Mit deutlicher Verzögerung beginnt im Juli 2025 die heiße Phase der nationalen Umsetzung der EU-NIS-2-Richtlinie. Was lange diskutiert wurde, mündet nun in konkrete politische Entscheidungen, begleitet von intensiver Kritik und klaren Forderungen aus Wirtschaft und Zivilgesellschaft. Der Monat markiert damit eine wichtige Etappe zwischen Einspruch, Einigung, und praxisnaher Anpassung.
Im BMI findet die offizielle Anhörung zum Referentenentwurf statt. Vertreter u. a. vom Cyber Intelligence Institute (CII) legen in einer 32-seitigen Stellungnahme zahlreiche Mängel offen:
Der Entwurf sei in dieser Form nicht geeignet, das beabsichtigte Cybersicherheitsniveau zu erreichen. Auch an der Praktikabilität für Unternehmen wird deutliche Kritik geübt.
Die Datenschutzkonferenz der Länder fordert eine einheitliche Meldestruktur für IT-Sicherheits- und Datenschutzvorfälle als Entlastung für Unternehmen und zur Vermeidung redundanter Prozesse. Parallel meldet sich der Deutsche Anwaltverein mit einem Appell: Cloud-Anbieter müssen stärker reguliert werden, da sie zentrale Knotenpunkte der digitalen Infrastruktur darstellen.
Der Verband kommunaler Unternehmen (VKU) sieht insbesondere Mehrsparten-Stadtwerke durch den Gesetzentwurf überproportional belastet. Er fordert praxistaugliche Korrekturen, eine differenzierte Einstufung von Pflichten sowie die konsistente Überführung der neuen Anforderungen in bestehende sektorale Regelwerke wie das EnWG.
Das BMI veröffentlicht alle 65(!) eingegangenen Stellungnahmen. Zwar wird der europäische Rahmen grundsätzlich begrüßt, doch dominieren kritische Rückmeldungen:
Das gefährde sowohl die Klarheit als auch die Wirksamkeit des Gesetzes und insbesondere die Ausnahmen für die Bundesverwaltung irritieren stark.
Ein deutlich verspäteter Meilenstein wird nun endlich erreicht. Das Bundeskabinett beschließt den Regierungsentwurf des NIS-2-Umsetzungsgesetzes. Der Entwurf sieht tiefgreifende Änderungen im BSI-Gesetz vor, die künftig rund 29.500 Unternehmen und Einrichtungen betreffen. Diese werden konfrontiert mit
Also erwartbar genau das, was wir unseren Kunden seit Mitte des letzten Jahres raten zu etablieren.
Noch am gleichen Tag kommt es zu entsprechenden Reaktionen führender Branchenstimmen:
Mit dem Kabinettsentwurf liegt nun ein belastbarer, wenngleich weiterhin diskussionswürdiger Vorschlag zur Umsetzung der NIS-2-Richtlinie auf dem Tisch. Die wichtigsten Konfliktlinien sind klar:
Nach wie vor steht unser Aufruf zum rechtzeitigen Handeln auch inhaltlich wenig verändert:
Gerade in der Übergangszeit können freiberufliche Expert:innen für IT-Security, Compliance und Risk Management entscheidende Unterstützung leisten. Sie helfen u. a.:
Angesichts des laufenden EU-Vertragsverletzungsverfahrens (wir berichteten im Mai) ist der politische Druck hoch. Der Gesetzgeber will das Verfahren im Herbst zügig abschließen. Spätestens Anfang 2026 könnte NIS-2 als nationales Gesetz in Kraft treten. Wer dann noch nicht vorbereitet ist, läuft Gefahr, Bußgelder, Reputationsverluste oder operative Hürden in Kauf nehmen zu müssen.
Wer vorbereitet sein will, muss spätestens jetzt starten.
Und wer keine internen Ressourcen hat, kann auf externe Expertise setzen. Zielgerichtet. Mit uns.
Setzen Sie daher auf Etengo als Partner an Ihrer Seite! Wir unterstützen Sie maßgeschneidert mit den passenden Expert:innen und externen Dienstleistern, die Sie optimal bei der Vorbereitung auf die NIS-2-Anforderungen unterstützen. Unsere Erfahrung und unser Netzwerk ermöglichen es Ihnen, Ihre Sicherheitsstrategie zukunftssicher und rechtssicher zu gestalten.