6 wichtige Gesetze zur Cybersicherheit, die die deutsche Tech-Landschaft prägen

Die Digitalisierung schreitet rasant voran – und mit ihr wachsen die Herausforderungen für die IT-Sicherheit. Cyberangriffe, Datendiebstahl und kritische Infrastrukturen im Fadenkreuer von Hackern erfordern klare gesetzliche Rahmenbedingungen. Deutschland hat in den letzten Jahren entscheidende Gesetze verabschiedet, die nicht nur Unternehmen, sondern auch Behörden und Bürger:innen schützen. Dieser Artikel gibt einen Überblick über die sechs wichtigsten Cybersicherheitsgesetze, ihre Ziele und Auswirkungen.

1. IT-Sicherheitsgesetz 2.0 (2021)

Ziel: Modernisierung der Cybersicherheitsstrategie des Bundes.

Das IT-Sicherheitsgesetz 2.0 stärkt das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentrale Cybersicherheitsbehörde. Es reagiert auf die zunehmende Bedrohung durch Cyberkriminalität und die wachsende Abhängigkeit von digitalen Infrastrukturen.

Wichtige Neuerungen:

• 5G-Sicherheit: Zertifizierungspflicht für kritische Komponenten in Mobilfunknetzen.
• Verbraucherschutz: Einführung eines IT-Sicherheitskennzeichens für Produkte und Dienstleistungen.
• KRITIS-Erweiterung: Einbeziehung der Siedlungsabfallentsorgung und Unternehmen mit hoher volkswirtschaftlicher Bedeutung.

2. NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, 2025)

Ziel: Umsetzung der EU-Richtlinie NIS2 zur Harmonisierung der Cybersicherheit in Europa.

Das Gesetz weitet den Kreis der betroffenen Unternehmen von 4.500 auf 29.500 aus und führt strengere Pflichten ein.

Wesentliche Änderungen:

• Dreistufiges Meldesystem: Erstmeldung binnen 24 Stunden, Update nach 72 Stunden, Abschlussbericht innerhalb eines Monats.
• Unterteilung in Kategorien: „Wichtige“ und „besonders wichtige“ Einrichtungen mit abgestuften Anforderungen.
• Neue Bußgelder: Bis zu 10 % des globalen Jahresumsatzes bei groben Verstößen.

3. IT-Sicherheitsgesetz 3.0 (2025)

Ziel: Anpassung an die dynamische Bedrohungslage durch KI-gestützte Cyberangriffe.

Dieses Gesetz verschärft die Anforderungen an KRITIS-Betreiber und führt unangekündigte Sicherheitsprüfungen durch das BSI ein.

Neue Regelungen:

• Ausweitung des KRITIS-Begriffs: Einbeziehung von Lebensmittelherstellern und Logistikunternehmen.
• Echtzeitmeldepflicht: Kritische Vorfälle müssen innerhalb von 12 Stunden gemeldet werden.
• Haftung für Lieferketten: Unternehmen haften für Sicherheitslücken bei Zulieferern.

4. KRITIS-Dachgesetz (2024)

Ziel: Stärkung der physischen und digitalen Resilienz kritischer Infrastrukturen.

Das Gesetz setzt die EU-CER-Richtlinie um und verfolgt einen „All-Gefahren-Ansatz“ – von Cyberangriffen bis zu Naturkatastrophen.

Schlüsselbestimmungen:

• Registrierungspflicht: KRITIS-Betreiber müssen sich beim BSI registrieren lassen.
• Notfallpläne: Verpflichtung zu Business-Continuity-Management (BCM).
• Branchenerweiterung: Aufnahme der Wasser- und Abfallwirtschaft.

5. BSI-Gesetz (Aktualisiert durch NIS2UmsuCG)

Ziel: Stärkung der Rolle des BSI als zentrale Cybersicherheitsbehörde.

Die Novellierung stattet das BSI mit neuen Aufsichtsinstrumenten aus, darunter die Befugnis zur Anordnung von Sicherheitsmaßnahmen.

Wichtige Änderungen:

• Chief Information Security Officer (CISO): Einrichtung einer Bundes-CISO-Stelle1.
• Zertifizierungsstelle: Das BSI wird nationale Behörde für EU-Cybersicherheitszertifikate.
• Transparenzpflicht: Veröffentlichung von Sicherheitsempfehlungen und Bedrohungsanalysen.

6. EU Cybersecurity Act (CSA, 2019/881)

Ziel: Schaffung einheitlicher Cybersicherheitsstandards in der EU.

Obwohl kein deutsches Gesetz, prägt die Verordnung die nationale Gesetzgebung durch harmonisierte Zertifizierungsverfahren für IoT-Geräte und Cloud-Dienste.

Fazit: Cybersicherheit als Gemeinschaftsaufgabe

Die genannten Gesetze zeigen: Cybersicherheit ist kein Thema für IT-Abteilungen allein, sondern erfordert die Zusammenarbeit von Unternehmen, Behörden und Nutzer:innen. Mit der zunehmenden Vernetzung wird die Gesetzgebung weiter angepasst werden müssen – Stichworte wie Quantencomputing und Metaverse-Sicherheit stehen bereits auf der Agenda.