Es wurde im Oktober im Bundestag erstmalig beraten und fällt voraussichtlich der Diskontinuität zum Opfer.

22.12.2023 Kabinettsbeschluss

• Der Gesetzentwurf wurde beschlossen und an den Bundesrat überwiesen
• Das Gesetz ist zustimmungspflichtig

23.10.2023 Referentenentwurf des BMF

• Mit dem Finanzmarktdigitalisierungsgesetz werden folgenden EU-Verordnungen und -Richtlinien als wesentliche Maßnahmen des EU-Pakets zur Digitalisierung des Finanzsektors umgesetzt. Damit soll die fristgerechte und reibungslose Anwendung der EU-Vorschriften in Deutschland sichergestellt werden.
• Verordnung (EU) 2023/1114 (MiCa – Integration der Kryptomarktregulierung):
  • Integration der Regulierung von Kryptomärkten in die EU-Binnenmarktregulierungsarchitektur.
  • Schaffung eines level-playing fields in Europa für Kryptowerte.
  • Überführung des deutschen Rechtsrahmens für Kryptowerte in die EU-Regelungsarchitektur.
  • Zulassungsvorbehalte und prudentielle Regelungen für Emittenten und Anbieter von Kryptowerte-Dienstleistungen.
  • Regelungen zum Schutz der Inhaber von Kryptowerten und zur Verhinderung von Marktmanipulation und Insiderhandel.
• Verordnung (EU) 2023/1113 (Erweiterung der Geldtransferverordnung)
  • Ausweitung der Geldtransferverordnung auf Kryptowerte.
  • Pflicht für Anbieter von Kryptowerte-Dienstleistungen, Informationen über Auftraggeber und Begünstigte von Kryptowertetransfers zu erheben und zu übermitteln.
  • Ersetzung der nationalen Kryptowertetransferverordnung durch EU-Recht.
  • Umsetzung der Änderungen der Geldwäscherichtlinie in Bezug auf Kryptowerte-Dienstleistungen.
• Verordnung (EU) 2022/2554 und Richtlinie (EU) 2022/2556 (DORA):
  • Schaffung eines einheitlichen Rahmens für die digitale Betriebsstabilität im Finanzsektor.
  • Harmonisierung der Anforderungen an die operationale Resilienz von IKT-Systemen im Finanzsektor.
  • Organisatorische Anforderungen an die IT-Sicherheit, Meldepflichten bei Sicherheitsvorfällen, und Vorgaben für Penetrationstests.
  • Umsetzung der Richtlinie (EU) 2022/2556 in deutsches Recht und Integration der Befugnisse zur Sicherstellung der operationalen Resilienz in die Stammgesetze.

11.10.2024:  Gesetzesentwurf

• Die Bundesregierung und das BMDV veröffentlichen den Gesetzesentwurf (Link)

02.10.2024:  Kabinettsbeschluss

• Der Regierungsentwurf (Stand 01.10.2024) wurde in der Kabinettssitzung beschlossen. Gerne können Sie diesen auf Anfrage erhalten.

24.07.2024 Erneut kein Kabinettsbeschluss

• Der Entwurf solle noch vor der Sommerpause ins Kabinett kommen, sagte ein Sprecher des Bundesverkehrsministeriums. In der Kabinettssitzung vom 24.07.2024 gab es aber noch keinen entsprechenden Beschluss zum Entwurf.

19.06.2024 Der Referentenentwurf befindet sich weiterhin in der Abstimmung zwischen den Ministerien. Es liegt noch kein Kabinettsbeschluss vor.

• Planung: 1. Lesung im BT nach der Sommerpause

07.05.2024 BMDV veröffentlicht ersten Referentenentwurf 

Das Mobilitätsdatengesetz basiert auf bestehenden Vorschriften zur Bereitstellung von Mobilitätsdaten. Laut dem Personenbeförderungsgesetz (PBefG) und der Mobilitätsdatenverordnung (MDV) müssen die von Personenbeförderern oder Mobilitätsvermittlern erhobenen statischen und dynamischen Daten der Mobilithek, einem nationalen Datenzugangspunkt, zur Verfügung gestellt werden. Ziel des Entwurfs zum Mobilitätsdatengesetz ist daher die Bündelung bestehender Pflichten in einem Gesetz.

Weitere Ziele des Mobilitätsdatengesetzes sind:

• die Ermöglichung und Verbesserung multimodaler Reise- und Echtzeit-Verkehrsinformationsdienste,
• die Sicherstellung einer verbesserten Datenverfügbarkeit und -qualität,
• die Verringerung von Hürden der Datennutzung,
• die Vorgabe verkehrsträgerübergreifend einheitlicher Regeln der Datenbereitstellung,
• die Schaffung klarer und einfacher Regeln mit möglichst geringem Verwaltungsaufwand,
• die Vorgabe einheitlicher technischer Regeln für bessere, mindestens EU-weite Interoperabilität und
• die Ermöglichung anbieterübergreifender digitaler Buchung und Bezahlung von Mobilitätsdienstleistungen.

Konkrete Regulierungsvorschläge:

• Schaffung eines Bundeskoordinators (beim BaSt), der die im Gesetz fehlenden Leitlinien und Standards der Datenübertragung festlegen soll.
• Kontrolle der Umsetzung des Mobilitätsdatengesetzes durch das Bundesamt für Logistik und Mobilität (BALM): Zwangsgeld in Höhe von bis zu 50.000 EUR.
• Personenbeförderern oder Mobilitätsvermittlern müssen statische und dynamische Daten wie Fahrpläne des öffentlichen Verkehrs, Verspätungsmeldungen, die Echtzeit-Verfügbarkeit von Sharing-Fahrzeugen und Meldungen über Baustellen, die Verkehrssituation oder zur Verfügbarkeit von Parkplätzen sowie zur Tank- und Ladeinfrastruktur teilen.
• Die Bereitstellung und die Nutzung der Mobilitätsdaten über den Nationalen Zugangspunkt sind unentgeltlich.
• Im ÖPNV-Sektor sind nur bestehende Pflichten zur Bereitstellung der Daten enthalten, eine Datenerhebungspflicht wurde nicht eingeführt.
• Fahrzeugdaten des Individualverkehrs sind nicht enthalten.

10.04.2024 Antrag der Unionsfraktion “Für eine moderne Regulierung von Mobilitätsdaten” (Drucksache 20/10974)

• Kritik an der Verzögerung des Referentenentwurfs zum MobDG.
• Fraktion fordert die Bundesregierung auf, die Verfügbarkeit und Interoperabilität von Daten sicherzustellen und zu fördern sowie Schnittstellen zu Verkehrsinfrastruktur- und digitalen Infrastrukturprojekten zu schaffen. Zudem gelte es Schnittstellen für die Einbindung von Fahrzeugdaten zu entwickeln.
• Wettbewerbsrelevante Daten im Mobilitätsdatengesetz müssen geschützt werden. Die geplante „Open Data“-Pflicht dürfe keine Rückschlüsse auf sensible Informationen und schützenswerte Geschäftspraktiken zulassen.

04.03.2024 Die überarbeitete Fassung der MMTIS (Delegierte Verordnung (EU) 2017/1926) hinsichtlich der Bereitstellung EU-weiter multimodaler Reiseinformationsdienste tritt in Kraft.

• Eine lang erwartete Überarbeitung, die nun unter anderem zur Bereitstellung dynamischer Daten verpflichtet.
• Das geplante Mobilitätsdatengesetz wird sich vermutlich an dieser neuen Fassung orientieren.

06.02.2024 Interfraktionelle Gespräche zum Eckpunktepapier dauern an. Die Fraktionen haben folgende Positionen (Quelle informell BT): 

• SPD-Fraktion plädiert für die Aufnahme von Fahrzeugdaten in das Gesetz – BMDV blockt dies bislang ab
• Grüne plädieren für mehr Datenschutz
• FDP setzt sich für eine Einbindung des Ticketing ein, Bereitsstellung von Daten durch Unternehmen soll nicht unvergütet bleiben

25.07.2023 Veröffentlichung eines Eckpunktepapiers zum Mobilitätsgesetz durch das BMDV (Link)

• Das BMDV arbeitet an einem Mobilitätsdatengesetz, das 2024 verabschiedet werden soll.
• Das Mobilitätsdatengesetz soll einen Rahmen für die Umsetzung der bestehenden und zukünftigen EU-Vorgaben darstellen
• Kosten- und Registrierungsfreiheit der Datennutzung, um Zugangshürden zu minimieren
• Einheitliche Frist zur Datenbereitstellung, damit werden einzelne EU-Pflichten zeitlich vorgezogen
• Verpflichtung zur Bereitstellung von Auslastungsdaten
• Mitwirkungspflichten für Datennutzer und -Inhaber zur Verbesserung der Datenqualität
• Festsetzung technischer Qualitätsstandards durch Datenkoordinator und Übernahme operativer Beratungsfunktion für Dateninhaber
• Aufbau einer föderalen Mobilitätsdatenstruktur
• Sanktionierungsmöglichkeit fehlender Datenbereitstellung durch zentrale Datenaufsicht mittels Bußgelder
• Schaffung eines „digitalen Zwillings” der Verkehrsinfrastruktur

Initiative: Bundesregierung

08.11.2024 Gesetzesentwurf der Bundesregierung 

• Erweiterung der Definition und Zuständigkeiten für kritische Anlagen
• Schnittstellenregelung mit KRITIS-Dachgesetz
• Einführung eines dreistufigen Meldeverfahrens
• Verpflichtung zu Risikoanalysen und Maßnahmen-Evaluierung
• Zusätzliche Berichtspflichten für Unternehmen und Behörden
• Detaillierte Regelung der Behördenzuständigkeiten
• Stärkere Maßnahmen gegen Cyber- und Supply-Chain-Angriffe
• Höhere Strafen bei Verstößen
• Neue Standards für IT-Produkte und Zertifizierungen
• Gestärkte Aufgaben des BSI

04.11.2024 Anhörung im Innenausschuss

• Kritikpunkte und Verbesserungsvorschläge, die von verschiedenen Experten und Organisationen vorgetragen wurde
• Unklare Rolle des BSI: Fehlende Stärkung als zentrale Cybersicherheitsbehörde, Gefahr von Doppelstrukturen (z. B. CISO Bund)
• Fragmentierung: Uneinheitliche IT-Sicherheitsregulierung und Strategie in Deutschland, mangelnde Harmonisierung innerhalb der EU
• Unternehmensunterstützung: Unzureichende Information und Hilfestellung, hoher Eigenaufwand für betroffene Unternehmen
• Datenschutzprobleme: Potenziell unionsrechtswidrige Regelungen und Datenschutzschwächen

02.10.2024 Gesetzesentwurf der Bundesregierung

• Die NIS-2-Richtlinie erweitert den Anwendungsbereich des Gesetzes auf zusätzliche Unternehmen und Infrastrukturen, die für die Gesellschaft als besonders wichtig gelten, einschließlich digitaler Dienste und Unternehmen von öffentlichem Interesse​
• Die bisherige einstufige Meldepflicht wird durch ein dreistufiges System ersetzt, das die Unternehmen verpflichtet, Sicherheitsvorfälle nach ihrem Schweregrad zu melden. Dies soll die Verwaltungsbelastung reduzieren und ein effizienteres Management von Vorfällen ermöglichen​
• Das Gesetz schafft die Position eines Chief Information Security Officer (CISO) für die Bundesverwaltung, um eine zentrale Koordinationsstelle für Cybersicherheit zu etablieren und eine einheitliche Umsetzung sicherzustellen​

24.07.2024 Kabinett beschließt Gesetz zur Umsetzung der NIS-2 Richtlinie 

• Etwa 30.000 Unternehmen in Deutschland sind von der NIS-2-Richtlinie betroffen
• Die Umsetzung der NIS-2-Richtlinie beginnt am 1. Januar 2026, mit einer vollständigen Umsetzung bis Ende 2029
• Die einmaligen Kosten betragen 38,2 Millionen Euro, mit jährlichen laufenden Kosten von rund 772,32 Millionen Euro bis 2029
• Der geschätzte Nutzen beläuft sich auf rund 3,6 Milliarden Euro pro Jahr durch die Vermeidung von Cyberangriffen

10.06.2024 Verzögerung bei der Umsetzung der NIS-2-Richtlinie

• Die Umsetzung der EU-NIS-2-Richtlinie in Deutschland verzögert sich voraussichtlich auf Frühjahr 2025.
• Ein neuer Entwurf des NIS-2-Umsetzungsgesetzes (4. Referentenentwurf) soll bis Juli 2024 unter Berücksichtigung von Rückmeldungen der Verbände und Länder erstellt werden.
• Kleine und mittlere Unternehmen müssen sofort mit der Umsetzung beginnen, da keine speziellen Fristen eingeräumt werden.
• Einführung einheitlicher, digitalisierter Meldeprozesse, aber ohne Erleichterungen für KMU; die 24-Stunden-Meldepflicht bleibt bestehen.
• Die Haftung der Geschäftsführung bleibt bestehen, und der Anwendungsbereich wird breit ausgelegt, einschließlich Managed Service Providers und Rechenzentrumsdienstleistern.

07.05.2024 Referentenentwurf veröffentlicht

Neuer Referentenentwurf beinhaltet:

• Einführung spezifischer Systeme zur Angriffserkennung und regelmäßige Erneuerung von Sicherheitszertifikaten
• Implementierung eines dreistufigen Meldesystems mit festgelegten Fristen für die Berichterstattung nach Sicherheitsvorfällen
• Präzisierung von Schlüsselbegriffen wie u.a. “kritische Anlage” zur einheitlichen Anwendung
• Schaffung eines Online-Portals für den sicheren Austausch von Cyberbedrohungen und Sicherheitslücken
• Etablierung strenger Sanktionen und des BSI als zentrale Koordinierungsstelle für nationale Zusammenarbeit

25.01.2024 Ressortabstimmung

• Der Gesetzentwurf befindet sich noch in der Ressortabstimmung
• Termin für Kabinettsbeschluss steht noch nicht fest

24.10.2023 Werkstattgespräch des BMI zum Diskussionspapier

• Teilweise Übernahme der Punkte von Stellungnahmen der Verbändeanhörung nach Diskussionspapier
• Harmonisierung mit dem KRITIS-Dachgesetz
• Klarstellungen zu verwendeten Begriffen/Definitionen (Cyberhygiene, bes. wichtige Einrichtungen)
• Registrierungs-, Nachweis-, und Meldepflichten
• Billigung-, Überwachungs- und Schulungspflicht für Geschäftsleiter

29.09.2023 Diskussionspapier des BMI zur Umsetzung der NIS2-Richtlinie (Dritter Referentenentwurf)

• Prüfungen statt alle zwei Jahre und für alle (KRITIS und besonders wichtige Unternehmen) nur noch alle drei Jahre und nur für Betreiber kritischer Anlagen
• Betroffene Unternehmen wurden im zweiten Entwurf präzisiert und die Definitionen vereinfacht
• Pflichten präzisiert: Betreiber sollen das Ausmaß der Risiken, Größe der Einrichtung, Umsetzungskosten, Eintritts­wahrscheinlichkeit und Schwere von Sicherheits­vorfällen berücksichtigen
• Geschäftsleiter dürfen Dritte einsetzen,  um die Umsetzung der Risiko­management­maßnahmen zu überwachen

03.07.2023 Zweiter Referentenentwurf

03.04.2023 Erster Referentenentwurf

• Einführung neuer Einrichtungskategorien durch die NIS-2-Richtlinie
• Erweiterung des Anwendungsbereichs über bisherige Kritische Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im öffentlichen Interesse hinaus
• Übernahme des Katalogs der Mindestsicherheitsanforderungen aus der NIS-2-Richtlinie in das BSIG
• Differenzierung der Maßnahmenintensität zwischen den Einrichtungskategorien aus Gründen der Verhältnismäßigkeit
• Wechsel von einer einstufigen Meldepflicht zu einem dreistufigen Melderegime gemäß der NIS-2-Richtlinie
• Erweiterung der Befugnisse des BSI im Hinblick auf die NIS-2-Richtlinie vorgegebene Aufsichtsmaßnahmen
• Einführung eines CISO Bund als zentralen Koordinator für Informationssicherheit in der Bundesverwaltung