Was steht im neuen Gesetz?
- Durch die Novellierung des BSI-Gesetzes (BSIG) werden mehr Unternehmen sowie bestimmte Bundesbehörden künftig strengere Sicherheitsauflagen erfüllen müssen.
- Besonders relevant: Ein dreistufiges Melderegime bei Sicherheitsvorfällen. Meldungen müssen künftig binnen 24 Stunden erfolgen, dann ein Zwischenbericht nach 72 Stunden und ein Abschlussbericht nach maximal einem Monat.
- Das BSI erhält erweitertes Aufsichtsinstrumentarium – und in der Bundesverwaltung wird ein zentraler Chief Information Security Officer (CISO) etabliert, der die Ressorts bei der Informationssicherheitssteuerung koordiniert.
- Parallel ist eine Verschärfung bei kritischen Komponenten vorgesehen: Das Bundesinnenministerium bekommt künftig die Möglichkeit, den Einsatz bestimmter sensibler IT-Komponenten eigenständig zu verbieten.
Warum das für mittelständische Unternehmen relevant ist
- Durch die Gesetzesänderung werden mehr Unternehmen überhaupt erst in den Anwendungsbereich der NIS-2-Pflichten einbezogen – auch jene, die bislang nicht als klassische „KRITIS“-Betreiber galten.
- Die verstärkten Meldepflichten erfordern ein organisatorisch belastbares Informationssicherheitsmanagement (ISMS), das auch Incident-Response-Prozesse professionell abbildet.
- Bußgelder sowie Aufsicht durch das BSI machen die Einhaltung der Vorgaben nicht nur eine Compliance-Frage, sondern ein strategisches Risikothema.
- Die Einbindung von Bundesbehörden in den Geltungsbereich unterstreicht, dass Cybersicherheit nun als eine staatliche Aufgabe mit hoher Priorität behandelt wird – das Signal: Sicherheit ist kein „nice-to-have“, sondern Pflicht.
Einschätzung von Ratisbona Compliance
Für mittelständische Entscheider heißt das: Die Zeit, aktiv zu werden, beginnt jetzt. Auch wenn die finalen Regelungen erst mit dem Inkrafttreten des Gesetzes verbindlich werden, ist die Richtung klar. Unternehmen, die früh mit der Anpassung beginnen, verschaffen sich einen Wettbewerbsvorteil – etwa bei Lieferketten, Ausschreibungen oder im Gespräch mit Behörden.
Fazit
Mit dem Beschluss des NIS-2-Umsetzungsgesetzes setzt Deutschland einen neuen Standard in der Cybersicherheit. Für mittelständische Unternehmen bedeutet das erhöhte Pflichten, aber auch klare Rahmenbedingungen und Rechtssicherheit. Wer früh handelt, kann sich besser auf die Anforderungen einstellen und Compliance strukturiert verankern.