NIS-2: Hoher Aufwand für mehr Sicherheit

Folgende Cybersecurity-Maßnahmen müssen betroffene Unternehmen umsetzen:

• Richtlinien für Risiken und Informationssicherheit erstellen und umsetzen
• Prävention, Detektion und Bewältigung von Cybersecurity-Vorfällen (Sicherheitspannen)
• Betrieb eines Business Continuity Managements (BCM) inkl. Backup- bzw. Krisen-Management
• Gewährleistung der Sicherheit bei der Beschaffung von IT- und Netzwerk-Systemen
• Beachtung von Vorgaben für Kryptographie bzw. Verschlüsselung
• Umsetzung angemessener Maßnahmen zur Zugangskontrolle
• Einsatz sicherer Sprach-, Video- und Text-Kommunikation
• Einsatz gesicherter Notfall-Kommunikations-Systeme
• Überprüfung der Sicherheit in der gesamten Lieferkette
• Schulung und Sensibilisierung von Beschäftigten

Kurzum: Die „Hausaufgaben“, die auf von NIS-2 erfasste Einrichtungen zukommen, sind umfangreich und mit hohem Aufwand verbunden. Unternehmen sollten deshalb kurzfristig überprüfen, ob sie unter NIS-2 fallen. Betriebe sollten außerdem frühzeitig ausreichende Ressourcen in finanzieller, personeller und zeitlicher Hinsicht einplanen.

Für die betroffenen Unternehmen gelten künftig Meldepflichten. Gemäß der NIS-2-Richtlinie müssen Vorfälle (erfolgte Cyberattacken) innerhalb von 24 Stunden nach Bekanntwerden gemeldet werden. Innerhalb von 72 Stunden nach der Meldung erfolgt gegebenenfalls eine Aktualisierung und erste Bewertung. Abschließende Berichte müssen spätestens einen Monat nach Bekanntwerden des Vorfalls dem BSI vorgelegt werden. Die neuen Meldepflichten sollen mehr Transparenz bringen und die koordinierte Bekämpfung von Cybersicherheitsvorfällen gewährleisten.

Anders als bei der seit 2018 geltenden DSGVO sind bei der NIS-2-Richtlinie keine Übergangsfristen vorgesehen. Ab 18. Oktober 2024 fallen damit faktisch alle betroffenen Unternehmen unter die neuen Anforderungen, müssen sich bei den Behörden registrieren und können entsprechend durch diese kontrolliert werden. Halten sich Unternehmen nicht an die Vorschriften, kann es teuer werden. Die NIS-2 sieht höhere Bußgelder als beim Vorgänger NIS-1 vor. Je nach Größe und Bedeutung des Unternehmens können Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) verhängt werden.

Um den Handlungsdruck zu erhöhen, will das Bundesinnenministerium laut einem Entwurf sogar die persönliche Haftung von verantwortlichen Managern durchsetzen. Demnach sollen die Leitungsorgane von Unternehmen für die Einhaltung der Risikomanagementmaßnahmen mit ihrem Privatvermögen haften. Die Obergrenze für diese Haftung entspricht zwei Prozent des globalen Jahresumsatzes des jeweiligen Unternehmens. Bei nachgewiesener Verletzung der Überwachungspflichten haftet ein Geschäftsleiter für die entstandenen Schäden. Selbst wenn hinterlegt ist, dass die Einrichtung auf Ersatzansprüche gegen den Chef verzichtet, haftet der Geschäftsführer persönlich, da eine solche Vereinbarung als unwirksam gewertet wird. 

Die EU verfolgt mit der neuen NIS-2-Richtlinie ein hehres Ziel: Sie will die EU-Staaten für Cyberangreifer zur Trutzburg machen. Durch hohe Sicherheitsvorkehrungen soll jede Attacke so aufwendig werden, dass sie sich kaum lohnt.
Für die Bürger – also uns alle – sind das prinzipiell gute Nachrichten. Niemand mag sich ausmalen, was passiert, wenn die IT ganzer Branchen lahmgelegt wird. Schon ein ausgefallener Energieerzeuger oder ein lahmgelegtes Krankenhaus führen zu großen Problemen. Doch die strengen Vorschriften setzen viele Unternehmen massiv unter Druck. Die Umsetzung der EU-Richtlinie kostet viel Geld, Zeit und personelle Ressourcen. Doch den Kopf in den Sand zu stecken, hilft nicht, denn die Bedrohung ist real! Wir alle müssen uns vor Cyberkriminellen besser verteidigen und diese Aufgaben ernst nehmen.

1. Kriterium: Die Unternehmensgröße

• mindestens 50 Mitarbeitende
• Jahresumsatz/Jahresbilanz übersteigt 10 Millionen Euro

2. Kriterium: Der Unternehmenssektor
In der NIS-2 gibt es elf „wesentliche“ und sieben „wichtige“ Sektoren. Erfüllt ein Unternehmen die Kriterien der Unternehmensgröße und ist in den folgenden Sektoren tätig, so unterliegt es der NIS-2.

Wesentliche Sektoren

1. Energieversorger
2. Transportwesen (z.B. Schienenverkehr, Busunternehmen, Spedition etc.)
3. Bankwesen
4. Finanzmarktinfrastruktur
5. Gesundheit (einschl. Arzneimittel-Hersteller)
6. Trinkwasser
7. Abwasserwirtschaft
8. Digitale Infrastruktur
9. IKT-Dienstleistungsmanagement (B2B)
10. Öffentliche Verwaltungen
11. Weltraumwirtschaft

Wichtige Sektoren

1. Post- und Kurierdienste
2. Abfallwirtschaft
3. Herstellung, Produktion und Vertrieb von Chemikalien
4. Lebensmittelproduktion, -verarbeitung und -vertrieb
5. Hersteller von medizinischen Geräten, von Computern und Elektronik, von Maschinen und Ausrüstungen, von Kraftfahrzeugen, Anhängern und Sattelanhängern und sonstigen Transportgeräten
6. Digitale Anbieter (Online-Marktplätze, -Suchmaschinen und Social-Networking-Service-Plattformen)
7. Forschungseinrichtungen