NIS2-Richtlinie

Definition: Die NIS2-Richtlinie (Network and Information Security Directive 2, Richtlinie EU 2022/2555) ist ein EU-Rechtsakt, der den gemeinsamen Rahmen für Cybersicherheit in der Europäischen Union grundlegend erneuert und erheblich erweitert. Sie löst die ursprüngliche NIS-Richtlinie von 2016 ab und verpflichtet eine deutlich größere Zahl von Unternehmen in 18 kritischen und wichtigen Sektoren zu verbindlichen Maßnahmen im Bereich Risikomanagement, Informationssicherheit und Meldung erheblicher Sicherheitsvorfälle. Die Frist zur Umsetzung in nationales Recht lief bis Oktober 2024; in Deutschland entstand das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das die Anforderungen in deutsches Recht überführt. NIS2 ist für viele mittelständische und größere Unternehmen relevant, die bisher nicht unter das Cybersicherheitsrecht fielen – dazu gehören auch Unternehmen aus der digitalen Wirtschaft, dem Online-Handel und dem Bereich digitaler Dienste. Besonders bedeutsam ist die persönliche Haftung von Geschäftsführern und Vorständen: Diese können bei schuldhafter Verletzung der NIS2-Pflichten persönlich in Anspruch genommen werden, was den Stellenwert der Richtlinie auf Führungsebene erheblich erhöht.

Erläuterung

Die NIS2-Richtlinie unterscheidet zwischen zwei Kategorien von Einrichtungen: „wesentliche Einrichtungen" (essential entities) und „wichtige Einrichtungen" (important entities). Wesentliche Einrichtungen umfassen Betreiber kritischer Infrastruktur in Sektoren wie Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser und digitale Infrastruktur (z. B. Anbieter von Cloud-Diensten, Rechenzentrumsdiensten und Internet-Exchange-Punkten). Wichtige Einrichtungen umfassen unter anderem Anbieter digitaler Dienste wie Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke sowie Unternehmen aus den Bereichen Post, Chemie, Lebensmittel und verarbeitendes Gewerbe ab einer bestimmten Unternehmensgröße. Als Faustformel gilt: Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz fallen in den Anwendungsbereich, wenn sie in einem der genannten Sektoren tätig sind.

Für Online-Marketing-Unternehmen ist NIS2 besonders dann relevant, wenn sie als Managed-Service-Provider (MSP), Softwareanbieter oder Betreiber größerer E-Commerce-Plattformen tätig sind. Aber auch als Auftraggeber von IT-Dienstleistern müssen Unternehmen prüfen, ob ihre Lieferketten NIS2-konform sind, da die Richtlinie explizit Anforderungen an das Supply-Chain-Management stellt.

Die Kernpflichten unter NIS2 umfassen vier Hauptbereiche: erstens technische und organisatorische Risikomanagementmaßnahmen (ähnlich den Anforderungen der DSGVO, aber mit stärkerem Fokus auf IT-Sicherheit), zweitens Meldepflichten für erhebliche Sicherheitsvorfälle, drittens Maßnahmen zur Sicherheit der Lieferkette und viertens die Schulung und Sensibilisierung von Leitungsorganen.

Risikomanagementmaßnahmen nach NIS2

Sicherheitskonzept: Schriftlich dokumentierte Richtlinien für Informationssicherheit und Risikomanagement, die regelmäßig überprüft und aktualisiert werden müssen.
Incident-Management: Etablierte Prozesse zur Erkennung, Analyse und Behebung von Sicherheitsvorfällen sowie zu deren Dokumentation und Meldung.
Business Continuity: Pläne zur Aufrechterhaltung des Betriebs bei Cyberangriffen oder anderen Sicherheitsvorfällen, einschließlich Backup-Management und Notfallwiederherstellung.
Lieferkettensicherheit: Bewertung der Cybersicherheitsrisiken in der Lieferkette, insbesondere bei Dienstleistern, die Zugang zu kritischen Systemen haben.
Zugangskontrolle: Implementierung strenger Zugriffskontrollen, Multi-Faktor-Authentifizierung und Privileged-Access-Management für kritische Systeme.
Verschlüsselung: Einsatz von Kryptographie und Verschlüsselung zum Schutz von Daten in Übertragung und Ruhe.
Schwachstellenmanagement: Systematische Identifikation, Bewertung und Behebung von Sicherheitsschwachstellen in Software und IT-Infrastruktur.

Meldepflichten und Sanktionen

Erstmeldung (24 Stunden): Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden nach Bekanntwerden als Frühwarnung an die zuständige nationale Behörde (in Deutschland: BSI) gemeldet werden.
Detaillierte Meldung (72 Stunden): Innerhalb von 72 Stunden folgt eine ausführlichere Meldung mit einer ersten Bewertung des Vorfalls, seiner wahrscheinlichen Ursache und seiner Auswirkungen.
Abschlussbericht (ein Monat): Spätestens einen Monat nach der ersten Meldung ist ein detaillierter Abschlussbericht mit vollständiger Analyse und ergriffenen Maßnahmen einzureichen.
Bußgelder: Bei wesentlichen Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes; bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes.
Persönliche Haftung: Geschäftsführer und Vorstände können persönlich haftbar gemacht werden, wenn sie ihre Überwachungspflichten hinsichtlich der NIS2-Anforderungen vernachlässigt haben.

Praxistipp: Prüfen Sie anhand der Sektorenliste und der Schwellenwerte für Mitarbeiterzahl und Umsatz, ob Ihr Unternehmen in den Anwendungsbereich von NIS2 fällt – auch wenn Sie nicht zur klassischen kritischen Infrastruktur zählen, können Sie als Anbieter digitaler Dienste oder als Zulieferer betroffen sein. Führen Sie eine Gap-Analyse gegenüber den NIS2-Anforderungen durch und erstellen Sie einen Maßnahmenplan. Schulen Sie Ihre Führungsebene zu NIS2, da die persönliche Haftung von Geschäftsführern ein starker Hebel für die nötige Aufmerksamkeit und Ressourcenzuweisung ist.