Cybersicherheit in Deutschland auf unzureichendem Niveau

Am 4. November 2024 fand im Paul-Löbe-Haus des Deutschen Bundestages die Anhörung zum neuen NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz statt. Der Gesetzentwurf, der die europäische NIS-2-Richtlinie in nationales Recht umsetzen soll, stößt auf einheitliche Kritik – sowohl in der Politik als auch bei Sachverständigen aus Wirtschaft und Forschung. 

Besonders scharf formulierte es Prof. Timo Kob, Vorsitzender der Bundesfachkommission Cybersicherheit des Wirtschaftsrates der CDU e.V., der als Sachverständiger geladen war. Mit seinem Appell versuchte Kob, einen „Sense of Urgency“ zu wecken. „Die Bedrohung im Cyberraum erfordert konkrete und unmittelbare Maßnahmen“, betonte er und kritisierte, dass der Gesetzentwurf in seiner aktuellen Form kaum mehr als ein „Cyberschwächungsgesetz“ sei. Während technische Schwachstellen und organisatorische Sicherheitsanforderungen für Unternehmen umfassend adressiert seien, bemängelte er insbesondere die fehlende kohärente Strategie auf staatlicher Ebene. 

Dreifaches Bedrohungspotenzial 

Prof. Timo Kob verdeutlichte seine Kritik anhand eines dreistufigen Modells. Auf der ersten Ebene liege die technische Sicherheit: Schwachstellen wie veraltete Software und unzureichende Passwortpolitik seien alltägliche Einfallstore. Die zweite Ebene betreffe organisatorische Probleme innerhalb von Unternehmen, darunter unklare Prozesse und mangelndes Sicherheitsbewusstsein. Während das Gesetz diese beiden Ebenen gut adressiere, bleibe die dritte, staatliche Ebene erheblich hinter den Anforderungen zurück. Föderalismus, Ressortdenken und mangelnde Priorisierung der Haushaltsmittel seien schwerwiegende Hindernisse für eine funktionierende Cybersicherheit auf Bundesebene. „Wer heute noch glaubt, Cyberangriffe seien vergleichbar mit regionalen Überschwemmungen, verkennt die Bedrohungslage völlig“, mahnte Kob. In einem provokanten Vergleich warnte er davor, dass die deutsche Cyberpolitik Gefahr laufe, wie der „Cyber-Dodo“ zu enden – ein aussterbender Akteur, der den Anschluss an die reale Gefährdungslage verloren habe. 

Defizite im Gesetzentwurf und Forderungen an den Staat

Eine zentrale Kritik der Sachverständigen betraf die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI). Man forderte, das BSI müsse mehr Haushaltsmittel und Personal erhalten, um die notwendigen Aufgaben umfassend wahrnehmen zu können. Zudem sei die Einführung eines Bundes-CISO (Chief Information Security Officer) mit klaren Befugnissen und Budgetverantwortung entscheidend, um auf Augenhöhe mit den Ministerien agieren zu können. Auch die Kluft zwischen Bundes- und Länderebene müsse überwunden werden, um ein gemeinsames Lagebild und bessere Koordinationsmöglichkeiten im Krisenfall zu schaffen.

Im Fokus standen darüber hinaus Vorschriften zu Meldepflichten. Die Forderung nach einer Meldefrist von 24 Stunden wurde als unrealistisch bewertet. Es sei essenziell, ein Melde- und Informationssystem zu etablieren, das schnell, aber zugleich praktikabel ist, ohne unnötigen bürokratischen Aufwand zu erzeugen. Die Kommunikation von Sicherheitswarnungen müsse so gestaltet werden, dass betroffene Unternehmen zeitnah informiert und angemessen unterstützt werden können. 

Strategische Harmonisierung und klare Verantwortlichkeiten

Für die kritische Infrastruktur (KRITIS) und andere besonders gefährdete Bereiche forderten die Experten eine Harmonisierung zwischen NIS2 und dem Dachgesetz zur KRITIS. Klare Regelungen, konsolidierte Meldewege und einheitliche Standards wurden als unerlässlich angesehen, um das Cybersicherheitsniveau in Deutschland anzuheben. Ein weiteres Anliegen war es, unnötige Ausnahmeregelungen für staatliche Einrichtungen zu reduzieren. „Der Staat muss das einhalten, was er auch von der Wirtschaft verlangt“, so Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik. Ein Sachverständiger betonte, dass Cybersicherheit im Unternehmen nur dann erfolgreich umgesetzt werden könne, wenn der Staat ein entsprechendes Ökosystem unterstütze, das nicht ausschließlich klare Richtlinien, sondern auch eine ausreichende Anzahl an Fachkräften bereithalte. Hier bestehe ebenfalls Handlungsbedarf, da der Fachkräftemangel im IT-Sicherheitsbereich als eine große Hürde erkannt wurde. 

Ein dringender Appell an die Politik 

Zum Abschluss der Anhörung richtete Prof. Timo Kob einen eindringlichen Appell an die Politik. „Cybersecurity ist kein reines IT-Problem – es ist ein nationales Sicherheitsanliegen.“ Nur mit einem starken, einheitlichen Sicherheitskonzept und einem klaren Bekenntnis zu zentralen Kompetenzen könne Deutschland langfristig gegen die zunehmenden Cyberbedrohungen bestehen. 

Die Zukunft des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes bleibt in der Schwebe, doch die Expertenrunde machte klar: Ohne umfassende staatliche Unterstützung und eine solide gesetzliche Basis ist die deutsche Cybersicherheitslandschaft langfristig nicht zukunftsfähig.