Wer ist betroffen?
NIS-2 erweitert den Kreis der regulierten Unternehmen erheblich. Erfasst werden künftig nicht nur Betreiber kritischer Infrastrukturen, sondern eine Vielzahl mittelständischer Unternehmen aus 18 Sektoren – von Energie, Transport und Gesundheit über die digitale Infrastruktur bis hin zu verarbeitendem Gewerbe, Chemie und Lebensmitteln.
Die Einordnung erfolgt in wesentliche und wichtige Einrichtungen, im Wesentlichen anhand von Sektor, Mitarbeiterzahl und Umsatz. Als Faustregel gilt: Wer mehr als 50 Beschäftigte hat oder mehr als 10 Mio. EUR Jahresumsatz erzielt und in einem der erfassten Sektoren tätig ist, sollte die eigene Betroffenheit dringend prüfen.
Die zentralen Pflichten
NIS-2 verlangt einen risikobasierten Ansatz mit einem Mindestkatalog technischer und organisatorischer Maßnahmen. Dazu zählen insbesondere:
- Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
- Bewältigung von Sicherheitsvorfällen (Incident Response)
- Business Continuity, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette und Beziehungen zu Dienstleistern
- Sicherheit beim Erwerb, der Entwicklung und Wartung von Systemen
- Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
- Schulungen im Bereich Cybersicherheit und grundlegende Cyberhygiene
- Kryptografie und Verschlüsselung sowie Zugriffskontrolle und Asset-Management
Die dreistufige Meldepflicht
Erhebliche Sicherheitsvorfälle sind gestuft und mit engen Fristen an das BSI zu melden. Diese Fristen sind der häufigste Stolperstein in der Praxis:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis
- Vorfallsmeldung innerhalb von 72 Stunden mit erster Bewertung
- Abschlussbericht spätestens einen Monat nach der Meldung
Die persönliche Verantwortung der Leitung
Das Kernstück von NIS-2 – und der Grund, warum das Thema Chefsache ist: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Diese Pflicht ist nicht delegierbar. Zugleich sind Leitungsorgane verpflichtet, an entsprechenden Schulungen teilzunehmen.
Bei Verstößen drohen empfindliche Bußgelder, die sich am weltweiten Konzernumsatz orientieren können. Hinzu kommt das persönliche Haftungsrisiko der Geschäftsführer und Vorstände gegenüber dem eigenen Unternehmen nach den allgemeinen Regeln der Organhaftung.
Praxishinweis
Warten Sie nicht auf den finalen Wortlaut jeder Durchführungsverordnung. Die Grundanforderungen stehen fest. Wer jetzt eine Betroffenheitsanalyse durchführt, die Maßnahmen dokumentiert und die Meldeprozesse einübt, reduziert sein Haftungsrisiko spürbar.
Was jetzt zu tun ist
Wir begleiten Unternehmen pragmatisch von der Betroffenheitsanalyse über die Erstellung prüffester Konzepte bis zur Etablierung funktionierender Melde- und Nachweisprozesse. Entscheidend ist, dass die getroffenen Maßnahmen nicht nur existieren, sondern dokumentiert und belegbar sind – denn im Ernstfall zählt der Nachweis.
Passende Leistungen
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Rechtliche Entwicklungen können zwischenzeitlich eingetreten sein. Für eine auf Ihre Situation zugeschnittene Einschätzung sprechen Sie uns gern an.
Zurück zu den Neuigkeiten