NIS2: Ist Ihr Unternehmen betroffen?

Von der bisherigen Regelung zur Cyber- und Informationssicherheit waren bisher nur Unternehmen und Institutionen im KRITIS-Bereich betroffen.

Mit NIS2 (Network and Information Security Directive) werden die Cybersicherheitsanforderungen und Sanktionen nochmals deutlich verschärft und gelten durch die neuen Vorgaben nahezu für alle (auch nicht-KRITIS) Unternehmen.

In Deutschland wurde bereits ein erster Entwurf dazu vorgelegt und ist als Cybersicherheitsstärkungsgesetz bekannt (NIS-2UmsuCG). Dieses Gesetz muss bis Oktober 2024 in nationales Recht umgesetzt werden.

Das erste Kriterium, ob man von NIS-2 betroffen ist, hängt von der Betiebsgrösse und dem Umsatz ab:

1. Unternehmen ab 50 Mitarbeitern
   und einem Jahresumsatz zwischen 10-50 Millionen Euro und einer Jahresbilanzsumme zwischen 10-43 Millionen Euro.
   

2. Unternehmen ab 250 Mitarbeitern
   und einem Jahresumsatz ab 50 Milliionen Euro, oder eines Jahresbilanzsumme von mehr als 43 Millionen Euro.

Das zweite Kriterium ist der Untenehmensektor. Dazu gibt es 18 Sektoren, die das zweite ausschlaggebende Kriterium, zusätzlich zur Unternehmensgröße vorgaben.

Wenn beide Kriterien zutreffen, trifft die NIS-2 Richtlinie für Ihr Unternehmen zu.

Aber es gibt dazu auch einige Ausnahmen, unabhängig von der Unternehmensgrösse (Siehe nächster Punkt)

Leider ist die Einstufung nach NIS2 nicht so einfach.

Neben der Unternehmensgröße und den Sektoren gibt es einige Sektoren, die auch Unternehmen erfassen, die weniger als 50 Mitarbeiter haben.

Beschrieben werden dies als "kritische Tätigkeiten" mit Auswirkungen auf die öffentlich Ordnung oder Systemrisiken bestehen. Auch bei grenzüberschreitenden Auswirkungen bei einem Ausfall der Systeme gilbt NIS2 unabhängig von der Unternehmensgrösse.

Die Bereiche und Verteidigung, nationale Sicherheit, öffentliche Sicherheit und Strafverfolgung sind nicht von NIS2 betroffen. Justiz, Parlamente und Zentralbanken sind ebenso ausgenommen.

Im nationalen Recht können aber diese Einrichtung per Gesetz wieder von NIS2 betroffen sein.

Das Gesetz wurde von der EU am 27.12.2022 beschlossen und trat am 16.01.2023 in Kraft.

Gemäß den EU-Vorgaben müssen die Länder dieses Gesetzt zum 17. Oktober 2024 in nationales Recht überführt haben.

Nach derzeitigem Kenntnisstand wird dieser Termin aber nicht mehr zu schaffen sein, da noch einige Hürden bei der Festlegung der Inhalte zu nehmen sind.

Nach aktueller Einschätzung verdichtet sich das Datum für die Umsetzung auf Februar/März 2025.

Da die Umsetzung nicht nur finanziell anspruchsvoll ist, sondern auch enorme Aufwände bei der IT bedeuten, ist die Zeit schon jetzt denkbar knapp - und das obwohl die genauen gesetzlichen Vorgaben noch nicht vorhanden sind. Es existiert lediglich ein grober Rahmen, den es zu erfüllen gibt.

Diese 5-6 Monate sollte jetzt jedes Unternehmen nutzen, um doch noch die Vorgaben umzusetzen und sich mit NIS2 ausgibig befassen.

Die Höhe der Strafen ist von der Einstufung "wichtig" oder "besonders wichtig" abhängig. Es wird nicht zwischen KRITIS oder Wichtigen Anlagen unterschieden.

Bußgeldrahmen für "wichtige Einrichtungen"

• Bis zu 7 Millionen Euro oder ein Höchstbetrag von mindestens 1,4% des Umsatzes aus dem Vorjahr

Busgeldrahmen für "besonders Wichtige Einrichtungen"

• Bis zu 10 Millionen Euro, oder mindestens 2% des Umsatzes aus dem Vorjahr

Um diesen Sanktionen zu entgehen, sollte jedes Unternehmen sicher sein, ob Sie die gesetzlichen Vorgaben erfüllen, bzw. ob Sie betroffen sind.

Bei einem erfolgreichen Cyberangriff durch mangelnde Sicherheitsmaßnahmen und/oder fehlendem Risikomanagement und Überwachung, unter den Gesichtspunkten des Cybersicherheitsgesetzes NIS-2, haften sowohl die Geschäftsleitung, wie auch der Geschäftsleiter:

Haftung für die Geschäftsleitung

• Kosten für Forensik und externe Dienstleister

• Zahlungen von Lösegeld

• Zahlung Bußgelder

Haftung für die Geschäftsleiter

• für den entstandenen Schaden

  Ein Verzicht der Geschäftsleitung gegenüber dem Geschäftsleiter ist unwirksam.
  Außer bei Zahlungsunfähigkeit des Geschäftsleiters kann ein Vergleich mit den Gläubigern erfolgen.

Aufgrund der hohen Schäden in Milliardenhöhe sollen die Unternehmen durch die Einführung eines einheitlich, hohen Schutzniveaus in der EU besser geschützt werden!

Wir erfahren leider täglich, dass viele Unternehmen den Ernst der Lage nicht erkannt haben.

Derzeit soll es keine Übergangsfristen geben.

Es ist auch tatsächlich eine sportliche Herausforderung für unsere Politik, das Gesetzt wirklich bis Oktober 2024 zu verabschieden. Das würde bedeuten, dass praktisch keine Zeit bleibt, die final festgelegten Rahmenbedingunen nach nationalem Recht umzusetzen.

Es bleibt zu hoffen, dass den Unternehmen dann doch eine Übergangsfrist zugestanden wird.

Eine direkte Kontrolle gibt es nicht. Jedoch sieht das Gesetzt vor, dass die betroffenen Unternehmen selbstständig einmal jährlich die Meldung beim BSI abgeben, dass die Vorgaben umgesetzt werden.

Solange es keinen erfolgreichen Cyberangriff auf das Unternehmen gibt, ist wohl nur wenig zu befürchten.

Kommt es aber zu einem Vorfall, dann haben Sie nicht nur den Schaden durch die Hacker, sondern zahlen obendrauf noch eine empfindliche Strafe. Zudem haften Sie sowohl als Geschäftsleitung, wie auch als Geschäftsleiter für die Schäden und Sanktionen.

Da sollten Sie es sich gut überlegen, ob Sie eine solche gesetzliche Vorgabe ignorieren können.

Auch wenn NIS2 für einige Unternehmen eine ziemliche Herausforderung ist, darf man die Intension des Gesetzes nicht außer Acht lassen.

Zuviele Unternehmen haben sich bisher nur wenig oder überhaupt nicht um die Sicherheit der IT-Infrastruktur gekümmert und sind damit ein zusätzliches Risiko für alle anderen Netze.

Mit der Richtlinie werden jetzt alle Unternehmen der genannten Gruppen dazu "gezwungen", sich um die eigene IT-Sicherheit zu kümmern.