Fit für NIS-2

Angesichts der wachsenden Bedrohungen durch Cyberangriffe hat die Europäische Union (EU) Maßnahmen ergriffen, um die Sicherheit von Netz- und Informationssystemen zu stärken. Eine dieser Maßnahmen ist die NIS-2-Richtlinie, die für Unternehmen und Organisationen in Deutschland von großer Bedeutung ist. Ihr Ziel ist es, die Resilienz kritischer Infrastrukturen zu stärken und die Auswirkungen von Cyberangriffen zu minimieren.  

Gemäß der NIS-2-Richtlinie müssen bestimmte Unternehmen und Organisationen Maßnahmen ergreifen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten.  

Die Einordnung erfolgt hierbei nach folgenden Kriterien:  

• Mittlere Unternehmen: mindestens 50 Mitarbeiter, ein Jahresumsatz von mehr als 10 Millionen Euro und eine Bilanzsumme von weniger als 43 Millionen Euro
• Große Unternehmen: mehr als 250 Mitarbeiter, ein Jahresumsatz von mehr als 50 Mio. Euro Umsatz und eine Bilanzsumme von mehr als 43 Millionen Euro
• Unternehmen, die zu “wichtigen” beziehungsweise “wesentlichen” Sektoren zählen.
• “Sonderfälle”

Wesentliche Sektoren sind solche mit “hoher Kritikalität”. Unternehmen beispielsweise aus den Bereichen “Energie”, “Bankenwesen”, “Transport”, “öffentliche Verwaltung” oder auch digitale Infrastrukturen, wie Cloud-Provider oder Rechenzentren zählen hierzu.  

Wichtige Sektoren umfassen Bereiche wie beispielsweise “Post- und Kurierdienste”, “Lebensmittel” oder “digitale Dienste”, wie Suchmaschinen oder soziale Netzwerke.  

Einen Sonderfall stellt ein Betreiber dann dar, wenn er einen signifikanten Einfluss auf die öffentliche Sicherheit oder die Gesellschaft hat.  

Jein. Kleine und mittelständische Unternehmen sind grundsätzlich ausgeschlossen, sofern sie weniger als 50 Mitarbeiter beschäftigen und einen maximalen Jahresumsatz von 10 Millionen Euro nicht übersteigen. Als „Sonderfall“ können sie dennoch eingestuft werden, sofern die Unternehmen regional oder gar national wichtig sind und ihr Ausfall demnach einen signifikanten Effekt auf die öffentliche Sicherheit oder Gesundheit, oder auch ein Risiko für wichtige Sektoren darstellen würde.  

Und auch als Dienstleister oder Lieferant für direkt betroffene Organisationen müssen sie unter Umständen strengere Sicherheitsvorkehrungen umsetzen. 

Einige der Bereiche, die von der NIS-2-Richtlinie betroffen sind, sind präventive Maßnahmen rund um Cybersecurity, wie Zugriffskontrolle und allgemeine Sicherheitsvorkehrungen. Unternehmen müssen außerdem in der Lage sein, Sicherheitsvorfälle zu erkennen, auf diese zu reagieren und betroffene Systeme nach einem Angriff wiederherzustellen. Darüber hinaus müssen auch unternehmensinterne Richtlinien und die Compliance aktualisiert werden sowie eine Integration mit anderen Systemen gewährleistet sein.  

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) für die Überwachung und Durchsetzung der NIS-2-Anforderungen verantwortlich. Insbesondere Betreiber kritischer Anlagen müssen alle drei Jahre (ähnlich zu den KRITIS-Prüfungen) Nachweise erbringen, dass sie den NIS-2-Anforderungen nachkommen.  

In Weiterführung der NIS-1-Richtlinie müssen Unternehmen und Organisationen nun konkret noch umfassendere Sicherheitsmaßnahmen implementieren und Sicherheitsvorfälle innerhalb bestimmter Fristen melden. 

Die erhöhten Anforderungen an die Cybersecurity können mit einem gewissen Komplexitäts- und Umstellungsaufwand verbunden sein. Insgesamt kann der Übergang zu NIS-2 für Unternehmen auch eine Reihe von Vorteilen mit sich bringen, darunter verbesserte Sicherheit, effizientere Verwaltung und bessere Skalierbarkeit durch moderne Technologien.  

Die europäische NIS-2-Richtlinie trat am 16.01.2023 in Kraft. Bis voraussichtlich Mitte Oktober haben die Mitgliedstaaten Zeit, diese in nationales Recht zu übertragen.  

Bei Verstößen gegen die NIS-2-Richtlinie können Geldbußen und andere Sanktionen verhängt werden. Je nach Schwere des Verstoßes und der spezifischen Umstände des Falles können bis zu 10 Millionen Euro Bußgeld fällig werden und im schlimmsten Fall können Geschäftsführer von betroffenen Unternehmen sogar persönlich haftbar gemacht werden. 

Angesichts der wachsenden Bedrohungen durch Cyberangriffe hat die Europäische Union (EU) Maßnahmen ergriffen, um die Sicherheit von Netz- und Informationssystemen zu stärken. Eine dieser Maßnahmen ist die NIS-2-Richtlinie, die für Unternehmen und Organisationen in Deutschland von großer Bedeutung ist. Ihr Ziel ist es, die Resilienz kritischer Infrastrukturen zu stärken und die Auswirkungen von Cyberangriffen zu minimieren.