Sehr geehrte Frau Präsidentin! Meine lieben Kolleginnen und Kollegen! Ich werde nicht müde, zu sagen – Sie haben es schon öfter von mir gehört; Sie werden es auch am Freitag wieder hören –: Cybersicherheit ist und bleibt die Achillesferse der modernen Informationsgesellschaft. Das gilt insbesondere für die kritischen Infrastrukturen, für die IT-Netze und die IT-Betreiber dieses Landes. Von daher freut es mich grundsätzlich immer, wenn es Gelegenheit gibt – und sei es ein Antrag der Union –, über dieses Thema zu sprechen. Sie, liebe Kollegen der Union, können sicher sein, dass dieses Thema bei uns in der Koalition mit Nachdruck vorangetrieben wird
und wir diese Probleme auch lösen. Daran arbeiten wir jeden Tag, meine Damen und Herren.
Sie haben gerade in Ihrer Rede beschrieben, Herr Henrichmann, dass wir Ihrem Antrag doch zustimmen sollten und dass wir erst am Freitag einen Gesetzentwurf vorlegen. Soll ich Ihnen sagen, was der Unterschied zwischen unserer Vorlage am Freitag und Ihrem Antrag heute ist? 207 Seiten.
Ihr Antrag enthält 15 Punkte, die in großen Teilen bereits umgesetzt sind,
während wir ein umfassendes Gesetz vorlegen, in dem die wesentlichen Punkte nicht nur erfüllt sind, sondern viele andere Punkte auch im weiteren parlamentarischen Verfahren behandelt werden. Das macht am Ende den Unterschied aus: wenn man Dinge ernst nimmt und umsetzt.
– Ja, die Serviceopposition; der Kollege Baldy hat es ja erwähnt. Ich freue mich, wenn ich zitiert werde. Deswegen möchte ich auch ihn erwähnen.
Wir haben viele Häkchen gemacht, und zwar an die 15 Punkte Ihres Antrags, die längst von uns angegangen werden und umgesetzt werden.
Das habe ich in der ersten Lesung deutlich gemacht; ich will das heute nicht wiederholen.
Ich möchte aber gerne ein paar andere Punkte aus Ihrem Antrag ansprechen. Darauf will ich gern eingehen.
Zum Beispiel sprechen Sie darüber, dass wir im Zusammenhang mit der Umsetzung der NIS-2-Richtlinie Kategorien einführen. Ja, das ist richtig. Das führt zu einer Ausweitung von betroffenen Unternehmen. Das ist auch notwendig; denn diese Unternehmen sind elementarer Bestandteil eines IT-Sicherheitsnetzwerkes. Wir sehen doch heute, dass die IT-Angriffe und die Cyberangriffe, die gegen Deutschland gefahren werden, zunehmend auf Lieferketten erfolgen, dass nicht mehr das Unternehmen angegriffen wird, dem man schaden möchte, sondern dass man den Vor- oder den Vorvorlieferanten angreift. Das sind dann oft auch kleinere Unternehmen, die aber nicht minder wichtig sind. Deswegen ist es wichtig und richtig, dass bei der Umsetzung der NIS-2-Richtlinie das Ganze betrachtet wird. Die digitale Welt ist längst stark vernetzt, genauso wie die Lieferketten in unserem Wirtschaftssystem. Das hat Auswirkungen. Das ist ein wichtiger Punkt, den wir angehen müssen und angehen werden.
Das bringt mich zu meinem größten Kritikpunkt zu Ihrem Antrag. Sie denken IT-Sicherheit immer noch in starken Silos. Gerade bei der Cyberresilienz geht es nicht darum, dass man Listen abhakt. Cybersicherheit ist am Ende auch kein Zustand, sondern immer ein Prozess. Wir brauchen einen ganzheitlichen Ansatz. Deswegen ist es auch wichtig, die NIS-2-Richtlinie und das KRITIS-Dachgesetz aufeinander abzustimmen. Ein integrierter Ansatz ist wichtig. Wir werden weiter daran arbeiten, dass diese beiden Gesetzesvorhaben zueinander passen, damit die Unternehmen die Vorgaben auch richtig erfüllen können.
Einen Punkt möchte ich aus Ihrem Antrag rausgreifen. Sie fordern ein Lagebild zur Cybersicherheit, das die Betreiber von KRITIS mit Informationen „als Mehrwert für den eigenen Meldeaufwand“ versorgen soll. Das BSI soll also täglich für alle ein Lagebild als Gegenwert für die Meldungen erstellen. Ich finde die Idee hervorragend, dass es keine Einbahnstraße sein soll. Leider haben Sie in Ihren zwei IT-Sicherheitsgesetzen jedes Mal Einbahnstraßen gebaut. Wir werden das nicht tun. Allerdings hilft es niemandem in der Wirtschaft, wenn nachts um 3 Uhr von IT-Spezialisten im BSI tagesaktuell ein Gesamtlagebild erzeugt wird, damit es morgens um 9 Uhr in den Unternehmen vorliegt. Das erzeugt dort Bürokratie, muss dann irgendwie verarbeitet werden
und hat nur einen sehr bedingten Nutzen. Es hat nur dann einen Nutzen, wenn die Unternehmen etwas erfahren, was ihre Cybersicherheit erhöht. Deswegen ist es gut und richtig, dass wir dafür sorgen, dass bei der Umsetzung der NIS-2-Richtlinie, entgegen Ihren IT-Sicherheitsgesetzen der Vergangenheit, keine Einbahnstraße entsteht und dass Lagebilder, die vom BSI oder vom Nationalen Cyber-Abwehrzentrum erzeugt werden, den betreffenden Branchen oder den entsprechend relevanten Unternehmen zur Verfügung gestellt werden. Das hilft weiter. Wir brauchen nicht mehr Bürokratie und mehr Informationen zum Abheften, sondern ganz qualifizierte Informationen, die den Unternehmen helfen, meine Damen und Herren.
Sie werden von mir am Freitag den Teil zwei meiner Rede hören. Das ist der Vorteil, wenn wir über das Thema zweimal die Woche diskutieren.