In dieser Folge von „WeTalkSecurity“ geht es um den aktuellen Stand der NIS2-Umsetzung in Deutschland, die Gründe für die Verzögerung, zentrale Inhalte des neuen Regierungsentwurfs und was Unternehmen jetzt konkret tun sollten. Philipp Plum spricht in Jena mit Maik Wetzel (ESET) über Änderungen gegenüber früheren Entwürfen, die Ausweitung des Geltungsbereichs, Meldepflichten an das BSI, mögliche „Goldplating“-Aspekte in Deutschland und die europäische Perspektive. Außerdem: realistische Zeitschiene für das Umsetzungsgesetz und Auswirkungen auf Lieferketten.

Gast:

Maik Wetzel, Strategic Business Development Director DACH bei ESET

Gastgeber: Philipp Plum

Schwerpunkte und Inhalte der Episode:

Status & Verzögerung der NIS2-Umsetzung: Nach dem Regierungswechsel startet das Verfahren formell neu. Es liegt ein Regierungsentwurf vor, die 1. Lesung im Bundestag findet in dieser Woche statt. Zielkorridor: Ende 2025 bzw. Januar/Februar 2026 für das nationale Umsetzungsgesetz – auch wegen des laufenden EU-Vertragsverletzungsverfahrens.

Was bleibt: Ziele & Mindeststandards (§30): Kern von NIS2 ist unverändert: Resilienz erhöhen und Sicherheitsniveau harmonisieren. Die im Entwurf verankerten Risikomanagementmaßnahmen (sinngemäß §30) gelten als vernünftige Mindeststandards – nichts „Raketenwissenschaft“, eher solide „Hausverstand“-Sicherheit, die jedes Unternehmen etablieren sollte.

Geltungsbereich & Betroffenheit: Von ~1.800 KRITIS-Unternehmen steigen wir auf rund 29.500 betroffene Einrichtungen. Unternehmen sollen ihre Betroffenheit prüfen (z. B. via BSI-Entscheidungsbaum) und auf dieser Basis Maßnahmen einleiten.

Pflichten: Melden & Umsetzen: Es kommt ein dreistufiges Melderegime an das BSI. Wichtig: Für die Umsetzung der Mindeststandards gibt es keine Übergangsfrist mit Inkrafttreten – Fristen beziehen sich primär auf Nachweise usw. Wer betroffen ist, sollte jetzt in der Umsetzung sein.

Streitpunkte im Regierungsentwurf: Kritik gibt es u. a. an einer faktischen Absenkung des Sicherheitsniveaus in der Bundesverwaltung (zunächst nur Ministerien & Kanzleramt erfasst) sowie an der Betroffenheitslogik: teils zählt die Gesamtgröße des Unternehmens, auch wenn nur ein kleiner Bereich im relevanten Sektor tätig ist.

** Für wen ist diese Folge besonders relevant? **

IT-Verantwortliche & Geschäftsführungen im Mittelstand

Besondere Empfehlungen aus der Folge:

Weiterführende Links: