Mit der neuen NIS2-Regelung will der Gesetzgeber die Cyber-Resilienz in Deutschland stärken und sicherheitsrelevante Vorfälle systematisch erfassen. Doch genau dieser Ansatz sorgt zunehmend für Diskussionen. Vor dem Hintergrund geopolitischer Spannungen und hybrider Angriffe auf Kritische Infrastrukturen stellt sich dabei eine sensible Frage: Schafft die Erfassung und Weitergabe von Sicherheitsinformationen womöglich selbst ein neues Risiko für die nationale Sicherheit?

Der gesetzliche Rahmen: Nach § 32 BSIG müssen Unternehmen bei einem erheblichen Sicherheitsvorfall schnell reagieren: Während nach spätestens 24 Stunden eine frühe Erstmeldung gefordert wird, muss nach spätestens 72 Stunden eine ausführlichere Meldung mit einer ersten Bewertung, dem Schweregrad und den Auswirkungen erfolgen. Zudem kann das Bundesamt für Sicherheit in der Informationstechnik (BSI) Einrichtungen in bestimmten Fällen dazu verpflichten, die Öffentlichkeit über einen Sicherheitsvorfall zu informieren.

Die Ausnahme: Die NIS2-Richtlinie der EU hat ihren Mitgliedstaaten die Möglichkeit eingeräumt, bestimmte Organisationen von den Verpflichtungen zur Meldung auszunehmen, um die nationale Sicherheit zu schützen. Der deutsche Gesetzgeber hat diese Möglichkeit in § 37 BSIG genutzt: Einrichtungen, die in den Bereichen nationale und öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind, können per Ausnahmebescheid von bestimmten Maßnahmen des Risikomanagements und von den Meldepflichten befreit werden. Zuständig ist hier das Bundesinnenministerium, und auch das Bundesverteidigungsministerium kann Vorschläge einreichen. Voraussetzung ist: Die IT-Sicherheit muss anderweitig gewährleistet und beaufsichtigt sein. Doch warum existiert diese Ausnahme?

Das Problem: Informationen über Cyber-Angriffe können selbst hochsensibel sein, wenn z.B. Angriffsmethoden, Schwachstellen, betroffene System oder Gegenmaßnahmen öffentlich bekannt werden. Bei militärischen Einrichtungen leuchtet dies sofort ein, doch wie steht es um die zivile KRITIS? Detaillierte Informationen zu Cyber-Attacken auf Stromnetzbetreiber, Wasserversorger, Krankenhäuser oder Rechenzentren wären für Cyber-Kriminelle sicherlich nicht weniger interessant. Denn solche Informationen können Rückschlüsse darauf zulassen, wo kritische Systeme verwundbar sind und wie zivile KRITIS-Betreiber auf Bedrohungen reagieren. Auch wenn Schutzmechanismen im BSIG existieren, entsteht durch die Meldepflicht und die Bündelung von Informationen über Sicherheitsvorfälle durch einige wenige staatliche Behörden doch ein gewisses Risiko – spätestens dann, wenn diese Behörden selbst zum Ziel eines Cyber-Angriffs werden.

Die offene Frage: Warum behandelt der Gesetzgeber die militärische Infrastruktur als sicherheitskritisch und wendet diesen Gedanken nicht auch auf die zivile KRITIS an? NIS2 ist ohne Zweifel ein wichtiger Schritt zu mehr Cyber-Sicherheit, schafft aber durch die Sammlung von Informationen neue Schwachstellen. Deshalb muss das NIS2-Meldesystem selbst mindestens so resilient sein wie die Unternehmen und Einrichtungen, die es schützen soll. Macht NIS2 Deutschland also unsicherer? Wahrscheinlich nicht, aber nur, wenn die Informationsbestände über Sicherheitsvorfälle als Teil der KRITIS betrachtet und entsprechend geschützt werden. Das BSI steht hier folglich vor einer wichtigen und anspruchsvollen Aufgabe.