Die vergangenen Jahre haben sich durch einen stetigen technologischen Wandel ausgezeichnet. Diese Veränderungen machen auch eine Weiterentwicklung der Gesetzeslage erforderlich. Für Unternehmen ist es da wichtig, immer auf dem neuesten Stand zu bleiben, alle aktuellen Anforderungen zu kennen und zu erfüllen. Es gibt neue EU-Regeln zur Cybersicherheit. Diese Aspekte müssen Unternehmen besonders im Blick haben.
Sicherheit von Netz- und Informationssystemen
Eine der wichtigsten Entwicklungen der vergangenen Jahre ist die Richtlinie über die Sicherheit von Netz- und Informationssystemen (auch als NIS abgekürzt). Diese Richtlinie soll eine grenzüberschreitende Zusammenarbeit zwischen den Behörden verschiedener EU-Länder ermöglichen, um Cybersicherheitsbedrohungen zu minimieren. So sollen Behörden in ihrem eigenen Land für Sicherheit sorgen, im Zweifel aber auch schnellstmöglich essenzielle Informationen mit Partnerländern austauschen können, wodurch die EU im Bereich der Cybersicherheit agiler und somit sicherer wird.
Die erste NIS-Richtlinie wurde 2016 von der EU eingeführt. Diese Richtlinie wurde 2022 überarbeitet und NIS 2 wurde verabschiedet. Die einzelnen Länder hatten dann bis Ende 2024 Zeit, um die Richtlinie in nationales Recht umzusetzen. In Deutschland soll das daraus resultierende NIS2-Gesetz im Laufe des Jahres 2025 in Kraft treten. Besonders Unternehmen aus der kritischen Infrastruktur müssen dann sicherstellen, dass alle NIS2 Anforderungen eingehalten werden. Das schließt unter anderem eine verschärfte Meldepflicht bei sicherheitsrelevanten Vorfällen ein. Dass die entsprechenden Vorschriften eingehalten werden, wird über Zertifizierungen gezeigt, welche den normgerechten Umgang mit der Cybersicherheit belegen.
Welche Unternehmen sind von NIS2 betroffen?
Ein Unterschied der NIS2-Richtlinie im Vergleich zur ersten ist, dass der Kreis der Unternehmen, die unter das Gesetz fallen, deutlich größer ist. Die Auswahl ist nicht willkürlich, sondern wird anhand der Beschäftigtenzahl festgemacht. Betroffen sind Unternehmen ab 50 Mitarbeitern. Ein anderer Faktor, der ein Unternehmen für das NIS2-Gesetz relevant machen kann, ist der Umsatz, sofern dieser im Jahr mindestens 10 Millionen Euro beträgt. Für
Was verlangt NIS2 genau?
Die betroffenen Unternehmen müssen eine Reihe von Aspekten beachten und umsetzen. Das beinhaltet sowohl konkrete technische Umsetzungen als auch organisatorische Sicherheitsmaßnahmen. Die Richtlinie verlangt von Unternehmen unter anderem, dass sie:
- Einen klaren Ablauf zum Risikomanagement in den Arbeitsablauf implementieren.
- Mögliche Schwachstellen ausfindig machen, sie analysieren und entsprechende erhöhte Schutzmaßnahmen ergreifen, um die Schwachstellen nicht zur Gefahr werden zu lassen.
- Sicherheitsvorfälle jeder Art schnellstmöglich bei den zuständigen Stellen und Behörden melden. Der Zeitraum für die Meldepflicht beträgt maximal 24 Stunden.
- Ihre eigenen Sicherheitskonzepte regelmäßig selbst überprüfen und auch Audits externer Stellen durchführen lassen.
Eine genaue Auflistung der Verpflichtungen finden Sie beim Bundesministerium des Innern.
Für die Einhaltung der Vorschriften haftet nun die Geschäftsleitung des Unternehmens. Dieser Schritt ist neu bei Cybersicherheits-Richtlinien in der EU und soll sicherstellen, dass der Sorgfaltspflicht nachgekommen wird und alle sicherheitsrelevanten Punkte auch wirklich eingehalten werden. Die Benennung klarer Verantwortlichkeiten ist in einer Zeit, in der immer mehr Abläufe ausgelagert werden, wie bei der sogenannten Plattform-Ökonomie, besonders wichtig.
Diese Konsequenzen drohen bei Nichteinhaltung.
Erst einmal ist die NIS2-Richtlinie auf EU-Ebene nur eine Vorgabe an die beteiligten Länder, dass ein eigenes Gesetz eingeführt werden muss, welches die Vorgaben durchsetzt. Ab dann ist es Sache der Länder, die Einhaltung des Gesetzes zu kontrollieren. Das ist so üblich. Und war auch bei den Gesetzen zu E-Zigaretten nicht anders, bei denen Nutzer darauf achten sollten, die richtigen Produkte zu kaufen (hier einige Tipps).
Für die neue NIS2-Richtlinie ist die Durchsetzung in Deutschland in den meisten Fällen die Aufgabe des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Der deutsche Gesetzesentwurf sieht empfindliche Strafen vor. So sind bei Nichteinhaltung Bußgelder in Höhe von bis zu 10 Millionen Euro oder in Höhe von 2 % des weltweiten Umsatzes möglich. Wird nachweislich besonders fahrlässig gehandelt, können auch zivilrechtliche Strafen drohen. Eine solche Fahrlässigkeit kann beispielsweise gegeben sein, wenn Kundendaten nicht ausreichend geschützt und dadurch kompromittiert wurden.
