Nicht erst der Ausfall von Computersystemen überall auf der Welt am 19. Juli 2024 („Crowdstrike“-Vorfall) hat verdeutlicht, dass ein einzelnes Cyberereignis in einer vernetzten Welt eine Kaskade an Auswirkungen nach sich ziehen kann. Um kritische Infrastrukturen vor derartigen Auswirkungen durch Cyberangriffe zu schützen, hatte die Europäische Union bereits 2016 die NIS1-Richtlinie erlassen. Doch gerade in Unternehmen sieht die Europäische Kommission noch großes Potenzial zur Verbesserung der Cyberresilienz. Dies nahm sie 2022 zum Anlass, dem bestehenden Cybersicherheitsrahmen sein erstes großes Update zu verpassen: Die NIS2-Richtlinie.

Welche Neuerungen stehen bevor?

Seit dem 16. Januar 2023 ist die NIS2-Richtlinie der Europäischen Union („Network and Information Security Directive“, Richtlinie (EU) 2022/2555) in Kraft. Sie verschärft die bereits geltenden Regelungen zur Cyber- und Informationssicherheit aus der NIS1-Richtlinie und zielt dabei in besonderem Maße auf Unternehmen. Daher sind zum einen der Kreis der umfassten Unternehmen, zum anderen der Katalog der Compliance-Pflichten im Vergleich zu NIS1 angewachsen. Zudem weitet NIS2 die behördlichen Sanktionsmöglichkeiten aus.

Als europäische Richtlinie findet NIS2 nicht unmittelbar auf die Unternehmen Anwendung. Vielmehr bedarf sie zuvor einer Umsetzung durch die EU-Mitgliedstaaten in ihre jeweiligen nationalen Rechtsordnungen. Bis Oktober 2024 hatten die Mitgliedstaaten Zeit, die NIS2-Richtlinie in nationales Recht umzusetzen. In Deutschland liegt seit Juli 2023 ein entsprechender Referentenentwurf des Bundesinnenministeriums zur Umsetzung vor, das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Der zwischenzeitlich mehrfach nachgebesserte Referentenentwurf wurde am 24. Juli 2024 vom Bundeskabinett verabschiedet. Doch weder Bundestag noch Bundesrat haben über den Entwurf bisher entschieden. Bislang konnte sich die verbliebene Regierungskoalition aus SPD und Grünen nicht mit der CDU-/CSU-Fraktion im Bundestag einigen. Da die Umsetzungsfrist zum 17. Oktober 2024 abgelaufen ist, hat die Europäische Union nun ein Vertragsverletzungsverfahren gegen Deutschland sowie 22 weitere Mitgliedstaaten eingeleitet. Dies kann zwar mehrere Jahre in Anspruch nehmen; dass die Umsetzung kommen und sich spürbar auf betroffene Unternehmen auswirken wird, ist aber bereits jetzt gewiss.

Neben NIS2 und NIS2UmsuCG liegt zurzeit noch ein Entwurf der Europäischen Kommission für eine Durchführungsverordnung zur NIS2-Richtlinie vor, welche vor allem die Risikomanagementmaßnahmen für bestimmte Sektoren konkretisiert.

Welche Unternehmen sind von den neuen Regelungen betroffen?

Im Anschluss an die NIS2-Richtlinie wird zwischen „besonders wichtigen Einrichtun-gen“ und „wichtigen Einrichtungen“ unterschieden. Diese unterscheiden sich im Wesentlichen durch die Höhe der für sie vorgesehenen Geldbußen. Zudem unterliegen die wichtigen Einrichtungen einer reaktiven Aufsicht durch die Behörden, während besonders wichtige Einrichtungen proaktiv mit regelmäßigen Kontrollen überwacht werden.

Für die Unterscheidung zwischen besonders wichtigen und wichtigen Einrichtungen ist einerseits entscheidend, in welchem Sektor das Unternehmen tätig ist, andererseits die Unternehmensgröße. Zwischen den Mitgliedstaaten gibt es bislang eine hohe Diskrepanz bei der Anzahl der regulierten Unternehmen. Diese soll nun durch einheitliche Kriterien abgebaut werden. In den Anwendungsbereich der NIS2-Regulierung fallen grundsätzlich mittlere und große Unternehmen. Als mittelgroße Unternehmen zählen solche mit 50 bis 249 Beschäftigten oder 10 bis 50 Millionen Euro Umsatz bei unter 43 Millionen Euro Jahresbilanzsumme. Große Unternehmen müssen mindestens 250 Beschäftigte oder mindestens 50 Millionen Euro Umsatz sowie eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen. Doch auch kleine Unternehmen mit weniger als 50 Beschäftigten können betroffen sein. Dies gilt vor allem für Unternehmen entlang der Lieferkette von NIS2-regulierten Unternehmen, die letzteren die Einhaltung des NIS2-Cybersicherheitsniveaus zusichern müssen.

Insgesamt wird der Anwendungsbereich stark ausgedehnt. Auch bereits KRITIS-regulierte Unternehmen können von den neuen Regelungen betroffen und müssen prüfen, welche neuen Maßnahmen sie nach dem NIS2UmsuCG zu ergreifen haben. Ob ein Unternehmen unter die neue NIS2-Regulierung fällt, ist letztlich eine Frage des Einzelfalls. Die Beantwortung dieser Frage wird den Unternehmen selbst auferlegt – denn die Unternehmen müssen eigenständig ermitteln, ob sie in den Anwendungsbereich der NIS2 und des NIS2UmsuCG fallen.

Welche Pflichten gelten für die betroffenen Unternehmen?

Im Hinblick auf die Pflichten für betroffene Unternehmen setzt das NIS2UmsuCG die Vorgaben der NIS2-Richtlinie um, geht aber in Teilen noch darüber hinaus.

Die Unternehmen trifft zunächst ein umfangreicher Katalog an Maßnahmen des Risikomanagements. Sie müssen u.a. ein Konzept zur Risikoanalyse erarbeiten, ein Backup- und Krisenmanagement sowie Konzepte zur Zugriffskontrolle entwickeln. Im Vergleich zur KRITIS-Regulierung ist die Sicherheit in der Lieferkette neu hinzugekommen, die durch verhältnismäßige und wirksame Maßnahmen gewährleistet wer-den muss. Betreiber kritischer Anlagen treffen weiterreichende Risikomanagementpflichten.

Bei einem Sicherheitsvorfall müssen die betroffenen Unternehmen einer gemeinsamen Meldestelle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK) innerhalb von 24 Stunden eine Frühwarnung abgeben. Auf die Frühwarnung soll innerhalb von 72 Stunden eine ausführlichere Meldung erfolgen. Innerhalb eines Monats sind die Unternehmen zudem verpflichtet, einen Abschlussbericht einzureichen.

Das NIS2UmsuCG führt außerdem eine sehr weitgehende Verpflichtung der Unternehmensleitung ein. Geschäftsleiter und Geschäftsleiterinnen müssen Risikomanagementmaßnahmen nicht nur überwachen, sondern selbst „umsetzen“. Hinzu kommt, dass sie persönlich, also mit ihrem Privatvermögen für mangelnde Compliance haftbar gemacht werden können. Im Rahmen einer weitreichenden Schulungspflicht müssen sich Führungskräfte zur Cybersicherheit fortbilden.

Innerhalb der ersten drei Monate nach Inkrafttreten des Gesetzes müssen sich betroffene Unternehmen beim BSI registrieren. Die Registrierungspflicht verdeutlicht auch, wie wichtig eine adäquate Selbsteinschätzung ist: Denn auch die nur irrtümlich fehlerhafte Einschätzung, das eigene Unternehmen falle nicht unter die NIS2-Regulierung, kann bei ausbleibender Registrierung mit einem Bußgeld belegt werden. Die Bußgelder können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen.

Was ist für betroffene Unternehmen jetzt zu tun?

Angesichts des andauernden Vertragsverletzungsverfahrens scheint es naheliegend, dessen Ergebnis und die endgültige Umsetzung abzuwarten. Doch bereits jetzt besteht konkreter Handlungsbedarf. Übergangsfristen wie bei der DSGVO oder dem Hinweisgeberschutzgesetz sind nicht vorgesehen. Unternehmen müssen jetzt ermitteln, ob sie von der NIS2-Regulierung betroffen sind, um sich gegebenenfalls nach der Umsetzung frühzeitig beim BSI registrieren zu können. Ein Verstoß gegen die Registrierungspflicht ist durch die Behörden ohne umfangreiche Ermittlungsarbeit feststellbar, allzu zögerlich agierende Unternehmen müssen daher auch mit schnellen Bußgeldverfahren rechnen.

Aufgrund der hohen Sanktionsrisiken aus der NIS2-Regulierung bietet sich für Unter-nehmen eine Lösung „aus einer Hand“ an, die auf Expertise in den Bereichen Compliance und Bußgeldverfahren zurückgreifen kann. FS-PP Berlin unterstützt Unternehmen punktuell bei der NIS2-Compliance oder im Rahmen eines umfassenden Compliance-Management-Systems.

Ansprechpartner
Dr. David Albrecht
Fabian Breuer