NIS-2-Richtlinie - neue gesetzliche Anforderungen zur IT-Sicherheit: deutlich mehr Unternehmen betroffen

Mit dem Ziel, den Schutz der kritischen Infrastruktur hinsichtlich möglicher IT-Vorfälle und Cyberangriffe auszubauen, wurde 2023 auf europäischer Ebene das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz verabschiedet (NIS steht hierbei für „Network and Information Security“). Damit vergrößert sich die Anzahl der bisher betroffenen Unternehmen und Organisationen deutlich. Erweitert wurden sowohl die Branchen als auch die Größen, sodass nun auch kleinere Unternehmen (mindestens 50 Mitarbeiter oder 10 Mio Euro Jahresumsatz) zur Umsetzung verpflichtet sind. Unabhängig von der Unternehmensgröße gibt es auch einige Sonderfälle (wie bspw. Betreiber kritischer Anlagen, Top Level Domain Registries, DNS-Diensteanbieter), die die neue Richtlinie ebenfalls verpflichtend einhalten müssen.
Neu ist außerdem, dass unter Umständen auch die Zulieferer der betroffenen Unternehmen die Richtlinien erfüllen müssen. Unterschieden wird nun zudem zwischen wesentlichen (= hohe Kritikalität) und wichtigen (= sonstige kritische Sektoren) Einrichtungen mit Unterschieden hinsichtlich der Aufsicht und Konsequenzen.

Konkret sind alle Unternehmen von der neuen Richtlinie betroffen, die mehr als 50 Mitarbeiter beschäftigen oder mindestens 10 Mio. Euro Jahresumsatz erzielen und einem der unten aufgeführten Sektoren zuzuordnen sind.

Darüber hinaus betrifft die NIS-2-Richtlinie auch kleinere Unternehmen, sofern diese aufgrund ihres Tätigkeitsbereichs der kritischen Infrastruktur angehörig sind.

Prüfen Sie, ob Ihr Unternehmen in einem der nachfolgenden (Teil-)Sektoren tätig ist:

Zu den wichtigsten Anforderungen gehören:

Die Meldepflichten und Vorgaben zu notwendigen Sicherheitsmaßnahmen gelten ab dem 18. Oktober 2024. Die Richtlinie wird aktuell in nationales Recht umgesetzt, wobei die durch die EU- Richtlinie vorgegebenen Mindeststandards auch erweitert werden dürfen. Umsetzungsmaßnahmen können und sollten also bereits jetzt auf Grundlage der Richtlinie begonnen werden. Es muss davon ausgegangen werden, dass ab dem Inkrafttreten der Richtlinie auch mit der Verhängung von Strafen in oben genannter Höhe zu rechnen ist.

Nach Umsetzung der aktualisierten Richtlinie wird die Geschäftsführung des Unternehmens bei Verstößen (auch mit ihrem Privatvermögen) haftbar gemacht. Es liegt außerdem in der Verantwortung der Geschäftsführung, die getroffenen Maßnahmen zu überwachen, an Schulungen teilzunehmen und diese auch den Beschäftigten anzubieten.

Die zu erwartenden Strafen sind drastisch und hängen davon ab, welchem Sektor das Unternehmen zuzuordnen ist und welche Größe das Unternehmen aufweist. Die Strafen können bis zu 10 Mio. Euro (oder 2% des weltweiten Vorjahresumsatzes – je nachdem, welcher Betrag höher ist) betragen.

Darüber hinaus kann durch die zuständige Aufsichtsbehörde BSI (Bundesamt für Sicherheit in der Informationstechnik) der Geschäftsbetrieb ausgesetzt werden, sofern die Netzsicherheit von der Nichteinhaltung der Richtlinie betroffen ist.