NIS2 betrifft Ihr Unternehmen vermutlich nicht*

Die NIS2-Richtlinie ist eine EU-Richtlinie, die darauf abzielt, ein hohes Sicherheitsniveau von Netz- und Informationssystemen in der Europäischen Union sicherzustellen. NIS2 ist eine überarbeitete Version der aktuellen Richtlinie für Netz- und Informationssicherheit (NIS1-Richtlinie).

‍Die Richtlinie legt unter anderem Kriterien fest, um Betreiber kritischer Infrastrukturen zu identifizieren und legt Mindeststandards für deren Informationssicherheit fest: Die NIS2 besagt, dass betroffene Unternehmen, Behörden und Organisationen ganz bestimmte Informationssicherheitsstandards einhalten müssen, um in den Mitgliedsstaaten der EU allgemein ein besseres Cybersicherheitsniveau zu gewährleisten. Im Falle einer Verletzung der NIS2-Richtlinie können nationale Behörden entsprechend ihrer jeweiligen Umsetzung der Vorschriften Sanktionen und Bußgelder verhängen. Die genauen Strafen können je nach nationaler Umsetzung der Richtlinie variieren.

Die NIS2-Richtlinie betrifft Unternehmen mit mehr als zehn Millionen Euro Jahresumsatz sowie mehr als 50 Mitarbeiterinnen und Mitarbeitern aus sogenannten kritischen Industrien sowie Industrien mit erhöhter Kritikalität.
Dazu gehören u.a. Unternehmen in den Sektoren Energie, Verkehr, Banken, Gesundheitswesen, digitale Infrastruktur, Cloud-Dienste aber auch Online-Marktplätze.
‍
Unabhängig von der Größe und des Umsatzes eines Unternehmens gibt es zudem auch bestimmte Ausnahmen, bei denen selbige durch den Anwendungsbereich der NIS2 erfasst sind, beispielsweise wenn ein Unternehmen bestimmte Tätigkeiten ausübt, Auswirkungen auf die öffentliche Ordnung nimmt oder Systemrisiken sowie grenzüberschreitende Auswirkungen bestehen. Gleichermaßen kann ein Unternehmen bei gewissen Ausnahmen auch gänzlich von der NIS2 ausgenommen sein.

Die Einführung der Network and Information Security 2 bringt für Unternehmen eine Vielzahl neuer Pflichten und Verantwortlichkeiten mit sich. Sie erfordert von Unternehmen die Umsetzung von angemessenen Sicherheitsmaßnahmen zum Schutz ihrer Netz- und Informationssysteme.

Unternehmen, die als wesentliche oder wichtige Einrichtungen eingestuft werden, sind verpflichtet, angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen und die Auswirkungen von Sicherheitsvorfällen zu verhindern oder zu minimieren. Dazu gehören unter anderem die Einführung von Sicherheitsrichtlinien und -verfahren, die Identifizierung und Bewältigung von Sicherheitsvorfällen sowie die Gewährleistung einer ausreichenden Widerstandsfähigkeit gegen Cyberangriffe. Fast alle Maßnahmen lassen sich unter dem Aufbau eines Informationssicherheitsmanagementsystems (ISMS) zusammenfassen.

Bei Nichteinhaltung der NIS2-Richtlinie sehen sich Unternehmen mit potenziell schwerwiegenden Konsequenzen konfrontiert. Die Richtlinie wurde entwickelt, um die Cybersicherheit in verschiedenen Sektoren, insbesondere in kritischen Infrastrukturen und digitalen Dienstleistungen, zu stärken und Risiken zu minimieren.

Demnach wird die Nichteinhaltung voraussichtlich auch verschärft sanktioniert.  Im Falle einer Verletzung der NIS2-Richtlinie können nationale Behörden entsprechend ihrer jeweiligen Umsetzung der Vorschriften Sanktionen und Bußgelder verhängen. Die Höhe der Geldstrafen und die Art der Sanktionen können je nach Schwere und Häufigkeit der Verstöße variieren, können jedoch voraussichtlich bis zu max. 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes betragen.

Es ist demnach unerlässlich, dass Unternehmen die Anforderungen der NIS2-Richtlinie ernst nehmen und proaktive Schritte unternehmen, um sicherzustellen, dass sie den geforderten Sicherheitsstandards entsprechen.