Ampel-Regierung gescheitert: Auswirkungen auf das NIS2-Umsetzungsgesetz und Kritis-DachG

• Die Ampel-Regierung ist gescheitert; am 23. Februar 2025 soll es Neuwahlen geben
• Alle Gesetze, die bis zu diesem Zeitpunkt nicht vom Bundestag verabschiedet wurden, werden "auf Null gestellt"
• Verzögerung beim NIS2-Umsetzungsgesetz und Kritis-Dachgesetz von einem Jahr realistisch

Am 6. November 2024 ist einiges passiert. Trump wurde zum Präsidenten der Vereinigten Staaten gewählt, die deutsche Regierung in Form der Ampel-Koalition ist zerbrochen und der Regierungsentwurf des Kritis-Dachgesetzes wurde verabschiedet. Zurecht mag man sich die Frage stellen, was dies für das NIS2-Umsetzungsgesetz und das Kritis-Dachgesetz bedeutet, was in welcher Zeit zu erwarten ist und wie man als Betreiber mit dieser Situation umgehen soll. Dieser Blogbeitrag kann diese Fragen nicht alle mit Sicherheit beantworten, soll aber zumindest eine fundierte Orientierung bieten.

Da sich die politische Situation jederzeit ändern kann, muss dieser Blogbeitrag sicherlich zeitnah überarbeitet werden. Es handelt sich um die Einschätzung zum Stand 24.11.2024.

Der Gesetzgebungsprozess im Überblick

Um alle diese Fragen zu beantworten, muss man zunächst den deutschen Gesetzgebungsprozess im Grundsatz verstehen. Denn ohne das dieser Durchlaufen wird, kann weder das NIS2-Umsetzungsgesetz oder das Kritis-Dachgesetz in Kraft treten. Man muss verstehen, wo sich die einzelnen Gesetze innerhalb dieses Gesetzegebungsprozesses befinden.

Die Einteilung des Gesetzgebungsverfahrens kann unterschiedlich vorgenommen werden. Eine schöne Übersicht bietet der Bundesrat in Form eines Faltblatts, aus dem auszugsweise die folgende Grafik stammt (zur gesamten Grafik und weiteren Erläuterungen siehe hier).

Folgende wichtige Schritte können im deutschen Gesetzgebungsverfahren (bei einer Gesetzgebungsinitiative des Bundestags) unterschieden werden.

• Referentenentwurf (inklusive Verbändeanhörung)
• Kabinettsbeschluss über Regierungsentwurf
• Zuleitung Bundesrat (wohl am 13.11.2024 erfolgt und von der Bundesregierung als besonders eilbedürftig gekennzeichnet)
• 1. Durchgang Bundesrat
  • Normalerweise würde eine Stellungnahmefrist von 6 Wochen bestehen;
  • Die Bundesregierung hat mit Schreiben vom 13.11.2024 das Gesetz als besonders eilbedürftigkeit bezeichnet, sodass das Gesetz bereits drei Wochen nach Zuleitung an den Bundesrat in den Bundestag eingebracht werden kann, auch wenn die Stellungnahme des Bundesrats noch nicht vorliegt (Art. 76 Abs. 2 Grundgesetz)
  • Der Bundesrat am 22.11.2024 beschlossen keine Stellungnahme zum Kritis-Dachgesetz abzugeben (Link)
• Kabinettsbeschluss über Gegenäußerung (meist 1-2 Wochen)
  • Nach meinen Informationen wird auf Grund der fehlenden Stellungnahme des Bundesrats auch keine Gegenäußerung erarbeitet und direkt in das parlamentarische Verfahren übergegangen
• Zuleitung Bundestag
• Bundestag 1. Lesung (Kritis-Dachgesetz wurde mit 1. Lesung am 5.12. in die Ausschüsse verwiesen, Link)
• Arbeit in den Bundestagsausschüssen
  • Innenausschuss federführend
  • Expertenanhörung (Zum NIS2-Umsetzungsgesetz hat Expertenanhörung stattgefunden aber der Ausschussbeschluss steht noch aus)
  • Ausschussbeschluss
• Bundestag 2./3. Lesung
• Bundesrat 2. Durchgang
  • NIS2-Umsetzungsgesetz: Einspruchgesetz
  • Kritis-Dachgesetz: Zustimmungsgesetz
• Unterzeichnung Bundespräsident
• Inkrafttreten des Gesetzes

Somit wird sehr deutlich, dass für beide Gesetz noch einige Schritte erfolgen müssen, bevor diese Inkrafttreten können. Das NIS2-Umsetzungsgesetz ist dabei näher am Ziel, da dieses unmittelbar vor dem Beschluss des Innenausschusses des Bundestags und somit kurz vor der 2./3. Lesung steht. Das Kritis-Dachgesetz hat dagegen erst am 22.11.2024 die erste Runde im Bundesrat absolviert und benötigt dementsprechend noch deutlich mehr formale Schritte. Insbesondere haben noch keine Ausschussberatungen im Innenausschuss des Bundestags stattgefunden.

Auswirkungen von Regierungsbruch und Neuwahlen auf laufende Gesetzgebungsverfahren

Welche Auswirkungen hat nunmehr das Ende der Ampelkoalition und die möglichen Neuwahlen auf bereits laufende Gesetzgebungsprozesse?

Um diese Frage zu beantworten, muss man den sogenannten Diskontinuitätsgrundsatz kennen. Nach diesem Grundsatz verfallen zum Ende der Legislaturperiode des Bundestags all diejenigen Gesetzentwürfe, die die Abgeordneten nicht in zweiter und dritter Lesung beraten oder für erledigt erklärt haben (Link). Der neu konstituierte Bundestag darf sich also mit den "alten" Gesetzen nicht weiter befassen. Diese werden formal so behandelt, als würden sie nicht existieren. Das Gesetzgebungsverfahren muss also mit der neuen Regierung neu in Gang gesetzt werden und alle oben aufgezählten formalen Zwischenschritte erneut durchlaufen werden. Fehlt im Gesetzgebungsverfahren allerdings nur noch eine Entscheidung des Bundesrats, kann das Gesetz auch nach dem Auseinandertreten des Bundestags noch zustande kommen (Link).

Theoretisch könnten somit bis zur Neukonstituierung des Bundestags weiterhin beide Gesetze verabschiedet werden, denn alle maßgeblichen Institutionen für den Abschluss des Gesetzgebungsverfahrens bestehen weiterhin:

• Der Bundestag besteht weiter bis zum Zusammentritt des neuen Bundestags (Art. 39 Abs. 1 Grundgesetz)
• Die Bundesregierung besteht weiter, lediglich mit anderen Ministern (vgl. Art. 64 Grundgesetz) als Minderheitsregierung
• Der Bundesrat besteht als sogenanntes "immerwährendes Verfassungsorgan" weiterhin (Link)

Wie realistisch ist es jetzt, dass das NIS2-Umsetzungsgesetz und Kritis-Dachgesetz noch in dieser Legislaturperiode verabschiedet werden? Hier wird es nun deutlich spekulativer, denn die jetzige Minderheitsregierung ist auf die Mitwirkung von anderen Fraktionen im Bundestag angewiesen um noch Gesetze verabschieden zu können. Ob insbesondere die FdP-Fraktion oder die CDU/CSU-Fraktion diese Gesetz mittragen werden ist unklar.

Ein wenig Hoffnung habe ich noch für das NIS2-Umsetzungsgsetz. Dieses Gesetz ist formal schon sehr weit im Gesetzgebungsprozess. Es fehlt nur noch der Beschluss des Innenausschusses und die 2./3. Lesung im Bundestag um die Diskontinuität zu verhindern. Dies erscheint zeitlich bis Weihnachten durchaus machbar. Zudem ist das Gesetz - zumindest was die Pflichten der Betreiber angeht - weitgehend ausdiskutiert. Außerdem handelt es sich um ein Einspruchsgesetz, sodass der Bundesrat weniger Blockademöglichkeiten hat. Am 09.12.2024 ist auch bekannt geworden, dass zumindest SPD und Grüne sich auf Änderungen am NIS2-Umsetzungsgesetz verständigt haben, über die theoretisch der Innenausschuss abstimmen könnte (Link, paywall).

Kaum Hoffnung habe für das Kritis-Dachgesetz. Denn hier ist der Gesetzgebungsprozess noch nicht so weit fortgeschritten. Alleine auf Grund der zeitlichen Abfolge wäre es bereits für eine bestehende Regierung (mit eigener Mehrheit) herausfordernd das Gesetz innerhalb so kurzer Zeit durch den Bundestag zu bringen (dies müsste wohl spätestens bis Weihnachten passieren). Ferner besteht wohl beim Kritis-Dachgesetz (zumindest auf Seite der Bundesländer) noch deutlich mehr Kritik, als am NIS2-Umsetzungsgesetz. Zudem handelt es sich hierbei um ein Zustimmungsgesetz, bei dem die Bundesländer das Gesetz im zweiten Durchgang des Bundesrats relativ einfach blockieren können. Die CDU/CSU hat bereits angekündigt, dass Gesetz nicht mittragen zu wollen (Link).

Wenn nicht in dieser Legislaturperiode: Wann kommt das NIS2-Umsetzungsgesetz und das Kritis-Dachgesetz?

Zunächst lässt sich feststellen, dass das NIS2-Umsetzungsgesetz und das Kritis-Dachgesetz keinesfalls "abgesagt" sind, selbst wenn sie nicht mehr unter der jetzigen Regierung kommen. Beide Gesetze beruhen auf europäischen Richtlinien, die Deutschland umsetzen muss. Wann also würden diese Gesetze unter einer neuen Regierung kommen? Auch hier wird es spekulativ, wobei es trotzdem ein "educated guess" möglich ist.

Zunächst sollen am 23. Februar 2025 die Neuwahlen stattfinden. Dann finden zunächst Koalitionsverhandlungen zur Bildung einer neuen Regierung statt. Das Grundgesetz sieht zudem vor, dass spätestens 30 Tage nach der Bundestagswahl die konstituierende Sitzung des neuen Bundestages erfolgen muss. Man wird folglich davon ausgehen müssen, dass erst Mitte / Ende März 2025 der neue Bundestag zusammentritt um und dort ggf. einen neuen Bundeskanzler / neue Bundeskanzlerin wählt. Allerdings setzt dies voraus, dass bis zu diesem Zeitpunkt die Koalitionsverhandlungen abgeschlossen sind. Dies erscheint allerdings sehr fraglich, wenn man sich die die Dauer der Regierungsbildung in Deutschland nach den Bundestagswahlen in der Vergangenheit vergegenwärtigt:

Je nach Wahlausgang, kann die Regierungsbildung also deutlich länger dauern. Es bleibt festzuhalten, dass im Optimalfall die neue Bundesregierung ca. Anfang April 2025 arbeitsfähig sein wird. Eher wahrscheinlich ist, dass dies erst im Mai 2025 oder noch später der Fall sein wird.

Als nächsten terminlichen Fixpunkt muss man die parlamentarische Sommerpause des Bundestags kennen. Üblicherweise finden im Juli / August keine Sitzungen des Bundestages statt. Es besteht also zwischen Bildung der neuen Regierung und der Sommerpause des Bundestags nur ein sehr enges Zeitfenster um Gesetze in den Bundestag einzubringen (maximal April / Mai / Juni). Es erscheint eher unrealistisch, dass dies gelingen wird, da alle oben aufgezeigten Prozessschritte der Gesetze neu durchlaufen werden müssen. Realistischer erscheint es also, dass die Gesetze erst nach der nächsten parlamentarischen Sommerpause in den Bundestag eingebracht werden können und dementsprechend frühestens im Herbst 2025 Inkrafttreten können.

Wie sollten die Betreiber mit dieser Situation umgehen?

Bei allen Unwägbarkeiten ist für die Betreiber folgendes wichtig zu verstehen:

• Weder NIS2-Umsetzungsgesetz noch Kritis-Dachgesetz sind "abgesagt". Die Gesetze werden kommen - wenn auch mit zeitlicher Verzögerung. Schon weil es sich um die Umsetzung von europäischen Richtlinien handelt muss auch die nächste Bundesregierung hier tätig werden.
• Solange die deutschen Gesetze nicht verabschiedet wurden, ergeben sich im Grundsatz auch keine Pflichten aus den europäischen Richtlinien (siehe näher mein Blogbeitrag hier, indem mögliche indirekte Auswirkungen in Bezug auf Cyberversicherungen beschrieben werden).
• Inhaltlich werden sich die neu eingebrachten Gesetze wahrscheinlich nicht maßgeblich von den bisherigen Entwürfen unterscheiden. Es werden europäische Richtlinien umgesetzt, sodass der deutsche Gesetzgeber ein gutes Stück weit gebunden ist bei der Formulierung der Gesetze. Zudem wechseln mit dem Regierungswechsel nicht die maßgeblichen Mitarbeiter und Mitarbeiterinnen in den Ministerien. Die Gesetze werden ganz maßgeblich im Bundesinnenministerium geschrieben und dessen Beamte wechseln nur auf Leitungsebene, nicht jedoch auf der deutlich wichtigeren Arbeitsebene.
• Die staatlichen Stellen arbeiten weiter an der Umsetzung der Gesetze, selbst wenn die Gesetze jetzt scheitern sollten. Insbesondere werden die Arbeiten an der neuen Kritis-Verordnung zur Bestimmung der kritischen Anlagen weiterführt und auch die IT-Sicherheitskataloge weiter bearbeitet. Auch die nationale Risikoanalyse und Risikobewertung des Kritis-Dachgesetzes wird fortgeführt.
• (Cyber)Kriminelle warten mit ihren Angriffen nicht bis Gesetze erlassen werden.

Wie die Betreiber auf diese Situation reagieren ist natürlich jedem selbst überlassen. Wenn ich einen Rat geben müsste, würde ich folgendes sagen: Fangt an mit der Umsetzung der Gesetze auf Basis der bisher bekannten Entwürfe! Diese Gesetzesentwürfe bieten eine stabile Grundlage, um das eigene Handeln daran auszurichten. Es ist sehr unrealistisch, dass eine neue Regierung ganz grundsätzlich die Gesetze neu ausarbeiten wird. Vielmehr steht zu vermuten, dass die bereits ausgearbeiteten Gesetze in sehr ähnlicher Form wieder in den Bundestag eingebracht werden und wohl spätestens 2025 auch Gesetz werden. Mit weiteren Umsetzungsfristen ist sodann nicht mehr zu rechnen, sodass die jetzige Übergangszeit gut genutzt sein will.