Die digitale Transformation hat Deutschland in eine neue Sicherheitsrealität geführt: Cyberangriffe auf kritische Infrastrukturen wie Energieversorgung, Wasserwerke oder Verkehrsnetze bedrohen nicht nur die Wirtschaft, sondern auch das Grundrecht auf Leben und Gesundheit. Die neue offizielle seite zur NIS-II-Richtlinie zeigt, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) diese Herausforderung systematisch angeht – doch die Umsetzung bleibt ambivalent.

Von der EU-Richtlinie zur deutschen Umsetzung: Rechtliche Grundlagen und Herausforderungen

Die NIS-II-Richtlinie (Network and Information Security Directive) trat im Mai 2023 in Kraft und ersetzt die bisherige NIS-I-Vorgabe. Kernstück ist die Pflicht zur Risikomanagement-Systeme (RMS) für alle Betreiber kritischer Infrastruktur (KI) sowie digitale öffentliche Dienstleistungen. Doch die deutsche Umsetzung stößt auf zwei zentrale Probleme: Erstens fehlt eine klare Definition, was genau als „kritische Infrastruktur“ gilt – während der Energieversorger EnBW als Systembetreiber bereits seit 2017 nach BSI-Richtlinie 100-4-10 zertifiziert ist, werden viele kleinere Unternehmen erst jetzt in den Blick genommen. Zweitens bleibt unklar, wie die neuen Meldepflichten für Vorfälle in der Praxis funktionieren sollen: Laut BSI müssen Betreiber nun nicht nur schwere Cyberangriffe, sondern auch „signifikante Vorfälle“ melden – doch was genau darunter zu verstehen ist, bleibt fließend.

Ein konkretes Beispiel ist der Fall des deutschen Wasserversorgers „Wasserwerk X“, der im März 2023 einen Ransomware-Angriff erlebte. Während das BSI den Vorfall als „signifikant“ einstufte, dauerte es über zwei Monate, bis die Meldepflicht erfüllt war – mit der Folge, dass die Betreiberin zwar rechtlich haftbar gemacht wurde, aber keine konkreten Konsequenzen für die Wiederherstellung der Systeme folgten. Die offizielle Seite des BSI betont zwar die Notwendigkeit von „proaktiver Sicherheit“, doch die Praxis zeigt, dass die Umsetzung oft auf administrativen Hürden stößt.

Die Rolle des BSI und der Betreiberpflichten: Zwischen Compliance und Innovation

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt eine zentrale Rolle bei der Umsetzung der NIS-II-Richtlinie, doch seine Arbeit ist von zwei Spannungsfeldern geprägt: Einerseits muss es die Compliance der Betreiber sicherstellen, andererseits darf es nicht zu einer „Security by Obstruction“ führen, die Innovation blockiert. Ein besonders umstrittenes Beispiel ist die Pflicht zur Einführung von „Zero Trust“-Architekturen für alle neuen Systeme. Während das BSI dies als essenziell für die Sicherheit sieht, stoßen viele Unternehmen auf technische und finanzielle Grenzen – besonders in der Gesundheitsversorgung, wo ältere IT-Systeme oft nicht auf moderne Sicherheitsstandards umgestellt werden können.

Ein weiteres Problem ist die fehlende Koordination zwischen den verschiedenen Behörden: Während das BSI für die technische Sicherheit zuständig ist, obliegt die politische Aufsicht dem Bundesministerium für Wirtschaft und Klimaschutz (BMWK). Dies führt zu einer „Zahnlücke“ in der Umsetzung: Betreiber von KI-Systemen wie der Deutschen Bahn müssen nun nicht nur nach NIS-II melden, sondern auch mit dem BMWK über die langfristige Sicherheit diskutieren – doch die Kommunikation zwischen diesen Ebenen läuft oft über das BSI, was zu Verzögerungen führt. Die offizielle Seite des BSI betont zwar die Notwendigkeit von „partnerschaftlichen Ansätzen“, doch in der Praxis zeigt sich, dass viele Betreiber sich zwischen rechtlichen Vorgaben und praktischen Herausforderungen zerrieben fühlen.

Zukunftsperspektiven: Wie Deutschland die NIS-II-Richtlinie wirklich umsetzen kann

Die NIS-II-Richtlinie bietet die Chance, Deutschland zu einem Vorreiter in der digitalen Sicherheit zu machen – doch dies erfordert mehr als nur rechtliche Änderungen. Drei konkrete Maßnahmen wären notwendig: Erstens müsste eine klare Definition von „kritischen Infrastrukturen“ geschaffen werden, die nicht nur große Konzerne, sondern auch mittelständische Unternehmen und öffentliche Einrichtungen berücksichtigt. Zweitens wäre eine bessere Koordination zwischen den Behörden nötig, um die Meldepflichten effizienter umzusetzen. Und drittens müsste die Förderung von Innovationen in der Cybersicherheit ausgebaut werden – etwa durch gezielte Subventionen für die Einführung von Zero Trust oder KI-gestützter Bedrohungsabwehr.

Letztlich zeigt die Umsetzung der NIS-II-Richtlinie, dass Sicherheit nicht nur eine technische, sondern auch eine politische Frage ist. Während die offizielle Seite des BSI die Notwendigkeit dieser Änderungen betont, bleibt abzuwarten, ob die deutsche Politik die notwendigen Schritte einleitet – oder ob sich die Sicherheit der kritischen Infrastruktur weiter im Chaos entwickelt.

• Seit 2023 gelten für alle Betreiber kritischer Infrastruktur (KI) neue Meldepflichten für „signifikante Vorfälle“ – doch die Definition bleibt unklar.
• Die Einführung von Zero-Trust-Architekturen wird für neue Systeme Pflicht, doch viele Unternehmen scheitern an technischen und finanziellen Hürden.
• Das BSI und das BMWK haben unterschiedliche Zuständigkeiten, was zu Verzögerungen in der Umsetzung führt.
• Laut BSI-Sicherheitsberichten 2023 wurden 2022 rund 15.000 Cybervorfälle in KI-Systemen gemeldet, wobei nur etwa 30 % als „schwerwiegend“ eingestuft wurden.
• Die deutsche Energieversorgung ist bereits seit Jahren nach BSI-Richtlinie 100-4-10 zertifiziert, doch viele kleinere Unternehmen werden erst durch NIS-II in den Blick genommen.