Aktuelle Entwicklungen des Cybersicherheitsrechts : Aktuelle Entwicklungen des Cybersicherheitsrechts
Zeitnah umzusetzende EU-Rechtsakte wie die NIS-2-Richtlinie und die KI-Verordnung wirken sich unmittelbar auf das Cybersicherheitsgefüge – auch auf nationaler Ebene – aus. Im vorliegenden Beitrag erfolgt eine überblicksartige Einordnung ausgewählter Rechtsakte, um dieses vielschichtige Gefüge zu entzerren.
Für eine überblicksartige Einordnung ausgewählter Rechtsakte hilft eine Kategorisierung und Schwerpunktsetzung – einen ersten Anker kann der Regelungsgegenstand des Rechtsakts setzen. Folgende Schwerpunkte ergeben sich für die ausgewählten EU-Rechtsakte: Governance-Bezug, Produkt-Bezug, Einrichtungs-Bezug sowie Produkt – und Einrichtungsbezug. Hieraus ergibt sich die Übersicht in Abbildung 1.
Abbildung 1: Überblick ausgewählter Rechtsakte
Die Grafik teilt die Rechtsakte nach ihren regulatorischen Schwerpunkten ein: Rechtsakte mit einem Schwerpunkt „Governance“ treffen ganz grundsätzliche Regelungen zur Schaffung von wichtigen Strukturen und Institutionen bei staatlichen Stellen. Bei weiteren Rechtsakten stehen konkret produktbezogene Vorgaben im Fokus. Speziell einrichtungsbezogene Rechtsakte konkretisieren die Pflichten von Einrichtungen. Eine vierte Kategorie von Rechtsakten bilden sowohl einrichtungs- als auch produktbezogene Vorgaben ab.
Die Kategorien sind nicht als strikt abgeschlossen zu verstehen, sondern stehen in Wechselwirkung. So haben etwa Rechtsakte mit Governance-Fokus natürlich auch Auswirkungen auf Rechtsakte mit produkt- oder einrichtungsbezogenen Vorgaben.
Aus den Kategorien seien beispielhaft folgende Rechtsakte besonders herausgehoben:
- Governance-Strukturen:Durch den Cyber-Security-Act (CSA, Verordnung (EU) 2019/881) wurde ein permanentes Mandat für die europäische Cybersicherheitsagentur ENISA implementiert und zugleich ein einheitlicher europäischer Zertifizierungsrahmen für Produkte, Dienstleistungen und Prozesse im Bereich Informations- und Kommunikationstechnik geschaffen.
- Produktbezogen: Der in Kraft getretene und überwiegend ab 2027 anzuwendende Cyber-Resilience-Act (CRA, Verordnung (EU) 2024/2847) ist die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt.
- Einrichtungsbezogen: Mit der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555 vom 14. Dezember 2022) hat die EU einen neuen Maßstab für ein hohes Cybersicherheitsniveau für wesentliche und wichtige Einrichtungen in allen Mitgliedstaaten geschaffen. Parallel wurden mit der CER-Richtlinie (Richtlinie (EU) 2022/2557 vom 14. Dezember 2022) Vorgaben speziell zur Stärkung der physischen Resilienz kritischer Einrichtungen der EU geschaffen.
- Produkt- und einrichtungsbezogen: Die KI-Verordnung (Verordnung (EU) 2024/1689 vom 13. Juni 2024) ist europaweit der erste Rechtsakt, der Regelungen zu künstlicher Intelligenz (KI) festlegt. Dabei werden nicht nur Regelungen für künstliche Intelligenz als Produkt oder Bestandteile von Produkten normiert, sondern auch die Voraussetzungen und Grenzen des Einsatzes von künstlicher Intelligenz durch staatliche und private Einrichtungen festgelegt.
Rechtsakte im Vergleich
Ein Vergleich ausgewählter Rechtsakte mit Vorgaben für Produkte und/oder Einrichtungen lässt sich beispielsweise anhand der Ausgestaltung ihrer Meldepflichten bei Sicherheitsvorfällen vornehmen: Sowohl die NIS-2- sowie die CER-Richtlinien als auch die KI-Verordnung enthalten entsprechende Pflichten.
Dabei ist der Bezugspunkt für die Meldepflichten aus den beiden Richtlinien (Art. 15 CER, Art. 23 NIS-2) die Einrichtung selbst, etwa Betreiber digitaler Dienste oder kritischer Infrastrukturen. Nach beiden Richtlinien sind Einrichtungen verpflichtet, Sicherheitsvorfälle, die die Erbringung wesentlicher Dienste erheblich stören, unverzüglich, spätestens jedoch nach 24 Stunden, zu melden. Dabei muss nach der NIS-2-RL unter Umständen angegeben werden, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte.
Für Sicherheitsvorfälle, die die Erbringung wesentlicher Dienste erheblich stören könnten, besteht hingegen nur nach der CER eine Meldepflicht, während nach der NIS-2-RL die Einrichtungen in diesem Fall lediglich im Bedarfsfall die Empfänger der Dienste unterrichten müssen. Unterschiede ergeben sich auch hinsichtlich eines Abschlussberichts: Während dieser nach der NIS-2- Richtlinie verpflichtend ist, muss er nach der CER lediglich im Bedarfsfall eingereicht werden.
Demgegenüber zielt die Meldepflicht der KI-Verordnung grundsätzlich zunächst auf die Produktsicherheit von Hochrisiko-KI-Systemen ab (Art. 73 KI-VO). Nach der KI-Verordnung muss ein schwerwiegender Vorfall grundsätzlich „unmittelbar“ gemeldet werden. Die Maximalfrist für den Anbieter oder gegebenenfalls Betreiber nach der KI-Verordnung ist länger als nach der CER sowie NIS-2 und beträgt 15 Tage. Die Meldepflicht besteht – ähnlich wie bei der CER – auch für die naheliegende Wahrscheinlichkeit, dass ein schwerwiegender Vorfall aufkommen könnte.
Für Verstöße, die kollektive Interessen von Einzelpersonen in mehreren EU-Mitgliedstaaten betreffen oder eine schwere und unumkehrbare Störung der Verwaltung oder des Betriebs kritischer Infrastrukturen nach sich ziehen, gelten jedoch strengere Meldepflichten: In diesen Fällen muss eine Meldung spätestens nach zwei Tagen erfolgen.
Insgesamt zeigt sich, dass Meldepflichten einerseits ein Monitoring ermöglichen sollen, das die Funktionsfähigkeit zentraler Einrichtungen sicherstellt, andererseits sollen sie die Sicherheit von Produkten gewährleisten.
Fazit
Für die Wirtschaft ist aus Compliance-Gesichtspunkten das Zusammendenken der produktbezogenen Rechtsakte sowie der einrichtungsbezogenen Rechtsakte von Bedeutung.
Die Spannungsfelder zwischen den Rechtsakten aufzulösen und fortzuentwickeln, wird den europäischen und nationalen Gesetzgeber die nächsten Jahre weiter intensiv beschäftigen. Das BSI möchte an dieser Gestaltung aktiv mitwirken.
Bei Wunsch nach weiterem Austausch zu den aktuellen Entwicklungen des Cybersicherheitsrechts wenden Sie sich gerne an das Exzellenzzentrum IT-Sicherheitsrecht (cybersicherheitsrecht@bsi.bund.de).