Die ISPA hat zu den Entwürfen der Risikomanagementmaßnahmen-Verordnung (RMMV) und der Verordnung über die Erheblichkeit von Cybersicherheitsvorfällen (ECV) gemäß NISG 2026 Stellung genommen.
Die wichtigsten Punkte der Stellungnahme sind:
Die vier verpflichtenden Risikokategorien sollen nur als Berichtsdimension dienen. Bestehende, gleichwertige Risikotaxonomien sollen weiterverwendet werden dürfen.
Die im Entwurf vorgesehenen verpflichtenden Ausgleichsmaßnahmen sind gegenüber der DVO überschießend. Die Verhältnismäßigkeit soll risikobasiert und anhand klarer Kriterien geprüft werden.
Nach dem ECV-Entwurf genügt, dass ein Zugriff „wahrscheinlich“ zu schwerwiegenden Betriebsstörungen führt. Die EU-Verordnung stellt auf die Eignung dazu ab. Die ISPA sieht hier eine unnötige Ausweitung.
Konzernweite Vorfälle: Es fehlen Regeln für zentrale Meldungen durch IT-Dienstleister und Shared-Service-Strukturen. Mehrfachmeldungen desselben Sachverhalts sollen vermieden werden.
Die Meldefrist sollte erst beginnen, wenn nach einer qualifizierten Anfangsbewertung hinreichende Gewissheit über einen erheblichen Vorfall besteht, nicht bereits mit dem ersten Alarm.
Die Zuordnung zu einzelnen Bundesländern passt für Plattformen und zentrale IT-Dienste nicht. Die ISPA fordert in diesem Zusammenhang klare Zurechnungskriterien.
Die Aktivierung von Krisenmanagement- oder Wiederherstellungsmaßnahmen sollte daher allenfalls als Indiz für die Schwere eines Vorfalls herangezogen werden können, nicht jedoch als eigenständiger Auslösetatbestand für eine Meldepflicht.
Begriffe wie „demselben Wirkungsbereich“ und „derselben offensichtlichen Ursache“ müssen definiert werden.
Die ISPA fordert das vollständige Außerkrafttreten der Telekom-Netzsicherheitsverordnung, da das NISG 2026 bereits umfassende Pflichten vorsieht und eine parallele Anwendung zu Doppelregulierung führt.