Die NIS2-Richtlinie („The Net­work and Infor­ma­ti­on Secu­ri­ty Direc­ti­ve“, (EU) 2022/2555) befasst sich mit der Cyber­si­cher­heit und Infor­ma­ti­ons­si­cher­heit von Unter­neh­men und Insti­tu­tio­nen. Die Richt­li­nie ist Teil eines Rege­lungs­ge­fü­ges zur Gesetz­ge­bung zu digi­ta­len Sach­ver­hal­ten wie dem EU Arti­fi­ci­al Intel­li­gence Act (AIA) (Hier geht’s zum Arti­kel). Da es sich hier­bei um eine Richt­li­nie der EU han­delt, müs­sen die Mit­glied­staa­ten die­se bis zum 17. Okto­ber 2024 in natio­na­les Recht umset­zen. Den Mit­glieds­staa­ten steht es frei das in der NIS2-Richtlinie vor­ge­se­he­ne Cyber­si­cher­heits­ni­veau zu erhö­hen, da die Richt­li­nie nach Art. 5 NIS2-RL expli­zit min­dest­har­mo­ni­sie­ren­de Stan­dards dar­stellt. Zum jet­zi­gen Zeit­punkt wur­de in Deutsch­land ein ers­ter Refe­ren­ten­ent­wurf des Umset­zungs­ge­set­zes zur NIS2-Richtlinie (NIS2UmsuCG, Bear­bei­tungs­stand: 27.09.2023) veröffentlicht.

Klei­ner Hin­weis am Ran­de: Die NIS2-Richtlinie ist sys­te­ma­tisch klar von der EU-Resilienz-Richtlinie (Cri­ti­cal Enti­ties Resi­li­ence CRE) abzu­gren­zen. Im Gegen­satz zu der NIS2-Richtlinie befasst sich die CRE-Richtlinie mit der Resi­li­enz vor nicht-cyberbezogenen Risiken.

Betrof­fe­ne Unter­neh­men und Institutionen

Die Neu­fas­sung der NIS-Richtlinie erwei­tert den Betrof­fe­nen­kreis erheb­lich. Jedes Unter­neh­men muss selbst fest­stel­len, ob es in den Anwen­dungs­be­reich fällt. Es gibt kei­ne behörd­li­che Mit­tei­lung über eine etwa­ige Betroffenheit.

Die betrof­fe­nen Unter­neh­men und Insti­tu­tio­nen las­sen sich zukünf­tig vor­aus­sicht­lich in drei Kate­go­rien einordnen:

• Betrei­ber beson­ders wich­ti­ger Ein­rich­tun­gen (§ 28 Abs. 1 NIS2UmsuCG)
• Betrei­ber wich­ti­ger Ein­rich­tun­gen (§ 28 Abs. 2 NIS2UmsuCG)
• Betrei­ber einer kri­ti­schen Anla­ge (§ 28 Abs. 5 NIS2UmsuCG)

Der Begriff der Ein­rich­tung bezieht sich hier­bei auf öffent­li­che sowie auf pri­va­te Einrichtungen.

Betrei­ber einer beson­ders wich­ti­gen Einrichtung:

Betrei­ber einer wich­ti­gen Einrichtung: 

Betrei­ber einer kri­ti­schen Anla­ge (KRITIS-Betreiber):

Erbrin­gen Betrei­ber ihre Dienst­leis­tun­gen in einem Sek­tor mit hoher Kri­ti­k­ali­tät (nach Anla­ge 1 bzw. § 28 Abs. 6 NIS2UmsuCG) in eige­nen Anla­gen und über­schrei­ten damit den Schwel­len­wert (Richt­wert: 500.000 ver­sorg­te Per­so­nen), wer­den sie als KRITIS-Betreiber eingestuft.

Nicht abschlie­ßen­der Über­blick über die Sektoren: 

Bei­spiel 1: Ihr Unter­neh­men mit Tätig­keit im Gesund­heits­we­sen beschäf­tigt 230 Mit­ar­bei­ten­de und hat einen Jah­res­um­satz von 55 Mio. € sowie eine Jah­res­bi­lanz­sum­me von 45 Mio. €. 

Bei­spiel 2: Ihr Unter­neh­men ist ein Pro­du­zent che­mi­scher Erzeug­nis­se mit 100 Mit­ar­bei­ten­den und hat einen Jah­res­um­satz von 12 Mio. € sowie eine Jah­res­bi­lanz­sum­me von 8 Mio. €.

Unsi­cher, ob Ihr Unter­neh­men betrof­fen ist? Neh­men Sie Kon­takt mit uns auf, wir unter­stüt­zen Sie ger­ne mit Ihrer Betroffenheitsanalyse.

Hand­lungs­be­darf: Pflich­ten und Aus­wir­kun­gen aus der NIS2-Richtlinie 

Die Richt­li­nie sieht eine Viel­zahl an Pflich­ten vor, die sich grob in fol­gen­de Ober­be­grif­fe glie­dern lassen:

• Risi­ko­ma­nage­ment: Aus­wahl und Iden­ti­fi­zie­rung geeig­ne­ter Cybersecurity-Maßnahmen (§§ 30, 31 NIS2UmsuCG)
• unver­züg­li­che Mel­de­pflicht (3 Stu­fen) (§ 32 NIS2UmsuCG)
• Regis­trie­rungs­pflicht (§ 33 i. V. m. § 60 Abs. 2 Nr. 4 und 5 NIS2UmsuCG)
• Unter­rich­tungs­pflich­ten bei einem erheb­li­chen Sicher­heits­vor­fall (§ 35 NIS2UmsuCG)
• Billigungs‑, Überwachungs- und Schu­lungs­pflicht des Geschäfts­lei­ters (§ 38 NIS2UmsuCG)
• Nach­weis­pflich­ten über die Erfül­lung der Anfor­de­run­gen gem. §§ 30 Abs. 1, 31 NIS2UmsuCG (§ 39 NIS2UmsuCG)

Der Aspekt der Lie­fer­ket­te darf ins­be­son­de­re beim Risi­ko­ma­nage­ment nicht ver­nach­läs­sigt wer­den. So nennt Art. 21 NIS2-RL expli­zit die „Sicher­heit der Lie­fer­ket­te ein­schließ­lich sicher­heits­be­zo­ge­ner Aspek­te der Bezie­hun­gen zwi­schen den ein­zel­nen Ein­rich­tun­gen und ihren unmit­tel­ba­ren Anbie­tern oder Diens­te­an­bie­tern“. Dies ver­deut­licht, dass die betrof­fe­nen Ein­rich­tun­gen des BSIG in Zukunft kla­re ver­trag­li­che Ver­ein­ba­run­gen mit ihren Dienst­leis­tern tref­fen müs­sen, um eine umfas­sen­de Umset­zung der Cyber­si­cher­heit zu gewährleisten.

Die­se Arten von Pflich­ten dürf­ten den meis­ten Unter­neh­men nicht unbe­kannt sein, da sie mitt­ler­wei­le zu einem fes­ten Bestand­teil jeder guten Unter­neh­mens­com­pli­ance gewor­den sind.

Die NIS2-Richtlinie weist deut­li­che Ähn­lich­kei­ten mit der Datenschutz-Grundverordnung (DSGVO) auf, z.B. in Bezug auf die Struk­tur, die Sank­tio­nen und die tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men (TOMs). Das The­ma Cyber­si­cher­heit ist eng mit dem The­ma Daten­schutz ver­bun­den. Neh­men Sie Kon­takt zu uns auf, auch zum The­ma Daten­schutz bera­ten wir Sie gerne.

Aus­wei­tung der Haftung

Die Neu­fas­sung der Richt­li­nie beinhal­tet eine Ver­schär­fung der Sank­ti­ons­maß­nah­men. Der Ent­wurf sieht eben­falls eine Aus­deh­nung der Haf­tung auf die Lei­tungs­or­ga­ne der Ein­rich­tun­gen vor.

Der Buß­geld­rah­men bestimmt sich anhand der Ein­ord­nung des Unter­neh­mens als eine wesent­li­che Ein­rich­tung oder eine wich­ti­ge Ein­rich­tung. Im Fal­le einer wesent­li­chen Ein­rich­tung kön­nen Buß­gel­der bis zu 10 Mio. € oder 2 % des welt­wei­ten Jah­res­um­sat­zes ver­hängt wer­den, je nach­dem, wel­cher Betrag höher ist. Die­se Sank­ti­ons­vor­schrif­ten ähneln der der DSGVO. Bei Vor­lie­gen einer wich­ti­gen Ein­rich­tung ist der Rah­men nied­ri­ger ange­setzt mit einem Höchst­be­trag von Buß­geld bis zu 7 Mio. € oder 1,4 % des welt­wei­ten Jah­res­um­sat­zes. Hier ist eben­falls der höhe­re Betrag maßgeblich.

Der Refe­ren­ten­ent­wurf sieht der­zeit zusätz­lich eine Haf­tung der Lei­tungs­or­ga­ne mit ihrem Pri­vat­ver­mö­gen für die Ein­hal­tung der Risi­ko­ma­nage­ment­maß­nah­men vor. Es ist beson­ders wich­tig zu beach­ten, dass die­se Ver­pflich­tung nicht durch Beauf­tra­gung eines Drit­ten erfüllt wer­den kann. Die­se Bestim­mung betont erneut, was im GmbH- und Akti­en­recht längst aner­kannt ist: die Ver­ant­wor­tung für Cyber­se­cu­ri­ty liegt bei der Geschäfts­füh­rung – oder anders aus­ge­drückt: „Digi­tal Com­pli­ance ist Chefsache“.

Fazit

Die Euro­päi­sche Uni­on setzt zuneh­mend auf den Erlass von Ver­ord­nun­gen, Richt­li­ni­en und ähn­li­chen Maß­nah­men in digi­ta­len Sach­ver­hal­ten. Die­ser Trend stößt jedoch auch auf Kri­tik, ins­be­son­de­re wegen der damit ver­bun­de­nen Zunah­me an Büro­kra­tie und Res­sour­cen. Eini­ge sehen die Men­ge an Rege­lun­gen als über­mä­ßig an. Trotz des damit ver­bun­de­nen büro­kra­ti­schen Auf­wands wird Cyber­si­cher­heit zu einem immer wich­ti­ge­ren The­ma in der heu­ti­gen digi­ta­len Welt. Der Schutz vor Cyber­an­grif­fen wird als uner­läss­lich angesehen.

Ers­te Schät­zun­gen gehen davon aus, dass ca. 30.000 Unter­neh­men in Deutsch­land ihre Sicher­heits­maß­nah­men deut­lich erhö­hen müs­sen, um den Anfor­de­run­gen der NIS2-Richtlinie gerecht zu wer­den. Dies wird zu einer deut­li­chen Erhö­hung der Cyber­si­cher­heit füh­ren und damit die Zie­le der Richt­li­nie, die Har­mo­ni­sie­rung und Aus­bau der Cyber­se­cu­ri­ty, errei­chen. Die Ein­hal­tung der Richt­li­nie wird zu einem inte­gra­len Bestand­teil von Com­pli­ance und Gover­nan­ce für jede betrof­fe­ne Ein­rich­tung werden.

Auch wenn noch unklar ist, wie die Umset­zung in natio­na­les Recht bis zum 17. Okto­ber 2024 genau aus­se­hen wird, sind kei­ne wesent­li­chen Ände­run­gen gegen­über dem aktu­el­len Ent­wurf zu erwar­ten. Unter­neh­men soll­ten sich daher auf eine frist­ge­rech­te Umset­zung vor­be­rei­ten. Ent­schei­dend ist, sich früh­zei­tig und pro­ak­tiv mit dem The­ma aus­ein­an­der­zu­set­zen. Es ist wei­ter­hin zu erwar­ten, dass es Ver­su­che geben wird, die recht­li­chen Anfor­de­run­gen und Ver­pflich­tun­gen im Rah­men von Ver­trä­gen von den Auf­trag­ge­bern auf die Auf­trag­neh­mer abzuwälzen.

Auch wenn der Umset­zungs­zeit­punkt des 17. Okto­ber 2024 der NIS2-Richtlinie für vie­le noch in wei­ter Fer­ne zu lie­gen scheint, emp­fiehlt es sich, bereits jetzt mit einer com­pli­ance­kon­for­men Imple­men­tie­rung der Cybersecurity-Richtlinie auseinanderzusetzen.