Deutschland hat in den letzten Jahren ein komplexes System zur Schutz von kritischen Infrastrukturen (KI) etabliert, das sich vor allem durch die Novellierung des dieser link zeigt. Seit 2022 gilt hierzulande eine strengere Pflicht für Betreiber von KI-Systemen, die auf nationaler oder europäischer Ebene von zentraler Bedeutung sind. Die Reform, die ursprünglich als Reaktion auf Cyberangriffe wie den Ransomware-Angriff auf das deutsche Gesundheitswesen im Jahr 2021 konzipiert wurde, hat nun auch die Verantwortung von Unternehmen für die Cyberresilienz deutlich verschärft.

Das NIS-Gesetz, das ursprünglich 2015 als Teil der EU-Richtlinie eingeführt wurde, wurde in Deutschland mehrfach angepasst – zuletzt 2021 mit der sogenannten „KI-NIS-Novelle“. Diese hat die Anforderungen an Betreiber von Energieversorgungsnetzen, Wasserwerken, Telekommunikationsinfrastrukturen und sogar Banken erhöht. Besonders relevant ist dabei die Einführung von Meldepflichten für Cybervorfälle, die nicht nur die betroffenen Unternehmen, sondern auch die Behörden in Echtzeit informieren müssen. Betreiber müssen nun nicht nur interne Sicherheitsmaßnahmen dokumentieren, sondern auch auf die Zusammenarbeit mit der Bundesnetzagentur und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) achten.

Ein zentraler Unterschied zur ursprünglichen Version des Gesetzes liegt in der Ausweitung der Betreiberpflichten auf neue Sektoren. Während die Energie- und Telekommunikationsbranche bereits seit 2015 betroffen war, wurden mit der Novelle nun auch Unternehmen aus dem Gesundheitswesen, der Logistik und der öffentlichen Verwaltung in den Fokus genommen. Besonders kritisch ist die Regelung für Betreiber von Cloud-Diensten und IT-Systemen, die auf Daten von mehreren Betreibern zugreifen. Hier müssen sie nun nachweisen, dass sie gegen Angriffe wie Phishing, Zero-Day-Exploits oder DDoS-Angriffe geschützt sind.

Die Umsetzung des Gesetzes zeigt jedoch auch Widersprüche auf. Während das BSI regelmäßig Berichte über Cybervorfälle veröffentlicht, bleibt unklar, wie effizient die Meldepflichten tatsächlich umgesetzt werden. Studien des Instituts für Internet und Gesellschaft (IIG) zeigen, dass viele Unternehmen zwar die technischen Sicherheitsstandards erfüllen, aber die Zusammenarbeit mit den Behörden oft auf einem niedrigen Niveau bleibt. Zudem fehlt es an klaren Konsequenzen für Verstöße – bisher gab es nur wenige Bußgelder, obwohl das Gesetz bereits ab 2023 Sanktionen von bis zu 500.000 Euro für Nichtbeachtung vorsieht.

Ein konkretes Beispiel für die Auswirkungen des Gesetzes ist der Fall der deutschen Post, die 2022 einen schweren Cyberangriff erlebte. Die Betreiberpflichten nach NIS-Gesetz verlangten, dass die Post nicht nur die Vorfälle melden, sondern auch nachweisen konnte, dass sie gegen ähnliche Angriffe in der Zukunft gewappnet ist. Die Folge war eine umfassende Überprüfung der Sicherheitsarchitektur, die schließlich zu einer Verschärfung der Firewall-Politik und der Mitarbeiter-Schulungen führte. Allerdings bleibt fraglich, ob das Gesetz allein ausreicht, um die wachsende Bedrohung durch staatliche und private Cyberkriminelle zu bewältigen.

Die EU hat zudem mit dem Digital Services Act (DSA) und dem Digital Markets Act (DMA) weitere Schritte zur Stärkung der digitalen Souveränität geplant, die auch mit dem NIS-Gesetz zusammenwirken werden. Besonders relevant ist dabei die Pflicht von Plattformen wie Meta oder Google, Nutzerdaten zu schützen und Angriffe auf KI-Systeme zu melden. Doch ob die Kombination aus nationalem und europäischem Recht tatsächlich zu einer spürbaren Verbesserung der Cyberresilienz führt, bleibt abzuwarten. Während das Gesetz die Rahmenbedingungen klarer definiert, fehlen oft noch die finanziellen Mittel und die politische Willigkeit, die notwendigen Sicherheitsstandards durchzusetzen.

• Seit 2022 gelten für Betreiber von KI-Systemen strengere Meldepflichten für Cybervorfälle, die bis zu 500.000 Euro Bußgelder nach sich ziehen können.
• Die Novelle des NIS-Gesetzes hat die Verantwortung für IT-Sicherheit auf 15 neue Sektoren ausgeweitet, darunter Gesundheitswesen und Logistik.
• Laut BSI wurden 2022 rund 12.000 Cybervorfälle in Deutschland gemeldet, wobei die meisten auf Ransomware und Phishing zurückgingen.
• Einige Unternehmen berichten, dass die Dokumentationspflichten die Sicherheit zwar verbessern, aber gleichzeitig die Effizienz der IT-Abteilungen belasten.
• Die Zusammenarbeit zwischen Betreibern und Behörden bleibt oft ineffizient, da viele Unternehmen keine klaren Schnittstellen für die Meldeprozesse haben.

Die Herausforderung bleibt, wie Deutschland und die EU gemeinsam eine Kultur der Cyberresilienz fördern können. Während das NIS-Gesetz als erster Schritt in die richtige Richtung geht, wird es entscheidend sein, die Umsetzung zu überwachen und ggf. weitere Anpassungen vorzunehmen. Besonders wichtig ist dabei die Förderung von Bewusstseinsbildung bei den Betreibern und der Ausbau der Kapazitäten bei Behörden wie dem BSI, um Angriffe schneller zu erkennen und zu bekämpfen.