Am 21.11.2025 hat auch der Bundesrat nach der Verabschiedung im Bundestag gr\u00fcnes Licht f\u00fcr den Gesetzesentwurf zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundz\u00fcge des Informationssicherheitsmanagements in der Bundesverwaltung gegeben.<\/p>\n
Mit \u00fcber einj\u00e4hriger Versp\u00e4tung setzt Deutschland damit voraussichtlich noch in diesem Jahr die \u201eRichtlinie \u00fcber Ma\u00dfnahmen zur Gew\u00e4hrleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union\u201c, kurz \u201eNIS-2-Richtlinie\u201c der EU, um.<\/p>\n
Ziel der NIS-2-Richtlinie ist die St\u00e4rkung der Cybersicherheit in der EU durch einen einheitlichen Rechtsrahmen mit Mindestvorgaben, um das Funktionieren des Binnenmarktes zu verbessern. Die NIS-2-Richtlinie verpflichtet mehr Unternehmen und Branchen zu einheitlichen europ\u00e4ischen Sicherheitsstandards und setzt strengere Sicherheitsanforderungen voraus. Sie sieht zudem umfangreiche Meldepflichten bei Sicherheitsvorf\u00e4llen vor sowie sch\u00e4rfere Sanktionen bei Verst\u00f6\u00dfen. Au\u00dferdem soll die Zusammenarbeit zwischen den EU-Staaten bei der Abwehr von Cyberangriffen verbessert werden.<\/p>\n
Mit der Umsetzung der Richtlinie gehen neue Pflichten sowohl f\u00fcr Unternehmen als auch f\u00fcr \u00f6ffentliche Auftraggeber einher, die zentrale Aspekte der Beschaffung betreffen. \u00dcberwiegend treten die Pflichten unmittelbar nach Verk\u00fcndung in Kraft; aufwendige Pflichten (z.B. Domain-Identit\u00e4tspr\u00fcfung) zum Teil ab 01.07.2026.<\/p>\n
Der Adressatenkreis der Richtlinie geht weit \u00fcber die Betreiber kritischer Anlagen (KRITIS-Betreiber) hinaus. Auch bestimmte Unternehmen im IT-, Energie-, Transport-, Finanzwesen- oder Gesundheitssektor sind k\u00fcnftig Adressaten eines Pflichten- und Sanktionsregimes. Betroffene Unternehmen sind gehalten, geeignete technische und organisatorische Risikomanagementma\u00dfnahmen zu treffen und Sicherheitsvorf\u00e4lle oder Cyberbedrohungen der Meldestelle des BSI und dem Bundesamt f\u00fcr Bev\u00f6lkerungsschutz zu melden.<\/p>\n
Der IT-Sicherheit wird k\u00fcnftig bei Vergaben eine noch h\u00f6here Bedeutung zukommen und muss in der Leistungsbeschreibung, in den Eignungs- und Zuschlagskriterien sowie vertraglich verankert werden. Es ist damit zu rechnen, dass einzelne Anforderungen noch konkretisiert werden, da Deutschland verpflichtet ist, eine nationale Cybersicherheitsstrategie zu entwickeln, die explizite Beschaffungskonzepte enthalten muss.<\/p>\n
Bei der Erstellung der Leistungsbeschreibung werden Mindestanforderungen, technische Richtlinien und Referenzarchitekturen f\u00fcr die IT-Sicherheit in Bundesbeh\u00f6rden, die das BSI bereitstellt, bei IT-Vergaben zu ber\u00fccksichtigen sein. Auf Eignungsebene werden insbesondere Zertifikate wie ISO 27001, 27002, 27701 und 27005 eine gr\u00f6\u00dfere Rolle spielen. Vertraglich werden Auftragnehmer auf die Einhaltung von Informationssicherheit verpflichtet sein.<\/p>\n
Die Vereinbarung von Kontroll- und Pr\u00fcfrechten, Mitwirkungspflichten bei Sicherheitsvorf\u00e4llen und Vertragsstrafen bei Verst\u00f6\u00dfen wird, wo nicht bereits umgesetzt, k\u00fcnftig bei der IT-Beschaffung von zentraler Bedeutung sein. Es ist daher zu erwarten, dass auch eine \u00dcberarbeitung der EVB-IT-Mustervertr\u00e4ge erfolgt, um den erh\u00f6hten IT-Sicherheitsanforderungen Rechnung zu tragen.<\/p>\n
<\/p>\n