NIS-2 in Deutschland: Chancen, Risiken und strategische Weichenstellungen
Warum NIS-2 jetzt entscheidend ist
Die europäische NIS-2-Richtlinie markiert einen Meilenstein für die Cybersicherheit in der EU. Sie soll ein einheitliches Schutzniveau schaffen, kritische Infrastrukturen widerstandsfähiger machen und die Abhängigkeit von nicht-europäischen IT-Anbietern reduzieren.
Deutschland steht nun vor der Herausforderung, diese Vorgaben ins nationale Recht zu übertragen. Die aktuelle Debatte zeigt jedoch: Zwischen Anspruch und Wirklichkeit klafft eine gefährliche Lücke.
Politischer Hintergrund und Zielsetzung
Die NIS-2-Richtlinie ist Teil einer europäischen Sicherheitsstrategie. Sie verfolgt drei Kernziele:
- Binnenmarktharmonisierung durch einheitliche Mindeststandards,
- Stärkung der Cyber-Resilienz kritischer Einrichtungen,
- Transparente Aufsicht und Durchsetzung über staatliche Behörden.
Deutschland jedoch riskiert mit dem aktuellen Gesetzesentwurf, diese Ziele zu verfehlen. Laut dem Wirtschaftsrat der CDU degradiert die Regierung Mindeststandards zur Obergrenze und zieht sich aus zentralen Verantwortlichkeiten zurück.
Kritik am deutschen Gesetzesentwurf
IT-Grundschutz nur für Ministerien
Nur Bundesministerien sollen verpflichtend den BSI-IT-Grundschutz umsetzen. Nachgelagerte Behörden – viele davon KRITIS-relevant – bleiben ausgenommen. Damit entstehen gravierende Sicherheitslücken.
Dynamische Verweise statt fester Standards
Statt klarer gesetzlicher Vorgaben verweist der Entwurf dynamisch auf „jeweils geltende Fassungen“ von BSI-Standards. Das birgt die Gefahr, dass Sicherheitsniveaus ohne parlamentarische Kontrolle abgesenkt werden können.
Mindeststandards als Ziel statt Basis
Mindestanforderungen dürfen nur die Untergrenze bilden. Doch der Entwurf bewertet sie als ausreichend – eine riskante Strategie in Zeiten hybrider Bedrohungen.
Nationale Zertifizierungspflicht
Die vorgesehene Blanko-Ermächtigung für nationale Zertifizierungen könnte den europäischen Binnenmarkt fragmentieren und deutsche Anbieter im Wettbewerb schwächen.
Strategische Perspektiven aus Politik und Wirtschaft
Am 10. September 2025 diskutierte die Bundesfachkommission Cybersicherheit in der Akademie der Konrad-Adenauer-Stiftung (Berlin) die Neuausrichtung der deutschen Digitalpolitik.
BMDS (Bundesministerium für Digitales und Staatsmodernisierung) will mit dem „Deutschland-Stack“ eine souveräne, europaweit anschlussfähige Infrastruktur schaffen.
Henri Schmidt MdB (CDU/CSU) forderte eine verbindliche Quote für europäische IT-Lösungen und warnte vor sicherheitspolitischen Risiken durch Abhängigkeiten.
Andreas Reisen (BMI) stellte die Umsetzung der NIS-2-Richtlinie vor und kündigte das Programm „Cyber-Dome“ als teilautomatisierten Schutzschirm an.
Die Diskussion machte deutlich: Deutschland braucht eine klare, langfristige Strategie – mit konkreten Zielvorgaben für die nächsten drei bis fünf Jahre.
NIS-2 im Überblick: Zahlen und Pflichten
Betroffene Einrichtungen: rund 29.500 (davon 8.000 besonders wichtige und 21.500 wichtige Einrichtungen).
Sektoren: Energie, Transport, Finanzen, Gesundheit, Forschung, Chemie, Produktion, Ernährung, Wasser/Abwasser, IT/TK, Verwaltung, Weltraum u. v. m.
Pflichten:
Registrierung und Risikomanagement,
Vorfalls-Meldepflicht,
Nachweispflichten alle 3 Jahre (für besonders wichtige Einrichtungen),
Einsatz von Systemen zur Angriffserkennung.
Die Aufsicht übernimmt das BSI (Bundesamt für Sicherheit in der Informationstechnik) – teils ex-ante, teils ex-post, abhängig von der Kritikalität der Einrichtung.
Handlungsempfehlungen für Behörden und Unternehmen
IT-Grundschutz verpflichtend umsetzen – für alle Behörden, nicht nur Ministerien.
Sicherheitsstandards fest im Gesetz verankern – keine dynamischen Verweise.
Mindeststandards übertreffen – für kritische Systeme müssen höhere Anforderungen gelten.
C5-Kriterienkatalog nutzen – als verbindlichen Beschaffungsstandard für Cloud-Lösungen.
Transparenz schaffen – regelmäßige, öffentlich zugängliche Berichte über den Stand der Informationssicherheit.
Deutschland an der sicherheitspolitischen Wegscheide
Die Umsetzung der NIS-2-Richtlinie ist mehr als eine technische Frage. Sie entscheidet über digitale Souveränität, wirtschaftliche Wettbewerbsfähigkeit und nationale Sicherheit.
Deutschland darf nicht das schwächste Glied in seiner eigenen Sicherheitsarchitektur sein. Stattdessen braucht es eine kohärente, durchgängige und rechtlich verbindliche Strategie – mit dem Staat als Leuchtturm der Cybersicherheit.
