Die NIS2-Richtlinie: Erhöhte Cybersicherheitsstandards für 30.000 deutsche Unternehmen

Zuletzt aktualisiert am 07. November 2024

Die Zahl der Cyberangriffe steigt weltweit rasant an und die Sicherheitslage digitaler Infrastrukturen wird für Unternehmen immer kritischer. Mit der NIS2-Richtlinie (Netz- und Informationssicherheit) hat die Europäische Union eine umfassende Regelung verabschiedet, die die Cybersicherheit in der gesamten EU stärken soll.

Diese Richtlinie zielt darauf ab, ein hohes gemeinsames Sicherheitsniveau zu gewährleisten und die Resilienz gegen Cyberbedrohungen zu erhöhen. Dafür wurde auch der Anwendungsbereich ausgeweitet – mit Folgen: Fast 30.000 Betriebe in Deutschland müssen jetzt die neuen Vorgaben der NIS2 umsetzen.

Wir erklären, was die NIS2 bedeutet und welche Maßnahmen Organisationen und Konzerne ergreifen müssen, um den neuen Anforderungen gerecht zu werden.

Newsletteranmeldung

Lust auf interessante Themen und spannende Beiträge rund um IT und IT-Sicherheit? Abonnieren Sie unseren monatlichen Newsletter!

Online-Formular wird hier erscheinen

Hintergrund und Ziele der NIS2-Richtlinie

Die NIS2-Richtlinie ist eine Weiterentwicklung der ersten NIS-Richtlinie, die 2016 eingeführt wurde. Ziel dieser Richtlinie war es, die Cybersicherheitsfähigkeiten der EU-Mitgliedstaaten zu stärken und ein hohes Maß an Sicherheit für Netz- und Informationssysteme zu gewährleisten. Allerdings zeigte die Umsetzung der ursprünglichen NIS-Richtlinie, dass es erhebliche Unterschiede in der Anwendung und Durchsetzung der Regelungen gab, was zu einer Fragmentierung auf dem Binnenmarkt führte.

Mit der NIS2 sollen diese Schwächen behoben und die Cybersicherheit in der EU harmonisiert werden. Die NIS2 zielt darauf ab, die Resilienz von Netzwerken und Informationssystemen zu erhöhen, den Schutz kritischer Infrastrukturen zu verbessern und einheitliche Sicherheitsstandards einzuführen.

Wesentliche Änderungen und Neuerungen der NIS2-Richtlinie

Die NIS2-Richtlinie bringt einige wesentliche Änderungen und Neuerungen mit sich. Ein entscheidender Punkt ist der erweiterte Anwendungsbereich, der nun mehr Unternehmen und Sektoren umfasst. Die Richtlinie führt einheitliche Größenschwellen ein, die auf den Kriterien und Definitionen der Empfehlung für kleine und mittlere Unternehmen (KMU) der Europäischen Kommission (2003/361/EG) basieren. Diese Schwellenwerte sind entscheidend dafür, welche Unternehmen unter die Regulierung fallen.

Zusätzlich wurden strengere Anforderungen und Pflichten für betroffene Unternehmen eingeführt. Diese beinhalten technische und organisatorische Maßnahmen zur Cybersicherheit, wie z. B. die Einführung von Sicherheitsstandards und die regelmäßige Überprüfung und Aktualisierung von Sicherheitskonzepten.

Eine weitere wichtige Änderung betrifft die Meldepflichten bei Sicherheitsvorfällen. Die NIS2-Richtlinie führt ein dreistufiges Meldesystem ein, das die unter NIS2 fallenden Unternehmen verpflichtet, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden nach Kenntniserlangung zu melden. Eine detaillierte Meldung muss innerhalb von 72 Stunden erfolgen, und eine vollständige Analyse des Vorfalls ist nach einem Monat vorzulegen. Diese strengen Meldepflichten sollen sicherstellen, dass Sicherheitsvorfälle schnell und effektiv gehandhabt werden können.

Zusätzlich verschärft die NIS2 die Haftungsregelungen für Führungskräfte. Geschäftsleitungen sind nun stärker in die Verantwortung genommen, die Einhaltung der Cybersicherheitsvorgaben sicherzustellen. Bei Verstößen gegen die Richtlinie können erhebliche Bußgelder verhängt werden, die sich prozentual am weltweiten Jahresumsatz eines Unternehmens orientieren. Diese neuen Haftungsregelungen zielen darauf ab, die Aufmerksamkeit und das Engagement der Unternehmensleitung für Cybersicherheit zu erhöhen.

Anwendungsbereich der NIS2-Richtlinie

Die NIS2-Richtlinie definiert klar, welche Organisationen unter die neuen Cybersicherheitsanforderungen fallen. Der Anwendungsbereich erstreckt sich auf mittlere und große Unternehmen sowie auf bestimmte Sektoren, die als kritisch für die Sicherheit und das Funktionieren des Binnenmarktes angesehen werden.

1. Unternehmensgrößen und betroffene Sektoren

Die Richtlinie unterscheidet zwischen „wichtigen Einrichtungen“ und „besonders wichtigen Einrichtungen“. Die Kategorisierung basiert auf der Größe der Unternehmen und den von ihnen erbrachten Dienstleistungen:


Unternehmensgröße	Anzahl Mitarbeitende	Jahresumsatz
Mittlere Unternehmen	50 bis 249	10 bis 50 Millionen Euro
Große Unternehmen	mindestens 250	mehr als 50 Millionen Euro

2. Kritische Sektoren

Die NIS2-Richtlinie erweitert den Anwendungsbereich erheblich im Vergleich zu ihrer Vorgängerin. Zu den kritischen Sektoren, die unter die Richtlinie fallen, gehören:

Energie: Erzeugung, Übertragung und Verteilung von Strom, Gas und Öl sowie Betreiber von Ladestationen für Elektrofahrzeuge
Verkehr: Luft-, Schienen-, Straßen- und Schiffsverkehr, einschließlich Reedereien und Hafenanlagen
Bankwesen und Finanzmärkte: Kreditinstitute, Finanzhandel, Marktinfrastrukturen und Versicherungswesen
Gesundheit: Gesundheitsdienstleister, Forschungslabore, Pharmazeutika und Herstellung medizinischer Geräte
Wasser: Trinkwasserversorgung und Abwasserentsorgung
Digitale Infrastruktur: DNS-Dienste, TLD-Registries und Cloud-Computing-Dienste
Öffentliche Verwaltung: Staatliche und kommunale Verwaltungen, die wesentliche öffentliche Dienste erbringen
Raumfahrt: Betreiber bodengestützter Infrastrukturen

3. Weitere betroffene Bereiche

Darüber hinaus umfasst die Richtlinie auch Bereiche wie Abfallbewirtschaftung, Lebensmittelproduktion, Chemikalienproduktion und den digitalen Sektor, einschließlich Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Plattformen.

Für die kritischen Sektoren und weiteren Bereiche gelten die NIS2-Anforderungen unabhängig von der Unternehmensgröße, wenn sie als besonders kritisch eingestuft werden. Dadurch wird sichergestellt, dass auch kleinere, aber für die Versorgungssicherheit wesentliche Unternehmen den Cybersicherheitsanforderungen entsprechen müssen.

Anforderungen an Unternehmen

Die NIS2-Richtlinie stellt umfassende Anforderungen an Unternehmen, um ein hohes Cybersicherheitsniveau sicherzustellen. Zu den zentralen Maßnahmen gehören technische und organisatorische Vorkehrungen, die Risiken minimieren und die Widerstandsfähigkeit von Netz- und Informationssystemen erhöhen. NIS2-Unternehmen müssen beispielsweise ein Risikomanagement etablieren, das potenzielle Bedrohungen systematisch identifiziert, bewertet und behandelt. Dazu gehört auch die regelmäßige Durchführung von Sicherheitsaudits und die Implementierung von Sicherheitsstandards wie ISO/IEC 27001.

Darüber hinaus müssen NIS2-Unternehmen geeignete Maßnahmen zum Schutz ihrer IT-Infrastruktur umsetzen. Diese umfassen Zugangskontrollen, Verschlüsselung sensibler Daten und die Durchführung von Cybersicherheitsschulungen für Mitarbeitende. Auch die regelmäßige Aktualisierung und Überprüfung von Sicherheitskonzepten ist Pflicht, um stets auf dem neuesten Stand der Technik zu bleiben.

Ein wesentlicher Bestandteil der NIS2-Richtlinie ist zudem die Verpflichtung zur Kontrolle der Lieferketten. Unternehmen müssen sicherstellen, dass auch ihre Zulieferer und Dienstleister angemessene Sicherheitsmaßnahmen ergreifen, um die Cybersicherheit entlang der gesamten Lieferkette zu schützen. Diese Kontrolle der Lieferketten ist entscheidend, da Schwachstellen bei Drittanbietern ein erhebliches Risiko für die gesamte IT-Sicherheit darstellen können.

Zusätzlich müssen Unternehmen im Falle von Sicherheitsvorfällen umfassend und zeitnah berichten und mit den zuständigen Behörden kooperieren, um die Ursachen zu ermitteln und geeignete Gegenmaßnahmen zu ergreifen. Diese Anforderungen sollen sicherstellen, dass Sicherheitsvorfälle effektiv gehandhabt und zukünftige Angriffe verhindert werden.

Besondere Anforderungen für Konzerne

Für Konzerne bringt die NIS2-Richtlinie spezielle Herausforderungen mit sich. Besonders relevant ist hier die Behandlung von Unternehmensverbünden und Konzernstrukturen. Die Richtlinie legt fest, dass auch Tochtergesellschaften und verbundene Unternehmen, die einzeln betrachtet nicht unter die Richtlinie fallen, die NIS2-Anforderungen umsetzen müssen, wenn sie beispielsweise in einen Konzernverbund eingebunden sind und so die festgelegten Größenschwellen überschreiten. Dies bedeutet, dass Konzerne gegebenenfalls ihre gesamte Unternehmensstruktur hinsichtlich der Cybersicherheit überprüfen und anpassen müssen.

Ein weiterer wichtiger Punkt ist die Unterscheidung zwischen autonomen und abhängigen IT-Systemen innerhalb eines Konzerns. Unternehmen des Konzerns mit nachweislich autonomer IT-Infrastruktur können unter bestimmten Umständen weniger strengen Anforderungen unterliegen. Diese Unabhängigkeit muss jedoch klar dokumentiert und nachgewiesen werden. Andernfalls sind die Sicherheitsvorgaben konzernweit anzuwenden, was einen erheblichen Mehraufwand bedeuten kann.

Zudem müssen Konzerne sicherstellen, dass die Risikomanagement-Maßnahmen und Sicherheitsstrategien konzernweit koordiniert und einheitlich umgesetzt werden. Besonders wichtig ist hierbei die Integration von Sicherheitsmaßnahmen entlang der gesamten Lieferkette des Konzerns, um Schwachstellen bei Drittanbietern zu minimieren.

Die NIS2-Richtlinie verlangt außerdem, dass Konzerne im Falle von Sicherheitsvorfällen zentral und koordiniert agieren. Die Meldung und Handhabung von Sicherheitsvorfällen muss konzernübergreifend erfolgen, um eine effektive und schnelle Reaktion zu gewährleisten. Diese zentralisierte Vorgehensweise soll sicherstellen, dass Sicherheitsvorfälle nicht nur lokal, sondern auch auf übergeordneter Ebene behandelt werden, um umfassenden Schutz zu bieten.

Umsetzung der NIS2-Richtlinie in nationales Recht

Die NIS2-Richtlinie muss bis Oktober 2024 von den EU-Mitgliedstaaten in nationales Recht umgesetzt werden. In Deutschland wird dies durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) erfolgen. Die erste Lesung im Bundestag ist am 11. Oktober erfolgt. Im Anschluss wurde die Vorlage zur federführenden Beratung an den Innenausschuss überwiesen. Wann das NIS2UmsuCG in Kraft tritt, ist durch die Auflösung der Ampelregierung allerdings unklar.

Das NIS2UmsuCG sieht zahlreiche Anpassungen und Erweiterungen des bisherigen IT-Sicherheitsgesetzes vor und stärkt die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) erheblich.

Ein zentrales Element der Umsetzung ist die Einführung der Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“. Diese Kategorisierung basiert auf den neuen Größenschwellen und bestimmt, welche Unternehmen unter die strengeren Sicherheitsanforderungen fallen. Während „wichtige Einrichtungen“ einer reaktiven Aufsicht unterliegen, müssen „besonders wichtige Einrichtungen“ proaktive Sicherheitsmaßnahmen ergreifen und sich regelmäßigen Überprüfungen durch das BSI unterziehen.

Das Gesetz legt auch fest, dass alle betroffenen Unternehmen innerhalb von drei Monaten nach Inkrafttreten der nationalen Umsetzung ihre Registrierung beim BSI vornehmen müssen. Versäumnisse können mit erheblichen Bußgeldern geahndet werden. Dies bedeutet, dass Unternehmen schnell handeln und sicherstellen müssen, dass sie die neuen Anforderungen rechtzeitig erfüllen.

Darüber hinaus erweitert das NIS2UmsuCG die Kompetenzen des BSI. Es erhält weitreichende Befugnisse zur Überwachung und Durchsetzung der Cybersicherheitsmaßnahmen. Das BSI kann Bußgelder verhängen, Vor-Ort-Kontrollen durchführen und im Bedarfsfall auch externe Audits anordnen. Diese Maßnahmen sollen sicherstellen, dass die Anforderungen der NIS2-Richtlinie effektiv umgesetzt und eingehalten werden.

Konsequenzen bei Nichteinhaltung

Bei Verstößen können erhebliche Bußgelder verhängt werden, die sich prozentual am weltweiten Jahresumsatz eines Unternehmens orientieren. Für „besonders wichtige Einrichtungen“ können Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des globalen Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Bei „wichtigen Einrichtungen“ belaufen sich die Bußgelder auf bis zu sieben Millionen Euro oder 1,4 Prozent des globalen Jahresumsatzes.

Zusätzlich zur finanziellen Belastung können Verstöße gegen die NIS2-Richtlinie auch rechtliche Konsequenzen für die Geschäftsleitung haben. Führungskräfte können persönlich haftbar gemacht werden, wenn sie ihre Pflichten zur Einhaltung der Cybersicherheitsmaßnahmen vernachlässigen. Dies umfasst sowohl die Genehmigung und Überwachung der erforderlichen Risikomanagement-Maßnahmen als auch die Sicherstellung, dass angemessene Sicherheitsstandards eingeführt und aufrechterhalten werden.

Die Nichteinhaltung der Meldepflichten bei Sicherheitsvorfällen kann ebenfalls schwerwiegende Folgen haben. Unternehmen, die Sicherheitsvorfälle nicht innerhalb der vorgeschriebenen Fristen melden oder unzureichende Informationen bereitstellen, riskieren zusätzliche Sanktionen. Die Einhaltung der Meldepflicht ist entscheidend, um eine schnelle und koordinierte Reaktion auf Cybersicherheitsvorfälle zu gewährleisten und weiteren Schaden zu verhindern.

Ein wichtiger Überschneidungspunkt mit dem Datenschutz ist die enge Zusammenarbeit zwischen den Aufsichtsbehörden für Cybersicherheit und den Datenschutzaufsichtsbehörden. Gemäß der NIS2-Richtlinie sind die Cybersicherheitsbehörden verpflichtet, die Datenschutzaufsichtsbehörden zu informieren, wenn eine Verletzung festgestellt wird, die eine Meldepflicht nach der Datenschutz-Grundverordnung (DSGVO) auslöst. Dies bedeutet, dass Unternehmen gleichzeitig die Anforderungen der NIS2 und der DSGVO im Blick behalten und erfüllen müssen, um rechtlichen und finanziellen Konsequenzen zu entgehen.

Insgesamt zielt die NIS2-Richtlinie darauf ab, durch strenge Regelungen und erhebliche Sanktionen die Aufmerksamkeit der Unternehmen auf die Bedeutung der Cybersicherheit zu lenken und sicherzustellen, dass die notwendigen Maßnahmen ergriffen werden, um Netz- und Informationssysteme zu schützen.

Praktische Schritte zur Vorbereitung und Umsetzung

Um den Anforderungen der NIS2-Richtlinie gerecht zu werden, sollten Unternehmen praktische Schritte zur Vorbereitung und Umsetzung der neuen Vorgaben einleiten. Ein erster wichtiger Schritt ist die Prüfung, ob das Unternehmen unter die NIS2-Richtlinie fällt. Dafür ist jedes Unternehmen selbst verantwortlich. Fällt das Unternehmen darunter, ist der zweite Schritt die Durchführung einer umfassenden Gap-Analyse, um festzustellen, in welchen Bereichen Defizite bestehen und welche Maßnahmen erforderlich sind, um die Cybersicherheitsstandards zu erfüllen.

Unternehmen sollten ein robustes Risikomanagement etablieren, das alle potenziellen Bedrohungen systematisch identifiziert, bewertet und entsprechende Gegenmaßnahmen entwickelt. Dazu gehört wie angeführt die regelmäßige Durchführung von Sicherheitsaudits und die Implementierung von Sicherheitsstandards wie ISO/IEC 27001, um ein hohes Niveau der Cybersicherheit zu gewährleisten.

Ein weiterer wesentlicher Aspekt ist die Schulung der Mitarbeitenden in Cybersicherheit. Regelmäßige Schulungen und Sensibilisierungsprogramme sind notwendig, um sicherzustellen, dass alle Mitarbeitenden über die neuesten Bedrohungen und Sicherheitspraktiken informiert sind. Dies trägt dazu bei, menschliche Fehler zu minimieren, die eine häufige Ursache für Sicherheitsvorfälle sind.

Die Kontrolle der Lieferkette ist ebenfalls von großer Bedeutung. Unternehmen müssen sicherstellen, dass auch ihre Zulieferer und Dienstleister angemessene Sicherheitsmaßnahmen ergreifen. Dies kann durch vertragliche Vereinbarungen und regelmäßige Überprüfungen der Sicherheitspraktiken der Lieferanten erfolgen.

Darüber hinaus sollten Unternehmen klare Prozesse für das Melden und Handhaben von Sicherheitsvorfällen etablieren. Dies beinhaltet die Implementierung eines Vorfallmanagementsystems, das sicherstellt, dass Vorfälle schnell erkannt, gemeldet und behoben werden. Dabei sollte selbstverständlich auch der Datenschutz synergetisch einbezogen werden, da dieser bereits über entsprechende Meldestrukturen verfügt. Ggf. sind auch die Regelungsdokumente im Datenschutz an diese neuen Gegebenheiten anzupassen. Eine gute Vorbereitung auf mögliche Vorfälle umfasst auch die Erstellung von Notfallplänen und die Durchführung von regelmäßigen Übungen, um die Reaktionsfähigkeit zu testen.

Nicht zuletzt ist es wichtig, dass Unternehmen eine enge Zusammenarbeit mit den zuständigen Behörden pflegen. Dies umfasst nicht nur die Einhaltung der Meldepflichten, sondern auch die aktive Kommunikation und Kooperation bei der Bewältigung von Sicherheitsvorfällen. Diese Zusammenarbeit hilft, die Sicherheit auf nationaler und europäischer Ebene zu stärken.

Fazit

Die NIS2-Richtlinie markiert einen bedeutenden Schritt in Richtung einer sichereren digitalen Zukunft für Europa. Durch die Einführung strengerer Cybersicherheitsanforderungen und erweiterten Anwendungsbereichs setzt die EU klare Signale für den Schutz kritischer Infrastrukturen und die Stärkung der Resilienz gegen Cyberangriffe.

Für viele Unternehmen bedeutet die NIS2 eine erhebliche Erweiterung der bestehenden Compliance-Anforderungen. Doch diese Herausforderung bietet auch Chancen: Durch die Erhöhung der eigenen Sicherheitsstandards und die Stärkung der Resilienz können Unternehmen nicht nur gesetzliche Vorgaben in punkto Cybersicherheit erfüllen, sondern auch z. B. synergetisch das Datenschutzmanagement optimieren und so das Vertrauen in das Unternehmen bei Kund:innen, Mitarbeitenden und Stakeholdern erhöhen.

Wir unterstützen Sie!

Als ISO 27001-zertifizierter Partner unterstützen wir Sie aktiv bei der Erfüllung der NIS2-Anforderungen und stellen sicher, dass Ihre Informationssicherheit stets auf dem neuesten Stand ist. Sie sind von NIS2 betroffen? Oder möchten Ihre IT-Sicherheit optimieren?

Sprechen Sie uns an!

Quellen

Bundesamt für Sicherheit in der Informationstechnik (o. J.): „EU-Richtlinien zur Netzwerk- und Informationssicherheit“, https://www.bsi.bund.de/DE/Das-BSI/Auftrag/Gesetze-und-Verordnungen/NIS-Richtlinien/nis-richtlinie_node.html, letzter Zugriff am 31. Mai 2024.

Bundesministerium des Innern und für Heimat (2024): „Entwurf eines NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes“, 07. Mai 2024, https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/nis2umsucg.html, letzter Zugriff am 31. Mai 2024.

Bundesministerium des Innern und für Heimat (2024): „Wirtschaft und Verwaltung vor Cyberattacken schützen: Gesetzentwurf zur Umsetzung der EU-Richtlinie zur Netzwerk- und Informationssicherheit“, 07. Mai 2024, https://www.bmi.bund.de/SharedDocs/pressemitteilungen/DE/2024/05/NIS2UmsuCG.html, letzter Zugriff am 31. Mai 2024.

Europäisches Parlament (2023): „The NIS2 Directive: A high common level of cybersecurity in the EU”, 08. Februar 2023, https://www.europarl.europa.eu/thinktank/de/document/EPRS_BRI(2021)689333, letzter Zugriff am 31. Mai 2024.

Hessel, Stefan, Christoph Callewaert und Moritz Schneider (2024): „Die NIS2-Richlinie aus Unternehmensperspektive“, Recht digital, 05/2024, S. 208-215.

Leßner, Anne und Lucas Mayr (2024): „Besonderheiten für Konzerne in den NIS-Richtlinien und dem BSIG“, Zeitschrift für IT-Recht und Recht der Digitalisierung, Heft 02/2024, S. 148-153.

Leßner, Anne (2024): „Konzernspezifische Änderungen aus der NIS2-Richtline und ihre Umsetzung“, Zeitschrift für IT-Recht und Recht der Digitalisierung, Heft 03/2024, S. 226-231.

Maurer, Stefan (2024): „NIS2-Richtlinie – Mehr Cybersicherheit für fast 30.000 deutsche Unternehmen und Organisationen“, Bechtle, 23. Mai 2024, https://www.bechtle.com/ueber-bechtle/newsroom/it-solutions/2024/nis2-mehr-cybersicherheit-fuer-fast-30-000-deutsche-unternehmen-und-organisationen, letzter Zugriff am 31. Mai 2024.

PwC (o. J.): „Was Sie über die NIS-2 wissen müssen“, https://www.pwc.de/de/cyber-security/europaeische-nis-2-richtlinie-implikationen-fuer-unternehmen-und-institutionen.html, letzter Zugriff am 31. Mai 2024.

Rat der Europäischen Union (2022): „EU beschließt Stärkung der unionsweiten Cybersicherheit und Resilienz: Rat nimmt neue Rechtsvorschriften an“, 28. November 2022, https://www.consilium.europa.eu/de/press/press-releases/2022/11/28/eu-decides-to-strengthen-cybersecurity-and-resilience-across-the-union-council-adopts-new-legislation/, letzter Zugriff am 31. Mai 2024.

Newsletteranmeldung

Lust auf interessante Themen und spannende Beiträge rund um IT und IT-Sicherheit? Abonnieren Sie unseren monatlichen Newsletter und erhalten Sie ein kostenloses Whitepaper zum Thema Endpoint Security!

Anmelden!