Die NIS-2-Richtlinie ist eine Überarbeitung der ursprünglichen NIS-Richtlinie, die 2016 eingeführt wurde. Sie zielt darauf ab, die Cybersicherheitsmaßnahmen innerhalb der EU zu harmonisieren und zu verstärken. Die neue Richtlinie erweitert den Geltungsbereich, wodurch die Richtlinie für mehr Unternehmen rechtsgültig ist. Gleichzeitig stellt NIS-2 auch strengere Anforderungen an die Sicherheitsmaßnahmen und die Meldung von Sicherheitsvorfällen.
Das deutsche Gesetz zur Umsetzung der NIS2-Richtlinie wird voraussichtlich ab März 2025 wirksam und soll bis Ende 2024 den Gesetzgebungsprozess vollständig abschließen. Ursprünglich war geplant, es bis Oktober 2024 umzusetzen, doch laut den aktuellen Plänen der Regierung verzögert sich dies um etwa sechs Monate.
Die NIS2-Richtlinie betrifft Organisationen aus 18 spezifischen Sektoren. Die Definition dieser Kategorien finden Sie ebenfalls in den Anhängen I und II der NIS2-Richtlinie. Diese Anhänge geben genau an, welche Art von Einrichtungen innerhalb jedes Sektors betroffen sind. Es ist daher wichtig zu prüfen, ob Ihre Einrichtung zu den dort genannten Kategorien gehört.
- Elektrizität
- Fernwärme
- Erdöl
- Erdgas
- Wasserstoff
- Luftverkehr
- Schienenverkehr
- Schifffahrt
- Straßenverkehr
- Kreditinstitute
- Handelsplätze
- Zentrale Gegenpartien
- Gesundheitsdienstleister
- EU Labore
- Medizinforschung
- Pharmazeutik
- Medizingeräte
- Wasserversorgung
- Abwasserentsorgung
- Internet-Knoten (IXP)
- DNS (ohne Root)*
- TLD Registries*
- Cloud Provider
- Rechenzentren
- CDNs
- Vertrauensdienste (TSP)*
- Elektronische Kommunikation*
- Managed Service Providers
- Managed Security Service Providers
- Zentralregierung*
- Regionale Regierung*
- Bodeninfrastruktur
- Postdienste
- Abfallbewirtschaftung
- Produzierende Unternehmen
- Herstellung
- Handel
- Produktion
- Verarbeitung
- Vertrieb
- Medizinprodukte und In-vitro
- DV (Computer), Elektronik, Optik
- Elektrische Ausrüstung
- Maschinenbau
- Kraftwagen und Teile
- Fahrzeugbau
- Marktplätze
- Suchmaschinen
- Soziale Netzwerke
- Forschende Institute
Die Unterschiede zwischen "wesentliche" und "wichtige" Sektoren erklärt:
- Wesentliche Sektoren unterliegen einer proaktiven Aufsicht (ohne Anlass) durch die Behörden. Anfallende Geldstrafen fallen höher aus als bei "wichtigen" Sektoren.
- Für wichtige Sektoren sind niedrigere Geldstrafen vorgesehen. Sie werden von den Behörden nur im Bedarfsfall überwacht.
Unabhängig von der Größe oder dem Umsatz eines Unternehmens gibt es bestimmte Ausnahmen. Zum Beispiel können Unternehmen, die kritische Tätigkeiten ausführen, Auswirkungen auf die öffentliche Ordnung haben oder vom Staat als "wichtig" eingestuft werden, unter die NIS2-Richtlinie fallen. Dies gilt auch, wenn sie weniger als 50 Mitarbeiter haben oder ihr Jahresumsatz unter 10 Millionen Euro liegt.
Verteidigung oder Geheimdienste können teilweise oder ganz von den Regelungen ausgenommen sein.
Unternehmen müssen robuste Risikomanagement- und Sicherheitsmaßnahmen implementieren, um sich gegen Cyberbedrohungen zu schützen. Dazu gehören Maßnahmen zur Erkennung, Prävention und Reaktion auf Sicherheitsvorfälle.
Sicherheitsvorfälle müssen unverzüglich an die zuständigen Behörden gemeldet werden. Dies soll eine schnelle Reaktion und Minimierung der Auswirkungen ermöglichen. Hierbei sind klare Meldefristen definiert.
Die NIS-2-Richtlinie sieht erhebliche Sanktionen für Unternehmen vor, die ihre Verpflichtungen nicht erfüllen. Dies umfasst finanzielle Strafen und andere regulatorische Maßnahmen.
Für betroffene Unternehmen ist es entscheidend, frühzeitig Maßnahmen zu ergreifen, um die Anforderungen der NIS-2-Richtlinie zu erfüllen. Wir empfehlen ein mehrstufiges Vorgehen:
Bewertung des aktuellen Sicherheitsniveaus: Führen Sie eine umfassende Bewertung Ihrer aktuellen Sicherheitsmaßnahmen und -protokolle durch, um Schwachstellen zu identifizieren.
Entwicklung eines Risikomanagementplans: Erstellen Sie einen detaillierten Risikomanagementplan, der spezifische Maßnahmen zur Verbesserung der Cybersicherheit beinhaltet. Es gilt klare Richtlinien und Verfahren für den Umgang mit Sicherheitsvorfällen zu definieren.
Schulung und Sensibilisierung: Stellen Sie sicher, dass Ihre Mitarbeiter regelmäßig geschult werden und sich der Bedeutung der Cybersicherheit bewusst sind. Die größte Schwachstelle bei Cyberangriffen ist nach wie vor der Mensch.
Implementierung von Sicherheitsmaßnahmen: Implementieren Sie die erforderlichen Sicherheitsmaßnahmen, einschließlich technologischer Lösungen und organisatorischer Prozesse. Ein Informationssicherheitskonzept kann dabei hilfreich sein.
Regelmäßige Überprüfung und Aktualisierung: Überprüfen und aktualisieren Sie regelmäßig Ihre Sicherheitsmaßnahmen, um mit den sich ständig weiterentwickelnden Bedrohungen Schritt zu halten.
Schutz der Vertraulichkeit und Integrität von Daten während der Übertragung und Speicherung.
Evaluierung von Sicherheitsrichtlinien, Prozessen und Technologien zur Identifizierung von Schwachstellen und Implementierung von Verbesserungen.
Regelmäßige Schulungen für Mitarbeiter zur Sensibilisierung für Cyber-Bedrohungen und Vermittlung von Best Practices, z.B. Phishing-Prävention, sichere Passwortverwendung und Erkennung verdächtiger Aktivitäten.
Simulationen von Cyberangriffen durch Sicherheitsexperten zur Aufdeckung von Schwachstellen in Systemen und Netzwerken, um potenzielle Sicherheitslücken zu identifizieren und zu beheben.
Regelmäßige Aktualisierung von Software und Betriebssystemen, um bekannte Schwachstellen zu schließen und die Angriffsfläche zu reduzieren.
Grundlegende Schutzmechanismen zum Blockieren unerlaubten Zugriffs und schädlicher Software.
Wir sind NIS-2 zertifiziert!
Patrick Hertle ist unser zertifizierter NIS2 Directive Lead Implementer.
Wir verstehen, wie anspruchsvoll die Umsetzung der NIS2-Richtlinie für Unternehmen sein kann. Deswegen ist es umso wichtiger, sich von Experten beraten zu lassen.
Mit unserer fachkundigen, branchenspezifischen Beratung erarbeiten wir gemeinsam mit Ihnen den optimalen Weg zur NIS2-Compliance für Ihr Unternehmen.
Fazit
Die NIS-2-Richtlinie kann einen bedeutenden Schritt zur Verbesserung der Cybersicherheit in der EU darstellen, wiewohl die Umsetzung gerade für den Mittelstand entsprechende Ressourcen erfordert.
Durch eine frühzeitige Vorbereitung und kann die fristgerechte Umsetzung robuster Sicherheitsmaßnahmen gewährleistet werden.Unternehmen stelle somit nicht nur die Compliance sicher, sondern stärken auch ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen.
Bei Fragen zur praktischen Umsetzung stehen wir Ihnen jederzeit gerne unterstützend zur Seite
Sonntag & Partner
Partnerschaftsgesellschaft mbB
Wirtschaftsprüfer, Steuerberater, Rechtsanwälte
Schertlinstraße 23
86159 Augsburg
Telefon: +49 821 57058-0
Telefax: +49 821 57058-153
Wir verzahnen wirtschaftliche, steuerliche und rechtliche Aspekte und beraten fachübergreifend und auf Augenhöhe.
Wir begleiten große Familienvermögen, um langfristige Werte über Generationen zu bewahren.
Wir bieten maßgeschneiderte, praktikable Lösungen zu IT-Compliance, Digitalisierung und IT-Projektmanagement.
Wir beraten, bewerten und prüfen – national, aber auch international als unabhängiger MOORE-Netzwerkpartner.