IT-Sicherheit · Branchen-Briefing

Der Bundestag hat am 29. Januar 2026 das Kritis-Dachgesetz zur Umsetzung der EU-Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen angenommen. Das Gesetz regelt bundeseinheitlich den physischen Schutz kritischer Infrastrukturen und verankert Anforderungen zur Identifizierung von Betreibern kritischer Anlagen, nationale Risikoanalysen, Resilienzmaßnahmen und ein Meldewesen für Vorfälle. Der Innenausschuss erweiterte den Entwurf um eine Öffnungsklausel, die Ländern ermöglicht, weitere kritische Anlagen unterhalb des Regelschwellenwerts von 500.000 versorgten Einwohnern zu identifizieren. Das Bundesinnenministerium erhält die Ermächtigung, eine Rechtsverordnung zu erlassen, der der Bundesrat zustimmen muss. Der Bundestag beschloss zudem eine Entschließung, die die Bundesregierung auffordert, bestehende Informations-, Transparenz- und Veröffentlichungspflichten für Kritis-Betreiber zu überprüfen und anzupassen sowie bereits veröffentlichte Infrastrukturinformationen aus öffentlich zugänglichen Bereichen zu entfernen. Der Bundesrat hatte eine geringere Schwelle von 150.000 zu versorgenden Personen gefordert, da die Mehrheit der deutschen Bevölkerung von Betreibern unterhalb des Regelschwellenwerts versorgt wird.

Die Umsetzung der europäischen NIS2-Richtlinie und der CER-Richtlinie verschärft die Haftungsregeln für die Führungsebene massiv. Vorstände von Schifffahrtsunternehmen, Häfen und Terminals werden künftig direkt für Versäumnisse im Bereich Cybersicherheit zur Rechenschaft gezogen, besonders gemäß Artikel 20 der NIS2-Richtlinie, wonach Führungskräfte Risikomanagementmaßnahmen explizit genehmigen und deren Umsetzung überwachen müssen. Der Geltungsbereich umfasst rund 150.000 zusätzliche Organisationen in Europa, darunter zahlreiche kleine und mittlere Unternehmen ab 50 Mitarbeitern. Die neuen Anforderungen beinhalten verpflichtende Audits der Lieferketten, dokumentiertes Risikomanagement, Einsatz moderner Verschlüsselungstechnologien wie AES-256 oder TLS 1.3 sowie eine Meldungspflicht von Sicherheitsvorfällen innerhalb von 24 Stunden. Etwa 29.500 Unternehmen in der EU sind zur aktiven Steuerung von Lieferkettenrisiken verpflichtet. IT-Dienstleister müssen detaillierte Angaben zu ihrer Sicherheitsarchitektur machen, einschließlich Multifaktor-Authentifizierung, Zugriffskontrollen und Patchmanagement. Die Kanzlei WFW analysierte die neuen Haftungsregeln und verdeutlichte, dass Schifffahrts- und Hafenbetreiber ihre internen Compliance-Strukturen grundlegend anpassen müssen. Experten empfehlen kontinuierliche Risikoüberwachung statt punktueller jährlicher Überprüfungen sowie eine schrittweise Einführung der Maßnahmen mit detailliertem Asset-Mapping und Top-Management-Unterstützung.

Argos Security hat Dr. Swantje Westpfahl als Director Cybersecurity Strategy & Market Engagement gewonnen. In ihrer neu geschaffenen Position entwickelt sie seit August 2026 die strategische Ausrichtung des Unternehmens an der Schnittstelle von Forschung, Markt, Regulierung und technologischer Innovation. Ihr Fokus liegt auf Zukunftsfeldern wie KI-Sicherheit, Post-Quantum-Security und digitaler Souveränität sowie der Einordnung regulatorischer Entwicklungen. Dr. Westpfahl bringt internationale Expertise mit: Sie ist Task Force Lead European Initiatives beim European Energy ISAC und wirkt in Gremien auf EU- und UN-Ebene sowie im Umfeld des Weltwirtschaftsforums an der Entwicklung neuer Sicherheitsstandards und regulatorischer Rahmenbedingungen mit.

Ab dem 11. September 2026 treten neue Vorgaben des europäischen Cyber Resilience Act in Kraft: Hersteller müssen aktiv ausgenutzte Sicherheitslücken in ihren digitalen Produkten innerhalb von 24 Stunden an eine zentrale EU-Stelle melden. Dies betrifft vor allem Produkte mit digitalen Elementen wie Router, Kameras, Smart-Home-Geräte und vernetzte Technik. Die Meldepflicht soll Verbraucher schneller über erhebliche Sicherheitsprobleme informieren, bedeutet aber nicht, dass Sicherheitslücken innerhalb eines Tages behoben sein müssen – sie bezieht sich zunächst auf die Meldung an zuständige Stellen. Am 12. September beginnt eine weitere Anwendungsstufe des europäischen Data Act, wonach neue vernetzte Produkte so gestaltet sein müssen, dass Nutzer kostenlos und leicht auf die erzeugten Daten zugreifen können. Dies gilt für vernetzte Haushaltsgeräte, Fahrzeuge, Fitness-Tracker und andere IoT-Geräte. Verbraucher sollen Daten einsehen und unter bestimmten Bedingungen an Dritte weitergeben können – etwa an Reparaturbetriebe oder Wartungsdienste.