NIS 2 und Compliance vs. Security: Kann Sicherheit einfach beschlossen werden?

Mit der NIS-2-Richtlinie will der Gesetzgeber für IT-Sicherheit sorgen. Doch gut gemeinte Regeln kommen in der Praxis nicht immer unbedingt auch gut an.

26. November 2022 um 11:03 Uhr / Von Nils Brinker

Sicherheit ist nicht so einfach zu regulieren wie die Verwendung von Plastikstrohhalmen. Bild: Karsten Paulick auf Pixabay

Nach (wie auf europäischer Ebene üblich) langen Verhandlungen hat das europäische Parlament am 10. November 2022 die NIS-2-Richtlinie angenommen . Sie gibt Vorgaben zur IT-Sicherheit von kritischen Infrastrukturen. Zentrales Element ist die Verpflichtung zur Umsetzung "geeigneter und verhältnismäßiger" Sicherheitsmaßnahmen für eingesetzte Informationstechnik. Eine derartige hoheitliche Festsetzung von IT-Sicherheit hört sich zunächst positiv an. Doch lässt sich IT-Sicherheit einfach so beschließen? Die Verabschiedung der NIS-2-Richtlinie bietet einen hervorragenden Anlass, das Instrument der risikoorientierten Pflichten für IT-Sicherheit genauer anzusehen.

Warum muss IT-Sicherheit überhaupt reguliert werden?

Zunächst einmal sollte kurz die Frage geklärt werden, warum es überhaupt in die gesetzgeberische Kompetenz fallen sollte, privaten Betreibern in ihre Sicherheitsangelegenheiten hereinzureden. Das Wort Regulierung mag in verschiedenen politischen Lagern unterschiedlich beliebt sein, doch selbst der engagierteste Etatist muss wohl zugeben, dass sich der Staat in IT-Fragen bisher nicht von seiner fähigsten Seite präsentiert hat. Warum lässt man demnach nicht den Marktkräften ihren Lauf?