NIS2 – Die neue Gesetzgebung zur Cyber­sicherheit

Was ist der Kern der NIS2-Richtlinie?

Die NIS2-Richtlinie erweitert die bestehende NIS-Richtlinie und wird in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz umfasst eine größere Bandbreite an Sektoren, die als kritisch gelten.

Dazu zählen:

• Energie, Gesundheitswesen, Transport, Trink- und Abwasser, Raumfahrt sowie der Finanzsektor
• Öffentliche Verwaltung, IKT-Sektor (Sicherheits- und Betriebsdienste) und digitale Infrastruktur
• Lebensmittelindustrie, Abfallwirtschaft, Post- und Kurierdienste
• Verarbeitende Industrie, z. B. Hersteller medizinischer Geräte und Chemiebranche
• Digitale Dienste wie Marktplätze und Suchmaschinen sowie Forschung
• Gesundheitsdienstleister, EU-Referenzlabore, pharmazeutische Forschung und Hersteller
• Hersteller kritischer medizinischer Geräte für öffentliche Gesundheitsnotfälle

Es ist wichtig zu beachten, dass Unternehmen, die Kunden oder Partner haben, die von der Gesetzgebung als kritisch eingestuft werden, wahrscheinlich Teil deren Lieferkette sind. Daher gelten die gesetzlichen Anforderungen auch für diese Unternehmen. In der Regel erstrecken sich diese Pflichten mindestens auf die Hauptsubunternehmer.

Welche Pflichten ergeben sich aus der neuen Gesetzgebung?

Mit der neuen Gesetzgebung erweitern sich die Pflichten für Unternehmen:

• Unternehmen müssen ein Risikomanagementmodell einführen, das Bedrohungen und Risiken im täglichen Betrieb erkennt und steuert.
• Das bloße Identifizieren und Dokumentieren von Risiken reicht nicht aus – auch die Wirksamkeit der Risikominderungsmaßnahmen muss gemessen werden.
• Die Fähigkeit zum Incident Management muss ausgebaut werden, sodass im Ernstfall ein klar definiertes und abgestimmtes Vorgehensmodell sowie klare Verantwortlichkeiten für die Wiederherstellung des Betriebs bestehen.
• Sicherheitsvorfälle müssen detaillierter und zeitnah gemeldet werden.
• Verstöße gegen die Vorschriften können mit erheblichen Geldstrafen geahndet werden. Zudem erhalten die Behörden erweiterte Befugnisse zur Durchsetzung der Gesetzgebung.