Stärkung der Sicherheit kritischer Infrastrukturen

Die neue europäische Cybersicherheitsrichtlinie NIS 2 wird am 16. Januar 2023 in Kraft treten. NIS 2 steht für „Zweite Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netzwerk- und Informationssystemen in der gesamten Union“. Als Teil der europäischen Cybersicherheitsstrategie zielt die NIS-Richtlinie darauf ab, die Widerstandsfähigkeit kritischer Infrastrukturen zu stärken. Betreiber kritischer Infrastrukturen (kurz KRITIS) müssen nun Mindeststandards einhalten und proaktive Maßnahmen zur Risikominimierung ergreifen.

NIS 1 wurde in Deutschland durch das IT-Sicherheitsgesetz und das BSI-Gesetz eingeführt, die kritische Infrastrukturen abdecken. Die NIS-2-Richtlinie muss noch in nationales Recht umgesetzt werden und hat eine Umsetzungsfrist bis zum 17. Oktober 2024. Das NIS-2-Gesetz zur Umsetzung und Stärkung der Cybersicherheit (Nis2UmsUcG) wird voraussichtlich im März 2024 veröffentlicht und tritt im Oktober 2024 in Kraft.

Unternehmen, die den Katastrophenschutzbestimmungen und damit der NIS2-Richtlinie unterliegen, müssen die Anforderungen an Informationssicherheit, Risikomanagement und Cybersicherheit erfüllen. Dazu gehören regelmäßige Penetrationstests, die Einrichtung von Systemen zur Meldung von Cybervorfällen und die Durchführung einer Risikobewertung zur Identifizierung potenzieller IT-Sicherheitsbedrohungen innerhalb des Unternehmens.

Die folgenden Sektoren sind von der NIS2-Richtlinie betroffen:

Die NIS2-Richtlinie gilt im Allgemeinen für Organisationen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz oder einer Bilanzsumme von mehr als 10 Millionen Euro. In bestimmten Fällen, z. B. bei Anbietern öffentlich zugänglicher elektronischer Kommunikationsdienste, gilt die Richtlinie unabhängig von deren Größe. Die Verpflichtungen beruhen hauptsächlich auf der Einstufung als „wesentliche“ oder „wichtige“ Einheit. Zu den „wesentlichen Unternehmen“ gehören Unternehmen des Anhangs I, die bestimmte Schwellenwerte überschreiten, qualifizierte Vertrauensdiensteanbieter, Kommunikationsnetzbetreiber, zentrale Regierungsstellen und andere als bedeutsam eingestufte Einrichtungen. „Wichtige Unternehmen“ sind die in Anhang I oder II aufgeführten Unternehmen, die nicht bereits als bedeutend angesehen werden, oder solche, die vom Mitgliedstaat als bedeutend angesehen werden.

Die NIS2-Richtlinie verpflichtet die EU-Mitgliedstaaten zur Einführung von Bußgeldern bei Verstößen gegen Artikel 21 (Risikomanagementmaßnahmen, siehe oben) und Artikel 23 der NIS2-Richtlinie (Meldung erheblicher Sicherheitsvorfälle). Gleichzeitig legt die NIS2-Richtlinie bereits einen Mindestwert für die Obergrenze der Bußgeldspanne fest:

Eine mögliche Geldbuße ist nur eine von vielen Aufsichts- und Durchsetzungsmaßnahmen, die eine zuständige Behörde im Falle eines (potenziellen) Verstoßes ergreifen kann. Manager bedeutender und wichtiger Organisationen sollten sich daher der Verpflichtung zur frühzeitigen und gründlichen Umsetzung von Risikomanagementmaßnahmen stellen, um hohe Bußgelder zu vermeiden. Es bleibt abzuwarten, ob gegen Organisationen der öffentlichen Verwaltung, wie etwa Behörden, Geldbußen gemäß Artikel 34 Absatz 7 der NIS2-Richtlinie verhängt werden.