Nachjustierung zwingend notwendig

Die Bedrohungslage durch Cyber- und Drohnenangriffe hat sich weiter verschärft.

Daher müssen Wirtschaft, Wissenschaft, Gesellschaft und Staat ihre Resilienz durch präventive Schritte stärken. Das heute vom Bundeskabinett verabschiedete sogenannte NIS-2-Umsetzungsgesetz will nur Bundes-, nicht aber Länder- und Kommunalbehörden verpflichten, Maßnahmen für mehr Cybersicherheit zu ergreifen. Nach Auffassung des Verbandes der Chemischen Industrie (VCI) ist dies nicht ausreichend. Er fordert deshalb zwingend Nachbesserungen.

VCI-Geschäftsführer Digitalisierung Johann-Peter Nickel kommentiert: „Die Ausnahmen im Gesetz verhindern ein bundesweit einheitlich hohes Sicherheitsniveau, zum Beispiel bei der Digitalisierung der Planungs- und Genehmigungsverfahren. Außerdem erwarten wir klarere Definitionen von Rechtsbegriffen und eine einfachere Umsetzung des Gesetzes in die Praxis. Hier ist noch sehr viel Luft nach oben.“

Positiv bewertet der Branchenverband, dass im Gesetzentwurf klarer wird, welche Unternehmen aus der chemisch-pharmazeutischen Industrie als „wichtige Einrichtungen“ einzustufen sind. Dies dürfte vor allem kleinere Unternehmen entlasten. Dennoch sollte der Anwendungsbereich an EU-Recht angepasst werden, fordert der VCI. Die EU-Richtlinie sieht vor, dass Unternehmen nur dann unter die NIS-2-Richtlinie fallen, wenn sie mehr als 50 Beschäftigte haben und der Jahresumsatz beziehungsweise die Jahresbilanz mindestens 10 Millionen Euro übersteigt.

Der VCI vermisst zudem eine Konsolidierung zwischen Gesetzesvorschriften und Regelwerken wie Normen, Leitfäden und Technischen Regeln. Nickel: „Doppel- und Mehrfachprüfungen müssen vermieden und ein konsistentes Regelwerk mit klaren Anforderungen an Verwaltung und Unternehmen geschaffen werden.“

Hintergrund

Mit dem sogenannten NIS-2-Umsetzungsgesetz soll die europäische NIS-2-Richtlinie der EU in deutsches Recht übernommen werden. Ziel der NIS-2-Richtlinie ist, das Cybersicherheitsniveau in der EU anzugleichen und zu erhöhen. Sie enthält erweiterte Sicherheitsanforderungen und sieht bei Verstößen entsprechende Sanktionen vor.