Doch keine NIS2-Registrierungslücke; Kuriose Änderung am KRITIS-Dachgesetz

Die im Juli 2026 propagierte Lücke bei den NIS2-Registrierungen scheint nur auf dem Papier bestanden zu haben. Und die Bundesregierung hat vor der Sommerpause 2026 in einem "merkwürdig anmutenden Verfahren" einige Gesetzanpassungen beim KITIS-Dachgesetz und beim BSI-Gesetz beschlossen. Ich ziehe mal diese verschiedenen Themen zu einem Übersichtsbeitrag zusammen.

Doch keine NIS2-Registrierungslücke?

Die Network and Information Security-2-Richtlinie (nachfolgend kurz als NIS2 bezeichnet) der Europäischen Union legt verbindliche Cyber Security-Mindeststandards für Betreiber kritischer Infrastrukturen (KRITIS) fest. Ziel der Richtlinie ist die Stärkung von Risiko- und Sicherheitsvorfallmanagement und der Zusammenarbeit. NIS2 bildet die Grundlage für Risikomanagementmaßnahmen und Meldepflichten im Bereich Cybersicherheit in allen Sektoren, die unter die Richtlinie fallen. Dazu gehören etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur.

In Deutschland ging man lange davon aus, dass sich rund 29.500 Unternehmen  als Betroffene an einem BSI-Portal registrieren müssen. Bis zum ursprünglichen Stichtag im März 2026 hatte sich aber nur ein Bruchteil der Unternehmen am Portal des BSI gemeldet. Die Frist wurde dann bis 31. Juli 2026 verlängert, aber die Zahl der Meldungen stieg nicht signifikant. Es es schien eine NIS2-Registrierungslücke zu geben, was ich zum 30. Juli 2026 im Blog-Beitrag Das Problem der NIS2-Registrierungslücke; Meldung bis 31. Juli 2026 möglich aufgegriffen hatte.

Bereits zum 11. August 2026 wurde bekannt, dass die deutsche Bundesregierung derzeit nicht von einer Registrierungslücke bei der Umsetzung der sogenannten NIS2-Richtlinie ausgeht. Die im Gesetzentwurf genannte Zahl von 29.850 registrierungspflichtigen Unternehmen sei lediglich eine Schätzung des Statistischen Bundesamtes, basierend auf Daten von 2019 bis 2022 gewesen. Bis zum 1. Juli 2026 hätten sich 19.058 Firmen und Einrichtungen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als NIS2-pflichtig registriert. Die Kollegen von Golem hatten die zum 13. August 2026 in diesem Artikel aufgegriffen und zitieren das Innenministerium, dass man dort "nicht den Zweifel, dass die Registrierungen weit hinter den erwarteten Zahlen zurückliegen" teile. Das Ministerium will jedoch "die Entwicklung der Registrierungszahlen weiter beobachten und bedarfsgerecht reagieren". Also ein Statistikproblem, was durch "Hinschauen" entzaubert wurde?

Änderung am KRITIS-Dachgesetz und beim BSI-Gesetz

Ich beginne mal mit einem Bonmot: Was hat das "Gesetz zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften" mit dem KRITIS-Dachgesetz und dem BSI-Gesetz zu tun? Antwort: Nichts, bis auf den Umstand, dass beide Gesetze vor der Sommerpause 2026 vom Gesetzgeber beschlossen und Ende Juli 2026 in einer Veröffentlichung im Bundesgesetzblatt erwähnt wurden. So könnte man das Ganze leicht übersehen. Tomas Jakobs hatte bereits Ende Juli 2026 in diesem Kommentar auf diesen Sachverhalt hingewiesen.

Wie HonkHase auf Mastodon berichtet, ist es unsere Bundesregierung, die vorgestern heimlich still und leise im "Gesetz zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften" das KRITISDachG und BSIG massiv abschwächte und damit aktiv vertragswidrig zur EU-Gesetzgebung handelt und Informationssicherheit in diesem Land massiv schwächt.

Manuel Atug hat das Ganze in obigem Mastodon-Post aufgegriffen und gibt an, dass das Ganze im Bundesgesetzblatt vom 28. Juli 2026 (Nr. 221) verkündet wurde.

Man muss in Nummer 221 des Bundesgesetzblatts schon bis Seite 8 und 9 blättern, um auf die Abschnitte "Artikel 8 Änderung des KRITIS-Dachgesetzes" und "Artikel 9 Änderung des BSI-Gesetzes" zu stoßen. Zu Artikel 8 heißt es: "Das KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66) wird wie folgt geändert" – scheint eine recht kurze Halbwertszeit zu haben, wenn fünf Monate nach Verabschiedung eines KRITIS-Dachgesetzes schon wieder was geändert wird.

Die Gegenüberstellung der Gesetzesänderungen als Synopse lässt sich hier abrufen. Manuel Atug schrieb dazu: "Es gibt zwei wirklich relevante Änderungen" und listet diese in weiteren Posts auf.

1.) Registrierungspflicht bis 17. Juli 2026 beim BBK über ein gemeinsames BSI Portal ist jetzt ohne neuen Termin ersatzlos gestrichen worden. Das BMI sorgt damit dafür, dass das KRITISDachG und damit auch die EU CER Richtlinie weiterhin in Deutschland nicht umgesetzt werden und aktiv gegen EU Recht verstoßen wird.

2.) Bis 17. Januar 2026 sollte das BBK "Vorlagen und Muster für die Erstellung von Resilienzplänen auf seiner Internetseite" bereitstellen. Das ist jetzt auf „spätestens acht Monate nach Inkrafttreten der" Kritisverordnung verschoben worden. Darin werden die KRITIS Anlagen und Schwellenwerte definiert. Die KritisV wird voraussichtlich erst im Herbst verabschiedet. Genauere Hilfestellung und Infos, was als KRITIS zu tun ist, gibt es also erst frühestens Mitte 2027.

Bei der Recherche zu obigem Thema ist mir die eco-Stellungnahme "eco – Verband der Internetwirtschaft e.V. zur Verabschiedung des KRITIS-Dachgesetzes" vom 28. Januar 2026 zum Thema KRITIS-Dachgesetz in meinem Postfach untergekommen. Zur Verabschiedung des KRITIS-Dachgesetzes im Deutschen Bundestag erklärt Ulrich Plate, Leiter der Kompetenzgruppe KRITIS bei eco – Verband der Internetwirtschaft e.V. – seinerzeit:

"Wir begrüßen ausdrücklich, dass mit dem KRITIS-Dachgesetz nun erstmals ein bundesweit einheitlicher Rahmen für den Schutz kritischer Infrastrukturen geschaffen und zugleich die europäische CER-Richtlinie in deutsches Recht umgesetzt wird. Nach einem langen Gesetzgebungsprozess ist das ein wichtiger und notwendiger Schritt, um die Resilienz zentraler Versorgungsstrukturen in Deutschland zu stärken. Für die Internetwirtschaft sind stabile Stromversorgung, funktionierende Netze und verlässliche Rahmenbedingungen essenziell. Das Gesetz setzt hier grundsätzlich an der richtigen Stelle an.

Entscheidend wird sein, wie praxistauglich die Umsetzung gelingt und wie kohärent sich die neuen Anforderungen in den bestehenden Regulierungsrahmen einfügen. Insbesondere müssen Doppelregulierungen und parallele Pflichten im Zusammenspiel mit bestehenden IT- und Cybersicherheitsanforderungen etwa im Kontext von NIS2 vermieden werden. Resilienz entsteht durch klare Zuständigkeiten, abgestimmte Verfahren und nachvollziehbare Anforderungen.

Von zentraler Bedeutung sind zudem die noch ausstehenden Rechtsverordnungen zu kritischen Dienstleistungen, Anlagen und Schwellenwerten. Solange diese Konkretisierungen fehlen, bleibt für viele Unternehmen unklar, ob und in welchem Umfang sie betroffen sind. Ohne diese Klarheit fehlt die notwendige Planungs- und Investitionssicherheit, um Resilienzmaßnahmen zielgerichtet und wirtschaftlich tragfähig umzusetzen.

Wichtig ist, den Schutz unserer kritischen Infrastrukturen und Anlagen zügig umzusetzen. Ereignisse wie der Stromausfall in Berlin zeigen, dass Bedrohungen real sind. Wenn Transparenz, Harmonisierung und eine enge Einbindung der betroffenen Branchen gewährleistet werden, kann das Gesetz einen wirksamen Beitrag zur Stärkung der Resilienz kritischer Infrastrukturen in Deutschland leisten."

Tja, und nun hat mal wohl vom Gesetzgeber "den Stöpsel" gezogen, so dass das noch länger in der Luft hängt. Immerhin gibt es einen Lichtblick in einem anderen Bereich. Laut diesem heise-Artikel von Ende Juli 2026 ist das Gesetz zur Marktüberwachung und Innovationsförderung von Künstlicher Intelligenz (KI-MIG) in Kraft getreten. Damit soll die Bundesnetzagentur eine zentrale Rolle bei der Durchsetzung der europäischen KI-Verordnung in Deutschland übernehmen. Die Regulierungsbehörde agiert künftig in einer Mehrfachfunktion, schreibt heise: Sie soll als zentrale Marktüberwachungsbehörde, nationale Anlaufstelle für Fragen sowie offizielle Beschwerdestelle für Verstöße gegen die EU-Vorgaben fungieren.