10 Gründe, wie Ihre IT neue Kunden anziehen kann!

NIS-2: Das neue IT-Sicherheitsgesetz für Deutschland

Jonas Miedl

8 min

Aktualisiert:

14.6.24

Veröffentlicht:

27.6.24

Ab 2024 werden knapp 30.000 Unternehmen in Deutschland von dem neuen NIS2-Umsetzungsgesetz betroffen sein, das die IT-Sicherheit und Cybersicherheit auf ein neues Level hebt¹. Die NIS-2-Richtlinie, die am 27.12.2022 im Amtsblatt L333 der Europäischen Union veröffentlicht wurde, muss bis Oktober 2024 in nationales Recht umgesetzt werden². Für die betroffenen Unternehmen bedeutet dies einen signifikanten Anstieg der Security-Pflichten¹.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wird voraussichtlich im März 2024 verkündet und ab Oktober 2024 in Kraft treten³. Es ersetzt die NIS-Richtlinie aus dem Jahr 2016 und erweitert die abgedeckten Sektoren, die nun in elf "wesentliche" und sieben "wichtige" Sektoren unterteilt sind²³. Unternehmen müssen umfassende Risikomanagementmaßnahmen für die Cybersicherheit implementieren und höhere Anforderungen als zuvor erfüllen³.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält erweiterte Befugnisse, darunter Vor-Ort-Inspektionen, Sicherheitsscans, die Anforderung von Informationen von relevanten Institutionen, die Erteilung von Anweisungen und die Verhängung von Geldbußen bis zu 10 Millionen Euro oder 2% des weltweiten Umsatzes für wesentliche Einrichtungen²³. Für wichtige Einrichtungen können die Bußgelder bis zu 7 Millionen Euro oder 1,4% des weltweiten Umsatzes erreichen, mit potenzieller persönlicher Haftung für Geschäftsführer und Vorstände³.

Als externe IT-Abteilung unterstützt MDSystec Unternehmen dabei, die Anforderungen der NIS-2-Richtlinie zu erfüllen und die IT-Sicherheit zu gewährleisten. Wir sind der richtige Ansprechpartner, wenn Sie über keine eigene IT-Abteilung verfügen, mit Ihrem aktuellen IT-Verantwortlichen unzufrieden sind oder einen dringenden IT-Notfall haben.

Kernpunkte

NIS-2-Richtlinie tritt ab 2024 in Kraft und betrifft knapp 30.000 Unternehmen in Deutschland
Signifikante Erhöhung der Security-Pflichten für betroffene Unternehmen
Erweiterung der Sektoren in elf "wesentliche" und sieben "wichtige" Bereiche
Umfassende Risikomanagementmaßnahmen für Cybersicherheit erforderlich
BSI erhält erweiterte Befugnisse, inklusive Inspektionen, Scans und Bußgelder

Einführung in NIS-2

Die NIS-2-Richtlinie, oder auch die "Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union", ist eine wichtige EU-Richtlinie zur Stärkung der Netzwerk- und Informationssicherheit. Sie wurde am 27.12.2022 im Amtsblatt der Europäischen Union veröffentlicht und ist am 16.01.2023 in Kraft getreten⁴. Die Mitgliedsstaaten der EU müssen die Richtlinie bis Oktober 2024 in nationales Recht überführen⁴.

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie ist die überarbeitete Version der ersten NIS-Richtlinie aus dem Jahr 2016. Sie zielt darauf ab, das Cybersicherheitsniveau innerhalb der Europäischen Union zu vereinheitlichen und zu erhöhen. Die Richtlinie schafft einen einheitlichen Rechtsrahmen für den Aufbau nationaler Kapazitäten im Bereich der Cybersicherheit und fördert die Zusammenarbeit zwischen den Mitgliedsstaaten.

Die NIS-2-Richtlinie gilt ab 2024 EU-weit und betrifft Unternehmen in 18 Sektoren, sofern sie mindestens 50 Mitarbeiter oder einen Umsatz von 10 Mio. Euro aufweisen⁵. In Deutschland werden schätzungsweise zwischen 29.000 und 40.000 Unternehmen von der Richtlinie erfasst⁶.

Ziele und Hintergründe der NIS-2-Richtlinie

Das Hauptziel der NIS-2-Richtlinie ist es, durch die Umsetzung eines systematischen Risikomanagements ein einheitliches Sicherheitsniveau zu erreichen und dadurch die Widerstandsfähigkeit der europäischen Infrastruktur gegenüber Cyberbedrohungen zu erhöhen⁶. Die Richtlinie berücksichtigt die zunehmende Digitalisierung und Vernetzung in vielen Bereichen der Gesellschaft und Wirtschaft sowie die damit verbundenen Risiken.

Die NIS-2-Richtlinie unterscheidet zwischen 11 "wesentlichen" (Essential) und 7 "wichtigen" (Important) Sektoren⁵. Zu den betroffenen Sektoren gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur und Abfallwirtschaft⁵. Einrichtungen in den Bereichen Verteidigung, nationale Sicherheit, Justiz und Zentralbanken sind von der Richtlinie ausgenommen⁵.

Unternehmen, die unter die NIS-2-Richtlinie fallen, müssen ab 2024 verschärfte gesetzliche Anforderungen an die Informationssicherheit erfüllen⁵. Dazu gehören Themen wie Cyber-Risikomanagement, Kontrolle und Überwachung sowie der Umgang mit Zwischenfällen und die Gewährleistung der Geschäftskontinuität⁴. Die Nichteinhaltung der Vorgaben kann zu Bußgeldern von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes führen⁶.

Insgesamt zielt die NIS-2-Richtlinie darauf ab, das Cybersicherheitsniveau in der EU zu stärken, indem sie einheitliche Standards schafft, die Zusammenarbeit fördert und die Widerstandsfähigkeit kritischer Infrastrukturen erhöht. Sie berücksichtigt dabei die zunehmende Bedeutung der Cybersicherheit in einer digitalisierten Welt und die Notwendigkeit eines gemeinsamen Vorgehens auf europäischer Ebene.

Wesentliche Änderungen durch NIS-2

Die NIS-2-Richtlinie führt im Vergleich zur ersten NIS-Richtlinie aus dem Jahr 2016, die mit Wirkung vom 18.10.2024 aufgehoben wird, umfangreiche Änderungen ein⁷. Die neuen Anforderungen betreffen sowohl private als auch öffentliche Organisationen und sollen das Cybersicherheitsniveau innerhalb der EU vereinheitlichen und erhöhen⁷.

Ausweitung des Geltungsbereichs

Eine der wesentlichen Änderungen durch NIS-2 ist die Ausweitung des Geltungsbereichs. In Deutschland werden nun auch kleine und mittlere Institutionen erfasst, die bisher nicht von der NIS-1-Richtlinie betroffen waren⁸. Schätzungsweise sind bundesweit ca. 30.000 Unternehmen betroffen und müssen bis spätestens 18.10.2024 IT-Sicherheitsmaßnahmen umsetzen sowie Vorfälle melden⁸.

Neue Sektoren und Schwellenwerte

NIS-2 führt neue Sektoren ein, die als kritische Infrastrukturen gelten. Unternehmen aus Anhang I mit hoher Kritikalität umfassen Sektoren wie Energie, Verkehr, Bankwesen und Gesundheitswesen⁷. Anhang II nennt sonstige kritische Sektoren wie Post- und Kurierdienste, Produktion und Handel mit chemischen Stoffen sowie digitale Dienstleister⁷. Die NIS-2-Richtlinie deckt insgesamt 18 Sektoren ab, mit 11 "wesentlichen" und 7 "wichtigen" Sektoren⁵.

Neue Schwellenwerte definieren, welche Unternehmen als mittlere oder große Unternehmen gelten. Mittlere Unternehmen nach EU-Recht haben mindestens 250 Beschäftigte und einen Jahresumsatz von mehr als 50 Mio. Euro⁷. Ab 2024 müssen Unternehmen mit mindestens 50 Mitarbeitern und 10 Millionen Euro Umsatz die Mindeststandards für Cybersicherheit gemäß NIS-2 erfüllen⁵.

Verschärfte Sicherheitsanforderungen

Die Sicherheitsanforderungen werden durch NIS-2 deutlich verschärft. Dazu gehören ein mehrstufiges Meldeverfahren bei erheblichen Sicherheitsvorfällen, die persönliche Haftung der Geschäftsleitung und erhöhte Sanktionen bei Verstößen⁷. Die maximale Geldbuße bei Verstößen gegen NIS-2 kann für wesentliche Einrichtungen bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes betragen, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4% des Jahresumsatzes⁷.

Einrichtungstyp	Maximale Geldbuße
Wesentliche Einrichtungen	10 Mio. Euro oder 2% des weltweiten Jahresumsatzes
Wichtige Einrichtungen	7 Mio. Euro oder 1,4% des weltweiten Jahresumsatzes

Für neu betroffene Einrichtungen wird ein Kostenanstieg von 22% erwartet, während bereits durch NIS-1 regulierte Einrichtungen mit einem Anstieg von 12% rechnen⁷. Experten prognostizieren eine ähnlich große Auswirkung auf Unternehmen wie die Einführung der DSGVO im Jahre 2018⁷.

Betroffene Unternehmen und Einrichtungen

Die Umsetzung der NIS-2-Richtlinie in Deutschland ab 2024 wird voraussichtlich rund 30.000 Unternehmen betreffen, von denen bislang nur etwa 40 Prozent angemessene Maßnahmen ergriffen haben⁹. Dabei unterscheiden wir drei Hauptgruppen: Betreiber kritischer Anlagen (KRITIS), besonders wichtige Einrichtungen und wichtige Einrichtungen¹⁰.

Für allgemeinere Informationen zur IT-Sicherheit in Unternehmen gibt es mehr Infos in diesem Blog von uns
IT Sicherheitsberatung für Ihr Unternehmen

Betreiber kritischer Anlagen (KRITIS)

Betreiber kritischer Infrastrukturen (KRITIS) werden unter NIS-2 zu Betreibern kritischer Anlagen und gelten automatisch als besonders wichtige Einrichtungen¹⁰. Die Einstufung als KRITIS-Anlage erfolgt weiterhin nach der bewährten Methodik basierend auf Sektoren, kritischen Dienstleistungen und Anlagen, die bestimmte Schwellenwerte überschreiten (≥ 500.000 versorgte Personen)¹⁰. Insgesamt werden 4.693 KRITIS-Betreiber und Anbieter digitaler Dienste erwartet⁹.

Besonders wichtige Einrichtungen

Zu den besonders wichtigen Einrichtungen zählen Großunternehmen aus den in Anhang 1 der NIS-2-Richtlinie genannten Sektoren sowie einige Unternehmen unabhängig von ihrer Größe¹⁰. Maßgeblich sind hier Faktoren wie Mitarbeiterzahl oder Jahresumsatz und Bilanzsumme¹⁰. Insgesamt wird mit rund 8.100 besonders wichtigen Einrichtungen gerechnet, darunter etwa 3.400 neue Einrichtungen zusätzlich zu den KRITIS-Betreibern⁹.

Wichtige Einrichtungen

Als wichtige Einrichtungen gelten sowohl große als auch mittlere Unternehmen aus den in Anhang 1 und 2 der NIS-2-Richtlinie aufgeführten Sektoren¹⁰. Ausschlaggebend sind auch hier Kriterien wie Mitarbeiterzahl oder Jahresumsatz und Bilanzsumme¹⁰. Es wird erwartet, dass rund 20.900 Unternehmen in diese Kategorie fallen werden⁹.

Einrichtungstyp	Anzahl	Kriterien
Betreiber kritischer Anlagen (KRITIS)	4.693	Sektoren, kritische Dienstleistungen, Schwellenwerte (≥ 500.000 versorgte Personen)
Besonders wichtige Einrichtungen	8.100 (inkl. 3.400 neue)	Großunternehmen bestimmter Sektoren, teilweise größenunabhängig
Wichtige Einrichtungen	20.900	Große und mittlere Unternehmen vieler Sektoren

Die Einstufung der Unternehmen erfolgt anhand spezifischer Sektoren und Unternehmensgrößen, wobei Faktoren wie Mitarbeiterzahl, Jahresumsatz und Bilanzsumme eine entscheidende Rolle spielen¹⁰. Zu den betroffenen Sektoren gehören unter anderem Energie, Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasserversorgung, IT und Telekommunikation, Raumfahrt, Abfallentsorgung, verarbeitendes Gewerbe, Chemie und Forschungseinrichtungen¹⁰. Die jährlichen Compliance-Kosten werden voraussichtlich um rund 1,65 Milliarden Euro steigen, wobei einmalig etwa 1,37 Milliarden Euro speziell für die Wirtschaft anfallen⁹. Diese Kosten entstehen hauptsächlich durch die Umsetzung oder Anpassung digitaler Prozesse, während die Verwaltungskosten für Informationspflichten rund 121 Millionen Euro betragen⁹.

NIS-2 und die Cybersicherheitsanforderungen

Die NIS-2-Richtlinie stellt umfassende Anforderungen an die Cybersicherheit der betroffenen Unternehmen in 18 Sektoren, die ab 2024 Mindeststandards für die Informationssicherheit umsetzen müssen⁵. Zwischen 29.000 bis 40.000 Unternehmen in Deutschland könnten von der NIS-2 betroffen sein, die den Kreis der regulierten Unternehmen im Vergleich zur vorherigen NIS Directive erhöht¹¹. Die Richtlinie gilt für Unternehmen mit mindestens 50 Mitarbeitern und 10 Millionen Euro Umsatz⁵⁴.

Zu den Anforderungen gehören Maßnahmen zum Risikomanagement, Meldepflichten bei Sicherheitsvorfällen, Registrierungspflichten, technische Sicherheitsmaßnahmen und Governance-Anforderungen. Unternehmen müssen unter anderem Maßnahmen im Risikomanagement, Vorfallsbewältigung, Business Continuity, Supply Chain Sicherheit, Einkauf von IT-Systemen und Kryptografie umsetzen, um den NIS-2 Standards zu entsprechen¹¹. Laut der PwC-Studie "Digital Trust Insights 2023" erlitten 30% der befragten Unternehmen Datenverluste in Millionenhöhe durch Cyberangriffe⁵.

Für Betreiber kritischer Anlagen besteht eine Nachweispflicht alle drei Jahre, für Einrichtungen eine Dokumentationspflicht und stichprobenartige Überprüfungen durch Behörden. "Besonders wichtige" Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren¹¹. Die Geschäftsführung von Betreibern Kritischer Infrastruktur muss die Einhaltung der NIS-2-Anforderungen überwachen¹¹. Bei Verletzung der Überwachungspflichten haftet ein Geschäftsleiter für entstandene Schäden⁴.

Die staatlichen Befugnisse werden durch mehr Registrierungen, Nachweise und Meldepflichten erweitert. Für besonders wichtige Einrichtungen können Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des Jahresumsatzes verhängt werden⁴. Sanktionen für wichtige Einrichtungen können bis zu sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes betragen⁴¹¹.

Kategorie	Anforderungen
Risikomanagement	Identifizierung und Bewertung von Cyberrisiken, Implementierung von Schutzmaßnahmen
Meldepflichten	Meldung erheblicher Sicherheitsvorfälle an zuständige Behörden
Registrierung	Registrierung beim BSI für "besonders wichtige" Einrichtungen
Technische Maßnahmen	Umsetzung von Sicherheitsmaßnahmen für IT-Systeme, Netzwerke, Kryptografie
Governance	Überwachung der NIS-2-Compliance durch Geschäftsführung, Haftung bei Verstößen
Nachweispflicht	Alle 3 Jahre für Betreiber kritischer Anlagen
Dokumentationspflicht	Für Einrichtungen, stichprobenartige behördliche Überprüfungen

Die Implementierung und Überwachung der NIS-2-Standards wird für viele Unternehmen eine komplexe und zeitintensive Aufgabe sein¹¹. Laut der Studie "Digital Trust Insights 2023" berichteten 38% der Befragten von unklaren Verantwortlichkeiten und Zuständigkeiten in der OT- und IT-Sicherheit, während 37% einen Mangel an Risikobewertung und Folgenabschätzung beklagten⁵. Unternehmen müssen daher ein Informationssicherheitsmanagementsystem (ISMS) implementieren, um den gesetzlichen Anforderungen zu entsprechen¹¹.

Wir als MDSystec unterstützen Sie gerne bei der Vorbereitung auf die NIS-2-Anforderungen. Als externe IT-Abteilung übernehmen wir für Sie die Umsetzung der geforderten technischen und organisatorischen Maßnahmen. Unser erfahrenes Team steht Ihnen mit Kompetenz und Know-how zur Seite, um die Cybersicherheit in Ihrem Unternehmen zu stärken und die Compliance sicherzustellen. Kontaktieren Sie uns, um gemeinsam Ihre individuelle NIS-2-Strategie zu entwickeln.

Umsetzung von NIS-2 in Deutschland

Die NIS-2-Umsetzung in Deutschland erfolgt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), welches derzeit als Referentenentwurf vorliegt und sich in der Ressortabstimmung befindet. Das NIS2UmsuCG wird voraussichtlich am 18.10.2024 in Kraft treten, um die Verpflichtungen der NIS-2-Richtlinie fristgerecht bis zum 17.10.2024 umzusetzen¹². Mit der Einführung des Gesetzes werden das BSI-Gesetz und die KRITIS-Verordnung merklich beeinflusst, was in Kombination mit dem KRITIS-Dachgesetz zu einem signifikanten Anstieg der registrierungspflichtigen Institutionen führen wird.

NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG)

Das NIS2-Umsetzungsgesetz betrifft knapp 30.000 Unternehmen in Deutschland¹. Besonders wichtige Einrichtungen müssen mindestens 250 Mitarbeitende beschäftigen oder einen Jahresumsatz von über 50 Mio. € und eine Jahresbilanzsumme von über 43 Mio. € aufweisen¹². Mittlere Unternehmen mit über 50 Mitarbeitern oder einem Umsatz über 10 Mio. EUR werden als wichtige Einrichtungen betrachtet¹. Wichtige Einrichtungen sind Unternehmen, die zwischen 50 und 249 Mitarbeitende beschäftigen oder einen Jahresumsatz von über 10 Mio. € und eine Jahresbilanzsumme von über 10 Mio. € aufweisen¹². Betreiber kritischer Anlagen umfassen Sektoren wie Energie, Transport/Verkehr, Finanzen/Versicherungen usw.¹.

Verpflichtungen und Sanktionen

Die NIS2-Umsetzung beinhaltet erweiterte Verpflichtungen und Sanktionsvorschriften für Unternehmen¹. Registrierungen, Nachweise und Meldepflichten nehmen für Unternehmen durch das Gesetz zu¹. Für Betreiber kritischer Anlagen (KRITIS) besteht eine Nachweispflicht bezüglich der NIS-2-Richtlinie, die alle drei Jahre erneuert werden muss¹¹². Ein dreistufiges Meldesystem für Sicherheitsvorfälle ist vorgesehen¹². Das BSI kann bei besonders wichtigen Einrichtungen anlasslose Kontrollen durchführen¹².

Bei Verstößen gegen das NIS2-Umsetzungsgesetz drohen Bußgelder zwischen 100.000 und 20 Mio. EUR¹. Für Unternehmen, die den Pflichten der NIS-2-Richtlinie nicht nachkommen, können Bußgelder bis zu 10 Mio. € oder 2% des weltweiten Gesamtumsatzes betragen¹². Für wichtige Einrichtungen und KRITIS-Unternehmen können Sanktionen bis zu 7 Mio. € oder 1,4% des Jahresumsatzes verhängt werden¹². Geschäftsführer haften bei Nichterfüllung der Anforderungen mit ihrem Privatvermögen, wobei die Obergrenze bei 2% des weltweiten Jahresumsatzes des Unternehmens liegt¹².

Unternehmenskategorie	Kriterien	Verpflichtungen	Sanktionen
Besonders wichtige Einrichtungen	mind. 250 MA oder Umsatz > 50 Mio. €, Bilanz > 43 Mio. €	Risikomanagement, Meldepflichten, Registrierung, Nachweise	bis 10 Mio. € oder 2% des Umsatzes
Wichtige Einrichtungen	50-249 MA oder Umsatz > 10 Mio. €, Bilanz > 10 Mio. €	Risikomanagement, Meldepflichten, Registrierung, Dokumentation	bis 7 Mio. € oder 1,4% des Umsatzes
KRITIS-Betreiber	Anlagen in Sektoren wie Energie, Transport, Finanzen etc.	Nachweispflicht alle 3 Jahre, Meldepflichten	bis 20 Mio. € oder 2% des Umsatzes

Die NIS2-Umsetzung beinhaltet umfassende Anforderungen an Betreiber und Einrichtungen wie Risikomanagement, Meldepflichten, Registrierung und Nachweise¹. Ein Mapping von NIS2 auf ISO 27001 wird vorgeschlagen, um die Umsetzung für Einrichtungen zu erleichtern¹. MDSystec als externe IT-Abteilung unterstützt Sie gerne bei der Erfüllung der NIS2-Anforderungen, sei es im Rahmen eines längerfristigen Betreuungsvertrags oder auch in akuten IT-Notfällen.

Vorbereitung auf NIS-2

Um die Anforderungen der NIS-2-Richtlinie zu erfüllen, die im Oktober 2024 durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland in Kraft tritt¹³, müssen sich betroffene Unternehmen frühzeitig vorbereiten. Das nationale Umsetzungsgesetz zu NIS-2 soll am 18. Oktober 2024 in Kraft treten¹⁴. Etwa 5.000 bis 6.000 KRITIS-Betreiber und rund 30.000 weitere Einrichtungen in Deutschland werden von den neuen Anforderungen betroffen sein¹³. Unternehmen in bestimmten Sektoren könnten bereits ab 50 Mitarbeitern von der NIS-2-Richtlinie betroffen sein¹⁴.

Risikomanagement und Informationssicherheit

Ein wesentlicher Bestandteil der Vorbereitung ist die Einführung eines Informationssicherheitsmanagementsystems (ISMS) zum Management von Cyberrisiken. Betriebe, die von NIS-2 betroffen sind, müssen die Norm ISO 27001 umsetzen¹⁴. Unternehmen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um Sicherheitsrisiken zu beherrschen gemäß der NIS-2-Richtlinie¹³. Dazu gehört auch die Prüfung genutzter Lieferketten und die regelmäßige Erneuerung von Zertifikaten¹⁴.

Eine Fit-Gap-Analyse kann Unternehmen helfen, offene Maßnahmen zu identifizieren und die entsprechenden Lücken bis Oktober 2024 zu schließen¹³. Es ist wichtig, interne Abteilungen und Personen zu identifizieren, die von NIS-2 betroffen sein könnten und sie regelmäßig auf demselben Stand zu halten¹⁴.

Zusammenarbeit mit Behörden

Die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ist für betroffene Unternehmen erforderlich¹⁴. Gemäß NIS-2 müssen Cybersicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden und innerhalb von 72 Stunden bewertet werden¹⁴. Ein ausführlicher Bericht zu Cybersicherheitsvorfällen muss innerhalb von einem Monat an die Meldebehörde gesendet werden¹⁴.

Eine zentrale KRITIS-Organisation kann helfen, die zahlreichen Pflichten zu koordinieren und zu steuern. Eine enge Zusammenarbeit mit den zuständigen Behörden wie dem BSI ist dabei unerlässlich. Wir von MDSystec unterstützen Sie als externe IT-Abteilung bei der Vorbereitung auf NIS-2 und der Erfüllung der Anforderungen.

Fazit

Die NIS-2-Richtlinie stellt eine bedeutende Weiterentwicklung der Cybersicherheit in Deutschland dar und erfordert eine enge Kooperation zwischen Staat und Wirtschaft, um den wachsenden Herausforderungen im Bereich der IT-Sicherheit effektiv zu begegnen. Mit der Umsetzung der Richtlinie in nationales Recht bis zum 17. Oktober 2024¹⁵ werden nicht nur die Befugnisse des BSI erweitert, sondern auch harmonisierte europäische Mindestsicherheitsstandards etabliert und eine Kriseninfrastruktur für schnelle transnationale Unterstützung aufgebaut¹⁶.

Für Unternehmen in essenziellen Sektoren wie Energie, Finanzen, Gesundheit und öffentliche Verwaltung sowie in wichtigen Sektoren wie Logistik, Abfallwirtschaft, Lebensmittel und Forschung¹⁶ bedeutet dies die Umsetzung eines Mindestsicherheitsstandards durch Risikomanagementkonzepte¹⁶. Die Einführung von sektorspezifischen Klassifizierungen als essenziell und wichtig zielt darauf ab, die Implementierung definierter Sicherheitsmaßnahmen branchenübergreifend zu erleichtern¹⁶.

Wir bei MDSystec sind davon überzeugt, dass die NIS-2-Richtlinie einen wichtigen Schritt in Richtung einer verbesserten Cybersicherheit darstellt. Als externe IT-Abteilung unterstützen wir Unternehmen dabei, die Anforderungen der Richtlinie zu erfüllen und ihre Widerstandsfähigkeit gegenüber digitalen Angriffen zu stärken. Gemeinsam können wir die Herausforderungen meistern und dazu beitragen, dass Deutschland seiner Vorreiterrolle innerhalb der EU auf dem Gebiet der Cybersicherheit gerecht wird.

FAQ

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie wurde am 27.12.2022 im Amtsblatt der Europäischen Union veröffentlicht und muss bis Oktober 2024 in nationales Recht umgesetzt werden. Die NIS-2-Richtlinie ist eine Weiterentwicklung der ersten NIS-Richtlinie aus dem Jahr 2016 und soll das Cybersicherheitsniveau innerhalb der EU vereinheitlichen und erhöhen.

Welche Unternehmen und Einrichtungen sind von NIS-2 betroffen?

Die von NIS-2 betroffenen Unternehmen in Deutschland bestehen aus drei Hauptgruppen: Betreiber kritischer Anlagen (bisherige KRITIS-Betreiber), besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Einstufung erfolgt nach Unternehmensgröße und Sektorzugehörigkeit. Besonders wichtige Einrichtungen sind Großunternehmen bestimmter Sektoren sowie einige Unternehmen unabhängig ihrer Größe. Wichtige Einrichtungen sind Großunternehmen und mittlere Unternehmen in vielen Sektoren.

Welche Anforderungen stellt NIS-2 an die Cybersicherheit der betroffenen Unternehmen?

Die NIS-2-Richtlinie stellt umfassende Anforderungen an die Cybersicherheit der betroffenen Unternehmen. Dazu gehören Maßnahmen zum Risikomanagement, Meldepflichten bei Sicherheitsvorfällen, Registrierungspflichten, technische Sicherheitsmaßnahmen und Governance-Anforderungen. Für Betreiber kritischer Anlagen besteht eine Nachweispflicht alle drei Jahre, für Einrichtungen eine Dokumentationspflicht und stichprobenartige Überprüfungen durch Behörden.

Wie wird NIS-2 in Deutschland umgesetzt?

Die Umsetzung der NIS-2-Richtlinie erfolgt in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Es liegt als Referentenentwurf vor und befindet sich derzeit in der Ressortabstimmung. Das NIS2UmsuCG wird das BSI-Gesetz und die KRITIS-Verordnung merklich beeinflussen und in Kombination mit dem KRITIS-Dachgesetz zu einem signifikanten Anstieg der registrierungspflichtigen Institutionen führen.

Welche Sanktionen drohen bei Verstößen gegen NIS-2?

Das NIS2UmsuCG sieht deutlich verschärfte Sanktionen bei Verstößen vor, die sich an denen der DSGVO orientieren und bis zu 20 Millionen Euro oder 2% des Jahresumsatzes betragen können.

Wie können sich Unternehmen auf NIS-2 vorbereiten?

Um die Anforderungen der NIS-2-Richtlinie zu erfüllen, müssen sich betroffene Unternehmen frühzeitig vorbereiten. Dazu gehört die Identifizierung kritischer Dienstleistungen, Anlagen und Komponenten, die Registrierung beim BSI, die Benennung einer Kontaktstelle, die Erfüllung von Meldepflichten bei Sicherheitsvorfällen sowie die Einführung eines Informationssicherheitsmanagementsystems (ISMS) zum Management von Cyberrisiken. Eine zentrale KRITIS-Organisation kann helfen, die zahlreichen Pflichten zu koordinieren und zu steuern.