Die Bedrohung durch Cyberangriffe nimmt seit Jahren zu. Ransomware, Datendiebstahl und Angriffe auf Kritische Infrastrukturen gehören inzwischen zum Alltag. Um Deutschland besser gegen diese Gefahren zu schützen, arbeitet die Bundesregierung an einem neuen Cybersicherheitsgesetz. Der aktuelle Gesetzesentwurf sieht weitreichende Änderungen vor – insbesondere für das Bundesamt für Sicherheit in der Informationstechnik (BSI), die Bundespolizei und das Bundeskriminalamt (BKA).

Doch was bedeutet das konkret für Unternehmen und Behörden?

Mehr Befugnisse für BSI, BKA und Bundespolizei

Mit dem Gesetz sollen die zuständigen Behörden künftig schneller und gezielter auf Cyberbedrohungen reagieren können. Dazu erhalten sie unter anderem neue Eingriffsmöglichkeiten, um Angriffe frühzeitig zu erkennen und deren Auswirkungen zu begrenzen.

Geplant sind unter anderem folgende Maßnahmen:

• Neue Cyberabwehrbefugnisse für BKA und Bundespolizei, beispielsweise das Untersagen des Betriebs kompromittierter Systeme, die Umleitung von Datenverkehr oder Eingriffe in IT-Systeme zur Gefahrenabwehr.
• Erweiterte Anordnungsrechte für das BSI gegenüber DNS- und digitalen Diensteanbietern. Außerdem sollen sicherheitsrelevante Informationen künftig verpflichtend an das BSI übermittelt werden.
• Neue Vorgaben für Kritische Infrastrukturen (KRITIS): Betreiber sollen verpflichtet werden, Verfügbarkeitsindikatoren sowie Angriffserkennungsdaten automatisiert an das BSI zu übermitteln, um Cyberangriffe schneller identifizieren zu können.

Warum das Gesetz wichtig ist

Cyberangriffe entwickeln sich kontinuierlich weiter und werden immer professioneller. Gleichzeitig steigen die Anforderungen an Unternehmen, ihre IT-Systeme abzusichern und Sicherheitsvorfälle frühzeitig zu erkennen.

Mit den geplanten Änderungen möchte der Gesetzgeber die Zusammenarbeit zwischen Behörden und Betreibern digitaler Infrastrukturen stärken und die Reaktionszeiten im Ernstfall verkürzen.

Für viele Unternehmen bedeutet dies jedoch auch, sich auf neue Meldepflichten und zusätzliche Anforderungen an ihre IT-Sicherheitsmaßnahmen einzustellen.

Wie geht es jetzt weiter?

Der Gesetzesentwurf befindet sich derzeit im Gesetzgebungsverfahren. Nach Veröffentlichung des Referentenentwurfs Ende Februar 2026 wurden bereits die Ressortabstimmung sowie die Beteiligung der Länder und Verbände eingeleitet.

Im nächsten Schritt wird der Regierungsentwurf erstellt und dem Bundeskabinett vorgelegt. Anschließend folgen die Beratungen im Bundestag und Bundesrat, die voraussichtlich im Sommer oder Herbst 2026 stattfinden werden.

Bei einem planmäßigen Verlauf könnte das Gesetz Ende 2026 oder Anfang 2027 in Kraft treten.

Unsere Einschätzung

Auch wenn das Gesetz noch nicht verabschiedet ist, zeichnet sich bereits heute ab, dass Unternehmen, Verwaltungen und Betreiber Kritischer Infrastrukturen künftig mit erweiterten Sicherheits- und Meldepflichten rechnen müssen.

Wir empfehlen daher, die weitere Entwicklung des Gesetzgebungsverfahrens aufmerksam zu verfolgen und frühzeitig zu prüfen, welche organisatorischen und technischen Maßnahmen erforderlich werden könnten.

Eine moderne IT-Sicherheitsstrategie sollte nicht erst auf neue gesetzliche Vorgaben reagieren, sondern Cyberrisiken bereits heute wirksam minimieren.

b-pi sec beobachtet die Entwicklungen rund um das neue Cybersicherheitsgesetz kontinuierlich und informiert Sie über alle relevanten Änderungen. So können Sie sich frühzeitig auf kommende Anforderungen vorbereiten und Ihre Cybersicherheit nachhaltig stärken.