IT-Sicherheitskatalog nach EnWG und Ablaufplan

Die Gesetzesbegründung zu § 5c EnWG (2) „IT-Sicherheit im Anlagen- und Netzbetrieb, Festlegungskompetenz“ wurde um Abschnitte zur Zusammenarbeit von BSI und Bundesnetzagentur erweitert. Beide Behörden arbeiten dadurch gemeinsam und abgestimmt am Ziel, die IT-Sicherheit zu erhöhen und damit gemeinsam die defensive Cybersicherheit im Sinne der EU NIS2 Richtlinie zu realisieren. Bislang oblag die Aufsicht über KRITIS-Betreiber im Sektor Strom hinsichtlich der Einhaltung von Cybersicherheitsmaßnahmen hauptsächlich der Bundesnetzagentur. Über die jetzt vorgesehene Einvernehmensregelung bekommt das BSI größeren Einfluss auf die IT-Sicherheitsanforderungen im Sektor Energie. Das BSI kann so ein einheitliches Sicherheitsniveau über alle KRITIS-Sektoren sicherstellen, was es in seiner Rolle als zentrale Cybersicherheitsbehörde stärkt.

Der NIS2-Ablaufplan

Auf der Fachkreise- und Verbändeanhörung kommunizierte das Bundesinnenministerium einen Zeitplan, der bisher eingehalten wurde. Folgende Schritte davon sind noch relevant:· Sachverständigenanhörung im Innenausschuss im Bundestag: „Anhörung zur NIS-2-Richtlinie“ am 13. Oktober 2025. Die Aufzeichnugen und die Stellungnahmen können hier eingesehen werden: https://www.bundestag.de/ausschuesse/inneres/anhoerungen/1113440-1113440

• Bundestag 2./3. Lesung: erfolgt am 13.11.2025
• Bundesrat 2. Durchgang: noch nicht festgelegt
• Verkündung/Inkrafttreten: Ende 2025/Anfang 2026

Es sind daher keine wesentlichen Anpassungen oder Änderungen mehr zu erwarten, da die Ressorts kaum noch Zeit für umfassende Abstimmungsrunden hätten.

Fazit

Die Unterschiede zwischen Ampel-Version und aktuellem Referentenentwurf sind insgesamt nur an wenigen Stellen wesentlich. Interessant sind aber insbesondere die nicht vorgenommenen Änderungen und Vorschläge, die bereits in den vorherigen Anhörungen und Stellungnahmen der Fachkreise und Verbände Erwähnung fanden.

Die NIS2-Richtlinie sollte in erster Linie eine defensive Cybersicherheitsstrategie für alle EU-Mitgliedsstaaten vorgeben, welche bisherige Strukturen stärkt und EU-weit harmonisiert. Diesem Anspruch wird der deutsche Referentenentwurf allerdings nicht im Ansatz gerecht. Wenn aus Deutschland eine Cybernation werden soll, dann muss die Regierung aufhören hier Ausnahmen zu machen, sondern hart arbeiten, anpacken und kompromisslos umsetzen.

Insgesamt wird es daher kein gutes Gesetz, sondern ein günstiges; und der Stellenwert von Digitalisierung und Cybersicherheit ist in der Politik offensichtlich weiterhin nachrangig. Die kommende Gesetzgebung wird mit dem aktuellen Referentenentwurf des NIS2-Gesetzes Deutschland daher zwar auf ein grundsätzliches Niveau der Cybersicherheit heben, bleibt aber weit hinter den Möglichkeiten zurück, welche die EU mit der NIS2-Richtlinie eröffnet hatte.