Cybersicherheit wird zur Chefsache Persönliche Haftungsrisiken aus der EU-Richtlinie NIS2

Anbieter zum Thema

IT-HAUS GmbH

FTAPI Software GmbH

valvisio international AG

Mit der Novelle der Netzwerk- und Informationssicherheitsrichtlinie (NIS2) legt die EU Mindeststandards für Cybersicherheit fest. Betroffen sind Unternehmen und Behörden ab 50 Beschäftigten und einem Jahresumsatz ab zehn Millionen Euro. Mit NIS2 wird auch eine persönliche Haftung von Geschäftsführern und Vorständen eingeführt, die bei Verstößen gegen die Cybersecurity-Pflichten mit empfindlichen Geldbußen rechnen müssen.

Kaum haben Unternehmen das im Mai 2021 in Kraft getretene IT-Sicherheitsgesetz 2.0 verdaut, steht mit NIS2 bereits die nächste Herausforderung vor der Tür. Ziel der neuen EU-Richtlinie ist es, ein einheitlich höheres Niveau an Cyber-Resilienz in der EU zu schaffen und den Binnen­markt besser vor Cyberangriffen und Betriebsunterbrechungen zu schützen – den beiden größten Risiken für Unternehmen laut einer aktuellen Studie („Allianz Risk Barometer 2023“).

Deutschland muss die „EU-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2-Richtlinie)“ bis Oktober 2024 in nationales Recht umsetzen. Seit April 2023 liegt in Deutschland ein Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) vor.

Anwendungsbereich

Im Vergleich zur NIS1-Verordnung hat NIS2 einen erweiterten Anwendungsbereich und geht über die bisherigen KRITIS-Sektoren hinaus. Unter die Richtlinie fallen alle Einrichtungen, die einer der beiden Größenklassen “Large” und Medium” angehören (vergl. Tabelle) und Leistungen in einem von 18 definierten Sektoren erbringen.

Die Sektoren werden dabei nochmals in zwei Klassen unterteilt (Annex 1 bzw. Annex 2). Die Richtlinie unterscheidet zwischen Essential Entities (Wesentliche Einrichtungen) und Important Entities (Wichtige Einrichtungen). Zu den Essential Entities zählen insbesondere alle Large-Einrichtungen gemäß Annex 1, zu den Important Entities Medium-Einrichtungen gemäß Annex 1 sowie Large- und Medium-Unternehmen gemäß Annex 1 und Annex 2 (siehe Bild). Einige Einrichtungen sollen sogar unabhängig von ihrer Größe reguliert werden, darunter Teile der digitalen Infrastruktur und der öffentlichen Verwaltung.

Was regelt NIS2?

NIS2 definiert grundlegende Anforderungen an die Cyber-Sicherheit. Die betroffenen Einrichtungen sind verpflichtet, die Risiken, die ihre Informationssysteme betreffen, zu kontrollieren. Dazu müssen sie angemessene und verhältnismäßige Maßnahmen auf technischer, betrieblicher und organisatorischer Ebene umsetzen (siehe Artikel 21):

• Konzepte in Bezug auf Risikoanalyse und Sicherheit für Informationssysteme

• Bewältigung von Sicherheitsvorfällen

• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement

• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern

• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen

• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit

• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit

• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung

• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen

• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Darüber hinaus verpflichtet die NIS2-Richtlinie die betroffenen Einrichtungen, innerhalb von 24 Stunden nach Bekanntwerden erheblicher Störungen, Vorfällen oder Cyber-Angriffen auf ihre Systeme eine Frühwarnung an die zuständige nationale Behörde zu senden. Innerhalb von 72 Stunden ist eine detailliertere Bewertung der Situation erforderlich, und nach einem Monat wird ein umfassender Abschlussbericht erwartet (siehe Artikel 23).

Sanktionen

Neu eingeführt wird mit NIS2 eine persönliche Haftung von Führungskräften, die für Verstöße gegen die Einhaltung der Richtlinie verantwortlich gemacht werden können (siehe Artikel 20). Zu den Pflichten der Führungskräfte gehört es auch, selbst an Cybersicherheitsschulungen teilzunehmen und solche Schulungen regelmäßig allen Mitarbeitern anzubieten.

Für Verstöße gegen die Anforderungen von NIS2 gelten Geldbußen bis zu einer Höhe von

• 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes (Essential Entities)

• 7 Mio. Euro oder 1,4 Prozent des weltweiten Umsatzes (Important Entities).

Darüber hinaus kann natürlichen Personen die Wahrnehmung von Leitungsaufgaben auf Geschäftsführungs- bzw. Vorstandsebene bei Essential Entities untersagt werden (siehe Artikel 32/33).

Die Anforderungen der Datenschutzgrundverordnung (DSGVO) an die Verarbeitung personenbezogener Daten sowie die dort vorgesehenen Sanktionsmöglichkeiten bleiben von NIS2 unberührt. Die für NIS2 zuständigen Behörden sind jedoch verpflichtet, eng mit den Datenschutzbehörden zusammenzuarbeiten. Insgesamt wächst damit das Risiko vermehrter Bußgelder, die die Wirtschaftskraft eines Unternehmens ernsthaft gefährden.

Fazit

Die mit NIS2 bevorstehende Einführung von Mindeststandards im Bereich der Cybersicherheit betrifft viele Institutionen, die das Thema bisher nur stiefmütterlich behandelt haben. Die Details bei der Umsetzung der EU-Richtlinie in geltendes deutsches Recht bleiben abzuwarten. Betroffene Unternehmen sollten jedoch bereits ab heute

• Führungskräfte in die Umsetzung von Cybersicherheitsmaßnahmen einbinden

• Mitarbeitende regelmäßig zum Thema IT-Sicherheit schulen

• Grundlegende Maßnahmen zur Cyberhygiene umsetzen, z.B. regelmäßige Sicherheitsupdates sicherstellen, flächendeckend Multi-Faktor-Lösungen zur Anmeldung einsetzen oder Netzwerksegmentierung konsequent umsetzen

• Maßnahmen zur Aufrechterhaltung des Betriebs im Falle eines Angriffs stärken, z.B. durch eine Überprüfung und ggf. Optimierung der Backup- und Wiederherstellungsmöglichkeiten sowie die Erstellung eines Notfallhandbuchs zum Vorgehen bei Cybervorfällen

• Regelmäßige Reviews der eigenen Schutzniveaus durchführen, z.B. in Form von regelmäßigen Schwachstellenscans und Penetration Tests

• Erweiterte technische Maßnahmen zur Erkennung und Abwehr von Cyberangriffen prüfen, z.B. in Form eines Managed Detection & Response (MDR)-Service

Für viele Unternehmen ist der Schutz des Unternehmens bereits seit Jahren eine Selbstverständlichkeit. Durch die NIS2-Richtlinie und das damit verbundene persönliche Haftungsrisiko für Geschäftsführer und andere Leitungsorgane wird sich dieser Kreis nochmals deutlich erweitern.

Über den Autor: Dr.-Ing. Matthias Bender treibt die Themen Cybersicherheit und moderne Zusammenarbeit in mittelständischen Unternehmen voran. Als Leiter mehrerer Competence Center bei der IT-HAUS GmbH verbindet er technisches und betriebswirtschaftliches Know-how mit der seiner Erfahrung im Bereich Unternehmensführung aus seiner früheren Rolle als Geschäftsführer eines IT-Beratungsunternehmens.

(ID:49709488)