Aus dem Entwurf: A. Problem und Ziel
Die Kreativindustrie ist in der Bundesrepublik Deutschland ein wichtiger und stetig wachsender Wirtschaftszweig. Gewerbliche Schutzrechte stellen einen wichtigen Faktor für neue Innovationen dar. Um das Potential hier voll auszuschöpfen und Anreize für die Anmeldung von Schutzrechten zu setzen, ist es essentiell, dass die Schutzrechtssysteme leicht nutzbar und die Verfahren effizient und kostengünstig ausgestaltet sind. Zudem muss auch technologisch neuen Designs die Anmeldung erleichtert werden.
Dementsprechend werden die Systeme der Mitgliedstaaten der Europäischen Union mit der Richtlinie (EU) 2024/2823 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über den rechtlichen Schutz von Designs modernisiert und weiter harmonisiert, um ein einheitliches Schutzniveau und harmonisierte Verfahren innerhalb der Europäischen Union zu schaffen und so den Binnenmarkt zu fördern. Durch die Aufnahme einer verbindlichen Reparaturklausel soll zudem der Binnenmarkt für Ersatzteile vollendet werden.
Mit diesem Gesetzentwurf werden die verbindlichen Vorgaben der Richtlinie (EU) 2024/2823 1:1 umgesetzt. Zudem werden Verfahren vor dem Deutschen Patent- und Markenamt (DPMA) modernisiert und vereinfacht, sodass insbesondere Einzelanmelder sowie kleine und mittlere Unternehmen die Schutzsysteme noch besser nutzen können.
Dieser Entwurf steht im Kontext der gefährdeten rechtzeitigen Erreichung der Ziele der Resolution der Generalversammlung der Vereinten Nationen vom 25. September 2015 „Transformation unserer Welt: die UN-Agenda 2030 für nachhaltige Entwicklung“ und trägt insbesondere zur Erreichung der Nachhaltigkeitsziele 8 „Wirtschaftswachstum“, 9 „Innovation“ und 16 „Frieden, Gerechtigkeit und starke Institutionen“ bei.
B. Lösung; Nutzen
Die Regelungen der Richtlinie (EU) 2024/2823 werden überwiegend im Designgesetz (DesignG) und in der Verordnung zur Ausführung des Designgesetzes (DesignV) umgesetzt.
Um dem technologischen Fortschritt Rechnung zu tragen, werden neue Designformen wie beispielsweise animierte Designs ausdrücklich anerkannt und neue Möglichkeiten für die Wiedergabe solcher Designs geschaffen (§§ 11,11a DesignG, 7 DesignV). Dadurch wird Anmeldung solcher Designs erheblich vereinfacht. Durch die Ausdehnung des Schutzes auf vorbereitende Handlungen des 3D-Drucks und die Schaffung einer Durchfuhrregelung in § 38a DesignG wird der Designschutz weiter gestärkt. Die Durchfuhrregelung ermöglicht zudem ein effektiveres Vorgehen gegen Produktpiraterie. Um das Bewusstsein der Bevölkerung für den Designschutz zu stärken, wird mit § 38b ein Eintragungssymbol geschaffen. Die bereits bestehende Reparaturklausel des § 40a DesignG wird geringfügig angepasst und die Übergangsfrist wird verkürzt (§ 73 Absatz 2 DesignG).
Zur weiteren Modernisierung des Designrechts und zur Ermöglichung von effizienteren Verfahren vor dem DPMA wird die Terminologie im Nichtigkeitsverfahren vereinheitlicht (§ 33 DesignG) und die Vorschriften zur Schutzdauer (§ 27 DesignG), zur Aufrechterhaltung (§ 28 DesignG) sowie zur Löschung (§ 36 DesignG) werden klarer gefasst. Das deutsche Recht wird durch die Streichung nicht genutzter Systeme wie der Möglichkeit eines Beitritts zum Nichtigkeitsverfahren (§ 34c DesignG und § 55 MarkenG) entlastet.
Aus dem Entwurf: A. Problem und Ziel
Am 13. Mai 2023 wurde die Verordnung (EU) 2023/988 des Europäischen Parlaments und des Rates vom 10. Mai 2023 über die allgemeine Produktsicherheit, zur Änderung der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates und der Richtlinie (EU) 2020/1828 des Europäischen Parlaments und des Rates sowie zur Aufhebung der Richtlinie 2001/95/EG des Europäischen Parlaments und des Rates und der Richtlinie 87/357/EWG des Rates (ABl. L 135 vom 23.5.2023, S. 1) veröffentlicht. Diese Verordnung enthält die wesentlichen Vorschriften für die Sicherheit von Verbraucherprodukten, die in Verkehr gebracht oder auf dem Markt bereitgestellt werden (Artikel 1 Absatz 2 der Verordnung (EU) 2023/988).
Die Verordnung (EU) 2023/988 trat gemäß ihrem Artikel 52 am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt seit dem 13. Dezember 2024. Das Produktsicherheitsgesetz wird durch diesen Gesetzentwurf so geändert, dass zukünftig die Durchführungsbestimmungen der Verordnung (EU) 2023/988 im Produktsicherheitsgesetz enthalten sind.
Am 13. Dezember 2024 wurde unter anderem die Richtlinie 2001/95/EG des Europäischen Parlaments und des Rates vom 3. Dezember 2001 über die allgemeine Produktsicherheit (ABl. L 11 vom 15.1.2002, S. 4), die zuletzt durch die Verordnung (EG) Nr. 596/2009 (ABl. L 188 vom 18.6.2009, S. 14) geändert worden ist, aufgehoben. Dies bestimmt Artikel 50 Absatz 1 der Verordnung (EU) 2023/988. Das Produktsicherheitsgesetz vom 27. Juli 2021 (BGBl. I S. 3146, 3147), das durch Artikel 2 des Gesetzes vom 27. Juli 2021 (BGBl. I S. 3146) geändert worden ist, dient momentan unter anderem der Umsetzung der Richtlinie 2001/95/EG und muss daher um die Regelungen bereinigt werden, die dieser Umsetzung dienen.
Das Produktsicherheitsgesetz regelt außerdem die Anforderungen an die Sicherheit verwendungsfertiger Produkte, die nicht unter die Verordnung (EU) 2023/988 fallen und die auch nicht durch speziellere Vorschriften der Europäischen Union harmonisiert sind, wenn diese Produkte im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt, ausgestellt oder erstmals verwendet werden.
Schwerpunkt der Regelungen des Produktsicherheitsgesetzes in Verbindung mit den Verordnungen zum Produktsicherheitsgesetz bleibt weiterhin die Umsetzung der europäischen Richtlinien, welche das Inverkehrbringen, das Bereitstellen und das Ausstellen von Aerosolpackungen, Aufzügen, elektrischen Betriebsmitteln, Druckbehältern, Druckgeräten, Explosionsschutzprodukten, Maschinen, Spielzeugen, Sportbooten und Wassermotorrädern sowie die Vorgaben für umweltbelastende Geräuschemissionen von zur Verwendung im Freien vorgesehenen Geräten und Maschinen im Sinne der jeweiligen europäischen Richtlinie regeln.
B. Lösung
Das Produktsicherheitsgesetz wird geändert, um die Regelungen zur Umsetzung der Richtlinie 2001/95/EG aus dem Produktsicherheitsgesetz zu streichen und um Regelungen in das Produktsicherheitsgesetz aufzunehmen, die der Durchführung der Verordnung (EU) 2023/988 dienen. Inhaltlich umfassen die Durchführungsbestimmungen Verfahrensregelungen sowie Bußgeld- und Straftatbestände. Des Weiteren wird das Lebensmittel- und Futtermittelgesetzbuch (LFGB) geändert. Mit dem in § 5 Absatz 2 Nummer 2 LFGB verankerten Verbot, mit Lebensmitteln verwechselbare Produkte herzustellen, zu behandeln und in den Verkehr zu bringen, wurde die Richtlinie 87/357/EWG des Rates vom 25. Juni 1987 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten für Erzeugnisse, deren tatsächliche Beschaffenheit nicht erkennbar ist und die die Gesundheit oder die Sicherheit der Verbraucher gefährden (ABl. Nr. L 192 vom 11.7.1987, S. 49) in nationales Recht umgesetzt. Mit Geltungsbeginn der Verordnung (EU) 2023/988 wurde die Richtlinie 87/357/EWG mit Wirkung zum 13.12.2024 aufgehoben. Die Regelung des § 5 Absatz 2 Nummer 2 LFGB ist daher aufzuheben.
Die moderne Wirtschaft Deutschlands ist für ihr Funktionieren, die Generierung von Wohlstand und Wachstum und auch für ihre Adaptionsfähigkeit auf geänderte wirtschaftspolitische und geopolitische Rahmenbedingungen angewiesen auf funktionierende und resiliente Infrastruktur, sowohl im physischen als auch im digitalen Bereich. Diese Faktoren haben in den vergangenen Jahren erheblich an Bedeutung gewonnen. Unternehmen sehen sich nicht nur in ihrem wirtschaftlichen Tun, sondern auch in dessen praktischer Absicherung vor eine Vielzahl von Herausforderungen gestellt. Europaweit und global vernetzte Prozesse führen ebenso wie die zunehmende Digitalisierung aller Lebens- und somit auch Wirtschaftsbereiche zu einer höheren Anfälligkeit gegenüber externen, vielfach nicht steuerbaren Faktoren. Informationstechnik in kritischen Anlagen sowie in bestimmten Unternehmen spielt dabei eine zentrale Rolle. Ihre Sicherheit und Resilienz bilden auch die Grundlage für die Versorgungssicherheit, von der Versorgung mit Strom und Wasser bis hin zur Entsorgung von Siedlungsabfällen. Gleiches gilt für das Funktionieren der Marktwirtschaft in Deutschland und dem Binnenmarkt der Europäischen Union. Die Vernetzung und enge Verzahnung gerade der Wirtschaft innerhalb Deutschlands und der Europäischen Union resultieren in Interdependenzen bei der Cybersicherheit. Die vor diesem Hintergrund gestiegenen Cybersicherheitsanforderungen an juristische und natürliche Personen, die wesentliche Dienste erbringen oder Tätigkeiten ausüben, werden mit der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (ABl. L 333 vom 27.12.2022, S. 80, im Folgenden NIS-2-Richtlinie) in der gesamten Europäischen Union weiter angeglichen. 2024 bestätigte sich die Erfahrung der Vorjahre, dass geopolitische und zwischenstaatliche Konflikte oftmals mit einer ganzen Bandbreite an Phänomenen im Cyberraum einhergehen: Desinformation, Hacktivismus, Spionage und Sabotage waren sowohl im russischen Angriffskrieg gegen die Ukraine als auch in der Folge des Terrorangriffs der Hamas auf Israel zu beobachten. Im Bereich der Wirtschaft zählen hierbei Ransomware-Angriffe, Ausnutzung von Schwachstellen, offene oder falsch konfigurierte Online-Server sowie Abhängigkeiten von der IT-Lieferkette und in diesem Zusammenhang auch insbesondere Cyberangriffe über die Lieferkette (sogenannte Supply-Chain-Angriffe) zu den größten Bedrohungen. Zusätzlich zu den bereits bekannten Bedrohungen entstanden in Folge des russischen Angriffskriegs auf die Ukraine und der damit einhergehenden „Zeitenwende“ auch neue Bedrohungen oder die Einschätzungen zu bereits bekannten Bedrohungen mussten aufgrund veränderter Rahmenbedingungen geändert werden. Beispiele hierfür bestehen im Bereich Hacktivismus, insbesondere mittels Distributed-Denial-of-Service (DDoS)-Angriffen oder auch durch in Deutschland erfolgte Kollateralschäden in Folge von Cyber-SabotageAngriffen im Rahmen des Krieges. Zudem haben Störungen und Angriffe im Bereich der Lieferketten sowohl aus den Bereichen Cybercrime als auch in Folge der Zeitenwende zugenommen. Diese Phänomene treten nicht mehr nur vereinzelt auf, sondern sind Teil des unternehmerischen Alltags geworden. Eine Erhöhung der Resilienz der Wirtschaft gegenüber den Gefahren krimineller oder staatlicher Angriffe ist daher eine zentrale Aufgabe für die beteiligten Akteure in Staat, Wirtschaft und Gesellschaft, um den Wirtschaftsstandort Deutschland und den Binnenmarkt der Europäischen Union insgesamt robust und leistungs- und funktionsfähig zu halten.
Für das Informationssicherheitsmanagement in der Bundesverwaltung haben sich die bisherigen Steuerungsinstrumente auf überwiegend untergesetzlicher Basis als nicht ausreichend effektiv erwiesen, um eine flächendeckend wirksame Steigerung des Sicherheitsniveaus zu erreichen. Dies haben insbesondere Sachstandserhebungen zum Umsetzungsplan Bund sowie Prüfungen des Bundesrechnungshofs (BRH) bestätigt. Vor dem Hintergrund der durch aktuelle geopolitische Entwicklungen („Zeitenwende“) abermals verschärften Bedrohungslage hat sich das Risiko für staatliche Einrichtungen zudem weiter erhöht, durch Gefährdungen aus dem Cyberraum in ihrer Handlungsfähigkeit eingeschränkt zu werden.
Dieser Entwurf steht im Kontext der Bestrebungen der Europäischen Union und ihrer Mitgliedstaaten zur Erhöhung der Wirtschaftssicherheit und Verbesserung der Resilienz als Antwort auf neue geopolitische Rahmenbedingungen. Mit der am 20. Juni 2023 veröffentlichten Europäischen Strategie für wirtschaftliche Sicherheit identifiziert die Europäische Kommission das Risiko für die Sicherheit kritischer Infrastruktur vor physischen und Cyberangriffen als eines von vier Hauptrisiken für die europäische Volkswirtschaft.
Dieser Entwurf steht außerdem im Kontext der gefährdeten rechtzeitigen Erreichung der Ziele der Resolution der Generalversammlung der Vereinten Nationen vom 25. September 2015 „Transformation unserer Welt: die UN-Agenda 2030 für nachhaltige Entwicklung“. Der Entwurf soll insbesondere zur Erreichung des Nachhaltigkeitsziels 9 der UN-Agenda 2030 beitragen, eine hochwertige, verlässliche und widerstandsfähige Infrastruktur aufzubauen.
B. Lösung, Nutzen
Entsprechend der unionsrechtlichen Vorgaben wird der mit dem Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) vom 17. Juli 2015 (BGBl. I 2015 S. 1324) und dem Zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0) vom 18. Mai 2021 (BGBl. I 2021, S. 1122) geschaffene Ordnungsrahmen durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz auf den Bereich bestimmter Unternehmen erweitert, zusätzlich werden entsprechende Vorgaben für die Bundesverwaltung eingeführt. Schwerpunktmäßig werden folgende Änderungen vorgenommen:
– Einführung der durch die NIS-2-Richtlinie vorgegebenen Einrichtungskategorien, die mit einer signifikanten Ausweitung des bisher auf Betreiber Kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse beschränkten Anwendungsbereichs einhergeht.
– Der Katalog der Mindestsicherheitsanforderungen des Artikels 21 Absatz 2 NIS-2- Richtlinie wird in das BSI-Gesetz übernommen, wobei in der Intensität der jeweiligen Maßnahme aus Gründen der Verhältnismäßigkeit zwischen den Kategorien ausdifferenziert wird.
– Die bislang einstufige Meldepflicht bei Vorfällen wird durch das dreistufige Melderegime der NIS-2-Richtlinie ersetzt. Dabei soll der bürokratische Aufwand für die Einrichtungen im Rahmen des bestehenden mitgliedstaatlichen Umsetzungsspielraums minimiert werden.
– Ausweitung des Instrumentariums des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Hinblick auf von der NIS-2-Richtlinie vorgegebene Aufsichtsmaßnahmen.
– Gesetzliche Verankerung wesentlicher nationaler Anforderungen an das Informationssicherheitsmanagement des Bundes und Abbildung der zugehörigen Rollen und Verantwortlichkeiten.
– Harmonisierung der Anforderungen an Einrichtungen der Bundesverwaltung aus nationalen und unionsrechtlichen Vorgaben, um ein insgesamt kohärentes und handhabbares Regelungsregime zu gewährleisten.
– Etablierung eines CISO Bund als zentralem Koordinator für Maßnahmen zur Informationssicherheit in Einrichtungen der Bundesverwaltung und zur Unterstützung der Ressorts bei der Umsetzung der Vorgaben für das Informationssicherheitsmanagement.
Ziel der NIS-2-Richtlinie ist die Einführung verbindlicher Maßnahmen für Verwaltung und Wirtschaft, mit denen in der gesamten Europäischen Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll. Wichtige und besonders wichtige Einrichtungen sollen vor Schäden durch Cyberangriffe geschützt und das Funktionieren des europäischen Binnenmarktes verbessert werden. Die Konsequenzen eines Cyberangriffes sind sehr vielfältig und können nicht vollständig quantifiziert werden. So können durch Ransomware-Angriffe Server medizinischer Einrichtungen verschlüsselt werden, was die Aufnahme neuer Notfälle und die ambulante Patientenversorgung tagelang verhindert. Dies etwa sind Risiken und Gefahren für Leib und Leben der Bevölkerung, die nicht in monetären Größen ausgedrückt werden können. Bezogen auf die unmittelbar durch Cyberangriffe verursachten und bezifferbaren Schäden für Unternehmen in Deutschland schätzt der Branchenverband der deutschen Informations- und Telekommunikationsunternehmen (Bitkom e. V.) ein jährliches Gesamtschadensvolumen von rund 223,5 Milliarden Euro für das Jahr 2021. Im Jahr 2022 lag das Gesamtschadensvolumen bei 202,7 Milliarden Euro, im Jahr 2023 bei 205,9 Milliarden Euro und im Jahr 2024 bei 266,6 Milliarden Euro. Im Schnitt verursachen Cyberangriffe für Unternehmen in Deutschland einen jährlichen Gesamtschaden von rund 210,7 Milliarden Euro in den letzten drei Jahren. Dabei hat Bitkom deutsche Unternehmen mit mindestens 10 Beschäftigten und einem Jahresumsatz von mindestens einer Millionen Euro befragt. Im Unternehmensregister des Statistischen Bundesamts waren im Berichtsjahr 2021 insgesamt rund 3,4 Millionen rechtliche Einheiten registriert, davon beschäftigten 444 055 rechtliche Einheiten mindestens 10 Beschäftigte. Unter der Annahme einer Gleichverteilung des Gesamtschadensvolumens auf die Unternehmen mit mindestens 10 Beschäftigten ergibt sich ein Schadensvolumen pro Unternehmen von rund 500 000 Euro (=210,7 Milliarden Euro / 444 055 Unternehmen). Es ist anzunehmen, dass selbst bei einer vollständigen Umsetzung der von der NIS-2-Richtlinie vorgegebenen Sicherheitsstandards nicht alle Schäden durch Cyberangriffe abgewehrt werden können. Nimmt man jedoch an, dass durch die Umsetzung der vorliegenden Vorgaben die Hälfte des jährlich verursachten Schadens in den zur Umsetzung der NIS-2-Richtlinie verpflichteten Unternehmen abgewehrt werden kann, so ergibt sich pro Unternehmen ein abgewehrter Schaden von rund 250 000 Euro. Hochgerechnet auf die voraussichtlich geschätzte Anzahl betroffener Unternehmen bedeutet dies einen abgewehrten Gesamtschaden in Höhe von ca. 3,6 Milliarden Euro (= 250 000 Euro * 14 500 Unternehmen) für die deutsche Wirtschaft. Zusätzlich zu dem hier geschätzten abgewehrten Schaden in Höhe von ca. 3,6 Milliarden bei den Unternehmen muss ebenfalls ein mangels verfügbarer Daten nicht bezifferbarer abgewehrter Schaden in der öffentlichen Verwaltung sowie weitere Schäden mitberücksichtigt werden.
Aus dem Entwurf: A. Problem und Ziel
Die Richtlinie (EU) 2023/2673 des Europäischen Parlaments und des Rates vom 22. November 2023 zur Änderung der Richtlinie 2011/83/EU in Bezug auf im Fernabsatz geschlossene Finanzdienstleistungsverträge und zur Aufhebung der Richtlinie 2002/65/EG (nachfolgend: RL 2023/2673) verpflichtet die Mitgliedstaaten in ihrem Artikel 2 Absatz 1 Unterabsatz 1, bis zum 19. Dezember 2025 die erforderlichen Rechts- und Verwaltungsvorschriften zu erlassen und zu veröffentlichen, um der Richtlinie nachzukommen. Die mitgliedstaatlichen Umsetzungsvorschriften sind nach Artikel 2 Absatz 1 Unterabsatz 2 der Richtlinie ab dem 19. Juni 2026 anzuwenden. Ziel dieser Richtlinie ist in erster Linie die Gewährleistung eines durchgehend hohen Verbraucherschutzniveaus im gesamten Binnenmarkt. Um allen Verbraucherinnen und Verbrauchern in der Union ein hohes und vergleichbares Maß an Schutz ihrer Interessen zu gewährleisten und um einen gut funktionierenden Binnenmarkt zu schaffen, ist eine vollständige Harmonisierung notwendig.
Die Richtlinie (EU) 2024/825 des Europäischen Parlaments und des Rates vom 28. Februar 2024 zur Änderung der Richtlinien 2005/29/EG und 2011/83/EU hinsichtlich der Stärkung der Verbraucher für den ökologischen Wandel durch besseren Schutz gegen unlautere Praktiken und durch bessere Informationen (nachfolgend: RL 2024/825) verpflichtet die Mitgliedstaaten in ihrem Artikel 4 Absatz 1 Unterabsatz 1, bis zum 27. März 2026 die erforderlichen Rechts- und Verwaltungsvorschriften zu erlassen und zu veröffentlichen, um der Richtlinie nachzukommen. Die mitgliedstaatlichen Umsetzungsvorschriften sind nach Artikel 4 Absatz 1 Unterabsatz 2 der Richtlinie ab dem 27. September 2026 anzuwenden. Ziele dieser Richtlinie sind insbesondere, den Verbraucher zur Förderung nachhaltigen Konsums in die Lage zu versetzen, besser informierte geschäftliche Entscheidungen zu treffen, Praktiken zu beseitigen, die die nachhaltige Wirtschaft schädigen und Verbraucher daran hindern, nachhaltige Konsumentscheidungen zu treffen, sowie eine bessere und kohärentere Anwendung des Verbraucherrechtsrahmens der Union sicherzustellen.
Mit diesem Entwurf sollen diejenigen Teile der Richtlinien 2023/2673 und 2024/825 umgesetzt werden, durch die die RL 2011/83/EU über die Rechte der Verbraucher (nachfolgend: Verbraucherrechte-RL) geändert und ergänzt wurde.
Dieser Entwurf steht im Kontext der gefährdeten rechtzeitigen Erreichung der Ziele der Resolution der Generalversammlung der Vereinten Nationen vom 25. September 2015 „Transformation unserer Welt: die UN-Agenda 2030 für nachhaltige Entwicklung“. Der Entwurf soll insbesondere zur Erreichung von Nachhaltigkeitsziel 12 beitragen, nachhaltig zu produzieren und zu konsumieren.
B. Lösung
Um die Verbraucherrechte-RL wie durch die RL 2023/2673 und 2024/825 vorgegeben umzusetzen, müssen Regelungen des Bürgerlichen Gesetzbuchs und des Einführungsgesetzes zum Bürgerlichen Gesetzbuche, die auf diese Richtlinie zurückzuführen sind, geändernd ergänzt werden. Dabei soll insbesondere eine elektronische Widerrufsfunktion, auch in Bezug auf Waren und Dienstleistungen, eingeführt werden und das sogenannte ewige Widerrufsrecht eingeschränkt werden. Darüber hinaus sind Änderungen im Versicherungsvertragsgesetz erforderlich, um die Richtlinie umzusetzen.
Das Bundeskabinett hat das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) verabschiedet.
Die moderne Wirtschaft Deutschlands ist für ihr Funktionieren, die Generierung von Wohlstand und Wachstum und auch für ihre Adaptionsfähigkeit auf geänderte wirtschaftspolitische und geopolitische Rahmenbedingungen angewiesen auf funktionierende und resiliente Infrastrukturen, sowohl im physischen als auch im digitalen Bereich. Diese Faktoren haben in den vergangenen Jahren erheblich an Bedeutung gewonnen. Unternehmen sehen sich nicht nur in ihrem wirtschaftlichen Tun, sondern auch in dessen praktischer Absicherung vor einer Vielzahl von Herausforderungen. Europaweit und global vernetzte Prozesse führen ebenso wie die zunehmende Digitalisierung aller Lebens- und somit auch Wirtschaftsbereiche zu einer höheren Anfälligkeit durch externe, vielfach nicht steuerbare Faktoren. Informationstechnik in kritischen Anlagen sowie in bestimmten Unternehmen spielt dabei eine zentrale Rolle. Ihre Sicherheit und Resilienz bilden auch die Grundlage für die Versorgungssicherheit, von der Versorgung mit Strom und Wasser bis hin zu Siedlungsabfällen. Gleiches gilt für das Funktionieren der Marktwirtschaft in Deutschland und dem Binnenmarkt der Europäischen Union. Die Vernetzung und enge Verzahnung der Wirtschaft innerhalb Deutschlands und der Europäischen Union resultieren in Interdependenzen bei der Cybersicherheit. Die vor diesem Hintergrund erforderlichen Cybersicherheitsanforderungen an juristische und natürliche Personen, die wesentliche Dienste erbringen oder Tätigkeiten ausüben, werden mit der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (ABl. L 333 vom 27. Dezember 2022, S. 80, im Folgenden NIS-2-Richtlinie) in der gesamten Europäischen Union weiter angeglichen.
In Folge des völkerrechtswidrigen russischen Angriffskriegs auf die Ukraine hat sich nach Einschätzung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) im Bericht zur Lage der IT-Sicherheit in Deutschland 2022 die IT-Sicherheitslage insgesamt zugespitzt. Im Bereich der Wirtschaft zählen hierbei Ransomware-Angriffe, Ausnutzung von Schwachstellen, offene oder falsch konfigurierte Online-Server sowie Abhängigkeiten von der IT-Lieferkette und in diesem Zusammenhang auch insbesondere Cyberangriffe über die Lieferkette (sogenannte Supply-Chain-Angriffe) zu den größten Bedrohungen. Zusätzlich zu den bereits bekannten Bedrohungen entstanden in Folge des russischen Angriffskriegs auf die Ukraine und der damit einhergehenden „Zeitenwende“ auch neue Bedrohungen oder die Einschätzungen zu bereits bekannten Bedrohungen mussten aufgrund veränderter Rahmenbedingungen geändert werden. Beispiele hierfür bestehen im Bereich Hacktivismus, insbesondere mittels Distributed-Denial-of-Service (DDoS)-Angriffen oder auch durch in Deutschland erfolgte Kollateralschäden in Folge von Cyber-Sabotage-Angriffen im Rahmen des Krieges. Zudem haben auch Störungen und Angriffe im Bereich der Lieferketten sowohl aus den Bereichen Cybercrime als auch im Rahmen des Krieges zuletzt zugenommen. Diese Phänomene treten nicht mehr nur vereinzelt auf, sondern sind insgesamt Teil des unternehmerischen Alltags. Eine Erhöhung der Resilienz der Wirtschaft gegenüber den Gefahren der digitalen Welt ist daher eine zentrale Aufgabe für die beteiligten Akteure in Staat, Wirtschaft und Gesellschaft, um den Wirtschaftsstandort Deutschland robust und leistungsfähig zu halten
Für das Informationssicherheitsmanagement in der Bundesverwaltung haben sich die bisherigen Steuerungsinstrumente auf überwiegend untergesetzlicher Basis als nicht ausreichend effektiv erwiesen, um eine flächendeckende wirksame Steigerung des Sicherheitsniveaus zu erreichen. Dies haben insbesondere Sachstandserhebungen zum Umsetzungsplan Bund sowie Prüfungen des Bundesrechnungshofs (BRH) bestätigt. Vor dem Hintergrund der durch aktuelle geopolitische Entwicklungen („Zeitenwende“) abermals verschärften Bedrohungslage hat sich das Risiko für staatliche Einrichtungen zudem weiter erhöht, durch Gefährdungen aus dem Cyberraum in ihrer Handlungsfähigkeit eingeschränkt zu werden.
Dieser Entwurf steht im Kontext der gefährdeten rechtzeitigen Erreichung der Ziele der Resolution der Generalversammlung der Vereinten Nationen vom 25. September 2015 „Transformation unserer Welt: die UN-Agenda 2030 für nachhaltige Entwicklung“. Der Entwurf soll insbesondere zur Erreichung des Nachhaltigkeitsziels 9 der UN-Agenda 2030 beitragen, eine hochwertige, verlässliche und widerstandsfähige Infrastruktur aufzubauen.
B. Lösung, Nutzen
Entsprechend der unionsrechtlichen Vorgaben wird der mit dem Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) vom 17. Juli 2015 (BGBl. I 2015 S. 1324) und dem Zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0) vom 18. Mai 2021 (BGBl. I 2021, S. 1122) geschaffene Ordnungsrahmen durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz für den Bereich bestimmter Unternehmen erweitert, zusätzlich werden entsprechende Vorgaben für die Bundesverwaltung eingeführt. Schwerpunktmäßig werden folgende Änderungen vorgenommen:
– Einführung der durch die NIS-2-Richtlinie vorgegebenen Einrichtungskategorien, die mit einer signifikanten Ausweitung des bisher auf Betreiber Kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse beschränkten Anwendungsbereichs einhergeht.
– Der Katalog der Mindestsicherheitsanforderungen des Artikels 21 Absatz 2 NIS-2- Richtlinie wird in das BSI-Gesetz übernommen, wobei in der Intensität der jeweiligen Maßnahme aus Gründen der Verhältnismäßigkeit zwischen den Kategorien ausdifferenziert wird.
– Die bislang einstufige Meldepflicht bei Vorfällen wird durch das dreistufige Melderegime der NIS-2-Richtlinie ersetzt. Dabei soll der bürokratische Aufwand für die Einrichtungen im Rahmen des bestehenden mitgliedstaatlichen Umsetzungsspielraums minimiert werden.
– Ausweitung des Instrumentariums des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Hinblick auf von der NIS-2-Richtlinie vorgegebene Aufsichtsmaßnahmen.
– Gesetzliche Verankerung wesentlicher nationaler Anforderungen an das Informationssicherheitsmanagement des Bundes und Abbildung der zugehörigen Rollen und Verantwortlichkeiten
– Harmonisierung der Anforderungen an Einrichtungen der Bundesverwaltung aus nationalen und unionsrechtlichen Vorgaben, um ein insgesamt kohärentes und handhabbares Regelungsregime zu gewährleisten.
– Etablierung eines CISO Bund als zentralem Koordinator für Maßnahmen zur Informationssicherheit in Einrichtungen der Bundesverwaltung und zur Unterstützung der Ressorts bei der Umsetzung der Vorgaben für das Informationssicherheitsmanagement.
Ziel der NIS-2-Richtlinie ist die Einführung verbindlicher Maßnahmen für Verwaltung und Wirtschaft, mit denen in der gesamten Europäischen Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll. Wichtige und besonders wichtige Einrichtungen sollen vor Schäden durch Cyberangriffe geschützt und das Funktionieren des europäischen Binnenmarktes verbessert werden. Die Konsequenzen eines Cyberangriffes sind sehr vielfältig und können nicht vollständig quantifiziert werden. So können durch Ransomware-Angriffe Server medizinischer Einrichtungen verschlüsselt werden, was die Aufnahme neuer Notfälle und die ambulante Patientenversorgung tagelang verhindert. Dies etwa sind Risiken und Gefahren für Leib und Leben der Bevölkerung, die nicht in monetären Größen ausgedrückt werden können. Bezogen auf die unmittelbar durch Cyberangriffe verursachten und bezifferbaren Schäden für Unternehmen in Deutschland schätzt der Branchenverband der deutschen Informations- und Telekommunikationsunternehmen (Bitkom e. V.) ein jährliches Gesamtschadensvolumen von rund 223,5 Milliarden Euro für das Jahr 2021. Im Jahr 2022 lag das Gesamtschadensvolumen bei 202,7 Milliarden Euro und im Jahr 2023 voraussichtlich bei 205,9 Milliarden Euro. Im Schnitt verursachen Cyberangriffe für Unternehmen in Deutschland einen jährlichen Gesamtschaden von rund 210,7 Milliarden Euro in den letzten drei Jahren. Dabei hat Bitkom deutsche Unternehmen mit mindestens 10 Beschäftigten und einem Jahresumsatz von mindestens einer Millionen Euro befragt. Im Unternehmensregister des Statistischen Bundesamts waren im Berichtsjahr 2021 insgesamt rund 3,4 Millionen rechtliche Einheiten registriert, davon beschäftigten 444 055 rechtliche Einheiten mindestens 10 Beschäftigten. Unter der Annahme einer Gleichverteilung des Gesamtschadensvolumens auf die Unternehmen mit mindestens 10 Beschäftigten ergibt sich ein Schadensvolumen pro Unternehmen von rund 500 000 Euro (=210,7 Milliarden Euro / 444 055 Unternehmen). Es ist anzunehmen, dass selbst bei einer vollständigen Umsetzung der von der NIS-2-Richtlinie vorgegebenen Sicherheitsstandards nicht alle Schäden durch Cyberangriffe abgewehrt werden können. Nimmt man jedoch an, dass durch die Umsetzung der vorliegenden Vorgaben die Hälfte des jährlich verursachten Schadens in den zur Umsetzung der NIS-2-Richtlinie verpflichteten Unternehmen abgewehrt werden kann, so ergibt sich pro Unternehmen ein abgewehrter Schaden von rund 250 000 Euro. Hochgerechnet auf die voraussichtlich geschätzte Anzahl betroffener Unternehmen bedeutet dies einen abgewehrten Gesamtschaden in Höhe von ca. 3,6 Milliarden Euro (= 250 000 Euro * 14 500 Unternehmen) für die deutsche Wirtschaft. Zusätzlich zu dem hier geschätzten abgewehrten Schaden in Höhe von ca. 3,6 Milliarden bei den Unternehmen muss ebenfalls ein mangels verfügbarer Daten nicht bezifferbarer abgewehrter Schaden in der öffentlichen Verwaltung sowie weitere Schäden mitberücksichtigt werden.
Der Regierungsentwurf der Einwilligungsverwaltungs-Verordnung (EinwVO) nach § 26 Abs. 2 TTDSG (Einwilligung zum Speichern von Informationen nach § 25 Abs.1 TTDSG) liegt nunmehr mit Stand vom 07.03.2024 vor.
Aus dem Entwurf: A. Problem und Ziel
§ 26 Absatz 1 des Telekommunikation-Telemedien-Datenschutz-Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982; 2022 I S. 1045) (TTDSG) bestimmt, dass eine unabhängige Stelle Dienste anerkennen kann, die unter anderem nutzerfreundliche und wettbewerbskonforme Verfahren bereitstellen, um die nach § 25 Absatz 1 TTDSG erforderliche Einwilligung von Endnutzern zu verwalten. Viele Anbieter von Telemedien greifen auf die Endeinrichtungen der Endnutzer (§ 2 Absatz 2 Nummer 6 TTDSG) zu, um hier Informationen zu speichern oder bereits gespeicherte Informationen abzurufen. Dies geschieht häufig durch den Einsatz von Cookies oder ähnlich funktionierenden Trackingtechnologien. Anhand der im Cookie oder durch ähnliche Trackingtechnologien gespeicherten Informationen kann der Webserver unter anderem den Endnutzer wiedererkennen, benutzerspezifische Einstellungen wiederherstellen, Reichweitenmessungen vornehmen, Aktivitäten nachverfolgen (sog. Tracking) oder individuelle Werbung einblenden. Nach § 25 Absatz 1 TTDSG dürfen Anbieter von Telemedien nur dann Informationen in der Endeinrichtung des Endnutzers speichern oder auf dort bereits gespeicherte Informationen zugreifen, wenn der Endnutzer nach Maßgabe der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, L 314 vom 22.11.2016, S. 72, L 127 vom 23.5.2018, S. 2, L 74 vom 4.3.2021, S. 35) eingewilligt hat. Eine Ausnahme vom Erfordernis einer Einwilligung in den Einsatz von Cookies oder ähnlichen Trackingtechnologien besteht nach § 25 Absatz 2 TTDSG nur, wenn der alleinige Zweck hierfür die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder wenn der Einsatz unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Endnutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann. Für das Erfordernis einer Einwilligung nach § 25 Absatz 1 TTDSG kommt es nicht darauf an, dass personenbezogene Daten verarbeitet werden. Die in Artikel 6 Absatz 1 Buchstabe b bis f der Verordnung (EU) 2016/679 vorgesehenen Möglichkeiten, Daten ohne Einwilligung zu verarbeiten, finden hier keine Anwendung. Deshalb müssen Anbieter von Telemedien die Endnutzer bei jeder Inanspruchnahme ihres Dienstes nach einer Einwilligung in den Einsatz der unterschiedlichen Arten von Cookies oder ähnlicher Trackingtechnologien fragen. In der Praxis erfolgt dies mittels sogenannter Einwilligungsbanner. Einwilligungsbanner dienen den Anbietern von Telemedien auch dazu, Einwilligungen in die weitere Verarbeitung personenbezogener Daten nach Artikel 6 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 einzuholen, sodass Endnutzer häufig mit einer Vielzahl von Einwilligungsbannern im Internet Anerkannte Dienste zur Einwilligungsverwaltung sollen eine anwenderfreundliche Alternative zu der Vielzahl zu treffender Einzelentscheidungen für Endnutzer schaffen. Sie verwalten die vom Endnutzer getroffene Entscheidung darüber, ob er eine Einwilligung gegenüber einem Anbieter von Telemedien erteilt oder nicht erteilt, und sie übermitteln diese Entscheidung dem Anbieter von Telemedien, wenn dieser sie nachfragt. Bekommen die Anbieter von Telemedien die Einwilligung oder die Nichterteilung der Einwilligung auf diese Weise übermittelt, sind sie nicht mehr auf eine eigene Nachfrage beim Endnutzer nach § 25 Absatz 1 Satz 1 TTDSG angewiesen. Die Endnutzer werden durch die Reduzierung von Einwilligungsanfragen entlastet.
§ 26 Absatz 2 TTDSG ermächtigt die Bundesregierung, durch eine Rechtsverordnung mit Zustimmung des Bundestages und des Bundesrates Folgendes zu regeln:
- die Anforderungen an nutzerfreundliche und wettbewerbskonforme Verfahren, die ein Dienst zur Einwilligungsverwaltung anbieten muss, um anerkannt zu werden,
- das Verfahren der Anerkennung und
- die technischen und organisatorischen Maßnahmen, damit Software zum Abrufen und Darstellen von Informationen aus dem Internet und Anbieter von Telemedien die über einen eingebundenen anerkannten Dienst zur Einwilligungsverwaltung verwalteten Einstellungen der Endnutzer hinsichtlich der Einwilligung nach § 25 Absatz 1 TTDSG berücksichtigen können.
Mit dieser Rechtsverordnung soll diese Ermächtigung umgesetzt werden.
B. Lösung
Durch die Einbindung eines anerkannten Dienstes zur Einwilligungsverwaltung soll den Endnutzern ein transparentes Werkzeug zur Verfügung stehen, mittels dessen sie ihre Einwilligungen erteilen oder nicht erteilen und ihre Entscheidungen jederzeit nachvollziehen und überprüfen können. Die Anerkennung durch eine unabhängige Stelle soll für die Endnutzer und die Anbieter von Telemedien einen Anreiz bieten, solche Dienste zur Einwilligungsverwaltung zu nutzen, und das Vertrauen in ein rechtssicheres Verfahren stärken. Für Anbieter von Telemedien bietet dieses Verfahren eine Möglichkeit, die Einwilligungen der Endnutzer nach § 25 Absatz 1 TTDSG nutzerfreundlich zu erfragen, ohne den Endnutzer bei der Inanspruchnahme ihres Dienstes durch die Einblendung ihres Einwilligungsbanners stören zu müssen. Neben der Verwaltung von erteilten und nicht erteilten Einwilligungen nach § 25 Absatz 1 TTDSG, die sich auf das Speichern und das Auslesen von Informationen auf Endeinrichtungen des Endnutzers beziehen, können die anerkannten Dienste zur Einwilligungsverwaltung auch, soweit es mit den Vorgaben von § 26 TTDSG und dieser Rechtsverordnung vereinbar ist, weitere Dienste für die Endnutzer übernehmen. Hierzu zählen beispielsweise die Geltendmachung von Datenschutz-Betroffenenrechten oder die Verwaltung von Einwilligungen in die Verarbeitung personenbezogener Daten. Letzteres kann insbesondere dann für Endnutzer und Anbieter von Telemedien vorteilhaft sein, wenn der Einsatz eines Cookies oder einer ähnlichen Trackingtechnologie die einwilligungsbedürftige Verarbeitung personenbezogener Daten zur Folge hat.
