BSI-Gesetz: Deutsche Umsetzung mit Fokus auf Meldefähigkeit und Lagekommunikation
Melde- und Reaktionsfähigkeit
Das BSI-Gesetz adressiert im Kontext der NIS2-Umsetzung insbesondere Anforderungen an Cybersecurity,
Risikomanagement und den Umgang mit Sicherheitsvorfällen.
Für betroffene Einrichtungen ist nicht nur die technische Absicherung relevant, sondern auch die
Fähigkeit, Sicherheitsvorfälle zu erkennen, zu bewerten, zu melden und organisatorisch darauf zu
reagieren.
Mehrstufige Meldelogik
Die NIS2-Richtlinie sieht in Artikel 23 für erhebliche Sicherheitsvorfälle eine gestufte
Meldepflicht vor:
- eine Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme
- eine Vorfallmeldung spätestens innerhalb von 72 Stunden nach Kenntnisnahme
- einen Abschlussbericht spätestens einen Monat nach der Vorfallmeldung
Diese EU-rechtliche Vorgabe wird über das BSI-Gesetz im Rahmen der NIS2-Umsetzung in nationales
Recht überführt. Die konkrete Definition erheblicher Sicherheitsvorfälle, die zuständigen
Meldewege und etwaige nationale Konkretisierungen sind anhand der jeweils gültigen Fassung des
BSIG sowie der Vorgaben des BSI zu prüfen.
Warnungen, Lagebilder und Unterstützung
Das BSI nimmt eine zentrale Rolle bei Cybersicherheitsinformationen, Warnungen, Lagebildern und
Unterstützung in Sicherheitsvorfällen ein. Dadurch entsteht ein kommunikatives Zusammenspiel
zwischen betroffenen Einrichtungen, Behörden und weiteren relevanten Stellen.
Auch hier gilt: Die Wirksamkeit von Melde- und Unterstützungsprozessen setzt belastbare
Kommunikationswege voraus.
Praktische Schlussfolgerung — KRITIS-KOM-Einordnung
Wenn klassische Kommunikationswege gestört, überlastet oder nicht verfügbar sind, können Melde-,
Eskalations- und Lageprozesse beeinträchtigt werden. Zusätzliche unabhängige Kommunikationspfade
können deshalb ein sinnvoller Bestandteil eines ganzheitlichen Resilienzkonzepts sein.
Sanktionen und Verantwortung der Leitungsebene
Die NIS2-Richtlinie sieht in Artikel 34 EU-weit Mindestobergrenzen für Bußgelder vor:
- für wesentliche Einrichtungen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – maßgeblich ist der höhere Betrag
- für wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes – maßgeblich ist der höhere Betrag
Die NIS2-Richtlinie adressiert zudem die Leitungsebene unmittelbar: Geschäftsleitungen sind
verpflichtet, Cybersicherheitsmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich
entsprechend schulen zu lassen. Die genaue nationale Ausgestaltung – einschließlich konkreter
Bußgeldhöhen und persönlicher Haftungsregelungen – ist anhand der finalen Fassung des
BSI-Gesetzes zu prüfen.
