Stärkung der Sicherheit kritischer Infrastrukturen

Die neue europäische Cybersicherheitsrichtlinie NIS 2 tritt am 16. Januar 2023 in Kraft. NIS 2 steht für „Zweite Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union“. Im Rahmen der europäischen Cybersicherheitsstrategie zielt die NIS-Richtlinie darauf ab, die Widerstandsfähigkeit kritischer Infrastrukturen zu stärken. Betreiber kritischer Infrastrukturen (oder kurz KRITIS) sind nun verpflichtet, Mindeststandards zu erfüllen und proaktive Maßnahmen zu ergreifen, um Risiken zu minimieren.

NIS 1 wurde in Deutschland durch das IT-Sicherheitsgesetz und das BSI-Gesetz umgesetzt, die kritische Infrastrukturen abdecken. Die NIS 2-Richtlinie muss noch in nationales Recht umgesetzt werden und hat eine Umsetzungsfrist bis zum 17. Oktober 2024. Das NIS 2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) soll voraussichtlich im März 2024 verkündet werden und im Oktober 2024 in Kraft treten.

Unternehmen, die den Zivilschutzvorschriften unterliegen und daher der NIS2-Richtlinie unterliegen, müssen den Anforderungen an Informationssicherheit, Risikomanagement und Cybersicherheit entsprechen. Dazu gehören regelmäßige Penetrationstests, die Einrichtung von Systemen zur Meldung von Cybervorfällen und die Durchführung einer Risikoanalyse, um potenzielle IT-Sicherheitsbedrohungen innerhalb der Organisation zu identifizieren.

Die folgenden Sektoren sind von der NIS2-Richtlinie betroffen:

Die NIS2-Richtlinie gilt allgemein für Organisationen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz oder einer Bilanzsumme von mehr als 10 Millionen Euro. In bestimmten Fällen, wie bei Anbietern öffentlich zugänglicher elektronischer Kommunikationsdienste, gilt die Richtlinie unabhängig von der Größe. Die Verpflichtungen basieren hauptsächlich auf der Einstufung als „wesentliche“ oder „wichtige“ Einheit. „Wesentliche Einheiten“ umfassen Unternehmen gemäß Anhang I über bestimmten Schwellenwerten, qualifizierte Vertrauensdiensteanbieter, Anbieter von Kommunikationsnetzen, zentrale staatliche Stellen und andere als bedeutend eingestufte Einheiten. „Wichtige Einheiten“ sind diejenigen, die in Anhang I oder II aufgeführt sind, aber nicht bereits als bedeutend gelten, oder diejenigen, die von dem Mitgliedstaat als bedeutend eingestuft werden.

Die NIS2-Richtlinie verpflichtet die EU-Mitgliedstaaten, Bestimmungen über Geldstrafen für Verstöße gegen Artikel 21 (Risikomanagementmaßnahmen, siehe oben) und Artikel 23 der NIS2-Richtlinie (Meldung von erheblichen Sicherheitsvorfällen) einzuführen. Gleichzeitig legt die NIS2-Richtlinie bereits einen Mindestwert für die Obergrenze des Bußgeldrahmens fest:

Eine potenzielle Geldstrafe ist nur eine von vielen Aufsichts- und Durchsetzungsmaßnahmen, die eine zuständige Behörde im Falle eines (potenziellen) Verstoßes ergreifen kann. Manager von wesentlichen und wichtigen Organisationen sollten daher die Verpflichtung zur Umsetzung von Risikomanagementmaßnahmen frühzeitig und gründlich angehen, um hohe Geldstrafen zu vermeiden. Es bleibt abzuwarten, ob öffentliche Verwaltungseinrichtungen, wie zum Beispiel Behörden, gemäß Art. 34 Abs. 7 der NIS2-Richtlinie mit Geldstrafen belegt werden.