Information Security Expert
September 26, 2024
7 min
.svg)
Das NIS2 Umsetzungsgesetz ist eine nationale Umsetzung der NIS2-Richtlinie der EU, die die Cybersicherheit in der Europäischen Union stärken soll.
Das Inkrafttreten verzögert sich aller Voraussicht nach bis Ende Q1 2025, allerdings sollten Unternehmen trotzdem sofort mit der Umsetzung starten
Bei Nichtbefolgung des NIS2 Umsetzungsgesetzes drohen Bußgelder und strafrechtliche Konsequenzen.
Die Umsetzung der NIS2 Anforderung gelingt am einfachsten über ein formelles Informationssicherheits-Managementsystem (ISMS)
Die Gefahren der Cyberkriminalität stehen heute mehr denn je im Mittelpunkt der öffentlichen Wahrnehmung und politischen Diskussion. Die Verwundbarkeit des Wirtschaftsstandortes Deutschland war noch nie so groß.
Die jüngsten Erkenntnisse aus einer Studie des Digital-Branchenverbands Bitkom werfen ein alarmierendes Licht auf die Auswirkungen von Cyberangriffen auf die deutsche Wirtschaft. Mit einem Schaden von 206 Milliarden Euro allein im vergangenen Jahr wird deutlich, dass die Bedrohung durch Cyberkriminalität in einem besorgniserregenden Ausmaß zugenommen hat. Diese Angriffe betreffen nicht nur Großunternehmen, sondern auch kleinere und mittelständische Unternehmen. Vor diesem Hintergrund stellt sich die drängende Frage:
Wie können Sie Ihr Unternehmen effektiv vor den Gefahren der Cyberkriminalität schützen?
Eine Antwort darauf versucht die EU mit der NIS2 Richtlinie zu geben, die bis Oktober 2024 von Deutschland vom nationalen Recht umgesetzt sein muss. Dieser Artikel beleuchtet den aktuellen Stand der NIS2-Umsetzung in Deutschland und erklärt, was Unternehmen jetzt wissen und tun müssen.
NIS2, die Abkürzung für "Network and Information Systems Directive 2", ist eine EU-Richtlinie zur Verbesserung der Cybersicherheit in Europa. Sie wurde im Dezember 2022 verabschiedet und bringt wichtige Neuerungen im Vergleich mit ihrem Vorgänger mit sich:
Diese Maßnahmen zielen darauf ab, die Cyberresilienz von Unternehmen und kritischen Infrastrukturen deutlich zu erhöhen.
Das NIS2 Umsetzungsgesetz (NIS2UmsuCG) ist die deutsche Antwort auf die EU-Richtlinie. Es verfolgt mehrere Kernziele:
Mit diesen Maßnahmen soll das NIS2 Umsetzungsgesetz rund 30.000 Unternehmen in Deutschland erreichen und neue Cybersicherheitspflichten einführen.
Das NIS2 Umsetzungsgesetz (NIS2UmsuCG) befindet sich derzeit in einem fortgeschrittenen Stadium der Entstehung. Am 24.07.2024 hat das Bundeskabinett den Gesetzentwurf beschlossen und auf den parlamentarischen Weg gebracht.
Dem Kabinettsbeschluss ging ein finaler Regierungsentwurf mit Bearbeitungsstand vom 22.07.2024 voraus, den das Bundesministerium des Innern (BMI) veröffentlicht hat. Vor diesem Entwurf gab es mehrere Referentenentwürfe sowie eine Verbändeanhörung am 03.06.2024, bei der insgesamt 62 Stellungnahmen eingingen. Bevor das Gesetz in Kraft treten kann, muss es noch den regulären Gesetzgebungsprozess auf Bundesebene durchlaufen, einschließlich Beratungen in Bundestag und Bundesrat.
Auf Basis dieses Zeitverlaufes ist derzeit nicht mit einem fristgerechten Inkrafttreten bis zum 17. Oktober 2024 zu rechnen. Vielmehr deutet Vieles auf eine Verzögerung bis ca. März 2025 hin.
Trotz der Verzögerung empfiehlt es sich für Unternehmen, bereits jetzt mit der Umsetzung der bekannten Basis-Anforderungen zu starten, da keine wesentlichen Änderungen mehr zu erwarten sind und die Umsetzung sechs bis 18 Monate in Anspruch nehmen kann.
Die beiden Hauptkriterien, um unter das NIS2 Umsetzungsgesetz zu fallen, sind die Unternehmensgröße und der Unternehmenssektor. Ob ein Unternehmen unter das NIS2 Umsetzungsgesetz fällt, hängt also davon ab, ob beide Kriterien erfüllt sind.
Bislang geht das NIS2 Umsetzungsgesetz davon aus, dass Unternehmen, die mindestens 50 Mitarbeiter haben und einen Jahresumsatz oder eine Jahresbilanz von über 10 Millionen Euro aufweisen, von NIS2 betroffen sein könnten, sofern sie auch in einem der 18 von der Richtlinie definierten Unternehmenssektoren tätig sind.
Die Einteilung der Einrichtungen in „Essential Entities“ und „Important Entities“ bestimmt die Art der Aufsicht und die Sanktionsmöglichkeiten bei Verstößen gegen die Richtlinie.
In der NIS2 gibt es elf „wesentliche“ („Essential“) und sieben „wichtige“ („Important“) Sektoren.
NIS2 Umsetzungsgesetz: Welche Sektoren gehören zu den Betreibern kritischer Infrastruktur in Deutschland?
Die folgende Infografik gibt einen Überblick dazu, welche Unternehmen bislang unter die KRITIS-Einordnung fallen und in Zukunft zu den „wesentlichen“ Sektoren im NIS2 Umsetzungsgesetz zählen könnten.
.webp)
Durch die Anwendung der „Size-Cap-Rule“ schafft NIS2 ein ausgewogenes Regelwerk, das sowohl auf Start-ups, mittelständische Unternehmen als auch Großkonzerne zugeschnitten ist. Kleine Unternehmen, die oft nicht über ausreichende Ressourcen oder Fachwissen für komplexe Sicherheitsmaßnahmen verfügen, werden nicht übermäßig belastet. Gleichzeitig werden große Unternehmen dazu ermutigt, ihre Verantwortung wahrzunehmen und angemessene Sicherheitsvorkehrungen zu treffen.
Neben der Registrierung bei der zuständigen Behörde im eigenen Mitgliedsstaat und der Meldung von Sicherheitsvorfällen müssen Unternehmen insbesondere die neuen strengen Sicherheitsanforderungen im Rahmen des NIS2 Umsetzungsgesetzes beachten:
Zusammengefasst: NIS2 macht den Aufbau eines Informationssicherheits-Managementsystems quasi unerlässlich
Informationssicherheits-Managementsysteme (ISMS) spielen eine zentrale Rolle bei der Umsetzung der Anforderungen des NIS2 Umsetzungsgesetzes. Ein ISMS ist ein systematischer Ansatz zur Verwaltung von Informationssicherheit und zur Minimierung von Cyber-Risiken in einer Organisation. Es hilft bei der Implementierung angemessener Sicherheitskontrollen sowie die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten.
Die NIS2 orientiert sich dabei stark am globalen Goldstandard für Informationssicherheit, der ISO 27001 Zertifizierung.
Mit der SECJUR Automatisierungsplattform setzen Unternehmen die NIS2-Anforderungen in Rekordzeit um und sparen sich dadurch wertvolle Ressourcen.
Tobias ist ISO/IEC 27001 Officer & Auditor und ein erfahrener Experte für Informationssicherheit. Als solcher steht er in Kontakt mit Kunden unterschiedlichster Bedarfe: Von Startup bis Konzern, von Automobil- bis Versicherungsbranche. Er hat zahlreiche erfolgreiche Audits begleitet und weiß, worauf es beim Aufbau eines robusten ISMS ankommt.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Erfahren Sie, warum die Sicherheit von Unternehmensinformationen nicht länger als optionales Extra betrachtet wird, sondern als unerlässliche Säule für den Erfolg und die Nachhaltigkeit von Unternehmen jeder Größe. Wir erläutern die Definition eines ISMS und dessen umfassenden Ansatz, der technische, organisatorische, rechtliche und menschliche Aspekte berücksichtigt.
Im Oktober 2024 wird Deutschland verpflichtet sein, die europäische NIS-2-Richtlinie in ihr nationales Recht zu integrieren. Es wird geschätzt, dass nahezu 29.000 Unternehmen in Deutschland davon betroffen sein werden. Wie reagiert die deutsche Wirtschaft auf die ambitionierten Ziele der EU? Große Konzerne, die über umfangreiche Compliance-Abteilungen verfügen, haben bereits begonnen, sich intensiv mit der NIS-2-Richtlinie zu befassen und ihre Informationssicherheit im Hinblick auf das festgelegte Datum umfassend zu überprüfen. Im Gegensatz dazu sind sich viele Unternehmen im Mittelstand häufig nicht bewusst, dass sie in den Geltungsbereich der Richtlinie fallen. Die NIS2 Richtlinie stellt eine der bedeutendsten Compliance-Herausforderungen der letzten Jahre dar – und sie wird voraussichtlich weiterhin erhebliche Auswirkungen haben.
ISO 27001 Anforderungen verstehen: Wir bieten einen umfassenden Blick auf die Implementierung. Unser Artikel beleuchtet die zentralen ISO 27001 Anforderungen für Informationssicherheitsmanagementsysteme (ISMS). Von der Bedeutung der ISO 27001 als Goldstandard bis hin zu konkreten Schritten für die Zertifizierung decken wir alles ab. Erfahren Sie, wie Unternehmen von der ISO 27001 profitieren können, von erhöhtem Stakeholder-Vertrauen bis zu verbesserten internen Prozessen und Risikomanagement.
.svg)
.svg)
.svg){kind=small}