NIS2 Umsetzungsgesetz

NIS2-Umsetzungsgesetz

Das “Gesetz zur Umsetzung der NIS2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung” (NIS2 Umsetzungsgesetz) setzt die EU-Richtlinie 2022/2555 in deutsches Recht um und setzt Mindeststandards für Cybersicherheit. Es legt fest, wer als Betreiber wichtiger und besonders wichtiger Anlagen gilt, welche Pflichten bestehen und welche Behörden zuständig sind. Ziel ist die Erhöhung von Resilienz und IT-Sicherheit in der Wirtschaft.

Wer ist betroffen?

Laut Angaben des Bundeswirtschaftsministeriums (BMWE) sollen deutschlandweit knapp 30.000 Unternehmen aus 18 Sektoren unter das Gesetz fallen. Das Gesetz teilt die Einrichtungen in zwei Kategorien ein:

Besonders wichtige Einrichtungen wie etwa

• Betreiber kritischer Anlagen (siehe KRITIS Dachgesetz)
• Unternehmen der in Anlage 1 des NIS2-Umsetzungsgesetzes (ab Seite 43) benannten Sektoren ab 250 Mitarbeitern oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme

Wichtige Einrichtungen

• Unternehmen der in Anlage 1 (ab Seite 43) und 2 des NIS2-Umsetzungsgesetzes (ab Seite 47) benannten Sektoren ab 50 Mitarbeitern oder über 10 Mio. € Umsatz und Bilanzsumme

Ob Sie betroffen sind, können Sie mit Hilfe der Betroffenheitsprüfung des Bundesamts für Sicherheit in der Informationstechnik (BSI) ermitteln.

Achtung! Auch für Unternehmen, die nicht direkt betroffen sind, können bestimmte Anforderungen verpflichtend sein - etwa wenn Sie Zulieferer oder Dienstleister eines betroffenen Unternehmens sind. Denn NIS2 schreibt eine sichere Lieferkette vor.

Welche Pflichten haben Sie als betroffenes Unternehmen?

Registrierung über das BSI-Portal und Nachweispflichten

• • Innerhalb von 3 Monaten Registrierung bei den zuständigen Behörden
  • Das BSI kann besonders wichtige Einrichtungen auch selbstständig registrieren und dazu Unterlagen anfordern
  • Erbringung von Nachweisen über die Sicherheitsmaßnahmen auf Anforderung (i.d.R. alle 3 Jahre)

Risikomanagement und technische Sicherheitsmaßnahmen

• • Systematische Risikoanalyse
  • Schutzkonzepte und Sicherheitsrichtlinien
  • Notfall- und Wiederanlaufpläne
  • Regelmäßige Überprüfungen und Tests
  • Sichere Prozesse für Beschaffung, Entwicklung und Wartung
  • Absicherung der Lieferkette

Meldepflichten bei potenziellen und erheblichen Sicherheitsvorfällen an das BSI

• • Erstmeldung innerhalb von 24 Stunden
  • Update-Meldung innerhalb von 72 Stunden
  • Abschlussmeldung innerhalb 1 Monats

Klare Verantwortung der Unternehmensleitung

• • Geschäftsführer und Vorstände müssen Cybersicherheitsmaßnahmen umsetzen und überwachen
  • Geschäftsführer und Vorstände müssen regelmäßig an Schulungen teilnehmen
  • Geschäftsführer und Vorstände tragen die persönliche Haftung, wenn Pflichten verletzt werden
  • Geschäftsführer und Vorstände müssen eine angemessene Compliance-Struktur sicherstellen

Schulungen und Sensibilisierung

• • Alle Mitarbeiter und die Leitungsebene müssen regelmäßig geschult werden, um im gesamten Unternehmen ein breites Sicherheitsbewusstsein zu schaffen

Achtung! Je nach Branche können weitere spezifische Sicherheitsstandards gelten, die von den jeweilig zuständigen Behörden kommuniziert werden.

Welche Sanktionen erwarten Sie bei Nichteinhaltung?

Die Geldbußen bei Nichteinhaltungen oder Versäumungen betragen bis zu 10 Mio. € oder bei großen Unternehmen bis zu 2% des weltweiten Umsatzes.

Amtliche Hilfestellungen zur betrieblichen Umsetzung

Das BSI bietet mit den #nis2know-Infopaketen kurz und verständlich aufbereitete Unterstützungsangebote für betroffene Einrichtungen.

Die Europäische Agentur für Cybersicherheit (ENISA) hat zudem einen hilfreichen Leitfaden zu Rollen und Fähigkeiten von Cybersicherheitsfachleuten in betroffenen Einrichtungen erstellt. Außerdem gibt es technische Leitlinien zur Umsetzung der NIS2-Richtlinie. Die technischen und methodischen Anforderungen sind außerdem auf EU-Ebene durch die Durchführungsverordnung 2024/2690 festgelegt.