Mobile-Menu

Keine Zeit zum Ausruhen NIS-2-Umsetzung verzögert sich weiter

Ein Gastbeitrag von Christian Kirchberger, Christopher Hock und Dr. Roman Krepki 5 min Lesedauer

Anbieter zum Thema

cyberintelligence.institute GmbH

Die EU-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau, üblicherweise als NIS-2-Richtlinie bezeichnet, zwingt Unternehmen und öffentliche Einrichtungen bereits jetzt zum Handeln, auch wenn infolge des Scheiterns der Regierungskoalition ihre Vorschriften bisher nicht in nationales deutsches Recht transformiert wurden und somit noch nicht gelten.

NIS-2 zwingt Unternehmer und öffentliche Stellen zum Handeln, da keine Übergangsfrist vorgesehen ist. Die vom BSIG-E formulierten Pflichten müssen die Einrichtungen daher erfüllen können, sobald das Gesetz gilt.(Bild: © Muhammad - stock.adobe.com)
NIS-2 zwingt Unternehmer und öffentliche Stellen zum Handeln, da keine Übergangsfrist vorgesehen ist. Die vom BSIG-E formulierten Pflichten müssen die Einrichtungen daher erfüllen können, sobald das Gesetz gilt.
(Bild: © Muhammad - stock.adobe.com)

NIS-2 ist als EU-Richtlinie ausgekleidet. Anders als EU-Verordnungen – wie z.B. die Datenschutzgrundverordnung (DSGVO) - gelten Richtlinien nicht unmittelbar gegenüber den juristischen und natürlichen Personen und sonstigen Einrichtungen, die sie betreffen sollen. (Streng juristisch gilt das nicht ganz uneingeschränkt; die Ausnahmen sind für diesen Beitrag aber nicht relevant.) Vielmehr verpflichten EU- Richtlinien die EU-Mitgliedstaaten, den Rahmen, den die jeweilige Richtlinie setzt, zu konkretisieren und in nationale Gesetze zu überführen. EU-Richtlinien sollen den Mitgliedsstaaten mehr Spielraum geben als EU-Verordnungen. Verordnungen schaffen Einheitsrecht, Richtlinien Rechtsangleichung in der EU.

Die bisherige Regierungskoalition hatte geplant, mit dem NIS-2-Umsetzungs- und Cyber­sicherheits­stärkungs­gesetz die NIS-2-Richtlinie, die gemäß EU-Vorgaben bis Oktober 2024 umzusetzen gewesen wäre, bis zum März 2025 in das deutsche Recht zu transformieren. Damit sollte Cybersicherheit für viele tausend Unternehmen in Deutschland erstmals gesetzliche Pflicht werden. Mit dem Scheitern der Regierung am 6. November 2024 scheiterte vorerst auch das Gesetzesvorhaben.

Mit der Konstituierung des neuen Bundestags sind sämtliche vom alten Bundestag noch nicht beschlossenen Gesetzesentwürfe neu einzubringen und zu verhandeln (sog. Diskontinuitäts­prinzip). Die Unterbrechung des Gesetzgebungsverfahrens gibt den von der NIS-2-Richtlinie betroffenen privaten und öffentlichen Einrichtungen Gelegenheit, sich erstmals oder intensiver mit den Anforderungen der NIS-2-Richtlinie und des nationalen Umsetzungsgesetzes an die Cybersicherheit zu befassen.

Herzstück des Entwurfs eines NIS-2-Umsetzungs- und Cyber­sicherheits­stärkungs­gesetzes wiederum ist der Entwurf zur Anpassung des BSI-Gesetzes - BSIG-E (Entwurf eines Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen).

Vom Infrastrukturschutz zum umfassenden Wirtschaftsschutz

Der Anwendungsbereich der NIS-2-Richtlinie und des BSIG-E ist gegenüber ihren Vorläufern erheblich ausgedehnt worden, um eine umfassende Abdeckung der Sektoren und Dienste zu gewährleisten, die im Binnenmarkt für grundlegende gesellschaftliche und wirtschaftliche Tätigkeiten von entscheidender Bedeutung sind (Erwägungsgrund 6, S.1 NIS-2-Richtlinie).

Wichtige EinrichtungenBesond. wichtige EinrichtungenKritische Anlagen
> 50 Mitarbeiter, oder
> 10 Mio € Jahresumsatz, oder
> 10 Mio € Bilanzsumme		> 250 Mitarbeiter, oder
> 50 Mio € Jahresumsatz, oder
> 43 Mio € Bilanzsumme		Schwellwerte nach KritIs-V
Versorgung v. >500.000 Einwohner
Sektoren mit hoher Kritikalität
(Anlage 1)
Sonstige kritische Sektoren
(Anlage 2)		Sektoren mit hoher Kritikalität
(Anlage 1)		Sektoren mit wesentlicher Bedeutung für das staatliche Gemeinwesen und die öffentliche Sicherheit
VertrauensdienstanbieterQualifizierte Vertrauensdienstanbieter, TLD Registrar, DNS-Anbieter Telekommunikations­anbieter ab 50 Mitarbeiter, oder >10 Mio € Jahresumsatz/Jahresbilanz
Betreiber kritischer Anlagen		 - Energie
- Wasser/Abwasser
- Ernährung
- Gesundheit
- Finanz- & Versicherungswesen
- Informationstechnik und Telekommunikation
- Transport und Verkehr
- Abfallentsorgung

Der Kreis der zukünftig vom BSIG betroffenen Unternehmen wird so auf mehrere Zehntausend anwachsen. Der BSIG-E adressiert in seinen Anlagen 1 und 2 folgende private und öffentliche Einrichtungen:

Sektoren mit hoher Kritikalität (Anlage 1)Sonstige kritische Sektoren (Anlage 2)
Energie
u.a. Strom- und Gasversorgung, Fernwärme, Kraftstoffe und Heizöl		Post- und Kurierdienste
Transport und Verkehr
u.a. Luft- und Schienenverkehr, Schifffahrt, Straßenverkehrsanlagen		Siedlungsabfallentsorgung
Gesundheit
u.a. Arzneimittelforschung, -entwicklung und Herstellung, Erbringer von Gesundheitsdienstleistungen		Produktion, Herstellung und Handel mit chemischen Stoffen und Erzeugnissen
(Artikel 3, Nummer 9 und 14 der Verordnung (EG) Nr. 1907/2006)
Wasser und AbwasserProduktion, Verarbeitung und Vertrieb von Lebensmitteln
(Artikel 3, Nummer 2 der Verordnung (EG) Nr. 178/2002)
Trinkwasserversorgung, AbwasserbeseitigungVerarbeitendes Gewerbe / Herstellung von Waren
- Medizinprodukte und In-Vitro Diagnostika
- Datenverarbeitungsgeräte, elektronische und opt. Erzeugnisse
- Elektrische Ausrüstung
- Maschinenbau
- Kraftwagen, Kraftwagenteile, sonstiger Fahrzeugbau
Finanz- und VersicherungswesenAnbieter digitaler Dienste
Online-Marktplätze, Suchmaschinen, soziale Netzwerke
Informationstechnik und Telekommunikation
u.a. Internet-Knoten, DNS-Dienste, TLD-Registrare, Rechenzentren, Cloud-Dienste		Forschung
Weltraum
Qualifizierte Vertrauensdienste
Zentrale Verwaltungsbehörden

Die Geschäftsleitung im Blick

Die Geschäftsleitung ist verpflichtet, Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Ein älterer Entwurf des BSIG sah noch vor, dass die Geschäfts­leitung diese Pflichten nicht delegieren durfte. In der aktuellen Entwurfsversion findet sich das Verbot nicht mehr. An den Schulungspflichten ändert das aber nichts. Der BSIG-E sieht weiterhin Pflichtschulungen für Geschäftsleitungen auf dem Gebiet der Cybersicherheit vor.

Die aktuelle Entwurfs-Regelung zur Haftung der Leitungsorgane sieht vor, dass Geschäftsleitungen ihren Unternehmen für Schäden, die sie durch Pflichtverletzungen schuldhaft verursachen, nach den Regelungen des Gesellschaftsrechts haften.

Keine Zeit zum Ausruhen

NIS-2 zwingt Unternehmer und öffentliche Stellen zum Handeln, da keine Übergangsfrist vorgesehen ist. Die vom BSIG-E formulierten Pflichten müssen die Einrichtungen daher erfüllen können, sobald das Gesetz gilt.

Betroffene Einrichtungen haben daher keine Wahl. Sie müssen sich mit den Inhalten des jeweils jüngsten Entwurfs auseinandersetzen und den dort formulierten Pflichtenkatalog mit hoher Priorität abarbeiten. Um der Cybersicherheit durch NIS-2 das nötige Gewicht zu verleihen, verknüpft der BSIG- E Verstöße mit empfindlichen Bußgeldern.

Aufgrund der Komplexität der involvierten Themen ist eine GAP-Analyse des IST-Stands dieser Maßnahmen im Unternehmen und frühzeitige Umsetzung von ggf. fehlenden Maßnahmen dringend empfohlen.

Vorgeschriebene Maßnahmen beinhalten dabei folgende umzusetzende Punkte:

  • Konzepte in Bezug auf Risikoanalyse und Sicherheit für Informationssysteme
  • Bewältigung von Sicherheitsvorfällen
  • Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement)
  • Sicherheit der Lieferkette und zwischen einzelnen Einrichtungen sowie ihren unmittelbaren (Dienste-) Anbietern
  • Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informations-technischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
  • Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risiko-managementmaßnahmen im Bereich der Cybersicherheit
  • Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
  • Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung
  • Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
  • Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

Materiell können sich Einrichtungen bzgl. der umzusetzenden IT-Sicherheitsmaßnahmen an den internationalen Normen ISO/IEC 27001 orientieren, um den gesetzlichen Grad an Cybersicherheit zu erlangen und aufrecht zu erhalten.

Bleibt zu hoffen, dass der Schwebezustand bei der längst überfälligen Umsetzung der NIS-2-Richtlinie zügig beendet wird, um Rechtssicherheit zu schaffen, und dass ferner der Gesetzgeber die Gelegenheit nutzt, letzte Mängel des Gesetzesentwurfs zu beseitigen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Über die Autoren

Christian Kirchberger ist Senior Counsel und Rechtsanwalt bei Forvis Mazars am Standort Köln und spezialisiert auf die Aspekte des IT- und IP-Rechts. Er berät nationale und internationale Mandanten insbesondere im Bereich Informations- und Kommunikationsrecht & Digital Business, im IT-Vertragsrecht sowie im Datenschutzrecht.

Christopher Hock ist Director für IT Audit & Advisory bei Forvis Mazars am Standort Frankfurt am Main und auf technisch-organisatorische Sicherheit bei IT-Systemen, SIEM/SOC und Netzwerksicherheit spezialisiert. Er betreut die Themen rund um die EU NIS-2 Richtlinie.

Dr. Roman Krepki ist Senior Manager bei Forvis Mazars am Standort Stuttgart und auf Compliance mit ISO-Managementsystemen, Informationssicherheit und Risikomanagement spezialisiert. Er betreut die Themen rund um die Norm ISO27001 für kritische Infrastrukturen sowie die EU NIS-2 Richtlinie.

(ID:50428614)

Weiterführende Inhalte