NIS-2-Richtlinie pragmatisch umsetzen?

Die NIS-2-Richtlinie („The Network and Information Security (NIS) Directive“) wurde am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht und trat am 16. Januar 2023 in Kraft. Sie zielt darauf ab, die Cyber- und Informationssicherheit von Unternehmen und Organisationen zu regulieren. Die EU-Mitgliedsstaaten müssen sie bis Oktober 2024 in nationales Recht umsetzen. In Deutschland liegt seit Juli 2023 ein entsprechender Gesetzentwurf der Bundesregierung vor, das sogenannte NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS-2UmsuCG).

Mit der NIS-2-Richtlinie werden die Anforderungen an Cybersicherheit sowie die Sanktionen verschärft, um ein höheres Sicherheitsniveau in der EU zu gewährleisten.

Die NIS-2-Richtlinie erweitert den Kreis der betroffenen Unternehmen deutlich: Neben mittleren und großen Unternehmen aus wichtigen Sektoren der kritischen Infrastruktur erfasst sie nun auch deren gesamte Lieferketten. Damit steigt die Zahl der regulierten Firmen massiv an. Gleichzeitig werden strengere Anforderungen an diese Unternehmen gestellt, begleitet von einem stärkeren Durchsetzungsdruck durch höhere Strafen und die persönliche Haftung der Managementebene.

Sind Sie von der NIS-2-Richtlinie betroffen? Mit unserem NIS-2-Assessment finden Sie es schnell und unkompliziert heraus. Gemeinsam analysieren wir Ihre Informationssicherheit und decken den Handlungsbedarf auf – von der Bestandsaufnahme bis zur Stellung eines erfahrenen Informationssicherheitsbeauftragten – wir begleiten Sie auf dem Weg zur NIS-2-Compliance.

Die NIS-2-Richtlinie bringt eine Reihe von Pflichten für betroffene Unternehmen und Einrichtungen mit sich, unter anderem in den Bereichen Cyber-Risikomanagement, Überwachung, Vorfallmanagement und Sicherstellung der Geschäftskontinuität.

- Verpflichtung zur Risikomanagement-Strategie: Unternehmen müssen ein solides Risikomanagement etablieren, das mögliche Bedrohungen durch Cyberangriffe identifiziert und minimiert. Dies umfasst technische und organisatorische Maßnahmen zur Stärkung der Netzsicherheit.

- Meldepflicht bei Sicherheitsvorfällen: Bei sicherheitsrelevanten Vorfällen, die den Betrieb beeinträchtigen könnten, sind die Unternehmen dazu verpflichtet, diese unverzüglich an die zuständigen Behörden zu melden. In Deutschland ist hierfür das Bundesamt für Sicherheit in der Informationstechnik (BSI) verantwortlich.

- Sektorenspezifische Pflichten: Die Pflichten variieren je nach betroffenem Sektor. Energieversorger haben zum Beispiel andere Sicherheitsanforderungen als Gesundheitsdienstleister. Für alle gilt jedoch, dass die Cybersicherheitsmaßnahmen angemessen und wirksam sein müssen.

Mit der Einführung der NIS-2-Richtlinie werden die Kriterien, ob ein Unternehmen von den neuen Sicherheitsanforderungen betroffen ist, deutlich erweitert. In der gesamten EU gelten zukünftig einheitliche Vorgaben, sodass keine unterschiedlichen Mindestschwellen mehr zwischen den Mitgliedstaaten existieren. Statt einer sektorspezifischen Betrachtung entscheidet nun die Größe und Bedeutung eines Unternehmens darüber, ob es den Anforderungen der NIS-2 unterliegt. Die neuen Vorgaben betreffen mittlere und große Unternehmen:

- Mittlere Unternehmen: 50 bis 249 Beschäftigte oder ein Jahresumsatz zwischen 10 und 50 Millionen Euro, Bilanzsumme unter 43 Millionen Euro

- Große Unternehmen: ab 250 Beschäftigte oder mindestens 50 Millionen Euro Jahresumsatz

Diese neuen Kriterien führen dazu, dass der Anwendungsbereich der NIS-2-Richtlinie in Deutschland erheblich ausgeweitet wird. Viele Unternehmen, die bisher nicht als Betreiber kritischer Infrastrukturen galten, müssen nun prüfen, ob sie unter die Richtlinie fallen und entsprechende Maßnahmen ergreifen.

Die Umsetzung der NIS-2-Richtlinie erfolgt auf nationaler Ebene. In Deutschland wird die Richtlinie durch eine Verschärfung des bestehenden IT-Sicherheitsgesetzes realisiert. Die Überwachung und Durchsetzung der Richtlinie liegt beim BSI, das auch für die Prüfung der Sicherheitsmaßnahmen der betroffenen Einrichtungen verantwortlich ist.

Die NIS-2-Richtlinie teilt Unternehmen in zwei Kategorien: „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Der zentrale Unterschied besteht darin, dass „wichtige Einrichtungen“ geringere Geldstrafen erwarten und erst im Bedarfsfall von Behörden überprüft werden. Dagegen stehen „besonders wichtige Einrichtungen“ unter ständiger behördlicher Kontrolle und müssen mit höheren Strafen rechnen.

Auch die Haftung wird strenger: Bei besonders wichtigen Einrichtungen können Strafen von bis zu zehn Millionen Euro oder zwei Prozent des Jahresumsatzes verhängt werden, wobei der höhere Betrag ausschlaggebend ist. Wichtige Einrichtungen hingegen müssen mit Strafen von bis zu sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes rechnen. Auch hier zählt der höhere Betrag.

Betroffene Unternehmen müssen geeignete Maßnahmen gemäß NIS-2-Richtlinie umsetzen, beispielsweise im Bereich Cyber-Risikomanagement, Sicherheit der Lieferkette, Geschäftskontinuität, Verschlüsselung, Zugangsbeschränkungen sowie bei der Berichterstattung und Umsetzung von Korrekturmaßnahmen.

Besonders zu beachten: Nach dem Entwurf des Bundesinnenministeriums haften die Führungskräfte der Unternehmen persönlich mit ihrem Privatvermögen für die Einhaltung der Risikomanagementvorgaben. Diese Haftung ist auf zwei Prozent des weltweiten Jahresumsatzes des Unternehmens begrenzt.