NIS2-Umsetzung und Kritis-Dachgesetz endgültig gescheitert

Das Gesetz zur Umsetzung der EU-Richtlinie NIS2 und Stärkung der Cybersicherheit kommt nicht mehr vor der Bundestagswahl. Nachdem SPD, Grüne und FDP auch nach dem Aus der Ampel-Koalition über das Gesetz weiterverhandelt hatten, gaben die zuständigen Berichterstatter nun auf. Damit bleibt über zwei Jahre nach der Verabschiedung der EU-Richtlinie eine Vorschriften-Schwachstelle offen und die EU-Umsetzungsfrist wird noch länger überschritten als ohnehin schon.

Letzte Hoffnung

Dabei hatte es nach dem Ampel-Ende noch einmal Hoffnung gegeben, dass zumindest dieses Gesetz noch durchkommt, das von weiten Teilen der Wirtschaft als besonders wichtig empfunden wird. Denn ohne das Gesetz gibt es weiterhin keine klaren Vorschriften dazu, wie die digitalen Aspekte kritischer Infrastrukturen abgesichert werden müssen. Auch BSI-Präsidentin Claudia Plattner hatte mehrfach die Hoffnung geäußert, dass das Gesetz noch verabschiedet werden könne.

Am Ende scheiterten die Verhandlungen jedoch unter anderem an der FDP, die auf das einst im Koalitionsvertrag vorgesehene Schwachstellenmanagement beharrte und dabei vor allem zeitlich zu Kompromissen bereit war. Laut Verhandlungskreisen war die SPD aber trotz eines geplanten Vorlaufs von zwei Jahren dazu nicht bereit. SPD-Verhandlungsführer Sebastian Hartmann warf der FDP "Maximalforderungen" vor.

Wenig überraschend geben die Grünen beiden Verhandlungspartnern die Schuld – darüber hinaus aber auch Bundesinnenministerin Nancy Faeser (SPD): Die habe es versäumt, die Gesetzentwürfe rechtzeitig vorzulegen – schließlich lägen die EU-Richtlinien seit über zwei Jahren vor. Keine Lust mehr auf konstruktive Gespräche zu den beiden Gesetzesvorhaben verspürte am Ende der Legislatur die Unionsfraktion, für die insbesondere der NIS2-Vorschlag nicht verhandlungstauglich war.

Ohne NIS2 kein Dach

Ohne NIS2-Gesetz ist auch das sogenannte Dachgesetz für den besseren Schutz kritischer Infrastrukturen sinnlos: Die beiden Gesetzgebungsverfahren bilden ein Paar aus weitreichenden digitalen und ergänzenden analogen Schutzvorschriften für kritische Anlagen und deren Betreiber. So sollten etwa Vorfälle aus beiden Bereichen gemeldet und mögliche Zusammenhänge damit für die Behörden schneller sichtbar werden.

Nach der Bundestagswahl muss eine neue Bundesregierung einen zweiten Anlauf nehmen. Die Gesetze müssen in den dann neu konstituierten Bundestag eingebracht, beraten und verabschiedet werden. Das Parlament kann nicht einfach die Fäden der Vorgänger wieder aufnehmen. Damit wird sich die Umsetzung der NIS2-Richtlinie weiter verzögern – eigentlich hätte das bis Oktober 2024 passieren müssen. Die EU-Kommission winkt schon mit einem Vertragsverletzungsverfahren.

(vbr)