NIS-2-Umsetzung: Cyberabwehr braucht Kompetenz

Sarah Bäumchen, ZVEI-Geschäftsführerin, kritisiert den vorliegenden Referentenentwurf zur NIS-2-Umsetzung.

„Die Bedrohungslage im Cyberraum eskaliert! Das zeigen die Einschätzung von ENISA und BSI in aller Deutlichkeit. Ransomware, DDoS, Supply-Chain-Attacken: Unsere kritischen Infrastrukturen stehen unter Dauerbeschuss.

Gute Regulierung kann helfen – aber nur, wenn sie gemeinsam mit der Wirtschaft gestaltet wird. Statt aber unter Einbeziehung der Expertise der Industrie Lösungsansätze zu finden, soll Regulierung im Alleingang vorangebracht werden – mit Milliardenkosten für die Wirtschaft! Der NIS2UmsuCG-Entwurf ignoriert zentrale Vorschläge der Elektro- und Digitalindustrie. Dabei liegen die Lösungen längst auf dem Tisch:

• Keine nationalen Alleingänge, sondern europäische Harmonisierung: Auch in dieser Frage ist Europa gut beraten einen einheitlichen Binnenmarkt mit klaren Standards zu forcieren. Europa sollte sich dabei als einheitliches Ganzes statt als die Summe seiner Einzelstaaten denken.

• Anerkennung bestehender Standards wie ISO 27001 statt Bürokratie-Overkill: Klare Standards leben nicht zuletzt davon, auf Bewährtes zu setzen, statt immer wieder neue zu schaffen, die sich in der Praxis erst beweisen müssen.

• Zentrale EU-weite Meldeplattform statt Flickenteppich: Um Angriffe abwehren zu können, ist es entscheidend, sich rechtzeitig gegen die bestehenden Risiken zu wappnen. Eine zentrale Meldeplattform spart Zeit und Aufwand, weil kritische Informationen nicht aus unterschiedlichen Quellen zusammengesucht und abgeglichen werden müssen.

• Vermeidung von Gold Plating, das Unternehmen unnötig belastet: Damit NIS-2 als Schutzmechanismus funktionieren kann, ist es wichtig, nicht nur einen gemeinsamen Rahmen zu schaffen, sondern darauf hinzuwirken, unnötige Überregulierung zu unterbinden. Die entsteht häufig durch das Bestreben, EU-Vorgaben durch überstrenge und oft zusätzliche nationale Auslegungen zu erschweren.

Der vorliegende Referentenentwurf ignoriert weitestgehend diese von der Elektro- und Digitalindustrie vorgeschlagenen praxisnahen Reformen.  Die Folgen sind fatal: Über 2,3 Milliarden Euro jährlicher Erfüllungsaufwand drohen – und das bei mangelnder Einbindung derer, die täglich an der digitalen Front stehen? Das ist nicht nur ineffizient, das ist das falsche Signal, wenn es darum geht die Resilienz unseres Wirtschaftsstandorts zu erhöhen.

Fazit: Wer Cybersicherheit ernst meint, muss die Industrie ernst nehmen. Der Gesetzgeber wäre gut beraten, sie in dieser Frage eng einzubinden. Denn sie liefert unverzichtbare Bausteine für unsere kritische digitale Infrastruktur. Ignoriert die Bundesregierung den Input aus der Industrie weiterhin, wird aus Regulierung schnell ein unnötiges Risiko!“