NIS-2-Richtlinie Umsetzung: Rechtliche Unterstützung für Unternehmen

NIS-2-Richtlinie Umsetzung: Die zunehmende Digitalisierung und Vernetzung stellen Unternehmen vor erhebliche Herausforderungen in der Cybersicherheit. Die NIS-2-Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates, die Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union vorsieht, bringt weitreichende Änderungen mit sich.

Ziel dieser Richtlinie ist es, Unternehmen und die öffentliche Verwaltung besser vor Cyberangriffen zu schützen und die Resilienz kritischer Infrastrukturen zu stärken.

Der vorliegende Entwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, auch bekannt als NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, setzt diese Anforderungen auf nationaler Ebene um.

Dies betrifft nicht nur Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste, sondern auch zahlreiche weitere Unternehmen und Einrichtungen des öffentlichen Interesses.

Für Unternehmer, Firmen und Konzerne bedeutet dies, dass sie sich auf neue Compliance-Anforderungen und Sicherheitsstandards einstellen müssen. Die Umsetzung dieser Vorgaben kann komplex und ressourcenintensiv sein, bietet jedoch auch Chancen, die eigene Sicherheitslage zu verbessern und langfristige Schäden zu vermeiden.

Unsere Kanzlei Herfurtner bietet umfassende rechtliche Unterstützung, um Unternehmen bei der Einhaltung der neuen Regelungen zu begleiten und optimal zu beraten.

In diesem Beitrag erfahren Sie, welche konkreten Änderungen die NIS-2-Richtlinie mit sich bringt, wie diese umgesetzt werden sollen und welche Maßnahmen Unternehmen jetzt ergreifen sollten, um sich rechtzeitig und umfassend vorzubereiten.

Aktueller Stand: Der Referentenentwurf für das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 7. Mai 2024 veröffentlicht, aber das Gesetz ist noch nicht verabschiedet und verkündet. Die Bundesregierung ist verpflichtet, die NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen.

Hintergrund und Notwendigkeit der NIS-2-Richtlinie

Die moderne Wirtschaft Deutschlands ist stark auf funktionierende und resiliente Infrastrukturen angewiesen. Sowohl physische als auch digitale Infrastrukturen spielen eine zentrale Rolle für die Generierung von Wohlstand und Wachstum sowie für die Anpassungsfähigkeit an geänderte wirtschaftspolitische und geopolitische Rahmenbedingungen.

Diese Faktoren haben in den letzten Jahren erheblich an Bedeutung gewonnen. Unternehmen stehen nicht nur vor wirtschaftlichen Herausforderungen, sondern müssen auch ihre digitale Sicherheit gegen eine Vielzahl externer, oft unkontrollierbarer Bedrohungen absichern.

Europaweit und global vernetzte Prozesse sowie die zunehmende Digitalisierung aller Lebens- und Wirtschaftsbereiche erhöhen die Anfälligkeit gegenüber externen Bedrohungen. Informationstechnik in kritischen Anlagen und bestimmten Unternehmen bildet die Grundlage für die Versorgungssicherheit, sei es in der Energieversorgung, Wasserversorgung oder Abfallentsorgung. Die Sicherheit dieser Systeme ist entscheidend für das Funktionieren der Marktwirtschaft in Deutschland und dem Binnenmarkt der Europäischen Union.

Die NIS-2-Richtlinie zielt darauf ab, die Cybersicherheitsanforderungen europaweit zu harmonisieren und ein hohes gemeinsames Sicherheitsniveau zu gewährleisten. Sie stellt sicher, dass wesentliche Dienste und Tätigkeiten, die von juristischen und natürlichen Personen erbracht werden, vor Cyberbedrohungen geschützt sind.

Dies ist besonders wichtig, da die Vernetzung der Wirtschaft innerhalb Deutschlands und der EU zu Interdependenzen bei der Cybersicherheit führt. Der russische Angriffskrieg auf die Ukraine hat die Bedrohungslage zusätzlich verschärft, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) berichtet. Ransomware-Angriffe, Schwachstellenausnutzungen und Cyberangriffe über die Lieferkette gehören zu den größten Bedrohungen für die Wirtschaft.

Die NIS-2-Richtlinie reagiert auf diese Herausforderungen, indem sie verbindliche Maßnahmen für Verwaltung und Wirtschaft einführt, um ein hohes Sicherheitsniveau zu gewährleisten. Ziel ist es, Unternehmen und öffentliche Einrichtungen vor Schäden durch Cyberangriffe zu schützen und das Funktionieren des europäischen Binnenmarktes zu verbessern.

Die Umsetzung dieser Richtlinie ist für Deutschland von entscheidender Bedeutung, um die Resilienz der Wirtschaft und der öffentlichen Verwaltung gegenüber den Gefahren der digitalen Welt zu erhöhen.

Wichtige Änderungen und Anforderungen

Die NIS-2-Richtlinie bringt eine Reihe bedeutender Änderungen und Anforderungen mit sich, die darauf abzielen, das Cybersicherheitsniveau in der gesamten Europäischen Union zu erhöhen. Diese Änderungen betreffen eine Vielzahl von Einrichtungen und umfassen strengere Sicherheitsanforderungen, ein verbessertes Meldesystem und erweiterte Aufsichtsmaßnahmen.

Hier sind die wichtigsten Änderungen und Anforderungen im Detail:

Einführung neuer Einrichtungskategorien

Die NIS-2-Richtlinie führt neue Kategorien von Einrichtungen ein, die unter die erweiterten Sicherheitsanforderungen fallen. Dies beinhaltet:

• Kritische Infrastrukturen: Einrichtungen, die essenzielle Dienste bereitstellen, wie Energieversorgung, Wasserversorgung, Gesundheitswesen und Transport.
• Wichtige Einrichtungen: Unternehmen und Organisationen, die in wichtigen Wirtschaftssektoren tätig sind, wie Finanz- und Versicherungswesen, digitale Dienstleistungen und öffentliche Verwaltung.

Diese neuen Kategorien erweitern den Anwendungsbereich der Richtlinie erheblich und stellen sicher, dass mehr Einrichtungen strenge Sicherheitsstandards einhalten müssen.

Erweiterung der Mindestsicherheitsanforderungen

Die Richtlinie legt einen umfassenden Katalog von Mindestsicherheitsanforderungen fest, der für alle betroffenen Einrichtungen gilt. Dazu gehören:

• Risikomanagement: Implementierung von technischen und organisatorischen Maßnahmen zur Risikobewertung und -minderung.
• Sicherheitsvorkehrungen: Maßnahmen zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit von IT-Systemen und Daten.
• Schulung und Sensibilisierung: Regelmäßige Schulungen für Mitarbeiter und Sensibilisierung für Cybersicherheitsrisiken.

Diese Maßnahmen zielen darauf ab, die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen und Sicherheitsvorfälle zu minimieren.

Die NIS-2-Richtlinie sieht ein dreistufiges Meldesystem vor

Die bislang einstufige Meldepflicht bei Sicherheitsvorfällen wird durch ein dreistufiges Meldesystem ersetzt:

1. Erstmeldung: Innerhalb von 24 Stunden nach Entdeckung eines Vorfalls.
2. Detailmeldung: Innerhalb von 72 Stunden mit ausführlichen Informationen zum Vorfall.
3. Abschlussmeldung: Nach Abschluss der Untersuchungen und Maßnahmen.

Dieses neue System soll sicherstellen, dass Vorfälle schnell und umfassend gemeldet werden, um rasche Reaktionen und Minimierung von Schäden zu ermöglichen.

Erweiterte Aufsichtsmaßnahmen des BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält erweiterte Befugnisse zur Überwachung und Durchsetzung der Cybersicherheitsanforderungen:

• Kontrollen und Audits: Regelmäßige Überprüfungen der Einhaltung der Sicherheitsanforderungen durch die betroffenen Einrichtungen.
• Maßnahmen bei Verstößen: Befugnis zur Anordnung von Abhilfemaßnahmen bei festgestellten Sicherheitsmängeln.
• Koordination und Unterstützung: Einrichtung eines Chief Information Security Officer (CISO) Bund zur zentralen Koordination und Unterstützung der Ressorts bei der Umsetzung der Informationssicherheitsvorgaben.

Diese erweiterten Aufsichtsmaßnahmen sollen sicherstellen, dass die Sicherheitsanforderungen effektiv umgesetzt und kontinuierlich verbessert werden.

Die Umsetzung dieser Änderungen und Anforderungen ist für Unternehmen und öffentliche Einrichtungen von entscheidender Bedeutung, um ein hohes Maß an Cybersicherheit zu gewährleisten und sich gegen die zunehmenden Bedrohungen im digitalen Raum zu schützen.

Auswirkungen auf Unternehmen der NIS-2-Richtlinie

Die Umsetzung der NIS-2-Richtlinie bringt für Unternehmen eine Vielzahl neuer Pflichten und Anforderungen mit sich. Diese betreffen sowohl die Einhaltung gesetzlicher Vorschriften (Compliance) als auch die finanziellen und organisatorischen Aspekte. Hier sind die wichtigsten Auswirkungen im Detail:

Pflichten und Compliance

Unternehmen, die unter die NIS-2-Richtlinie fallen, müssen eine Reihe neuer Pflichten erfüllen, um die Cybersicherheitsanforderungen zu erfüllen:

1. Implementierung von Sicherheitsmaßnahmen: Unternehmen müssen technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme und -Daten ergreifen. Dazu gehören Maßnahmen zur Risikobewertung, Überwachung und Reaktion auf Sicherheitsvorfälle.
2. Erstellung eines Informationssicherheitsmanagementsystems (ISMS): Unternehmen sind verpflichtet, ein ISMS zu implementieren, das den Anforderungen der NIS-2-Richtlinie entspricht und regelmäßig überprüft und aktualisiert wird.
3. Meldepflichten: Sicherheitsvorfälle müssen nach dem neuen dreistufigen Meldesystem gemeldet werden. Dies umfasst die Erstmeldung innerhalb von 24 Stunden, die Detailmeldung innerhalb von 72 Stunden und eine Abschlussmeldung nach Abschluss der Untersuchungen.
4. Schulung und Sensibilisierung: Regelmäßige Schulungen und Sensibilisierungsmaßnahmen für Mitarbeiter sind erforderlich, um das Bewusstsein für Cybersicherheitsrisiken zu schärfen und den Umgang mit Sicherheitsvorfällen zu verbessern.

Kosten und Nutzen

Die Einhaltung der NIS-2-Richtlinie bringt für Unternehmen sowohl Kosten als auch Nutzen mit sich:

• Kosten: Die Implementierung der erforderlichen Sicherheitsmaßnahmen und die Einhaltung der Meldepflichten können erhebliche finanzielle und personelle Ressourcen erfordern. Dazu gehören Investitionen in IT-Sicherheitstechnologien, die Schulung von Mitarbeitern und die Einstellung oder Schulung von Fachpersonal.
• Nutzen: Trotz der anfänglichen Kosten bietet die Einhaltung der NIS-2-Richtlinie langfristige Vorteile. Ein verbessertes Cybersicherheitsniveau schützt Unternehmen vor den erheblichen finanziellen und reputativen Schäden, die durch Cyberangriffe entstehen können. Darüber hinaus stärkt die Compliance das Vertrauen von Kunden und Geschäftspartnern in die Sicherheit und Zuverlässigkeit des Unternehmens.

NIS-2-Richtlinie: Holen Sie sich Unterstützung durch rechtliche Dienstleistungen

Unsere Kanzlei Herfurtner bietet umfassende rechtliche Unterstützung, um Unternehmen bei der Einhaltung der neuen Regelungen der NIS-2-Richtlinie zu begleiten:

• Beratung und Audit: Wir unterstützen Unternehmen bei der Durchführung von Sicherheitsaudits und der Bewertung bestehender Sicherheitsmaßnahmen im Hinblick auf die neuen Anforderungen.
• Erstellung und Implementierung von Sicherheitskonzepten: Wir helfen bei der Entwicklung und Implementierung von Informationssicherheitsmanagementsystemen (ISMS), die den gesetzlichen Vorgaben entsprechen.
• Schulung und Sensibilisierung: Wir bieten maßgeschneiderte Schulungsprogramme für Mitarbeiter, um das Bewusstsein für Cybersicherheitsrisiken zu erhöhen und den sicheren Umgang mit IT-Systemen zu fördern.
• Meldesysteme und Compliance: Wir unterstützen Unternehmen bei der Einrichtung und Verwaltung der erforderlichen Meldesysteme und stellen sicher, dass alle gesetzlichen Meldepflichten eingehalten werden.

Durch unsere rechtliche Expertise und praxisorientierte Beratung helfen wir Unternehmen, die Herausforderungen der NIS-2-Richtlinie zu meistern und ein hohes Maß an Cybersicherheit zu gewährleisten.

Informationssicherheitsmanagement in der Bundesverwaltung

Die NIS-2-Richtlinie sieht nicht nur für Unternehmen, sondern auch für die öffentliche Verwaltung umfassende Maßnahmen zur Verbesserung der Cybersicherheit vor. Im Rahmen des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes werden daher wesentliche Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung geregelt.

Einführung eines CISO Bund

Eine zentrale Neuerung ist die Einführung eines Chief Information Security Officer (CISO) Bund. Dieser soll als zentraler Koordinator für alle Maßnahmen zur Informationssicherheit in Einrichtungen der Bundesverwaltung fungieren. Die Aufgaben des CISO Bund umfassen:

• Koordination und Unterstützung: Der CISO Bund unterstützt die verschiedenen Ressorts bei der Umsetzung der Vorgaben für das Informationssicherheitsmanagement und stellt sicher, dass alle Maßnahmen einheitlich und effektiv umgesetzt werden.
• Überwachung und Berichterstattung: Der CISO Bund überwacht die Einhaltung der Sicherheitsanforderungen und berichtet regelmäßig über den Stand der Informationssicherheit in der Bundesverwaltung. Dies umfasst die Identifizierung von Schwachstellen und die Empfehlung von Maßnahmen zur Verbesserung der Sicherheitslage.
• Rolle als zentrale Anlaufstelle: Der CISO Bund dient als zentrale Anlaufstelle für alle Fragen zur Informationssicherheit innerhalb der Bundesverwaltung und koordiniert die Zusammenarbeit mit externen Sicherheitsbehörden und anderen relevanten Akteuren.

Harmonisierung der Anforderungen

Ein weiteres zentrales Element des Gesetzes ist die Harmonisierung der Anforderungen an die Informationssicherheit in der Bundesverwaltung. Dies wird durch folgende Maßnahmen erreicht:

• Einheitliche Sicherheitsstandards: Die Einführung einheitlicher Sicherheitsstandards und Richtlinien für alle Einrichtungen der Bundesverwaltung stellt sicher, dass die Informationssicherheit auf einem hohen und konsistenten Niveau gehalten wird. Diese Standards basieren auf den Vorgaben der NIS-2-Richtlinie und werden kontinuierlich aktualisiert, um neuen Bedrohungen und technologischen Entwicklungen Rechnung zu tragen.
• Verhältnismäßigkeit der Maßnahmen: Bei der Umsetzung der Sicherheitsanforderungen wird auf die Verhältnismäßigkeit geachtet. Das bedeutet, dass die Intensität der Maßnahmen an die jeweilige Bedeutung und Größe der Einrichtung angepasst wird. Dadurch soll gewährleistet werden, dass die Maßnahmen effektiv und effizient sind, ohne unverhältnismäßige Belastungen zu verursachen.
• Integration nationaler und unionsrechtlicher Vorgaben: Die Anforderungen an die Informationssicherheit der Bundesverwaltung werden mit den nationalen und unionsrechtlichen Vorgaben harmonisiert. Dies trägt dazu bei, ein kohärentes und handhabbares Regelungsregime zu schaffen, das die Einhaltung der Sicherheitsanforderungen erleichtert und die Verwaltung dabei unterstützt, ihre Informationssicherheitsziele zu erreichen.