Zusammenfassung

  • Das geltende britische NIS-Recht verlangt eine nationale Strategie und verpflichtet Regulierungsbehörden, sie zu berücksichtigen. Der Cyber Security and Resilience Bill würde diese Vorgaben streichen und dem Secretary of State die Festlegung einer neuen Prioritätenerklärung ermöglichen.
  • Ein jährlicher Bericht über die Einhaltung durch die Behörden wäre vorgeschrieben. Das erste Zwölfmonatsintervall beginnt aber erst mit der Veröffentlichung der ersten Erklärung. Dafür setzt der Entwurf keinen Termin; die umfassendere Überprüfung des Regimes folgt einer eigenen, ab Inkrafttreten der Regelung laufenden Frist.

Ein Jahresbericht ohne festen ersten Tag

Ein Bericht, der „jährlich“ erscheint, klingt nach einem verlässlichen Kalender. Für den ersten Bericht reicht diese Bezeichnung jedoch nicht. Klausel 28 des Entwurfs zum Cyber Security and Resilience (Network and Information Systems) Bill legt den ersten Berichtszeitraum auf die zwölf Monate ab dem Tag, an dem die erste nach Klausel 25 festgelegte Erklärung zu strategischen Prioritäten veröffentlicht wird. Nach Ablauf jedes Zeitraums muss der Secretary of State einen Bericht beim Parlament einbringen und veröffentlichen.

Darin soll allgemein beschrieben werden, wie die Regulierungsbehörden ihre Pflichten erfüllt haben und wie sie dies im nächsten Zeitraum planen.

Der Startpunkt hängt von Klausel 25 ab. Sie besagt, der Secretary of State kann eine Erklärung festlegen, sofern das Verfahren in Klausel 26 eingehalten wird. Einen spätesten Veröffentlichungstag für die erste Erklärung enthält der Entwurf nicht. Zusammengenommen machen die Klauseln die Berichte nach der ersten Veröffentlichung verpflichtend, legen aber keinen festen Kalendertag für den Beginn des ersten Zyklus fest. Das folgt aus dem vorgeschlagenen Wortlaut; es ist keine Prognose, dass ein Minister die Veröffentlichung verzögern wird.

Vom „muss“ zum „kann“

Der Unterschied wird im Vergleich mit dem geltenden Recht sichtbar. Regulation 2 der Network and Information Systems Regulations 2018 verpflichtet einen Minister der Krone, eine nationale NIS-Strategie festzulegen und zu veröffentlichen. Regulation 3(6) verlangt von den zuständigen Behörden und der Information Commission, diese Strategie bei der Erfüllung ihrer Aufgaben zu berücksichtigen. Die Absätze 3 und 4 von Schedule 2 der aktuellen Fassung von HL Bill 49 würden beide Vorschriften streichen. Das ist ein Vorschlag, noch keine geltende Rechtsänderung.

Das neue Instrument ist anders aufgebaut. Nach Klausel 25 könnte der Secretary of State staatliche Prioritäten, Zuständigkeiten und Ziele für die Aufsichtsbehörden in einer Erklärung festlegen. Solange sie gilt, müssten die Behörden nach Klausel 27 die Erklärung berücksichtigen und die einschlägigen Ziele verfolgen. In einer Ausschussdebatte des Unterhauses im Februar erklärte der Minister, die Erklärung solle die bestehende NIS-Strategie ersetzen. Die dreijährige Regel gegen Änderungen oder Rücknahme verteidigte er als Stabilität für die Planung der Behörden.

Für gemeinsame Prioritäten gibt es einen operativen Grund. Nach Angaben der Regierung setzen zwölf sektorale Regulierungsbehörden den NIS-Rahmen um. Cyberrisiken in Energie, Gesundheit, Telekommunikation, Wasser und digitalen Diensten sind nicht identisch. Fachwissen je Sektor bleibt daher wichtig. Zugleich hat die Regierung unterschiedliche Ansätze der Behörden als Problem benannt. Eine gemeinsame Erklärung könnte eine Richtung vorgeben, ohne die Aufsicht in jedem Sektor gleichzuschalten.

Der rechtliche Wechsel bleibt trotzdem bedeutsam: Aus der fortlaufenden Pflicht, eine Strategie zu veröffentlichen, würde eine Exekutivbefugnis, eine Erklärung festzulegen, die wiederum Pflichten für Regulierungsbehörden aktiviert. Der Entwurf verlangt weder einen Zeitplan noch eine Begründung, falls die Erklärung ausbleibt, noch den Beginn eines Konsultationsverfahrens bis zu einem bestimmten Datum. Sobald eine Erklärung vorliegt, sind Aufgaben und Berichte näher bestimmt. Den ersten Schritt kann die Exekutive zeitlich selbst setzen.

Das Verfahren prüft den Inhalt, nicht den Start

Wenn der Minister das Verfahren einleitet, schreibt Klausel 26 eine Konsultation der Regulierungsbehörden von mindestens 40 Tagen vor. Anschließend muss der Minister die Antworten berücksichtigen und die Erklärung dem Parlament vorlegen. Es folgt ein weiterer Zeitraum von 40 Tagen. Beschließt eines der beiden Häuser in dieser Frist, die Erklärung nicht zu billigen, darf sie nicht festgelegt werden.

Das Verfahren gibt den Behörden Zeit zur Stellungnahme und dem Parlament eine Möglichkeit zur Ablehnung. Es bestimmt aber nicht, wann die Ausarbeitung oder Konsultation beginnen muss. Nach der Festlegung darf eine Erklärung grundsätzlich drei Jahre lang nicht geändert oder zurückgenommen werden. Ausnahmen gelten nach einer allgemeinen Wahl oder wenn der Secretary of State eine erhebliche Änderung der Regierungspolitik oder der Art der Bedrohungen annimmt. Das soll Planungsstabilität mit Reaktionsfähigkeit verbinden; die Frist für die erste Veröffentlichung bleibt davon unberührt.

Auch die Aussagekraft des Jahresberichts hat Grenzen. Er beschreibt allgemein, wie Behörden ihren Pflichten nachgekommen sind und was sie planen. Das kann dem Parlament Fragen und Vergleiche ermöglichen. Ein solcher Bericht ist für sich genommen aber kein unabhängiges Audit, das weniger Cybervorfälle, schnellere Wiederherstellung öffentlicher Dienste oder eine größere Widerstandsfähigkeit des Landes belegt. Regelbefolgung und gesellschaftliche Wirkung sind verschiedene Messgrößen.

Die Fünfjahresprüfung folgt einer anderen Uhr

Klausel 40 schafft einen zweiten Berichtspfad. Vom Tag der Verabschiedung des Gesetzes an muss mindestens alle fünf Jahre ein umfassender Bericht vorgelegt werden. Er soll den Betrieb bestimmter NIS-Rechtsvorschriften, das Erreichen und die fortbestehende Angemessenheit gesetzlicher Ziele, weniger belastende Alternativen und den Gebrauch der Befugnisse des Secretary of State behandeln.

Der Verfassungsausschuss des House of Lords hielt den Bereich für dynamisch und die dem Minister eingeräumten Befugnisse für erheblich. Er empfahl deshalb häufigere Berichte als das Fünfjahresminimum. Am 13. Oktober brachte Lord Clement-Jones einen Änderungsantrag für die Report Stage ein, der in Klausel 40 „5“ durch „2“ ersetzen würde. Zum Recherche-Stichtag war das ein eingebrachter, nicht angenommener Vorschlag. Selbst wenn der Abstand zwischen umfassenden Prüfungen dadurch kürzer würde, entstünde daraus kein Termin für die erste Erklärung und kein Startdatum für den ersten Bericht nach Klausel 28.

In einer früheren Unterhausdebatte erklärte die Regierung, eine vollständige Bewertung eines sektorübergreifenden Regimes brauche Zeit; die Jahresberichte sollten die Aufsichtstätigkeit häufiger sichtbar machen. Die beiden Instrumente erfüllen unterschiedliche Aufgaben. Ein jährlicher Tätigkeitsbericht bewertet nicht automatisch die Wirksamkeit des Rechts, weniger belastende Alternativen oder die Nutzung ministerieller Befugnisse. Und der jährliche Rhythmus setzt voraus, dass der erste Zeitraum begonnen hat.

Am 14. Oktober 2026 befindet sich der Entwurf weiterhin im House of Lords. Die neueste Druckfassung ist HL Bill 49, geändert im Grand Committee am 7. September; die Report Stage ist für den 26. Oktober vorgesehen. Der Entwurf ist noch kein Gesetz. Das Änderungsverzeichnis vom 13. Oktober dokumentiert Vorschläge, keine parlamentarisch beschlossenen Änderungen. Rechtsfolgen hängen von Verabschiedung und Inkrafttreten ab.

Die parlamentarische Entscheidung lautet daher nicht schlicht „jährlicher Bericht oder Fünfjahresprüfung“. Sie betrifft den ersten Schritt: Soll der Beginn des ersten Jahres von einem späteren Zeitpunkt abhängen, den der Minister auswählt, oder soll das Gesetz ihn überprüfbar machen? Eine angemessene Frist für die erste Erklärung könnte die Konsultation und das parlamentarische Verfahren erhalten und zugleich Berechenbarkeit schaffen. Alternativ könnte ein Zwischenbericht sichtbar machen, was die Behörden vor gemeinsamen Prioritäten vorbereiten.

Die Quellen begründen keine bestimmte Monatszahl, wohl aber den Bedarf an einem begrenzten und erkennbaren Zeitrahmen.

Eine mögliche Prioritätenerklärung kann Flexibilität schaffen und zwölf Behörden koordinieren. Gleichzeitig hängt der erste jährliche Rechenschaftszyklus von einem Exekutivakt ohne gesetzliche Frist ab. Nach der Veröffentlichung ist der Bericht verpflichtend. Bis dahin fehlt ein fester rechtlicher Bezugspunkt, an dem Parlament und Öffentlichkeit den Beginn des ersten Jahres messen können.

Quellen