerechten Einführung der NIS2-Richtlinie für mehr Sicherheit im Netz.

Lieber spät als nie?

Ursprünglich sollte das neue Framework zur “Network Information Security” (NIS2) ab dem 17. Oktober 2024 auch in Deutschland gelten. Stattdessen heißt es laut BVMWI in der Antwort des Innenministeriums nun lediglich, dass ein Inkrafttreten des Gesetzes bei einem zügigen parlamentarischen Verfahren im ersten Quartal 2025 möglich sei.

Das offensichtliche Problem: Obwohl ein Regierungsentwurf für ein NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) bereits vorliegt, muss es noch von Bundesrat und Bundestag abgesegnet werden.

“Die Verzögerung einer Richtlinie, die für mehr Sicherheit im Netz sorgen soll, ist heikel, weil es zur Verunsicherung bei Unternehmen führt”, kommentiert Christoph Ahlhaus, Bundesgeschäftsführer Der Mittelstand. BVMW, den Zustand. So zählten Cyberattacken zu den größten Risiken für die Überlebensfähigkeit kleiner und mittlerer Unternehmen.

Allerdings profitieren von einer Verzögerung nicht nur Hacker, sondern auch Unternehmen, die in Sachen Sicherheit im Netz noch Nachholbedarf haben. So ist im Gegensatz zur DSGVO für das neue NIS2-Gesetz keine Übergangszeit geplant – alle betroffenen Unternehmen fallen ab dem Stichtag unter die neuen Security-Regeln und können von den Behörden entsprechend kontrolliert werden.

Die vom BVMW ins Leben gerufene “Transferstelle Cybersicherheit im Mittelstand” rät entsprechend allen kleineren und mittleren Unternehmen, Handwerksbetrieben und Startups jetzt dazu, die eigene Betroffenheit zügig zu prüfen und hilft dabei mit informativen Artikeln und Workshops. Auch unabhängig von der kommenden Richtlinie sollten Betriebe das Thema anpacken und sich kostenfrei zu Prävention und Reaktion auf Cyberangriffe informieren.