Stellungnahmen

1. Einleitung

b) § 67 Nr. 1 BSIG-E - Unterstützung der Wirtschaftsakteure 
§ 67 BSIG-E bleibt massiv hinter dem tatsächlichen Unterstützungsbedarf der Unternehmen zurück. Zwar übernimmt der Entwurf formal die in Art. 33 CRA vorgesehenen Unterstützungsmaßnahmen, ihre konkrete Ausgestaltung bleibt jedoch weitgehend offen. Weder ist hinreichend klar, in welcher Form, mit welcher inhaltlichen Tiefe noch mit welchem praktischen Nutzen die vorgesehenen Schulungs- und Sensibilisierungsmaßnahmen erbracht werden sollen. Der Eindruck liegt nahe, dass hier vor allem unionsrechtliche Mindestvorgaben formal abgearbeitet werden, ohne ein belastbares und praxistaugliches Unterstützungskonzept zu schaffen.

Das wiegt umso schwerer, als der CRA für Hersteller und andere Wirtschaftsakteure erhebliche organisatorische, personelle und technische Umstellungen auslösen wird. Vor diesem Hintergrund ist der vorgesehene finanzielle Rahmen von 1,281 Mio. Euro ersichtlich zu knapp bemessen, insbesondere mit Blick auf den Unterstützungsbedarf kleiner und mittlerer Unternehmen. Ein Vergleich mit den Zahlen, die in der Begründung des Regierungsentwurfs zum NIS-2-Umsetzungsgesetz stehen, verdeutlicht die signifikant zu gering bemesse-ne Finanzierung der Unterstützungsmaßnahmen: Während hierfür lediglich 1,281 Mio. Euro jährlich vorgesehen sind, werden für regelmäßige Schulungen in der Bundesverwaltung im NIS-2-Kontext rund 5,044 Mio. Euro jährlich veranschlagt. Für Schulungen in den betroffenen Unternehmen wird ein Erfüllungsaufwand der Wirtschaft von rund 165,24 Mio. Euro jährlich veranschlagt. Wenngleich die Zahlen nicht direkt auf den CRA-Kontext übertragbar sind, so ist dennoch festzustellen, dass mit dem geplanten Finanzierungsrahmen nur sehr begrenzte Schulungs- und Sensibilisierungsmaßnahmen möglich sind.

Darüber hinaus werden zwei in Art. 33 Abs. 1 CRA genannte Unterstützungstätigkeiten - die Einrichtung eines speziellen Kommunikationskanals für Kleinst- und Kleinunternehmen sowie die Unterstützung bei Prüf- und Konformitätsbewertungstätigkeiten - nicht explizit in § 67 BSIG-E aufgeführt. Damit ist unklar, ob und wie weit diese Tätigkeiten vom BSI übernommen werden. TeleTrusT fordert, diese Tätigkeiten in § 67 BSIG-E ebenfalls aufzunehmen und ausreichend Ressourcen hierfür zur Verfügung zu stellen. 

Alternativ schlägt TeleTrusT vor, dass die Unterstützungsmaßnahmen nicht durch das BSI selbst vorgenommen werden, sondern durch externe, unabhängige Stellen. Das BSI ist als Marktüberwachungsbehörde die Stelle, die Sanktionen bei Verstößen gegen den CRA verhängt. Die Bündelung von Unterstützungsfunktion und Marktüberwachung beim BSI begründet die Sorge, dass Rollenklarheit, Akzeptanz und Wirksamkeit beider Aufgabenbereiche leiden könnten.

§ 67 BSIG-E bedarf daher einer deutlichen Schärfung: Erforderlich sind ein substanziell erweiterter finanzieller Rahmen sowie inhaltlich konkrete, niedrigschwellige und praxisnahe Unterstützungsangebote. Andernfalls ist die Vorschrift nicht tauglich, den betroffenen Unternehmen nennenswerten Mehrwert zu bieten.

c) § 67 Nr. 2 BSIG-E - Reallabor für Cyberresilienz
TeleTrusT begrüßt grundsätzlich die Einrichtung eines Reallabors für Cyberresilienz. Gerade für betroffene Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, kann eine kontrollierte Prüfumgebung einen wertvollen Beitrag dazu leisten, regulatorische Anforderungen frühzeitig zu erfassen und praktische Umsetzungsfragen vor dem Inverkehrbringen eines Produkts zu klären.

In seiner derzeitigen Ausgestaltung besteht allerdings die Gefahr, dass das Reallabor zwar als innovations-freundliches Unterstützungsinstrument angekündigt wird, sein tatsächlicher Mehrwert für die betroffenen Unternehmen jedoch marginal bleibt.

Der Entwurf lässt im Normtext wie auch der Begründung die konkrete Ausgestaltung dieses Instruments weit-gehend offen. Insbesondere bleibt unklar, unter welchen Voraussetzungen die Nutzung "im öffentlichen Interesse" liegen soll und nach welchen Kriterien Unternehmen Zugang zum Reallabor erhalten. Nach Art. 33 Abs. 2 CRA hat der Zugang zu den Reallaboren offen, fair und transparent zu erfolgen. In der Fassung des Referentenentwurfs finden sich keine Anhaltspunkte, dass dies auch so erfolgen wird. Hier bedarf es einer für KMU transparenten Nachschärfung.

Auch der konkrete praktische Mehrwert der Reallabors ist mehr als unklar. Der Leistungsumfang des Reallabors wird nicht beschrieben. Es ist nicht ersichtlich, ob dort lediglich allgemeine Testmöglichkeiten eröffnet werden oder ob Unternehmen tatsächlich verwertbare Unterstützung bei der Einhaltung der CRA-Anforderungen erhalten sollen.

In der Fassung des Referentenentwurfs droht das Reallabor mehr Symbolcharakter als wirksame Unterstützung zu sein.

d) § 69 BSIG-E - Sanktions- und Vollzugsrahmen 
Ein einheitlicher und wirksamer Vollzug der Cyberresilienz-Verordnung ist aus Sicht von TeleTrusT grundsätzlich zu begrüßen. Die praktische Wirksamkeit der Verordnung wird maßgeblich davon abhängen, dass die Einhaltung ihrer Anforderungen konsequent überwacht und auf festgestellte Verstöße angemessen reagiert werden kann. Nur so lässt sich sicherstellen, dass Produkte mit digitalen Elementen tatsächlich den vorgesehenen Cybersicherheitsstandards genügen und das Vertrauen in den europäischen Binnenmarkt für sichere digitale Produkte gestärkt wird.

Hierbei gilt es jedoch zu beachten, dass aus Unternehmenssicht ein Bedarf an berechenbarem, verhältnismäßigem und fachlich konsistentem Vollzug besteht. Gerade in der Anfangsphase eines neuen und technisch anspruchsvollen Regulierungsregimes ist zu berücksichtigen, dass auf Seiten der betroffenen Unternehmen erhebliche Auslegungs- und Umsetzungsunsicherheiten bestehen werden.

Aus Sicht von TeleTrusT sollte der Fokus daher zunächst auf klarer Kommunikation, vorhersehbarer Aufsicht und nachvollziehbaren Maßstäben liegen. Sanktionen dürfen nicht an die Stelle einer praxistauglichen Orientierung treten.

Fazit: 
Der Referentenentwurf greift die durch den CRA erforderlichen nationalen Regelungen zwar im Grundsatz auf, bleibt in seiner derzeitigen Fassung jedoch in zentralen Punkten hinter den praktischen und rechtlichen Anforderungen zurück. Die vorgesehene Aufgabenbündelung beim BSI ist nur dann tragfähig, wenn dessen personelle, technische und organisatorische Ausstattung verlässlich und dauerhaft abgesichert wird. Daran fehlt es bislang.

Besonders kritisch sind die zu weit gefasste Ausnahmeregelung für die Notifizierung von Konformitätsbewertungsstellen ohne Akkreditierung, die unzureichend konkretisierten Unterstützungsleistungen für Wirtschaftsakteure sowie die unklare Ausgestaltung des Reallabors für Cyberresilienz. In allen drei Bereichen besteht die Gefahr, dass der Entwurf formale Strukturen schafft, ohne deren praktische Wirksamkeit belastbar sicherzustellen.

TeleTrusT hält daher eine deutliche Nachschärfung des Entwurfs für erforderlich. Notwendig sind insbesondere eine verlässliche Finanzierung und Ausstattung des BSI und der DAkkS, enge und klare Voraussetzungen für Ausnahmen von der akkreditierungsbasierten Notifizierung, ein substanziell ausgebautes und praxisnahes Unterstützungskonzept für Unternehmen sowie transparente und nachvollziehbare Regelungen zum Reallabor.

16.03.2026

Kontakt:
RA Karsten U. Bartels, LL.M.
HK2 RAe
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu

I. Einleitung

TeleTrusT begrüßt das Ziel des Referentenentwurfs, die Cyber-Sicherheit in Deutschland wirksam zu stärken und die staatliche Handlungsfähigkeit gegenüber schwerwiegenden Cyber-Gefahren zu verbessern. Angesichts der anhaltend hohen Bedrohungslage ist es richtig, die bestehenden Strukturen zur Detektion, Bewertung und Abwehr von Cyber-Gefahren fortzuentwickeln.

Cyber-Sicherheit ist nicht nur Aufgabe der potentiell betroffenen Einrichtungen. Entsprechende Eingriffsbefugnisse für den Staat als Akteur für Cyber-Sicherheit zu schaffen, kann sich als zeitgemäße und effektive Bereicherung eines holistisch verstandenen Cyber-Sicherheitsrechts erweisen. Dazu sind die Eingriffsbefugnisse jedenfalls punktuell, streng cyber-sicherheitsbezogen und technisch sinnvoll umsetzbar auszugestalten. Cyber-Sicherheitsrecht muss den Schutz von Staat, Gesellschaft und Wirtschaft erhöhen; es darf nicht durch unklare Befugnisse, unbestimmte Rechtsbegriffe oder zu geringe verfahrensrechtliche Begrenzungen das Potential missbräuchlicher staatlicher Eingriffe bergen.

Vor diesem Hintergrund erscheint der Referentenentwurf eines Gesetzes zur Stärkung der Cyber-Sicherheit ambivalent: Er enthält einerseits dringend benötigte Eingriffsbefugnisse für Bundespolizei sowie BKA und sieht punktuell sinnvolle Befugniserweiterungen für das BSI vor. Andererseits ermöglicht der Entwurf tiefgreifende Eingriffe in die Netzinfrastruktur selbst, die langfristig das Vertrauen von Unternehmen, Bürgerinnen und Bürgern in integre IT-Systeme signifikant schwächen können. Je tiefer staatliche Maßnahmen in IT-Systeme eingreifen können, desto höher sind die Anforderungen an Normenklarheit, technische Begrenzungen und Verfahrensvorschriften. Eingriffsbefugnisse stellen keinen Sicherheitsgewinn dar, wenn sie ihrerseits neue Angriffsflächen schaffen.

II. BSIG

TeleTrusT unterstützt grundsätzlich das Anliegen, dem BSI in einzelnen Bereichen frühzeitigere und operativ wirksamere Reaktionen auf Cyber-Gefahren zu ermöglichen. So ist der Vorschlag für die Änderungen des § 11 Abs. 1, 3 BSIG-E positiv hervorzuheben, wonach das BSI Maßnahmen nicht erst nach Eintritt einer Beeinträchtigung, sondern bereits bei Anhaltspunkten für deren Eintritt ergreifen und dementsprechend auch Daten verarbeiten kann. Auch die nach § 15 Abs. 6 BSIG-E geplante Pflicht für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Anbieter von digitalen Diensten, dem BSI auf Anforderung Informationen mitzuteilen, die Rückschlüsse auf Cyber-Risiken erlauben, stellt in dem Zusammenhang eine punktuelle Verbesserung dar.

Die Auskunftspflicht ist in Hinblick auf ihre technische Durchführbarkeit und wirtschaftliche Zumutbarkeit begrenzt. Wenngleich eine derartige Begrenzung in Anbetracht der ansonsten ausufernden Auskunftspflicht richtig ist, muss die Ausnahme dringend konkretisiert werden, damit betroffene Unternehmen sie auch nutzbar machen können. Ansonsten droht die Informationspflicht für IKT-Diensteanbieter auszuufern.

Ein Schwerpunkt des Gesetzesvorhabens ist die Bekämpfung maliziöser Domains. In §§ 16 Abs. 6, 16a BSIG-E werden DNS-Diensteanbieter, TLD Name Registries und Domain-Name-Registry-Dienstleistern besondere Pflichten auferlegt. Mittelgroße DNS-Diensteanbieter müssen nach § 16 Abs. 6 BSIG-E ihren Kunden einen besonderen DNS-basierten Schutz vor Angriffen in Verbindung mit risikobehafteten Domains bieten. Offen bleibt hier, wie sich diese gesonderte Pflicht zu den allgemeinen Risikomanagementpflichten verhält. Diesen unterliegen DNS-Diensteanbieter sogar größenunabhängig als besonders wichtige Einrichtung i. S. d. § 28 Abs. 1 S. 1 Nr. 2 Var. 3 BSIG. Damit könnte im Umkehrschluss gefolgert werden, dass DNS-basierte Schutzmaßnahmen gegenwärtig pauschal nicht unter § 30 Abs. 1 BSIG fallen würden, obwohl der Wortlaut des § 30 Abs. 1 BSIG dies als technische Maßnahme eindeutig zulassen - und wohl auch erfordern - würde.

§ 16a BSIG-E sieht die Befugnis des BSI vor, gegenüber TLD Name Registries und Domain-Name-Registry-Dienstleistern anzuordnen, dass diese Nameserver-Einträge einer Domain ändern oder neue Einträge hinzufügen müssen. Die Befugnis steht unter der Voraussetzung einer erheblichen Gefahr für Schutzgüter des § 16 Abs. 3 BSIG. Ferner steht die Pflicht erneut unter der Bedingung technischer Durchführbarkeit und wirtschaftlicher Zumutbarkeit. Insbesondere vor dem Hintergrund der Rechtsschutzverkürzung für betroffene Unternehmen (Widerspruch und Anfechtungsklage sollen hier keine aufschiebende Wirkung entfalten können) und dem intensiven Eingriff in die Netzinfrastruktur durch das BSI ist auch hier eine Konkretisierung dieser Ausnahmeregelung unerlässlich. Die Pflicht des BSI, den oder die BfDI jährlich über die Gesamtzahl angeordneter Nameserverumleitungen zu unterrichten, ist grundsätzlich richtig, stellt aber ohne damit verbundene Evaluationspflichten keine ausreichende Kontrollmaßnahme dar.

TeleTrusT lehnt demgegenüber die in § 31 BSIG-E vorgesehene verpflichtende Anbindung von Systemen zur Angriffserkennung von Betreibern kritischer Anlagen an das BSI in der vorgeschlagenen Form ab. Bereits der behauptete Mehrwert der zusätzlichen Anbindung bleibt im Entwurf unklar. Es ist nicht hinreichend dargelegt, weshalb die bestehenden Melde-, Unterstützungs- und Kooperationsmechanismen nicht ausreichen sollen. Demgegenüber schafft jede weitere Schnittstelle in hochsensiblen IT- und OT-Umgebungen eine neue Angriffsfläche. Gerade bei KRITIS-Betreibern beruht das Schutzkonzept auch darauf, externe Anbindungen auf das zwingend erforderliche Maß zu reduzieren. Besonders problematisch ist in dieser Hinsicht, dass der Entwurf keinerlei tragfähiges Schutzkonzept für diese staatlich veranlasste Anbindung erkennen lässt. Es fehlt an hinreichend klaren gesetzlichen Vorgaben zur sicheren technischen Ausgestaltung und zum sicheren Betrieb der Verbindung. Der bloße Hinweis darauf, dass das BSI die Anforderungen an Anbindung und Ausleitung eigenständig festlegt und veröffentlicht, genügt insoweit nicht.

Hinzu kommt, dass die Kosten- und Haftungsfolgen im Entwurf unzureichend geklärt sind. Wenn durch die verpflichtende Anbindung Sicherheitslücken entstehen, Cyber-Angriffe erleichtert oder Betriebsstörungen verursacht werden, sind Schäden bei KRITIS-Betreibern nicht auszuschließen. Es darf nicht zulasten der Betreiber gehen, wenn eine staatlich angeordnete zusätzliche Anbindung selbst zum Risiko wird. Mindestens müssen die Implementierungs- und Betriebskosten vollständig vom Staat getragen und spezialgesetzliche Haftungsregelungen einschließlich einer Beweislastumkehr zugunsten betroffener Betreiber vorgesehen werden. Andernfalls droht, dass Schäden wirtschaftlich bei den KRITIS-Betreibern verbleiben, obwohl diese die risikobegründende Maßnahme nicht freiwillig geschaffen haben. Dies gilt umso mehr, als allgemeine Staatshaftungsansprüche in der Praxis häufig keine hinreichend effektive und rechtssichere Kompensation gewährleisten.

Im Ergebnis ist § 31 BSIG-E in seiner Konzeption nach diesem Referentenentwurf abzulehnen.

III. TDDDG

Als sinnvoll erachtet TeleTrusT die neuen Nutzerinformationspflichten in § 19 Abs. 5, 6 TDDDG-E. Hiermit kann die Reaktionsfähigkeit und damit die Resilienz auf Endnutzerseite gestärkt und das Schadensausmaß von Cyber-Vorfällen deutlich eingeschränkt werden. Einzig zu kritisieren ist auch hier die fehlende Konkretisierung der technischen Durchführbarkeit und wirtschaftlichen Zumutbarkeit.

IV. BPolG und BKAG

Der Großteil des Referentenentwurfs befasst sich mit einer Anpassung des BPolG und BKAG in Hinblick auf die neue Cyber-Gefahrenlage. TeleTrusT betrachtet diese Vorschriften nicht aus einer polizei- und ordnungsrechtlichen, sondern aus einer Cyber-Sicherheitsrechtlichen Perspektive. TeleTrusT steht dem Schaffen neuer Eingriffsbefugnisse für Bundespolizei und BKA im Cyber-Raum nur insoweit offen gegenüber, als diese strikt defensiv, technisch beherrschbar und rechtsstaatlich klar begrenzt ausgestaltet sind. Der vorliegende Entwurf geht darüber deutlich hinaus. Die Rechtsgrundlagen sehen mitunter drastische Möglichkeiten vor, in informationstechnische Systeme und Datenströme einzugreifen.

Vor diesem Hintergrund sind insbesondere § 41a BPolG-E und § 62e BKAG-E aus Sicht von TeleTrusT in ihrer Grundkonzeption verfehlt. Die dort angelegten Eingriffsmöglichkeiten einer aktiven Cyber-Abwehr beinhalten die Möglichkeit, Maßnahmen durchzuführen, die nicht nur gegen Angreifer-Infrastrukturen, sondern faktisch auch gegen kompromittierte Drittsysteme wirken können. Gerade im Cyber-Raum werden Angriffe regelmäßig über fremde, selbst angegriffene oder missbrauchte Systeme durchgeführt. Damit können Bundespolizei und BKA solche Behörden, Unternehmen oder sonstigen Einrichtungen adressieren, die selbst Opfer eines Cyber-Angriffs geworden sind.

Die Vorstellung, "aktive Cyber-Abwehr" könne in komplexen realen Angriffsszenarien trennscharf und ohne gravierende Nebenfolgen erfolgen, überzeugt nicht. Werden Maßnahmen ohne Wissen der Betreiber angegriffener oder manipulierter Systeme durchgeführt, können die tatsächlichen Systemzustände und die Folgen des Eingriffs regelmäßig nicht hinreichend verlässlich beurteilt werden. Gerade das für eine sichere Durchführung erforderliche betriebs- und systemspezifische Wissen über Abhängigkeiten, Redundanzen und mögliche Kaskadeneffekte liegt typischerweise nur bei den betroffenen Betreibern selbst vor. Das ist insbesondere bei kritischen oder hochverfügbaren Infrastrukturen risikobehaftet. Schon geringfügige Fehlannahmen können erhebliche Betriebsstörungen, Datenverluste oder sogar flächendeckende Versorgungsausfälle verursachen. Die in § 41a BPolG-E und § 62e BKAG vorgesehenen Befugnisse schaffen damit neue Angriffsflächen, neue Missbrauchsmöglichkeiten und das Risiko unschätzbarer Kollateralschäden.

Dass die Normen die Rückgängigmachung von Datenveränderungen vorsehen und eingesetzte Mittel nach dem Stand der Technik gegen unbefugte Nutzung geschützt werden müssen, beseitigt diese Grundprobleme nicht. Die entscheidende Schwäche liegt nicht nur in der technischen Absicherung der eingesetzten Mittel, sondern bereits in der Unbeherrschbarkeit des Eingriffs in fremde, vernetzte und häufig nicht eindeutig zuordnungsfähige Systemumgebungen. Aus Sicht von TeleTrusT sollten diese Befugnisse in ihrer derzeitigen Konzeption nicht weiterverfolgt werden.

Die cyber-sicherheitsbezogenen Rechtsgrundlagen der §§ 62b - 62g BKAG-E sind eng verknüpft mit der Aufgabenzuweisungsnorm des § 3a BKAG-E. Hiernach nimmt das BKA die Aufgabe der Gefahrenabwehr gegen Angriffe auf die IT-Sicherheit wahr bei schwerwiegenden Fällen mit internationaler Abhängigkeit sowie Fällen mit außen- und sicherheitspolitischer Bedeutung. Während Gefahren durch Angriffe auf die IT-Sicherheit in § 3a Abs. 2 BKAG-E und schwerwiegende Fälle in § 3a Abs. 3 BKAG-E definiert werden, fehlt es in Bezug auf "Fälle mit außen- und sicherheitspolitischer Bedeutung" an einer ausreichenden Konkretisierung. Die Möglichkeit der Auswirkung auf die "Stellung der Bundesrepublik Deutschland in der Staatengemeinschaft" ist ebenfalls sehr weit gefasst und als Konturierung der Eingriffsvoraussetzung daher ungeeignet. Damit droht eine uferlose Ausweitung der Ermächtigungsgrundlagen. Gerade vor dem Hintergrund gegenwärtiger hybrider Kriegsführung sind wirksame Maßnahmen zur Abwehr von cyber-sicherheitsbezogenen Angriffen auf die Stellung der Bundesrepublik Deutschland wichtig - sie dürfen jedoch nicht zu einem Blankocheck für intensive Eingriffe in die Netz- und IT-Infrastruktur werden.

Hinsichtlich der Aufgabenzuweisungsvorschrift des § 3a BKAG-E und den damit zusammenhängenden Eingriffsbefugnissen der §§ 62b - 62g BKAG-E sowie auch hinsichtlich des § 41a BPolG treten erhebliche verfassungsrechtliche Bedenken hinzu. Diese Normen verschieben operative Zuständigkeiten im Bereich der Cyber-Gefahrenabwehr in substanziellem Umfang auf Bundesbehörden. Ob und inwieweit diese Kompetenzverlagerung mit der verfassungsrechtlichen Kompetenzordnung vereinbar ist, wird im Entwurf nicht hinreichend klar beantwortet. Gerade bei tiefgreifenden Eingriffsbefugnissen gegenüber informationstechnischen Systemen muss der Gesetzgeber die verfassungsrechtliche Zulässigkeit ausdrücklich und klar darlegen.

V. Fazit

Im Ergebnis unterstützt TeleTrusT das Anliegen des Referentenentwurfs, die Cyber-Sicherheit in Deutschland wirksamer zu schützen und die Reaktionsfähigkeit staatlicher Stellen gegenüber Cyber-Gefahren und -angriffen zu verbessern.

Aus Sicht von TeleTrusT geht der Entwurf in zentralen Punkten jedoch in die falsche Richtung. Insbesondere die vorgesehene Neugestaltung des § 31 BSIG-E überzeugt nicht. Eine staatlich veranlasste zusätzliche Anbindung kritischer Systeme an das BSI ohne klar begrenzten Mehrwert, ohne hinreichendes Schutzkonzept und ohne tragfähige Kosten- und Haftungsregelungen stärkt die Cyber-Sicherheit nicht, sondern schafft neue Risiken für KRITIS-Betreiber.

Ebenso sind die in § 41a BPolG-E und § 62e BKAG-E angelegten Möglichkeiten einer "aktiven Cyber-Abwehr" abzulehnen. Sie eröffnen die Gefahr, dass Bundesbehörden über kompromittierte Drittsysteme gerade solche Stellen in Anspruch nehmen oder beeinträchtigen, die selbst Opfer eines Cyber-Angriffs sind. Dadurch entstehen neue Angriffsflächen, neue Missbrauchsmöglichkeiten und potentiell erhebliche Kollateralschäden.

Schließlich wirft der Entwurf verfassungsrechtliche Fragen auf, insbesondere hinsichtlich der Kompetenzordnung und der Verlagerung operativer Cyber-Befugnisse auf Bundesebene. Diese Fragen müssen im weiteren Gesetzgebungsverfahren eindeutig beantwortet werden.

Im Ergebnis muss das Cyber-Sicherheitsniveau bundesweit gestärkt werden. Dieses Ziel wird aber nicht schon dadurch erreicht, dass zusätzliche Eingriffsbefugnisse geschaffen werden. Entscheidend ist vielmehr, dass staatliche Maßnahmen selbst keine neuen Unsicherheiten erzeugen und das Vertrauen in die Integrität informationstechnischer Systeme nicht schwächen.

16.02.2026

Der Deutschland-Stack ist aus Sicht des Bundesverbandes IT-Sicherheit e.V. (TeleTrusT) eine strategisch richtige und notwendige Initiative, um die digitale Handlungsfähigkeit des Staates langfristig zu sichern. Auch das gewählte Vorgehensmodell eines Konsultationsverfahrens wird ausdrücklich begrüßt. Gleichzeitig zeigt die TeleTrusT-Analyse: In der aktuellen Ausprägung ist der Deutschland-Stack noch zu stark als technische Bausteinliste gedacht. Für belastbare Wirkung im öffentlichen Sektor ist ein klar geführtes Gesamtbetriebsmodell aus Architektur, Governance, Sicherheit und Verantwortung erforderlich.

Aus Sicht von TeleTrusT stellt der Deutschland-Stack eine wesentliche Initiative dar, um die digitale Infrastruktur insbesondere im Public Sector resilient, skalierbar und zukunftsfähig aufzustellen. Insofern begrüßt TeleTrusT sowohl das Vorhaben selbst als auch den gewählten Weg der Konsultation mit einer breiten Einbeziehung aller relevanten Stakeholder ausdrücklich. In einem aktuellen TeleTrusT-Positionspapier wird neben zahlreichen inhaltlichen Kommentierungen, Ergänzungen und Anmerkungen dargestellt, dass der Deutschland-Stack mehr sein muss als eine reine "Ansammlung" technischer Standards, Module und Services.

TeleTrusT ist überzeugt, dass die gewünschten Anforderungen an den Deutschland-Stack nur dann erfüllt werden können, wenn neben den erforderlichen technischen Festlegungen auch ein Betriebs-, Governance- und Infrastrukturmodell entwickelt wird, das die unterschiedlichen technischen Elemente verbindet. Dies gilt insbesondere für den Bereich der Informations- und Cyber-Sicherheit, genauso aber auch für notwendige Elemente wie Skalierbarkeit, Verfügbarkeit und Resilienz. All dies sind Eigenschaften, die sich nicht allein durch das Zusammenfügen geeigneter Technologien und Standards ergeben, sondern sie erfordern ein geeignetes Zusammenspiel und Zusammenwirken von Technologie, Infrastruktur und Governance. Dies kann nur erreicht werden, wenn all das bereits von Anfang an konsequent in den Architekturzielen und -prinzipien mitgedacht wird. Eine konsequente Ende-zu-Ende-Betrachtung unterstützt dies.

Die Ausrichtung von Standards und Technologien passt grundsätzlich zu den strategischen Zielen (Souveränität, Sicherheit, Interoperabilität, Zukunftsfähigkeit, Resilienz), wenn sie nicht als reine Tool-/Bausteinliste verstanden wird, sondern als verbindlich gesteuertes Gesamtmodell.

Es gibt jedoch Lücken in der aktuellen Konzeption:

1. Zu starke Technologiekatalog-Logik
   Es fehlt ein verbindliches Target Operating Model aus Architektur, Governance, Betrieb und Verantwortung.
2. Sicherheitsrahmen nicht durchgängig genug
   Einzelstandards (z.B. AES/RSA, OAuth/OIDC/JWT) reichen nicht; nötig ist ein lifecycle-basiertes Sicherheitsmanagement mit Risiko-, Audit- und Verbesserungszyklus.
3. Teilweise unklare/inkonsistente Standardreferenzen
   Insbesondere bei Kryptografie wird auf bessere Anbindung an aktuelle BSI-Vorgaben (TR-02102) hingewiesen.
4. Komplexitätsrisiko
   Ohne ganzheitliche Infrastruktur droht ein "Flickenteppich", der Sicherheit, Betrieb und Skalierung verschlechtert.
5. Cloud/Managed Services missverstanden
   TeleTrusT betont: Das sind Betriebsmodelle, keine Sicherheitsgarantie. Sicherheit entsteht durch Architektur und technische Kontrollpunkte.

Die priorisierten Technologiefelder sind in Teilen mit relevanten Technologien und Standards unterlegt (vor allem Infrastruktur, Betriebsmodelle, Sicherheitsprinzipien), aber noch nicht vollständig. Es fehlen zentrale Security- und Betriebsbausteine, eine konsolidierte Standardreferenz (insbesondere Kryptografie nach BSI) und eine durchgängige, verbindliche Methodik statt punktueller Nennungen.

TeleTrusT empfiehlt eine Klärung der Umsetzungsverbindlichkeit der Vorgaben des Deutschland-Stack für die verschiedenen Stakeholder (insbesondere Bund, Länder und Kommunen). Dabei ist aus Sicht des TeleTrusT die Verbindlichkeit der Vorgaben des Deutschland-Stack zur Informations- und Cyber-Sicherheit von besonderer Relevanz und Bedeutung. 

Für das weitere Verfahren bietet TeleTrusT dem BMDS aktive Unterstützung und Mitwirkung an.

24.11.2025

Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) begrüßt die Initiative des Bundesministeriums für Digitalisierung und Staatsmodernisierung (BMDS) zur Definition eines Deutschland-Stacks ausdrücklich. Aus Sicht des Bundesverbandes bietet dies die große Chance, eine einheitliche Basis für die Digitalisierungsprojekte insbesondere des Bundes zu definieren.

TeleTrusT-Empfehlungen:

Methodik: Wir empfehlen, die Bottom-up-Methodik der "Technologie-Landkarte" durch weitere Elemente zu ergänzen. Hierzu gehört unter anderem ein Architekturentwurf sowie die Betrachtung von Aspekten des Betriebs, der Infrastruktur und der Governance (s.u.). Wir empfehlen eine "Verprobung" des Deutschland-Stacks an ausgewählten Anwendungsfällen.

Darüber hinaus ist die Vernetzung mit anderen existierenden Vorgaben z.B. des Bundes zu empfehlen. Hier sind in den vergangenen Jahren an verschiedenen Stellen bereits umfangreiche Vorarbeiten geleistet worden. So ist etwa sinnvoller, für Vorgaben zu kryptographischen Mechanismen, Protokollen und deren Konfigurationen die Vorgaben des BSI zu referenzieren, statt losgelöst im Kontext des Deutschland-Stack eigene Vorgaben zu machen.

Betrieb: Betrieb ist ein wesentliches Element, um aus den Bausteinen des Deutschland-Stack im Rahmen einer geeigneten Architektur ein "funktionierendes" System entstehen zu lassen. Daher sollten unterschiedliche Betriebsvarianten ebenfalls betrachtet werden und in Hinsicht auf verschiedene Kriterien wie etwa Wirtschaftlichkeit, Digitale Souveränität etc. bewertet werden.

Infrastruktur: Betrieb und Infrastruktur können nicht losgelöst voneinander betrachtet werden, sie sind zwei Seiten einer Medaille. Daher sollten im Kontext des Deutschland-Stack entsprechende verschiedene Varianten (etwa mit Blick auf zentrale und dezentrale Infrastrukturen) betrachtet werden. Es wird wiederum empfohlen, diese nach verschiedenen Kriterien zu bewerten und einzuordnen.

Governance: Neben Betrieb und Infrastruktur tritt das Thema Governance. Hier sind sowohl supranationale Vorgaben wie die eIDAS-Verordnung, 'NIS2' und andere europäische Vorgaben in den Fokus zu nehmen, aber auch nationale Vorgabeelemente wie etwa der BSI-Grundschutz oder die Zertifizierung von Cloud-Systemen nach dem C5-Schema.

Open Source/Lizenzmodelle: Der Einsatz von Open Source ist grundsätzlich zu begrüßen. Inwieweit sind hierbei für die einzelnen Anwendungsfälle Architekturvorgaben mit angemessenen Sicherheitsvorgaben vorgesehen? Wie sind Vorgabeneinhaltung, laufende Anpassungen und Überprüfungen während des gesamten weiteren Lebenszyklus methodisch und mit konkreten Handlungsanweisungen und Verantwortlichkeiten geplant und abgesichert? TeleTrusT wird sich mit den gegebenen Kompetenzen und Erfahrungen gern von Beginn an engagieren und geeignete Verfahren und Vorgehensmodelle anforderungsgerecht gestalten und umsetzen.

TeleTrusT-Angebot:

TeleTrusT beabsichtigt, sich intensiv in die Konsultation zum Deutschland-Stack einzubringen. Dieses Positionspapier soll hierbei nur ein Anfang sein.

Basierend auf der vielfältigen Expertise der Verbandsmitglieder möchten wir darüber hinaus dem BMDS das Angebot eines Werkstattgesprächs unterbreiten, in dessen Kontext wir die oben besprochenen Aspekte wie Architektur und Anwendungsfälle weiter ausarbeiten wollen. Wir bieten an, die Organisation dieses Werkstattgesprächs zu übernehmen.

Darüber hinaus bieten wir an, dass der von TeleTrusT seit vielen Jahren bestimmte "Stand der Technik in der IT-Sicherheit" (https://www.stand-der-technik-security.de/startseite/) als Grundlage zur "Schärfung" der Profile und Elemente des Deutschland-Stack genutzt werden kann. Hierzu stehen TeleTrusT und insbesondere die Experten des TeleTrusT-AK "Stand der Technik" ebenfalls zur Konsultation bereit.

03.07.2025

Kontakt:
RA Karsten U. Bartels, LL.M.
HK2 RAe
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu

I. Allgemeine Vorbemerkung

Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) hält die Ausweitung der Regulierung gesetzlicher IT-Sicherheit in Deutschland und der EU für dringender denn je. Das betrifft die Verbreiterung der KRITIS-Regulierung durch die NIS-2-Richtlinie, die Umsetzung der CER-Richtlinie sowie auch die horizontale Regulierung durch den EU Cyber Resilience Act.

Anlass dafür ist die historisch schlechte IT-Sicherheitslage, die weitere Zunahme der Bedrohungen sowie die mangelnde freiwillige Umsetzung von hinreichender IT-Sicherheit in Unternehmen und Verwaltung.

TeleTrusT ist es ein besonderes Anliegen, dass das NIS-2-Umsetzungsgesetz handwerklich und systematisch präzise gestaltet wird. Durch die mangelnde Umsetzungsfrist ist es von besonderer Bedeutung, dass das Gesetz aus sich heraus funktional, widerspruchsfrei und anwendbar ist. Auf die seit dem 17.10.2024 verstrichene Frist und das EU-Vertragsverletzungsverfahren wird hingewiesen. TeleTrusT besorgt insbesondere § 28 Abs. 3 BSIG-E, der auch mit der Neuformulierung in diesem Referentenentwurf allenfalls noch als problematisch bezeichnet werden kann. Die Europarechtswidrigkeit liegt nahe.

II. Anmerkungen zu ausgewählten Regelungen des BSIG-E

1. § 6 BSIG-E, Informationsaustausch

TeleTrusT kritisiert § 6 BSIG-E: es ist aus Sicht der IT-Sicherheit wünschenswert, dass sämtliche Interessierten an die in der Norm genannten Informationen gelangen, nicht nur die Betreiber wichtiger und besonders wichtiger Einrichtungen, Einrichtungen der Bundesverwaltung sowie die Hersteller, Dienstleister und Lieferanten. Zwar ist vorgesehen, auch weiteren Stellen eine Teilnahme zu ermöglichen. Diese Kann-Regelung geht jedoch am Informationsinteresse der Öffentlichkeit und der Unternehmen vorbei. Es ist kein belastbarer Grund erkennbar, die betreffenden Informationen nicht schlicht zu veröffentlichen. Zumal es keinerlei Handhabe gibt, eine Weitergabe der Information durch Berechtigte zu verhindern.

Es sollte endlich davon Abstand genommen werden, den Informationszugang weiterhin "mitgliedschaftlich" zu organisieren, wie dies derzeit noch im Rahmen der Allianz für Cybersicherheit umgesetzt wird. So sind Teilnahmebedingungen inklusive einer Geheimhaltungsverpflichtung bislang Voraussetzung für die Informationsteilhabe bei der Allianz für Cybersicherheit.

In § 6 Abs. 2 BSIG-E sind nun ebenfalls Teilnahmebedingungen vorgesehen. TeleTrusT bezweifelt die Zulässigkeit und Notwendigkeit solcher Bedingungen. Sofern nicht im konkreten Einzelfall das Informationsinteresse der Öffentlichkeit aufgrund von Sicherheitsbedenken (durch eine Veröffentlichung) zurückstehen muss, sollte es einen freien Zugang zu den relevanten Informationen für Alle und einen "vorbehaltlosen" Ansatz des BSI geben.

2. § 13 BSIG-E, Warnungen

Der Referentenentwurf enthält eine zu weit gehende Befugnis für Warnungen durch das BSI. Das in § 13 Abs. 1 Ziff. 1 lit. a BSIG-E benannte Tatbestandsmerkmal der "anderen Sicherheitsrisiken in informationstechnischen Produkten und Diensten" wurde nicht definiert und ist unklar. Die Formulierung deutet daraufhin, dass hier ein allgemeiner Auffangtatbestand geschaffen werden soll. Dies lehnt TeleTrusT ausdrücklich ab. Es sollte im Sinne des Bestimmtheitserfordernisses eng umrissen sein, unter welchen Voraussetzungen eine Warnung vorgenommen werden darf. Die Vergangenheit zeigt, dass der Tatbestand politisch motivierte Warnungen nicht ermöglichen darf.

Zudem berechtigt die Norm das BSI, die Öffentlichkeit über "Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen gegen die Pflichten aus diesem Gesetz" zu informieren. Aufgrund der Formulierung besteht dieses Recht jedoch bei jeglichem Verstoß gegen eine jegliche Norm des BSIG, unabhängig von der Schwere. Da solche Informationen eine massive Wirkung entfalten können und in geschützte Rechtspositionen der Unternehmen eingegriffen wird, ist eine derart weitgehende und diffuse Rechtsgrundlage abzulehnen.

3. § 15 BSIG-E, Detektion von Angriffsmethoden und von Sicherheitsrisiken für die Netz- und IT-Sicherheit

§ 15 BSIG-E zielt darauf ab, dem BSI die Befugnis zu erteilen, Maßnahmen zur Erkennung von Sicherheitsrisiken und Angriffsmethoden an Schnittstellen öffentlich zugänglicher informationstechnischer Systeme durchzuführen. Diese Befugnisse sind von zentraler Bedeutung für die proaktive Identifizierung und Abwehr von Cyber-Bedrohungen, um die Sicherheit nationaler Netzinfrastrukturen zu gewährleisten. Es wird anerkannt, dass ein solides Verständnis der Bedrohungslandschaft unerlässlich ist, um effektive Schutzmaßnahmen zu entwickeln und die Resilienz kritischer Informationsinfrastrukturen zu stärken.

Allerdings birgt § 15 BSIG-E potenzielle Unzulänglichkeiten in Bezug auf den Schutz von Betriebsgeheimnissen und die Wahrung der Privatsphäre von Nutzern. Es besteht das Risiko, dass die weitreichenden Befugnisse des BSI die grundgesetzlich garantierten Rechte der Bürger und Unternehmen untergraben. Eine Löschung der Informationen ist nur bei Eröffnung des Anwendungsbereichs des Art. 10 GG vorgesehen, § 15 Abs. 1 a. E. BSIG-E. Es ist unklar, wie das Gesetz den notwendigen Schutz der sonstigen grundgesetzlich geschützten Rechte, insbesondere der Persönlichkeitsrechte nach Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG sicherstellen will.

Sehr geehrte Damen und Herren Abgeordnete des Deutschen Bundestags,

der Bundesverband IT-Sicherheit e.V. (TeleTrusT) bittet Sie als Abgeordnete des Deutschen Bundestags, das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz noch in der laufenden Legislaturperiode im Deutschen Bundestag zu verabschieden. Das Ende der Ampelkoalition darf nicht zu einer weiteren Verzögerung des Gesetzes führen.

Die NIS-2-Richtlinie der EU hätte bereits zum 18.10.2024 umgesetzt sein müssen. Allein deswegen darf die Verabschiedung des Entwurfs zum NIS2UmsuCG nicht verzögert werden. Dessenungeachtet bedarf es aber einer sofortigen Umsetzung, damit schnellstmöglich ein Höchstmaß an IT-Sicherheit in Deutschland gefördert und gefordert wird. Das ist ein elementares Interesse der gesamten Gesellschaft, gerade in diesen Tagen globaler Konflikte. Wir verweisen auf den aktuellen Lagebericht zur IT-Sicherheit des Bundesamts für Sicherheit in der Informationstechnik.

Die Unternehmen benötigen zur Planung, Organisation und Umsetzung der neuen gesetzlichen Anforderungen endlich Klarheit. Es gilt, Rechts- und Investitionssicherheit zu schaffen. Die erforderlichen technischen, personellen und rechtlichen Maßnahmen können sehr aufwendig und komplex sein. Nicht zuletzt sind Investitionen budgetrelevant. 

Es ist deshalb wichtig für die Beteiligten, ein klares Bild darüber zu haben, wann welche gesetzlichen Regelungen auf sie zukommen. Beachten Sie bitte, dass es durch die bereits verstrichene Umsetzungsfrist keine gesetzgeberische Möglichkeit gibt, der Wirtschaft eine Übergangsfrist einzuräumen. Vielmehr werden die Unternehmen komplexe - aber noch unbekannte - Normen zur IT-Sicherheit mit Wirksamwerden des Gesetzes unmittelbar umgesetzt haben müssen. Eine kaum realisierbare Aufgabe.

Wir weisen besonders darauf hin, dass die Unternehmen derzeit nicht einmal sicher validieren können, ob sie überhaupt in den Anwendungsbereich des NIS-2-Umsetzungsgesetzes fallen werden. Diese Vorfrage ist nachvollziehbar aber von entscheidender Bedeutung für die wesentlichen Entscheidungen zur IT-Sicherheit in den Unternehmen.

Wir appellieren deshalb an Ihre Verantwortung. Fragen, wie die nach der Stellung des Bundesamts für Sicherheit in der Informationstechnik im Verhältnis zum Bundesministerium des Innern und für Heimat, können noch später politisch geklärt und nachträglich geregelt werden. Die die Wirtschaft betreffenden Normen erlauben diesen Aufschub nicht. Das parlamentarische Verfahren zum NIS2UmsuCG lässt sich ohne Weiteres positiv zum Abschluss bringen.

Sehr geehrte Bundestagsabgeordnete, beschließen Sie jetzt das NIS-2-Umsetzungsgesetz!

Mit freundlichen Grüßen

Prof. Dr. Norbert Pohlmann, Vorstandsvorsitzender
RA Karsten U. Bartels LL.M., Stellvertretender Vorstandsvorsitzender
Dr. Kim Nguyen, Vorstand
Dr. André Kudra, Vorstand
Dr. Holger Mühlbauer, Geschäftsführer

Kontakt:

RA Karsten U. Bartels, LL.M.
HK2 RAe
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu

Bundesverband IT-Sicherheit e.V. (TeleTrusT)

Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) ist ein Kompetenznetzwerk, das in- und ausländische Mitglieder aus Industrie, Verwaltung, Beratung und Wissenschaft sowie thematisch verwandte Partnerorganisationen umfasst. Durch die breit gefächerte Mitgliederschaft und die Partnerorganisationen verkörpert TeleTrusT den größten Kompetenzverbund für IT-Sicherheit in Deutschland und Europa. TeleTrusT bietet Foren für Fachleute, organisiert Veranstaltungen bzw. Veranstaltungsbeteiligungen und äußert sich zu aktuellen Fragen der IT-Sicherheit. TeleTrusT ist Träger der "TeleTrusT European Bridge CA" (EBCA; PKI-Vertrauensverbund), der Personenzertifikate "TeleTrusT Information Security Professional" (T.I.S.P.) und "TeleTrusT Professional for Secure Software Engineering" (T.P.S.S.E.) sowie des Vertrauenszeichens "IT Security made in Germany" und "IT Security made in EU". TeleTrusT ist Mitglied des European Telecommunications Standards Institute (ETSI). Hauptsitz des Verbandes ist Berlin.

Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Chausseestraße 17
10115 Berlin
Tel.: +49 30 4005 4310
www.teletrust.de

Im BSIG-E ist derzeit keine Regelung zum Rangverhältnis zwischen den Vorgaben in den §§ 30 ff. BSIG-E und den §§ 391 ff. SGB V (insbesondere in der Fassung des DigiG) enthalten. Es ist daher unklar, ob die Bestimmungen in §§ 391 ff. SGB V abschließend oder neben den §§ 30 ff. BSIG-E gelten sollen. Aktuell wird man im Zweifel wohl davon ausgehen müssen, dass die betroffenen Krankenhäuser und gesetzlichen Krankenkassen sowohl die Vorgaben in §§ 391 ff. SGB V als auch in §§ 30 ff. BSIG-E kumulativ einhalten müssen. In dem Fall ist aber zu beachten, dass die Regelungen in den §§ 30 ff. BSIG-E inhaltlich mit den Bestimmungen in den §§ 391 ff. SGB V vielfach übereinstimmen (z. B. ist die Pflicht zur Umsetzung von TOM und die Durchführung von Schulungen in § 391 Abs. 1, 2 SGB V auch in § 30 Abs. 1 und 2 BSIG-E vorgesehen). Es sollte daher entweder im BSIG-E oder im SGB V eine klarstellende Regelung zum Rangverhältnis aufgenommen werden, beispielsweise, dass die Bestimmungen in den §§ 30 ff. BSIG-E von den Bestimmungen in §§ 391, 392 SGB V unberührt bleiben.

5. Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen, § 31 BSIG-E

Die Anforderungen an IT-Sicherheitsmaßnahmen an Betreiber kritischer Anlagen stellen aufgrund der Relevanz einen wichtigen Regelungskern des BSIG-E dar. Dennoch bestimmt der § 31 Abs. 1 BSIG-E auch in der geänderten Fassung keinerlei eigene materiellen Anforderungen. Die Anknüpfung allein an den gesteigerten Aufwand im Verhältnis zur Maßnahmenauswahl gem. § 30 BSIG-E ist nicht bestimmt genug. Dies trifft um so mehr zu, je ernster die Gesetzesadressaten § 30 Abs. 2 S. 1 BSIG-E hinsichtlich der Anforderungen an den Stand der Technik nehmen. Denn wenn die Maßnahmen nach § 30 Abs. 2 S. 1 BSIG-E dem Stand der Technik entsprechen, können diese nicht verbessert werden. Der Stand der Technik selbst bezeichnet bereits die am Markt verfügbaren Bestleistungen von Maßnahmen zur Umsetzung der der gesetzlichen Schutzziele.

TeleTrusT empfiehlt dringend eine materielle Klarstellung der Norm.

25.05.2024

Kontakt:
RA Karsten U. Bartels, LL.M.
HK2 RAe
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu

I. Allgemeine Vorbemerkung

Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) hält die Ausweitung der Regulierung gesetzlicher IT-Sicherheit in Deutschland und der EU für dringend geboten. Das betrifft sowohl die Verbreiterung der KRITIS-Regulierung durch die NIS2-Richtlinie, die CER-Richtlinie und deren Umsetzung sowie auch die horizontale Regulierung durch den EU Cyber Resilience Act.

Anlass dafür ist die historisch schlechte IT-Sicherheitslage, die weitere Zunahme der Bedrohungen sowie die mangelnde freiwillige Umsetzung von hinreichender IT-Sicherheit in Unternehmen und Verwaltung.

Neue IT-Sicherheitsgesetze sollten jedoch mit der vorhandenen Gesetzgebung abgeglichen und schlüssig in das rechtliche Regelungssystem eingefügt werden. Das ist bislang nur unzureichend geschehen und auch das BSIG-E und das NI2UmsuCG-E insgesamt erfüllen diesen Anspruch nicht. 

II. Anmerkungen zu ausgewählten Regelungen des BSIG-E

1. § 6 BSIG-E, Informationsaustausch

TeleTrusT kritisiert § 6 BSIG-E: es ist aus Sicht der IT-Sicherheit wünschenswert, dass sämtliche Interessierten an die in der Norm genannten Informationen gelangen, nicht nur die Betreiber wichtiger und besonders wichtiger Einrichtungen, Einrichtungen der Bundesverwaltung sowie die Hersteller, Dienstleister und Lieferanten. Zwar ist nun vorgesehen, auch weiteren Stellen eine Teilnahme zu ermöglichen. Diese Kann-Regelung geht jedoch am Informationsinteresse der Öffentlichkeit und der Unternehmen vorbei. Es ist kein belastbarer Grund erkennbar, die betreffenden Informationen nicht schlicht zu veröffentlichen. Zumal es keinerlei Handhabe gibt, eine Weitergabe der Information durch Berechtigte zu verhindern.

Es sollte endlich davon Abstand genommen werden, den Informationszugang weiterhin "mitgliedschaftlich" zu organisieren, wie dies derzeit noch im Rahmen der Allianz für Cybersicherheit umgesetzt wird. So sind Teilnahmebedingungen inklusive einer Geheimhaltungsverpflichtung bislang Voraussetzung für die Informationsteilhabe bei der Allianz für Cybersicherheit.

In § 6 Abs. 2 BSIG-E sind nun ebenfalls Teilnahmebedingungen vorgesehen. TeleTrusT bezweifelt die Zulässigkeit und Notwendigkeit solcher Bedingungen. Sofern nicht im konkreten Einzelfall das Informationsinteresse der Öffentlichkeit aufgrund von Sicherheitsbedenken (durch eine Veröffentlichung) zurückstehen muss, sollte es einen freien Zugang zu den relevanten Informationen für Alle und einen "vorbehaltlosen" Ansatz des BSI geben.

2. § 13 BSIG-E, Warnungen

Der Referentenentwurf enthält eine zu weit gehende Befugnis für Warnungen durch das BSI. Das in § 13 Abs. 1 Ziff. 1 lit. a benannte Tatbestandsmerkmal der "anderen Sicherheitsrisiken in informations-technischen Produkten und Diensten" wurde nicht definiert und ist unklar. Die Formulierung deutet daraufhin, dass hier ein allgemeiner Auffangtatbestand geschaffen werden soll. Dies lehnt TeleTrusT ab. Es sollte im Sinne des Bestimmtheitserfordernisses eng umrissen sein, unter welchen Voraussetzungen eine Warnung vorgenommen werden darf. Die Vergangenheit zeigt, dass der Tatbestand politisch motivierte Warnungen nicht ermöglichen darf.

Zudem berechtigt die Norm das BSI, die Öffentlichkeit über "Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen gegen die Pflichten aus diesem Gesetz" zu informieren. Aufgrund der Formulierung besteht dieses Recht jedoch bei jeglichem Verstoß gegen eine jegliche Norm des BSIG, unabhängig von der Schwere. Da solche Informationen eine massive Wirkung entfalten können und in geschützte Rechtspositionen der Unternehmen eingegriffen wird, ist eine derart weitgehende und diffuse Rechtsgrundlage abzulehnen.

3. § 15 BSIG-E

§ 15 zielt darauf ab, dem BSI die Befugnis zu erteilen, Maßnahmen zur Erkennung von Sicherheitsrisiken und Angriffsmethoden an Schnittstellen öffentlich zugänglicher informationstechnischer Systeme durchzuführen. Diese Befugnisse sind von zentraler Bedeutung für die proaktive Identifizierung und Abwehr von Cyberbedrohungen, um die Sicherheit nationaler Netzinfrastrukturen zu gewährleisten. Es wird anerkannt, dass ein solides Verständnis der Bedrohungslandschaft unerlässlich ist, um effektive Schutzmaßnahmen zu entwickeln und die Resilienz kritischer Informationsinfrastrukturen zu stärken.

Allerdings birgt § 15 potenzielle Unzulänglichkeiten in Bezug auf den Schutz von Betriebsgeheimnissen und die Wahrung der Privatsphäre von Nutzern. Es besteht das Risiko, dass die weitreichenden Befugnisse des BSI die grundgesetzlich garantierten Rechte der Bürger und Unternehmen untergraben. Es ist unklar, wie das Gesetz den notwendigen Schutz dieser Rechte sicherstellen will.

Nehmen Sie den Beschluss zur Nicht-Umsetzung der NIS-2-Richtlinie zurück!

21.11.2023

Der Bundesverband IT-Sicherheit e. V. (TeleTrusT) fordert den IT-Planungsrat auf, den Beschluss 2023/39 zurückzunehmen.

Im Beschluss 2023/39 hat der IT-Planungsrat die Länder und den Bund gebeten, den Anwendungsbereich der NIS-2-Richtlinie nicht auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene sowie Bildungseinrichtungen zu erstrecken. Das Gegenteil ist notwendig: zur Herstellung eines angemessenen IT-Sicherheitsniveaus in Deutschland ist es erforderlich und dringend geboten, insbesondere die Kommunen, aber auch die Bildungseinrichtungen gesetzlich auf IT-Sicherheit zu verpflichten und diese nicht pauschal aus dem Anwendungsbereich herauszulassen.

Zur Umsetzung der NIS-2-Richtlinie

An der Umsetzung der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148) der EU wird derzeit intensiv gearbeitet. Der vom Bundesministerium des Innern und für Heimat federführend entwickelte Entwurf eines NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) befindet sich derzeit in der Ressortabstimmung. Nach zwei an die Öffentlichkeit gelangten Referentenentwürfen, einem nicht mit der Bundesregierung abgestimmten "Diskussionspapier" und dem anschließenden "Werkstattgespräch" des BMI mit den Verbänden ist deutlich geworden: die durch die NIS2-Richtlinie umzusetzenden Regelungen sind anspruchsvoll, aber für das Gemeinwohl, die Bürgerinnen und Bürger, die Unternehmen und auch Behörden und öffentlichen Stellen als wichtig und wesentlich erkannt. Die Anstrengungen, funktionierende Regeln auf Bundesebene zu definieren, wird von den unmittelbar und mittelbar Beteiligten mit großer Ernsthaftigkeit betrieben. Das tut auch nicht zuletzt Not, da die Umsetzungsfrist am 17.10.2024 endet.

Der Bund darf mit einem NIS2UmsuCG die Umsetzung der NIS-2-Richtlinie jedoch nur im Rahmen seiner Kompetenzen für den Bund regeln. Die europäischen Umsetzungsvorgaben gehen darüber allerdings hinaus und umfassen zum einen auch "Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene". Die Bundesländer haben also eigene IT-Sicherheitsgesetze zu schaffen respektive anzupassen.

Zum anderen bestimmt die NIS-2-Richtlinie, dass die Mitgliedstaaten die Anwendbarkeit für "Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene" sowie "Bildungseinrichtungen" vorsehen können. Die lokale Ebene sind in Deutschland die Kommunen. Ob die Kommunen und Bildungseinrichtungen gesetzlich auf IT-Sicherheit verpflichtet werden, liegt also im Ermessen der Mitgliedstaaten, hier der Bundesländer.

Der IT-Planungsrat veröffentlicht nun am 03.11.2023 den Beschluss 2023/39, in dem es unter anderem heißt:

"2. Er [der IT-Planungsrat] nimmt den Sachstandsbericht der AG Informationssicherheit zur Kenntnis und bittet die Länder und den Bund, von der Option, den Anwendungsbereich der NIS-2-Richtlinie auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen zu erstrecken, keinen Gebrauch zu machen."

Diese ausdrückliche Bitte an Bund und Länder beinhaltet, die Kommunen und Bildungseinrichtungen vom Anwendungsbereich der NIS2-Richtlinie kategorisch auszunehmen. Würde dieser Bitte Folge geleistet, gäbe es auch in Zukunft keinen gesetzlichen Mindestanforderungen an die IT-Sicherheit für die genannten Bereiche. Und dies bei einer IT-Sicherheitslage, die noch zu keiner Zeit schlechter war als sie dieser Tage ist.

Deshalb fordert TeleTrusT den IT-Planungsrat auf, den Beschluss zurückzunehmen und zu Ziff. 2 des Beschlusses das Gegenteil zu beschließen. Das gemeinsame Ziel muss eine IT-Sicherheit auf bestmöglichem Niveau sein. Dazu leisten IT-Sicherheitsgesetze einen wichtigen Beitrag. Der Anspruch muss sein, auf jeder staatlichen Ebene alles dafür zu tun, IT-Sicherheit bestmöglich zu planen und umzusetzen.

IT-Sicherheit lässt sich nur flächendeckend verbessern.

Ohne eine funktionierende IT-Sicherheit kann der Staat bei Erfüllung seiner Aufgaben seinen Schutzpflichten nicht nachkommen und gefährdet das notwendige Vertrauen für eine Digitalisierung aller Lebensbereiche nachhaltig. Der "Weg für eine effiziente, sicherere und gut vernetzte digitale Verwaltung in Deutschland" (gem. Selbstbeschreibung des IT-Planungsrats) wird so nicht geebnet.

Der Ausschluss aus dem Regelungsregime ignoriert auch die Signalwirkung auf Unternehmen und Gesellschaft. Wie vermieden werden soll, dass die vom künftigen Recht erfassten Unternehmen keine sachlich ungerechtfertigte Ungleichbehandlung erkennen, bleibt offen. Zumal sich die fatalen Folgen unzureichender digitaler Infrastruktur und fehlender IT-Sicherheitsmaßnahmen in den Kommunen aktuell besonders bemerkbar machen: eine Vielzahl von Cyberattacken führt gegenwärtig zu einem flächendeckenden Ausfall zahlreicher Bürgerämter, wodurch Bürger und Bürgerinnen über einen längeren Zeitraum Verwaltungsleistungen nicht in Anspruch nehmen können. Prognosen zeigen, dass Angriffe auf informationstechnische Systeme kommunaler Behörden in Zukunft weiter ansteigen werden. Auch Bildungseinrichtungen, wie Schulen oder Universitäten, sind vermehrt betroffen.

Im Bericht "Die Lage der IT-Sicherheit in Deutschland 2023" des BSI wird dazu festgestellt: "Kleine und mittlere Unternehmen (KMU) sowie besonders Kommunalverwaltungen und kommunale Betriebe wurden überproportional häufig angegriffen". "Im Berichtszeitraum wurden insgesamt 27 kommunale Verwaltungen und Betriebe als Opfer von Ransomware-Angriffen bekannt." Die betroffenen Kommunen hatten dabei knapp sechs Millionen Einwohnerinnen und Einwohner.

Die Gefahr eines weitreichenden Zusammenbruchs von Verwaltungs- und Bildungseinrichtungen ist evident, ebenso das damit einhergehende datenschutzrechtliche Risiko.

Der Beschluss des IT-Planungsrats ist kontraproduktiv.

Denn er negiert eine konstruktive Beteiligung an den Aufgaben und enthält zudem auch keinerlei Vorschläge, wie auf anderem Weg für IT-Sicherheit gesorgt werden solle.

Es ist wichtig, die offensichtlichen Handlungsnotwendigkeiten für eine gute IT-Sicherheit allseits zu erkennen und konsequent zu handeln. Wer eine Regulierung ablehnt, womöglich auch aus Gründen praktischer Umsetzungsschwierigkeiten, dem wird man schwerlich zutrauen, die IT-Sicherheit auch ohne eine solche Regulierung freiwillig umzusetzen.

Der Möglichkeit, Kommunen und Bildungseinrichtungen auf nationaler Ebene von den europarechtlichen Vorgaben freizuhalten, sollten Bund und Länder verantwortlich entgegentreten. Der IT-Planungsrat sollte hier als politisches Steuerungsgremium von Bund und Ländern in Fragen der Informationstechnik und der Digitalisierung von Verwaltungsleistungen seiner Aufgabe gerecht werden.

Der Bundesverband IT-Sicherheit bietet seine Mitwirkung auf dem Weg zu mehr IT-Sicherheit auf allen Ebenen an und ist für Gespräche jederzeit offen.

Unterzeichner:

Vorstand und Geschäftsführung Bundesverband IT-Sicherheit e. V. (TeleTrusT)

- RA Karsten U. Bartels LL.M.
- Prof. Dr. Norbert Pohlmann
- Dr. André Kudra
- Dr. Holger Mühlbauer

Zu Handlungsfeld 1 - Sicheres und selbstbestimmtes Handeln in einer digitalisierten Umgebung

("Sichere "elektronische Identitäten" sind als elementarer Grundstein der Cyber-Sicherheit Voraussetzung für das hoheitliche Handeln des Staates im digitalen Zeitalter. Die Festlegung von Anforderungen an eID-Verfahren, sowie deren Absicherung sollten daher durch den Staat erfolgen.")

Kommentar TeleTrusT: Dies sollte auf solche Bereiche beschränkt bleiben, wo hoheitliches Handeln des Staates wirklich erforderlich ist. Nicht jeder Log-in oder Account erfordert eine Regulierung durch den Staat.

Zu Handlungsfeld 2 - Gemeinsamer Auftrag von Staat und Wirtschaft

Kommentar TeleTrusT: Die Wirtschaft erscheint in diesem Handlungsfeld als Objekt dargestellt, nicht als souveränes Subjekt - d.h. der Staat bestimmt und die Wirtschaft führt aus. Gemeinsames Handeln sollte dagegen auf Augenhöhe erfolgen. Es geht um die gemeinsame Umsetzung gemeinsamer Ziele. Das setzt gegenseitiges Vertrauen und gegenseitigen Respekt voraus.

Zu Handlungsfeld 3 - Leistungsfähige und nachhaltige gesamtstaatliche Cyber-Sicherheitsarchitektur

("Es soll eine ausgewogene, behördenübergreifende Strategie zum Umgang mit Schwachstellen nach den jeweils geltenden gesetzlichen Vorgaben bei den Strafverfolgungs- und Sicherheitsbehörden, geschaffen werden. Damit sollen auch in Zukunft über bereits vorhandene interne Behördenvorgaben hinaus die Interessen der Cyber- und Informationssicherheit sowie der Strafverfolgungs- und Sicherheitsbehörden in einen angemessenen Ausgleich gebracht werden.")

Kommentar TeleTrusT: Sofern das bedeutet, dass auch zukünftig die Möglichkeit besteht, erkannte Schwachstellen nicht öffentlich zu machen, sondern für Zwecke der Strafverfolgungs- und Sicherheitsbehörden geheim zu halten, konterkariert dies die Bemühungen für mehr IT-Sicherheit und ist nicht akzeptabel.

("Um die Verwundbarkeit des zunehmend digitalisierten Wahlumfelds und der Wahlinfrastruktur zu reduzieren, soll die Cyber-Sicherheit im Umfeld von Wahlen erhöht werden.")

Kommentar TeleTrusT: Der Schutz der Wahlen hat sicherlich hohe Bedeutung. Dennoch ist das zu kurz gesprungen. Beeinflussung von Stimmungen und Meinung durch gezielte Manipulation und Falschinformation über Online-Foren und soziale Netze, auch aus dem Ausland, finden auch ganz unabhängig von Wahlen statt und sollte unabhängig von Wahlen bekämpft werden. Das ist keine eigentliche Aufgabe von IT-Sicherheit, da die Bedrohung aber aus dem Cyberraum kommt, gehören Gegenmaßnahmen in die Cyber-Sicherheitsstrategie. 

("Der Einsatz quantentechnologischer Systeme zur Gewährleistung eines hohen IT-Sicherheitsniveaus soll vorangetrieben werden.")

Kommentar TeleTrusT: Auch der Einsatz von Post-Quantum Cryptography ist ein wichtiges zukünftiges Element zur Sicherstellung der digitalen Souveränität an und sollte mit aufgenommen werden.

Zu Steuerung der CSS 2021

Kommentar TeleTrusT: Es wird unterschieden zwischen Strategischem Controlling (Aufgabe des BMI) und der operativen Umsetzung, die "eigenständig in der Verantwortung der zuständigen Stellen" erfolgen soll. Wer verantwortet die Umsetzung von ressortübergreifenden Strategischen Zielen? Das BMI koordiniert nur. Falls ressortbezogen, bedeutet dies geteilte Verantwortung, was in aller Regel nicht gut funktioniert. Hier wäre eine zentrale Aufgabe für ein Digitalministerium.

Im Folgenden nimmt der Bundesverband IT-Sicherheit e.V. (TeleTrusT) Stellung zu dem vom Bundesministerium des Innern, für Bau und Heimat am 02.12.2020 vorgelegten Entwurf des zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-SiG 2.0-ENT) in der Fassung vom 01.12.2020, 19:55 Uhr.

Die Stellungnahme betrachtet bestimmte Regelungsbereiche des IT-Sicherheitsgesetzes (IT-SiG) und seiner geplanten Änderung. Dem Umstand, Regelungen nicht zu kommentieren, kommt keine ablehnende oder zustimmende Bedeutung zu.

Das Gesetz soll das IT-SiG aus dem Jahr 2015 ändern und somit an neue digitale Herausforderungen anpassen. Das IT-SiG hat erfolgreich mit dazu beigetragen, dass Unternehmen ihre IT-Sicherheit erhöht haben und stellt insgesamt inzwischen einen wichtigen Maßstab für IT-Sicherheit dar. Das Bestreben des Gesetzgebers, den nunmehr gewachsenen Anforderungen an die Sicherheit von IT-Infrastruktur gerecht zu werden, ist zu begrüßen.

Gleichwohl bestehen im Hinblick auf einzelne Regelungen des IT-SiG 2.0-ENT erhebliche Zweifel an der sachgemäßen Umsetzung hinsichtlich vor allem

• des überlimitierten Adressatenkreises des Gesetzes
• der perspektivischen Umsetzung, die allein Deutschland in Bezug nimmt
• der Aufgabenzuordnung zum BSI
• des systematischen Aufbaus von Regelungen
  und
• der tatsächlichen Wirkung der geplanten Regelungen.

1. Das Urteil in Kürze

Mit seinem Urteil vom 16.07.2020 hat der EuGH das Privacy-Shield-Abkommen zwischen der EU und den USA für Datenübermittlungen in die USA für unwirksam erklärt, da es kein Schutzniveau auf dem Level der DSGVO sicherstellt. Insbesondere stehe Betroffenen in den USA kein Rechtsweg zur Durchsetzung der im Unionsrecht verankerten Rechtsgarantien offen. So sei die eingerichtete Ombudsperson für Datenschutzbeschwerden nicht befugt, für US-Behörden verbindliche Entscheidungen zu treffen, also letztlich nicht in der Lage, die Rechte der Betroffenen auch durchzusetzen.

Die Standardvertragsklauseln (SCC) für die Übermittlung an Auftragsverarbeiter hat der EuGH dagegen nicht als unwirksam angesehen. Einem Transfer von Daten in Nicht-DSGVO-Staaten kann die Entscheidung dennoch entgegenstehen. Der EuGH betonte nämlich, dass auch bei vereinbarten SCC sicherzustellen ist, dass dem Betroffenen wirksame Mittel zur Durchsetzung der Rechte im Zielland offenstehen. 

Nachdem betroffenen EU-Bürgern hinsichtlich der weitreichenden Zugriffsbefugnis von US-Behörden, insbesondere der Geheimdienste, keinerlei wirksamer Rechtsschutz möglich ist, scheint das nach der Entscheidung in den USA nicht der Fall.

2. Die rechtlichen Konsequenzen

Datentransfers in die USA sind ab sofort datenschutzwidrig, wenn sie (ausschließlich) auf Grundlage einer Privacy-Shield-Zertifizierung erfolgen. Erfasst sind nicht nur Übermittlungen an Auftragsverarbeiter, sondern auch solche innerhalb eines Konzerns oder an Geschäftspartner. 

Sowohl der Einsatz von Software-Tools, bei denen zumindest ein Teil der Datenverarbeitung in den USA erbracht wird, als auch die konzerninternen Datenflüsse an US-Konzernunternehmen müssen überprüft werden. 

Auf den Sitz der beteiligten Unternehmen kommt es nicht an. Entscheidend ist allein, ob die Daten in die USA verbracht werden sollen. Auf Basis des Privacy Shields ist das nicht mehr zulässig.

Ob Transfers in die USA oder andere Rechtsordnungen unter den SCC zulässig sind, dürfte davon abhängen, ob dem Betroffenen auch tatsächliche wirksame Mittel der Ausübung zentraler Rechte nach der DSGVO im Zielland bereitstehen. 

Der EuGH deutet an, dass dies in den USA aufgrund der unkontrollierten Überwachungsbefugnisse der Sicherheitsbehörden nicht der Fall sein dürfte. Die Berliner Datenschutzbeauftragte fordert Unternehmen in ihrem Zuständigkeitsbereich bereits auf, umgehend zu Dienstleistern in der Europäischen Union oder in einem Land mit angemessenem Datenschutzniveau zu wechseln.

Entsprechend schutzlos ist ein europäischer Betroffener aber auch in vielen anderen Jurisdiktionen in denen heute Verarbeitungen von Daten in den globalen Outsourcing-Ketten unter SCC erfolgen. Es erscheint nur eine Frage der Zeit, bis auch andere Verarbeitungs-Länder in den Fokus geraten. 

Was nicht betroffen ist:

Umgekehrt ist nicht jede Datenübermittlung in die USA von dem EuGH-Urteil betroffen. Zulässig bleibt eine Übermittlung, die zur Erfüllung eines Vertrages (oder Durchführung vorvertraglicher Maßnahmen) mit dem Betroffenen erforderlich ist. Die Kommunikation mit amerikanischen Kunden oder Hotelbuchungen in den USA sind weiter zulässig. Genauso können Mitarbeiterdaten im Konzern im erforderlichen Umfange geteilt werden, wenn der internationale Bezug des Arbeitsverhältnisses bei Abschluss des Arbeitsvertrages bekannt war.

Ebenso nicht unmittelbar betroffen ist die Nutzung von US-Dienstleistern, wenn die Leistungserbringung vollständig in europäischen Rechenzentren erfolgt. So bieten die großen Hosting- und Cloud-Anbieter aus den USA mittlerweile Serverstandorte in Europa an. Das Hosting in Deutschland wird teilweise auch als Sonderleistung von deutschen Anbietern wie der Telekom übernommen. Hier ist aber zu beachten, dass alle US-amerikanischen Anbieter den Regelungen des Cloud Act unterliegen und daher auch in Europa gespeicherte Daten an Behörden der USA unter bestimmten Bedingungen herauszugeben haben. Auch diese Vorgänge unterliegen keiner angemessenen Kontrollbefugnis des Betroffenen.

3. Was nun zu tun ist

Unternehmen, die Daten unter dem Privacy Shield in die USA transferieren, haben akuten Handlungsbedarf:

(i) Identifizieren der betroffenen Datenflüsse

Zuerst müssen die von der Entscheidung betroffenen Übermittlungsvorgänge identifiziert werden. Dies sind alle Übermittlungen in die USA, die sich auf das Privacy Shield stützten: Einen Überblick bietet das Verzeichnis der Verarbeitungstätigkeiten. Ist die Grundlage des Transfers unklar, macht ein Abgleich mit der Liste der zertifizierten Unternehmen unter Sinn. Ein besonderer Blick sollte auf den unmittelbaren Einsatz von US-Anbietern, bspw. bei Tracking- und Marketing-Cookies, Newsletter-Diensten sowie Videokonferenz- und Kollaborations-Tools geworfen werden.

(ii) Umstellen auf alternative Garantien

Um eine Übermittlung nach Wegfall des Privacy Shields weiterführen zu können, muss diese auf eine alternative Garantie umgestellt werden bzw. unter eine der Ausnahmetatbestände zu fassen sein. Praktisch verbleiben damit nur zwei Alternativen: 

Standardvertragsklauseln (SCC)

Die Übermittlung der personenbezogenen Daten kann nach wie vor auf die sog. Standardvertragsklauseln der EU-Kommission gestützt werden. Diese stellen grundsätzlich ein angemessenes Datenschutzniveau beim Empfänger her, sofern sie unverändert vereinbart werden. Der EuGH hat die SCC in seinem Urteil ausdrücklich als solche nicht beanstandet. 

Allerdings hat er zugleich auch darauf hingewiesen, dass der Verantwortliche auch bei Verwendung der SCC prüfen muss, ob das Recht des Ziellandes einen angemessenen Schutz personenbezogener Daten bietet. Die zuständigen Aufsichtsbehörden sind außerdem verpflichtet, eine Übermittlung trotz Verwendung der SCC zu verbieten, wenn die Standardvertragsklauseln in einem bestimmten Land nicht durchsetzbar sind. Der EuGH macht in seinem Urteil sehr deutlich, dass er nicht davon ausgeht, dass die SCC in den USA für ein angemessenes Schutzniveau sorgen können. Dem werden sich die nationalen Aufsichtsbehörden wohl anschließen. Eine Umstellung der Übermittlung auf die SCC dürfte damit allenfalls eine vorübergehende Zwischenlösung darstellen.

Immerhin setzen sämtliche großen US-IT-Anbieter neben dem Privacy Shield bereits jetzt auf die SCC. Diese werden bereits oft in die Auftragsverarbeitungsvereinbarungen einbezogen. Dies gilt beispielsweise für Facebook, Google, Microsoft, Amazon, Salesforce, Zoom und MailChimp. Eine Umstellung ist hier dann grundsätzlich nicht nötig. Zu beachten ist allerdings, dass die Anbieter die Standardvertragsklauseln häufig modifizieren. Da die Klauseln ihre Garantenfunktion nur erfüllen können, wenn sie uneingeschränkt vereinbart werden, kann dies doch dazu führen, dass sie wirkungslos werden. Die Berliner Aufsichtsbehörde hat dies zuletzt bezüglich Microsoft und Zoom so vertreten. Es sollte daher geprüft sein, ob die Standardvertragsklauseln unverändert sind.

Viele US-Anbieter haben für die Leistungsverträge mit europäischen Kunden eigene Tochterunternehmen mit Sitz im europäischen Datenschutzraum gegründet. Die Datenübermittlung in die USA findet dann erst im Rahmen einer Unterbeauftragung statt. Hier ist zu beachten, dass Aufsichtsbehörden in diesen Fällen fordern, dass die Standardvertragsklauseln vom Verantwortlichen unmittelbar mit dem US-Unternehmen abgeschlossen werden. Die Problematik der unkontrollierbaren Transfers nach dem Cloud Act ist damit aber nicht gelöst. Diesbezüglich existieren aber noch keine Entscheidungen.

Ausdrückliche Einwilligung des Betroffenen

Besteht keine Garantie für ein angemessenes Datenschutzniveau kann die Übermittlung ins Drittland auch auf eine Einwilligung des Betroffenen gestützt werden, Art. 49 Abs. 1 Satz 1 a) DSGVO. Die Einwilligung muss aber ausdrücklich erfolgen und erfordert, dass der Betroffene auf die Risiken eines fehlenden Angemessenheitsbeschlusses oder der Garantie eines Datenschutzniveaus hingewiesen wurde. 

Die Einwilligungslösung ist nicht sehr verbreitet, insbesondere weil hier vieles unklar ist. Gilt Art. 7 DSGVO auch für diese Einwilligung, also insbesondere die freie Widerruflichkeit und die Anforderungen an die Erklärung selbst?

Zumindest der BGH stellt sehr hohe Anforderungen an Freiwilligkeit und Informiertheit von Einwilligungen (zu Cookie-Bannern: I ZR 7/16).

Vor einer Einwilligung sollte dem Betroffenen verdeutlicht werden, welches Risiko für seine Rechte und Freiheiten und welche Einschränkungen des Rechtsschutzes gegenüber dem gewohnten Rahmen in der EU bestehen. Dafür genügt eine Cookie-Einwilligung oder Newsletter-Anmeldung auch dann nicht, wenn ausdrücklich darauf hingewiesen wurde, dass Dienstleister in den USA eingesetzt werden.

(iii) Hinweise der Aufsichtsbehörden beachten

Das Urteil schafft für die betroffenen Unternehmen eine große Rechtsunsicherheit: Eine langfristige und verlässliche Absicherung des Datentransfers in die USA fehlt. In dieser Lage ist zu erwarten, dass sich die Aufsichtsbehörden auf nationaler und europäischer Ebene zeitnah äußern und eigene Hinweise und Handlungsempfehlungen veröffentlichen werden. Die Berliner Behörde ist bereits vorgeprescht, obwohl hier eine Abstimmung der Datenschutzbehörden aller EU-Länder angezeigt wäre.

4. Welche Umsetzungsfristen gelten?

Das Urteil des EuGH entfaltet unmittelbar Gültigkeit. Damit sind die betroffenen Datenübermittlungen ab sofort rechtswidrig. Entsprechend sollten die Maßnahmen unverzüglich ergriffen werden. Gleichzeitig ist nicht zu erwarten, dass Aufsichtsbehörden unmittelbar Bußgelder verhängen werden. Als vor gut 5 Jahren das Safe Harbor-Agreement gekippt wurde, setzten die europäischen Datenschutzbehörden die Umsetzung des Urteils zunächst für 3 Monate aus. Nach Ablauf dieser Frist wurden aber durchaus Bußgelder für Datenübermittlungen verhängt. 

5. Ausblick

Das Urteil betrifft in erster Linie den Datentransfer in die USA. Bereits hier sind die Auswirkungen für Unternehmen gravierend, da derzeit keine langfristige Möglichkeit der Übermittlung von Daten in die USA ersichtlich ist. Die Auswirkungen sind aber noch weitreichender. Für viele typische Verarbeitungsländer bestehen die gleichen erheblichen Zweifel an entsprechendem Rechtsschutz, insbesondere nachdem der EuGH diesen ausdrücklich auch für den Arbeitsbereich der Sicherheitsbehörden fordert. 

Wer alle Risiken vermeiden möchte, wird daher auf einer Verarbeitung in Europa unter ausschließlicher Kontrolle europäischer Unternehmen bestehen müssen. Nachdem das häufig technisch oder wirtschaftlich nicht als Option erscheint, kann auch abgewartet werden, wie die Aufsichtsbehörden die Risiken einschätzen werden. 

Praktisch ist derzeit ein Stopp aller Verarbeitungen in Rechtsordnungen, die keinen wirksamen Datenschutz haben, nicht umsetzbar. Entgegen mehrfacher Bekundungen ist die DSGVO nämlich kein Exportschlager. Wie schon bei der Aufhebung von Safe Harbor wird der europäische Gesetzgeber eine Lösung für den Transfer von Daten in Drittländer präsentieren. Vorbereitungen laufen dazu bereits, denn die Unwirksamkeit des Privacy Shields war allgemein angenommen worden. 

Es gibt mehrere Gestaltungsmöglichkeiten - von Angemessenheitsbeschlüssen bis hin zu einem neuen Abkommen mit den USA.

Ansprechpartner für Rückfragen:

RA Karsten U. Bartels LL.M.
Stellvertretender TeleTrusT-Vorsitzender
Leiter der TeleTrusT-AG "Recht"
bartels(at)hk2.eu 

RA Matthias Hartmann
hartmann(at)hk2.eu

RA Michael Schramm LL.M. (Minnesota)
schramm(at)hk2.eu 

27.09.2019

Stärkung der Wettbewerbsfähigkeit deutscher Technologieunternehmen mit Produkten, die der Exportkontrolle unterliegen

I. Problem

Deutsche Hersteller von Soft- und Hardware sind durch die langwierigen Standardprozesse der BAFA-Voranfragen und Ausfuhrgenehmigungen sowie wechselnde Genehmigungsentscheidungen im internationalen Wettbewerb benachteiligt und werden daher von Endkunden teilweise gemieden. Europäische Mitbewerber werben zum Teil damit, dass Produkte "German-free" sind. Eine internationale Technologie- und Plattformführerschaft deutscher und europäischer Firmen wird dadurch verhindert. Zudem fehlt es deutschen Unternehmen an Planungssicherheit in Bezug auf Investition in den internationalen Geschäftsaufbau in diversen Zielländern und Kundensegmenten.

Vor der Entscheidung für Soft- und Hardwareakquisitionen wünschen internationale Kunden aus dem öffentlichen und privaten Sektor die Technologien in einem sogenannten Proof of Concept (POC) zu testen. Bei einem POC wird die Soft- oder Hardware in einem Zeitraum von einer Woche bis drei Monaten in Testsystemen oder durch eine begrenzte Anzahl an Endnutzern auf ihre Verwendbarkeit hin geprüft. Dies geschieht gegen ein Entgelt oder kostenlos.

Es entspricht nicht den Erwartungen der Kunden und den schnelllebigen Charakteristika von Soft- und Hardwaretechnologien (z.B. Entwicklungszyklen, Bedarfen), dass man sechs Monate und mehr auf diese Tests warten muss bzw. auf die Information, ob ein Erwerb bzw. Test überhaupt möglich ist. Darüber hinaus verhindert der Ausfuhrgenehmigungsprozess und seine Dauer, dass deutsche Firmen hoch skalierbare und profitable Geschäftsmodelle nutzen können (z.B. Cloud / Software as a Service). 

Darüber hinaus besteht für deutsche Soft- und Hardwarehersteller mit vergleichbaren genehmigungspflichtigen Produkten keine Transparenz über die Ausfuhrentscheidungen des BAFA. Dadurch entstehen sowohl in den Unternehmen, als auch beim BAFA Doppelaufwände durch die Bearbeitung von Anträgen für die gleichen Produkte und Endkunden (Stichwort: Bürokratiekosten).

II. Vorschläge

1. Etablieren eines verlässlichen und transparenten Prüfungsprozesses

Insbesondere der unklare Zeitrahmen der Prüfung verursacht die größten Schäden im Markt. Aus Sicht des Kunden wird die Notwendigkeit eines zu prüfenden Exportverfahrens durchaus verstanden. Geschickt kommuniziert wird dies sogar als Qualitätsmerkmal begriffen. Unsicherheit entsteht durch nicht eindeutige Zeitabläufe. Diese werden als Unzuverlässigkeit begriffen. Dies trifft insbesondere bei Anträgen zu, bei denen andere Ministerien beteiligt werden müssen. Ein angemessener Zeitrahmen sollte definiert werden (z.B. zwei Monate eines "Standardantrages" und vier Monate bei Beteiligung weiterer Bedarfsträger), - dies sollte im Zweifelsfall aber nicht zu negativen Bescheiden führen.

2. Etablieren eines verkürzten und verlässlichen Rahmens für Nachfolgeanträge

Verständlicherweise können sich politische Rahmenbedingungen tagesaktuell ändern. Dennoch wird es in den Kundenbeziehungen mit schon existenten Projekten als Unzuverlässigkeit wahrgenommen, wenn Nachfolgeanträge (gleiches Land, gleicher Kunde, teilweise gleiches Projekt) trotz vorheriger Prüfung wiederum in Unplanbarkeit und damit Projektunsicherheit resultieren. Eine Priorisierung oder verkürzte Prüfung auf Basis von bestehenden Projekten (innerhalb eines vernünftigen Zeitraums) wäre aus Sicht der Industrie notwendig.

3. Etablieren eines neuen Prozesses für POCs im Soft- und Hardwarebereich

Der deutsche Hersteller von Soft- und Hardware meldet den Start und das Ende des POC bei dem BAFA an und kann sofort damit beginnen. Der Hersteller verpflichtet sich nach dem Ende des POC die Produkte nach Deutschland zurückzuführen oder bis zum Erhalt einer Ausfuhrgenehmigung in einem nicht verwendbaren Zustand beim Kunden zu belassen. Parallel zum POC findet der Prozess der Voranfrage oder Ausfuhrgenehmigung statt. Sollte eine Ablehnung erfolgen, werden die Soft- und Hardware nach dem Ende des POCs zurückgenommen.

4. Etablieren einer jährlich überarbeiteten Positivliste deutscher Soft- und Hardware, Staaten und Endkunden außerhalb von EU und NATO, an die genehmigungspflichtige Soft- und Hardware ohne Ausfuhrgenehmigung verkauft werden können

Diese Positivliste könnte insbesondere für Dual-Use-Güter für eine Reihe nicht-militärischer Kunden und ganze Warengruppen definiert werden. Dadurch können die Unternehmen einen informierten Kundendialog führen und müssen das BAFA nicht mit Voranfragen belasten. Zudem kann die Bearbeitungszeit im BAFA für Ausfuhrgenehmigungen drastisch reduziert werden. Da eine derartige Liste niemals alle Länder und Endkunden abdecken kann, werden Kunden, die nicht genannt werden, über den regulären Prozess nach Bedarf geprüft. Die Ergebnisse der Prüfung werden in die Positivliste überführt.

5. Etablierung einer täglich einsehbaren Liste über die bestehenden Genehmigungen für Soft- und Hardwareprodukte ohne Nennung der beantragenden Firma zur Wahrung von Geschäftsgeheimnissen

Beispiel: E-Mailverschlüsselungssoftware / Indonesien / Verteidigungsministerium

Dadurch können die Unternehmen einen informierten Kundendialog führen und einen Antrag komplett vermeiden, wenn sie ebenfalls eine Soft- oder Hardware an das Verteidigungsministerium in Indonesien verkaufen wollen. Zudem kann die Bearbeitungszeit für Ausfuhrgenehmigungen drastisch reduziert werden.

6. Etablierung eines jährlichen Review-Prozesses für Soft- und Hardware, die überprüft, ob sie weiterhin der Exportkontrolle unterliegen müssen

Durch Technologiesprünge oder höherwertige, frei im Markt verfügbare Produkte (z.B. Krypto) kann das Argument Exportkontrolle nicht mehr haltbar sein.

12.06.2019

Sichere und vertrauenswürdige Digitalisierung kann nur mit starker und verlässlicher IT-Sicherheit gelingen / TeleTrusT bietet fachlichen Diskurs an

Das Bundesministerium des Innern, für Bau und Heimat plant laut Medienberichten eine Gesetzesänderung, die deutschen Sicherheitsbehörden künftig Zugriff auf die digitale Kommunikation von Verdächtigen gewähren soll. Hierfür sollen Anbieter von Messenger-Diensten gesetzlich verpflichtet werden, ihre Verschlüsselungstechnik so zu präparieren, dass Behörden bei Verdachtsfällen die Kommunikation mitlesen können. Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) bewertet wie bereits in der Vergangenheit solche Bestrebungen kritisch. Eine gesetzlich erzwungene Installation von Hintertüren stünde diametral gegen die "No backdoor"-Zusicherung der deutschen IT-Sicherheitsindustrie, die das Vertrauenszeichen "IT Security made in Germany" trägt.

Würden die Messenger-Betreiber die vorgesehenen Maßnahmen nicht umsetzen, könnten ihre Dienste in Deutschland gesperrt werden. Berufsgeheimnisträger wie Ärzte, Rechtsanwälte, Journalisten, Steuerberater und Geistliche wären in ihrer schützenswerten Kommunikation in besonderer Weise betroffen. Eine Verpflichtung der Messenger-Betreiber zum Einbau von Schwachstellen würde einen tiefen Eingriff in komplexe Softwaresysteme bedeuten. Solche Schwachstellen könnten von unbefugten Dritten ausgenutzt werden, um illegal schutzwürdige Informationen zu erlangen.

TeleTrusT hat großes Verständnis dafür, dass deutsche Strafbehörden mit modernen Fähigkeiten ausgestattet werden müssen. Die vom Gesetzgeber dem Vernehmen nach geplanten Maßnahmen würden aber dazu führen, das Vertrauen in moderne IT-Systeme im Allgemeinen und in die angebotenen vertrauenswürdigen IT-Lösungen im Speziellen zu erschüttern. Die Eignung zur Verbrechensaufklärung ist fragwürdig, weil Straftäter beispielsweise auf andere Kommunikationsmöglichkeiten ausweichen werden. Die Beeinträchtigung des Grundvertrauens der Öffentlichkeit in den Schutz der kommunikativen Privatsphäre steht in keinem angemessenen Verhältnis zur möglichen Ausbeute bei Strafverfolgungsmaßnahmen. Die geplanten Maßnahmen sind damit industriepolitisch kontraproduktiv, schädigend für den weiteren notwendigen Digitalisierungsprozess und stehen im Widerspruch zur politischen Zielsetzung, "Deutschland zum Verschlüsselungsstandort Nr. 1" zu entwickeln. 

Der Staat hat die Pflicht, Bürgerinnen und Bürger sowie unsere Wirtschaft zu schützen. Durch die Aushebelung der Verschlüsselung wird diese Schutzpflicht missachtet und das Vertrauen in moderne IT-Systeme staatlich untergraben. Wir bieten daher den Vertretern der Gesetzgebungsverfahren einen offenen Dialog an, gemeinsam und mit der technischen Expertise der TeleTrusT-Mitgliedsunternehmen geeignete Lösungen zu erarbeiten.

Der Bundesverband IT-Sicherheit e.V. plant einen fachlichen Diskurs, um einen gesellschaftlichen Ansatz dafür zu finden, den Digitalisierungsprozess sicher und vertrauenswürdig zu gestalten und Strafverfolgung ohne Schwächung der IT zu ermöglichen.