NIS2

Die im Januar 2023 in Kraft getretene NIS2-Richtlinie der Europäischen Union regelt die Anforderungen an die Cybersicherheit für Unternehmen in allen als kritisch betrachteten Sektoren. Sie unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen, die einer Regulierung ihrer Informationssicherheit, Risikomanagement und Meldepflichten unterliegen. Um die Resilienz der Einrichtungen zu gewährleisten, schreibt die Richtlinie verbindliche Maßnahmen vor:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Asset-Management
• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

Wie jede europäische Richtlinie muss auch die NIS2 per Gesetz in den deutschen Rechtsrahmen überführt werden. Die Frist dafür ist am 17. Oktober 2024 ausgelaufen, die Umsetzung ist derzeit im Verzug. Bei Inkrafttreten müssen Betreiber der betroffenen Einrichtungen bereit sein, bei Bedarf gegenüber den Aufsichtsbehörden die Einhaltung dieser Anforderungen nachzuweisen.

Drei fundamentale Änderungen werden im Zuge der NIS2 für die betroffenen Unternehmen relevant:

• Die Anzahl der betroffenen Sektoren erhöht sich von acht auf 18. Insgesamt vergrößert sich der Kreis der Betroffenen dadurch auf etwa 30.000 Unternehmen (von nur ca. 3.000 nach der bisherigen Regulierung)
• Der Bußgeldkatalog bei Missachtung der Vorschriften sieht jetzt auch Strafen vor, die nicht bei einem absoluten Geldbetrag gedeckelt sind, sondern bis zu 2,4 Prozent des Weltjahresumsatzes des Unternehmens ausmachen können, gegen das ein Bußgeld verhängt wird.
• Erstmals wird eine Geschäftsleiterhaftung eingeführt, die bei Zuwiderhandlung gegen die Vorschriften auf das persönliche Vermögen durchgreifen kann.

Zu diesen bereits erheblichen Erweiterungen und Verschärfungen werden bestimmte Sektoren besonders eng geführt. Für Domain-Name-Services, Vertrauensdiensteanbieter und ähnlich "superkritische" Dienste zum Beispiel gelten noch strengere Regeln als für andere Bereiche.

Wie bei bisher als KRITIS-Unternehmen eingestuften Betreibern auch gibt es mehrere zuständige Aufsichtsbehörden, die mit der Durchsetzung der Anforderungen und gegebenenfalls Bußgeldverfahren betraut sind. Dazu gehören je nach Sektor und Kritikalität:

• Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
• Bundesnetzagentur (für Telekommunikations- und Stromnetzbetreiber)
• Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)