Am 17. Oktober soll das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft treten und die von der EU beschlossenen Maßnahmen zur Stärkung der Cybersicherheit im deutschen Recht verankern. Der Controlware Quick Check für die NIS-2-Readiness verrät Unternehmen, welchen Vorgaben sie bereits gerecht werden und wo noch Handlungsbedarf besteht.
Um Unternehmen in der EU künftig besser vor Cyberangriffen zu schützen, brachte die europäische Kommission Anfang 2023 mit der NIS-2-Direktive den Nachfolger der seit 2016 geltenden NIS 1 auf den Weg. Jetzt obliegt es den Regierungen der Mitgliedstaaten, die neue Richtlinie bis 17. Oktober 2024 in ihre jeweilige Gesetzgebung zu übernehmen.
Wie die Umsetzung in Deutschland aussehen wird, galt lange als ungewiss – doch spätestens seit der Veröffentlichung einiger Referentenentwürfe und des offiziellen Regierungsentwurfs für das NIS2UmsuCG im Juli 2024 wurden viele wichtige Fragen beantwortet:
- Wer ist von der NIS 2 betroffen? Die Vorgaben werden in Deutschland nach Expertenschätzungen rund 30.000 mittlere und große Unternehmen aus 18 Sektoren der Wirtschaft betreffen (etwa Versorgung, Verkehr, Finanzen, Gesundheitswesen und ITK). Faktisch wird sich NIS 2 aber auf wesentlich mehr Firmen auswirken, da viele unmittelbar regulierte Unternehmen auch ihre Lieferanten und Dienstleister in die Pflicht nehmen werden, die Maßnahmen und Vorgaben umzusetzen.
- Wie werden die betroffenen Unternehmen klassifiziert? Der Gesetzgeber unterscheidet zwischen besonders wichtigen Einrichtungen (über 250 MA oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanz) und wichtigen Einrichtungen (über 50 MA oder über 10 Mio. Euro Umsatz und über 10 Mio. Euro Bilanz).
- Was müssen diese Unternehmen leisten? Der Regierungsentwurf verpflichtet sie zu einem systematischen Cyberrisikomanagement, das sich an den relevanten europäischen und internationalen Normen orientiert. Hierfür müssen die Unternehmen eine Reihe von Mindestanforderungen an die Cybersicherheit erfüllen und geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen nach dem Allgefahrenansatz ergreifen.
- Was geschieht bei Verstößen gegen die NIS-2-Vorgaben? Bei Verstößen sind abgestufte Bußgelder vorgesehen. Die Obergrenzen sollen zwischen 100.000 Euro und 10 Millionen Euro liegen, für große Einrichtungen können alternativ Bußgelder von bis zu 2 Prozent des weltweiten Jahresumsatzes verhängt werden.
- Was müssen Betroffene als erstes tun? Alle Unternehmen, die unter die Regulierung fallen, müssen sich innerhalb von drei Monaten nach Inkrafttreten des neuen Gesetzes im Online-Portal des BSI (Bundesamt für Sicherheit in der Informationstechnik) registrieren. Diese Deadline zu verpassen, kann teuer werden: Bei ausbleibender oder fehlerhafter Registrierung droht ein Bußgeld von bis zu 500.000 Euro.
„Angesichts des engen Zeitfensters, der höheren Hürden und der verschärften Strafen dürfen die betroffenen Unternehmen NIS 2 keinesfalls auf die leichte Schulter nehmen. Unsere Experten stehen internen Security-Teams in allen Phasen der NIS-2-Umsetzung zur Seite. Dabei wird zunächst im Rahmen des Compliance-Checks ermittelt, wo die Unternehmen bei der Umsetzung stehen und welche Herausforderungen sie adressieren müssen“, sagt Daniel Kammerbauer, Team Lead Governance, Risk & Compliance bei Controlware GmbH.
„Dann entwickeln wir gemeinsam einen Maßnahmenkatalog und beraten bei der Einführung eines systematischen Informationssicherheits-Managements. Selbstverständlich unterstützen wir als IT-Dienstleister und MSP darüber hinaus auch bei der Implementierung und Umsetzung der technischen Konzepte – und stellen so die Weichen für einen nachhaltig sicheren IT-Betrieb.“