NIS-2

Richtlinie (EU) 2022/2555 und das deutsche Umsetzungsgesetz NIS2UmsuCG

Zentrale Elemente im NIS2UmsuCG

Betroffene Unternehmen

Wieso wir dieses Gesetz brauchen

Auswirkungen und Herausforderungen

Zeitplan

Fazit

Abstrakt

Die digitale Infrastruktur bildet das Rückgrat der modernen Wirtschaft und Gesellschaft. Insbesondere in Deutschland, einer der führenden Industrienationen Europas, ist die Verfügbarkeit und Sicherheit dieser Infrastruktur von entscheidender Bedeutung für Wohlstand, Wachstum und wirtschaftliche Stabilität. Mit der zunehmenden Digitalisierung und der eng vernetzten europäischen und globalen Wirtschaft wachsen jedoch auch die Herausforderungen. Cyberangriffe, Ransomware und Sicherheitslücken in der IT-Lieferkette sind mittlerweile allgegenwärtige Bedrohungen, die nicht nur Unternehmen, sondern auch kritische Infrastrukturen, wie das Gesundheitswesen oder die Energieversorgung, ins Visier nehmen.

Um diesen Risiken entschlossen entgegenzutreten, hat die Europäische Union die NIS-2 Richtlinie verabschiedet. Diese zielt darauf ab, ein einheitlich hohes Cybersicherheitsniveau in der gesamten EU zu gewährleisten und die Resilienz sowohl in der Wirtschaft als auch in der öffentlichen Verwaltung zu stärken. Der jüngste Gesetzesentwurf der Bundesregierung zur Umsetzung der NIS-2 Richtlinie unterstreicht die Dringlichkeit, nicht nur Unternehmen, sondern auch staatliche Institutionen vor den wachsenden Bedrohungen des Cyberraums zu schützen. Angesichts geopolitischer Spannungen und der anhaltenden Bedrohungslage durch Cyberkriminelle und staatlich unterstützte Angriffe stellt die Richtlinie einen wichtigen Schritt zur Sicherung der digitalen Zukunft Europas dar.

Der Entwurf des Gesetzes zur Umsetzung der NIS2-Richtlinie (NIS2UmsuCG) enthält Vorgaben, die Unternehmen und staatliche Institutionen betreffen. Diese zielen darauf ab, die Cybersicherheit in Deutschland und der EU zu stärken und ein hohes, gemeinsames Sicherheitsniveau zu gewährleisten. Im Folgenden werden die zentralen Elemente des NIS2UmsuCG in Bezug auf Risikomanagement, Meldepflicht, Registrierungspflicht, Unterrichtungspflichten und Nachweispflichten erläutert.

Risikomanagement

Ein wesentlicher Bestandteil des NIS2UmsuCG ist die Implementierung eines umfassenden Risikomanagements. Alle betroffenen Organisationen, insbesondere Betreiber kritischer Infrastrukturen, müssen strenge Maßnahmen ergreifen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Dies umfasst:

• Risikobewertung und -minimierung: Organisationen sind verpflichtet, regelmäßig Risiken zu identifizieren und zu bewerten, die ihre IT-Infrastruktur bedrohen könnten. Basierend auf dieser Analyse müssen sie entsprechende Sicherheitsmaßnahmen ergreifen, um potenzielle Schwachstellen zu beheben.
• Implementierung von Sicherheitsstandards: Das Gesetz stellt sicher, dass die betroffenen Organisationen Sicherheitsstandards anwenden, die den Vorgaben der NIS2-Richtlinie entsprechen. Hierzu zählen technische und organisatorische Maßnahmen zur Sicherstellung der Verfügbarkeit, Vertraulichkeit und Integrität der Systeme und Daten.
• Krisenmanagement und Notfallpläne: Unternehmen müssen auch präventive Maßnahmen zur Krisenbewältigung implementieren und sicherstellen, dass Notfallpläne existieren, die bei Sicherheitsvorfällen greifen.

Meldepflicht

Eine weitere Neuerung im Rahmen des NIS2UmsuCG betrifft die Meldepflichten für Sicherheitsvorfälle. Das bisherige einstufige Meldeverfahren wird durch ein dreistufiges Modell ersetzt:

1. Frühwarnmeldungen innerhalb von 24 Stunden: Unternehmen müssen innerhalb von 24 Stunden nach dem Erkennen eines Sicherheitsvorfalls eine erste Meldung an die zuständige Behörde abgeben. Diese frühe Warnung soll es den Behörden ermöglichen, schnell Maßnahmen zu ergreifen und den Vorfall weiter zu überwachen.
2. Folgemeldungen: Innerhalb von 72 Stunden nach der ersten Meldung muss eine detaillierte Analyse des Vorfalls erfolgen, bei der weitere Informationen bereitgestellt werden. Dies schließt eine Schätzung der betroffenen Daten und möglichen Auswirkungen ein.
3. Abschlussbericht: Nach der vollständigen Behebung des Vorfalls ist ein Abschlussbericht einzureichen, der die ergriffenen Maßnahmen und den Erfolg der Problemlösung dokumentiert.

Registrierungspflicht

Das NIS2UmsuCG sieht auch eine verschärfte Registrierungspflicht für betroffene Einrichtungen vor. Unternehmen und öffentliche Einrichtungen, die unter die Richtlinie fallen, müssen sich bei der zuständigen nationalen Behörde registrieren lassen. Diese Registrierung ermöglicht es den Behörden, eine zentrale Datenbank der betroffenen Organisationen zu pflegen und eine bessere Überwachung der Cybersicherheitslandschaft zu gewährleisten.

Die Registrierungspflicht betrifft insbesondere Betreiber kritischer Infrastrukturen, digitale Dienstleister und weitere wesentliche Einrichtungen, die für das Funktionieren der Gesellschaft von zentraler Bedeutung sind. Nicht nur neue Akteure, sondern auch bestehende Unternehmen sind verpflichtet, sich registrieren zu lassen, wenn sie unter die neue Gesetzgebung fallen.

Unterrichtungspflichten

Die NIS2-Richtlinie legt großen Wert auf die Unterrichtungspflichten der betroffenen Unternehmen und Institutionen. Diese beinhalten:

• Informationspflichten gegenüber Behörden: Unternehmen müssen die zuständigen Behörden unverzüglich informieren, sobald sie von Sicherheitsvorfällen oder Schwachstellen in ihren Netz- und Informationssystemen Kenntnis erhalten. Diese Informationen müssen präzise und vollständig sein, um eine schnelle Reaktion seitens der Behörden zu ermöglichen.
• Interne Informationspflichten: Organisationen müssen sicherstellen, dass ihre Geschäftsleitung sowie die zuständigen Sicherheitsbeauftragten regelmäßig über Cybersicherheitsrisiken und -vorfälle informiert werden. Dies soll gewährleisten, dass die Verantwortlichen im Unternehmen schnell reagieren können.

Nachweispflichten

Schließlich verpflichtet das NIS2UmsuCG die betroffenen Einrichtungen, umfassende Nachweispflichten zu erfüllen:

• Regelmäßige Überprüfung und Dokumentation: Unternehmen müssen nachweisen, dass sie die erforderlichen Sicherheitsmaßnahmen gemäß den gesetzlichen Vorgaben implementiert haben. Dies umfasst sowohl technische Vorkehrungen als auch organisatorische Maßnahmen, die regelmäßig überprüft und dokumentiert werden müssen.
• Auditierung und Zertifizierung: In einigen Fällen kann es erforderlich sein, dass Organisationen externe Audits durchführen lassen, um die Einhaltung der Vorgaben zu bestätigen. Der Gesetzesentwurf sieht auch vor, dass die Behörden das Recht haben, die Sicherheitsvorkehrungen zu überprüfen und gegebenenfalls Sanktionen zu verhängen, wenn Unternehmen ihren Verpflichtungen nicht nachkommen.
• Berichterstattung: Unternehmen müssen der zuständigen Behörde auf Verlangen nachweisen, dass sie ihrer Melde- und Risikomanagementpflicht nachgekommen sind. Dies erfordert eine lückenlose Dokumentation aller relevanten Vorfälle und Maßnahmen.

Durch diese Elemente schafft das NIS2UmsuCG klare und verpflichtende Vorgaben, die darauf abzielen, die Cybersicherheit in Deutschland und der EU auf ein neues Niveau zu heben und Unternehmen sowie staatliche Institutionen zu stärken, um auf die stetig wachsenden Bedrohungen aus dem Cyberraum vorbereitet zu sein.

Die von der NIS2-Richtlinie und dem NIS2UmsuCG betroffenen Sektoren lassen sich grob in zwei Gruppen einteilen:

1. Sektoren besonders wichtiger und wichtiger Einrichtungen, wie Energie, Gesundheit, Transport/Verkehr, digitale Infrastruktur, Wasser/Abwasser und Weltraum.
2. Sektoren wichtiger Einrichtungen, wie Post/Kurierdienste, Chemie, verarbeitendes Gewerbe, Lebensmittel und digitale Dienste.

Durch diese Kategorisierung wird der Geltungsbereich des Gesetzes klar definiert, und es wird sichergestellt, dass die Unternehmen, die von einem Ausfall oder Cyberangriff besonders betroffen wären, adäquate Schutzmaßnahmen ergreifen, um die Sicherheit und Resilienz der deutschen und europäischen Wirtschaft zu gewährleisten.

Betreiber kritischer Anlagen (KRITIS)

Eine zentrale Gruppe im Anwendungsbereich des Gesetzes sind die Betreiber kritischer Anlagen. Diese Unternehmen spielen eine entscheidende Rolle für die Versorgungssicherheit in Sektoren wie Energie, Wasser, Transport, Gesundheit und Telekommunikation. Die Betreiber kritischer Anlagen, auch als KRITIS-Betreiber bekannt, stellen die Sicherheit und Funktionsfähigkeit ihrer Infrastruktur sicher, um das Risiko von Ausfällen oder Angriffen zu minimieren. Zu den kritischen Anlagen zählen insbesondere solche, die eine Schwellenwertregelung erfüllen, wie beispielsweise die Versorgung von mindestens 500.000 Personen mit Dienstleistungen.

Besonders wichtige Einrichtungen

Diese umfassen in der Regel Großunternehmen in zentralen Sektoren, die aufgrund ihrer Größe und ihrer Bedeutung für die Wirtschaft und die öffentliche Sicherheit strenge Sicherheitsanforderungen erfüllen müssen. Diese Einrichtungen sind in Anlage 1 des Gesetzes aufgelistet und decken Sektoren wie Energie, Verkehr, Finanzwesen, Gesundheitswesen, Wasser/Abwasser und digitale Infrastrukturen ab. Diese Einrichtungen müssen umfangreiche Sicherheitsvorkehrungen treffen, um die Kontinuität ihrer Dienstleistungen zu gewährleisten, da ein Ausfall gravierende Auswirkungen auf die Gesellschaft haben könnte. Unternehmen gelten als besonders wichtig, wenn sie entweder mehr als 250 Mitarbeiter beschäftigen oder einen Umsatz von mehr als 50 Millionen Euro sowie eine Bilanzsumme von über 43 Millionen Euro aufweisen. Darüber hinaus gibt es besondere Unternehmen, die unabhängig von ihrer Größe als besonders wichtig eingestuft werden, darunter qualifizierte Vertrauensdienste, TLD-Register, DNS-Dienste sowie Telekommunikationsanbieter.

Wichtige Einrichtungen

Neben den besonders wichtigen Einrichtungen sieht das NIS2UmsuCG auch für wichtige Einrichtungen spezifische Anforderungen vor. Diese Gruppe umfasst mittlere Unternehmen, die ebenfalls in Sektoren von hoher Kritikalität tätig sind, wie Energie, Transport und Verkehr, Finanzen, Gesundheit, Wasser und digitale Infrastrukturen. Die Anforderungen an diese Unternehmen sind zwar etwas geringer als für besonders wichtige Einrichtungen, dennoch müssen auch sie umfassende Maßnahmen zur Risikoprävention und zum Krisenmanagement umsetzen, um Cyberangriffe und Ausfälle zu verhindern. Ein Unternehmen wird als wichtig eingestuft, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Umsatz von über 10 Millionen Euro und eine Bilanzsumme von über 10 Millionen Euro erreicht. Zu den wichtigen Einrichtungen zählen auch Betreiber öffentlicher Telekommunikationsnetze sowie Unternehmen, die in den Bereichen Post und Kurierdienste, Chemie, Lebensmittelproduktion und verarbeitendes Gewerbe tätig sind.

Einrichtungen der Bundesverwaltung

Ein weiterer bedeutender Bereich, der vom NIS2UmsuCG reguliert wird, sind die Einrichtungen der Bundesverwaltung. Diese fallen unter die spezifischen Bestimmungen des §29 des Gesetzes und erben einige der Pflichten, die für besonders wichtige Einrichtungen gelten. Dies betrifft insbesondere öffentliche IT-Dienstleister, die für den Betrieb von IT-Infrastrukturen der Bundesverwaltung verantwortlich sind. Diese Einrichtungen haben die Aufgabe, hohe Cybersicherheitsstandards zu implementieren, um staatliche Systeme und Daten vor Angriffen zu schützen. Ausgenommen von diesen Regelungen sind allerdings bestimmte staatliche Akteure, wie das Auswärtige Amt, die Verteidigung und Nachrichtendienste, die separat reguliert sind.

Wegfall der Unternehmen im besonderen öffentlichen Interesse (UBI)

Eine Neuerung des Gesetzes ist der Wegfall der Kategorie der Unternehmen im besonderen öffentlichen Interesse (UBI). Diese Unternehmen werden nun in die Kategorien der besonders wichtigen oder wichtigen Einrichtungen integriert. Beispielsweise fallen Unternehmen der Rüstungsindustrie größtenteils in den NIS2-Sektor des verarbeitenden Gewerbes, während Unternehmen mit volkswirtschaftlicher Bedeutung in die Sektoren des NIS2UmsuCG übergehen. Unternehmen, die mit Gefahrstoffen arbeiten, werden hingegen dem Sektor Chemie zugeordnet.

Die Umsetzung der NIS2-Richtlinie in Deutschland durch das NIS2UmsuCG ist eine dringende Notwendigkeit, die auf die gestiegenen Anforderungen an die Cybersicherheit und den Schutz kritischer Infrastrukturen reagiert. Angesichts der zunehmenden Digitalisierung, der globalen Vernetzung und der stetig wachsenden Bedrohungslage durch Cyberangriffe müssen Unternehmen und öffentliche Einrichtungen besser auf Sicherheitsvorfälle vorbereitet sein. Im Folgenden werden die wichtigsten Gründe und Vorteile des Gesetzes dargestellt.

Reaktion auf die steigende Bedrohungslage

Die Zahl der Cyberangriffe hat in den letzten Jahren drastisch zugenommen, und die Angriffe werden immer komplexer und gefährlicher. Unternehmen in Deutschland und der gesamten EU stehen vor großen Herausforderungen:

• Ransomware-Angriffe
  Zunehmende Verschlüsselung von Daten und Systemen, bei denen Lösegeld für die Freigabe verlangt wird. Dies wird durch Geschäftsmodelle wie "Ransomware as a Service" und den Einsatz von Kryptowährungen zur Zahlung erleichtert.
• Supply-Chain-Angriffe
  Zunehmende Cyberangriffe auf Dienstleister und Zulieferer, um Unternehmen über Schwachstellen in der Lieferkette zu kompromittieren. Dies kann weitreichende Auswirkungen auf mehrere Organisationen haben.
• Phishing und Social Engineering
  Angreifer nutzen betrügerische E-Mails und Kommunikationswege, um sensible Daten wie Passwörter oder Zugangsrechte zu erschleichen. Diese Angriffe sind oft der Ausgangspunkt für größere Vorfälle.
• Verstärkter Einsatz von Malware
  Bösartige Software, die gezielt in Netzwerke eingeschleust wird, um Daten zu stehlen, Systeme zu sabotieren oder unautorisierten Zugriff zu ermöglichen. Malware-Angriffe können ganze IT-Systeme lahmlegen.
• Distributed Denial of Service (DDoS)-Angriffe
  Durch Überlastung von Netzwerken oder Diensten mit einer Flut von Anfragen führen Angreifer dazu, dass Systeme ausfallen und nicht mehr erreichbar sind.
• Angriffe auf kritische Infrastrukturen
  Cyberkriminelle und staatlich geförderte Akteure zielen verstärkt auf Energieversorgung, Gesundheitswesen, Transport und Kommunikation ab. Diese Sektoren sind von besonderer Bedeutung, und Ausfälle hätten verheerende Auswirkungen.
• Wirtschaftsspionage
  Cyberangriffe auf Unternehmen zur Gewinnung von Geschäftsgeheimnissen, geistigem Eigentum oder vertraulichen Informationen. Diese Art der Spionage hat oft erhebliche wirtschaftliche Schäden zur Folge.
• Angriffe auf IoT-Geräte und vernetzte Systeme
  Da immer mehr Geräte miteinander verbunden sind, bieten diese zunehmend eine Angriffsfläche für Cyberkriminelle. Unzureichend gesicherte Geräte werden oft als Einfallstor für größere Angriffe genutzt.

Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) haben sich die Bedrohungen durch Cyberangriffe seit dem völkerrechtswidrigen Angriffskrieg Russlands auf die Ukraine weiter verschärft und bereits bekannte Bedrohungen müssen aufgrund veränderter Rahmenbedingungen angepasst werden. Auch können Cyber-Sabotage-Angriffe Kollateralschäden zur Folge haben. Besonders betroffen sind kritische Infrastrukturen, deren Ausfall erhebliche Folgen für die Gesellschaft haben könnte.

Das NIS2UmsuCG zielt darauf ab, diesen Risiken zu begegnen, indem es Unternehmen und Einrichtungen verpflichtet, robuste Schutzmaßnahmen zu implementieren. Durch klare Vorgaben für das Risikomanagement und die Meldepflichten wird sichergestellt, dass Vorfälle schnell erkannt, gemeldet und behoben werden können.

Schutz der nationalen und europäischen Infrastruktur

Die digitale und physische Infrastruktur ist das Rückgrat der modernen Wirtschaft. Ein Ausfall kritischer Systeme in Bereichen wie Energieversorgung, Gesundheitswesen oder Telekommunikation könnte katastrophale Auswirkungen haben, sowohl auf die Gesellschaft als auch auf die Wirtschaft. Das NIS2UmsuCG bietet folgende Vorteile:

• Verbesserung der Resilienz: Durch die Einführung strikter Sicherheitsanforderungen wird die Fähigkeit von Unternehmen und staatlichen Einrichtungen gestärkt, Cyberangriffe abzuwehren und die Kontinuität ihrer Dienstleistungen zu gewährleisten.
• Schutz der Versorgungssicherheit: Besonders in den Sektoren, die für die öffentliche Versorgung von zentraler Bedeutung sind, wie Energie, Wasser und Gesundheitswesen, gewährleistet das Gesetz den Schutz vor potenziellen Angriffen, die lebenswichtige Dienste unterbrechen könnten.

Einheitliche Sicherheitsstandards in der EU

Ein zentrales Ziel der NIS2-Richtlinie ist die Harmonisierung der Cybersicherheitsstandards in der gesamten Europäischen Union. Bisher gab es erhebliche Unterschiede zwischen den einzelnen Mitgliedstaaten, was die Sicherheit von Netz- und Informationssystemen betrifft. Das NIS2UmsuCG schafft eine einheitliche Grundlage für Unternehmen und öffentliche Einrichtungen in Deutschland, die dazu beiträgt:

• Gleiche Spielregeln für alle: Unternehmen und Einrichtungen in der gesamten EU müssen sich an die gleichen hohen Sicherheitsstandards halten. Dies schafft eine stabile und sichere Umgebung für den Binnenmarkt und reduziert die Gefahr, dass Schwachstellen in einem Land genutzt werden, um Angriffe in einem anderen Land zu starten.
• Förderung der grenzüberschreitenden Zusammenarbeit: Durch die verbesserten Meldepflichten und die Zusammenarbeit zwischen den nationalen Behörden wird die Reaktionsfähigkeit bei Cyberangriffen auf europäischer Ebene erheblich gesteigert.

Verbesserung der Unternehmensverantwortung und Cybersicherheitskultur

Ein wichtiger Aspekt des NIS2UmsuCG ist die verstärkte Einbindung der Unternehmensführung in Cybersicherheitsfragen. Unternehmen sind zunehmend dafür verantwortlich, dass sie angemessene Schutzmaßnahmen ergreifen und Sicherheitsvorfälle effektiv managen. Die Geschäftsleitungen werden dazu verpflichtet, sich aktiv mit den Sicherheitsrisiken ihrer Unternehmen auseinanderzusetzen und geeignete Maßnahmen zu treffen. Dies führt zu einem besseren Risikomanagement und einer stärkeren Reaktionsfähigkeit im Krisenfall. Zudem erhöht das Gesetz das Bewusstsein für Cybersicherheit in den Unternehmen. Dies trägt dazu bei, eine Unternehmenskultur zu schaffen, in der Cybersicherheit als grundlegender Bestandteil des Geschäftsbetriebs angesehen wird.

Verhinderung von finanziellen und wirtschaftlichen Schäden

Die NIS2-Richtlinie bietet einen klaren Vorteil für Unternehmen und staatliche Einrichtungen, indem sie einen präventiven Rahmen schafft, der dazu beiträgt, finanzielle und wirtschaftliche Schäden infolge von Cyberangriffen zu reduzieren. Angesichts der stetig steigenden Bedrohungslage durch Cyberkriminalität ist es für Unternehmen von zentraler Bedeutung, wirksame Sicherheitsmaßnahmen zu ergreifen, um langfristige finanzielle Verluste zu minimieren.

Betriebsausfälle durch Cyberangriffe gehören zu den gravierendsten finanziellen Risiken, denen Unternehmen ausgesetzt sind. Der Branchenverband Bitkom e. V. schätzte, dass Cyberangriffe in Deutschland im Jahr 2021 einen Gesamtschaden von 223,5 Milliarden Euro verursachten. Ein erheblicher Anteil dieser Schäden resultiert aus Betriebsausfällen, gestohlenen Daten, zerstörten Systemen und teuren Wiederherstellungsmaßnahmen.

Die NIS2-Richtlinie verpflichtet Unternehmen, präventive Maßnahmen zu ergreifen, um solche Ausfälle zu verhindern oder deren Auswirkungen zu minimieren. Dies umfasst unter anderem das Risikomanagement, welches durch regelmäßige Risikobewertungen und die Implementierung technischer und organisatorischer Sicherheitsmaßnahmen Unternehmen potenzielle Schwachstellen frühzeitig identifizieren und entsprechende Gegenmaßnahmen einleiten können. Notfallpläne und schnelle Reaktionsmechanismen sorgen im Rahmen eines Krisenmanagements dafür, dass Unternehmen im Falle eines Angriffs nicht langfristig lahmgelegt werden und die Auswirkungen auf den Geschäftsbetrieb minimiert werden.

Die Umsetzung der NIS2-Anforderungen mag auf den ersten Blick als Kostenfaktor erscheinen, insbesondere in Bezug auf die nötigen Investitionen in Cybersicherheitsmaßnahmen, Schulungen und Technologien. Diese Kosten stehen jedoch in direktem Verhältnis zu den potenziellen Einsparungen, die durch die Verhinderung von Cyberangriffen erzielt werden können.

Laut Bitkom verursacht ein durchschnittlicher Cyberangriff für Unternehmen mit mindestens 10 Mitarbeitern jährlich einen Schaden von 500.000 Euro. Unter der Annahme, dass die NIS2-Maßnahmen dazu beitragen könnten, die Hälfte dieser Schäden zu verhindern, würden Unternehmen pro Jahr durchschnittlich 250.000 Euro an potenziellen Schäden abwenden. Hochgerechnet auf die etwa 14.500 Unternehmen, die voraussichtlich von der NIS2-Richtlinie betroffen sein werden, ergibt sich eine Schadensvermeidung in Höhe von ca. 3,6 Milliarden Euro pro Jahr für die deutsche Wirtschaft. Diese Einsparungen entstehen auch durch Reduzierung von Systemausfällen und eine effizientere Ressourcenverwendung.

Neben der direkten Vermeidung von Schäden hilft die Einhaltung der NIS2-Richtlinie Unternehmen dabei, sich als vertrauenswürdige Partner zu positionieren. Kunden, Geschäftspartner und Investoren legen zunehmend Wert auf die Sicherheit digitaler Systeme und Daten. Unternehmen, die über robuste Cybersicherheitsmaßnahmen verfügen, können nicht nur das Risiko von Cyberangriffen reduzieren, sondern auch das Vertrauen ihrer Stakeholder stärken. Dies kann zu einer besseren Marktpositionierung und langfristigen Geschäftsstabilität führen.

Ein weiterer finanzieller Aspekt der NIS2-Umsetzung ist die Vermeidung von Strafen und Sanktionen, die bei Nichteinhaltung der Richtlinie verhängt werden können. Unternehmen, die gegen die Meldepflichten oder Cybersicherheitsanforderungen verstoßen, müssen mit hohen Bußgeldern und rechtlichen Konsequenzen rechnen. Indem Unternehmen frühzeitig in die Umsetzung der NIS2-Vorgaben investieren, können sie nicht nur potenzielle Cyberangriffe abwehren, sondern auch Sanktionen vermeiden, die zusätzliche Kosten verursachen würden.

Ein wichtiger Schritt für die digitale Zukunft

Die Umsetzung der NIS2-Richtlinie bringt nicht nur rechtliche Verpflichtungen mit sich, sondern bietet auch erhebliche wirtschaftliche Vorteile. Die Einhaltung der Richtlinie trägt dazu bei, das Vertrauen der Kunden zu stärken, rechtliche Risiken zu minimieren und Unternehmen in einer zunehmend digitalen Welt wettbewerbsfähiger zu machen.

Das NIS2UmsuCG ist ein wesentlicher Baustein, um Deutschland und die EU auf die wachsenden Herausforderungen der digitalen Welt vorzubereiten. Es stärkt die Resilienz von Unternehmen und staatlichen Institutionen gegenüber Cyberangriffen und fördert gleichzeitig die Zusammenarbeit auf europäischer Ebene. Mit diesem Gesetz wird ein bedeutender Schritt unternommen, um die wirtschaftliche Stabilität und die Sicherheit in einer zunehmend vernetzten und digitalisierten Welt zu gewährleisten.

Das NIS2UmsuCG bringt umfassende Veränderungen für Unternehmen und staatliche Einrichtungen in Deutschland mit sich. Im Folgenden werden die wesentlichen Auswirkungen auf die Wirtschaft und die damit verbundenen Herausforderungen skizziert.

Erfüllungsaufwand und zusätzliche Ausgaben

Die Umsetzung der Vorgaben aus dem NIS2UmsuCG geht mit einem erheblichen Erfüllungsaufwand für die betroffenen Unternehmen einher. Insbesondere die Kosten für die Anpassung von IT-Systemen, Schulungen und die Implementierung neuer Sicherheitsmaßnahmen stellen eine Herausforderung dar. Unternehmen müssen entsprechende Investitionen in ihre IT-Infrastrukturen tätigen, um den geforderten Sicherheitsstandards gerecht zu werden. Dazu zählen vor allem Ausgaben für Softwarelösungen, die Implementierung von Monitoring- und Angriffserkennungssystemen sowie Maßnahmen zur Stärkung der Netzwerksicherheit.

Neben den anfänglichen Investitionen entstehen langfristig laufende Kosten für die Instandhaltung und Aktualisierung der Systeme, regelmäßige Schulungen der Mitarbeiter sowie die Einhaltung der vorgeschriebenen Melde- und Dokumentationspflichten. Der Gesetzesentwurf geht von einem zusätzlichen jährlichen Erfüllungsaufwand von rund 2,2 Milliarden Euro für die deutsche Wirtschaft aus.

Übernahme bestehender Standards wie ISO27001

Viele Unternehmen haben bereits in der Vergangenheit Cybersicherheitsstandards implementiert, darunter international anerkannte Standards wie ISO/IEC 27001. Das NIS2UmsuCG bietet diesen Unternehmen die Möglichkeit, bestehende Praktiken und Zertifizierungen in ihre Sicherheitsmaßnahmen zu integrieren.

Unternehmen, die bereits nach ISO27001 zertifiziert sind, können viele der geforderten Sicherheitsmaßnahmen aus dem NIS2UmsuCG übernehmen und anpassen. Der Fokus auf Risikomanagement, kontinuierliche Verbesserungen und die Überprüfung von Sicherheitsvorkehrungen entspricht weitgehend den Anforderungen des Gesetzes.

Unternehmen, die bereits etablierte Standards wie ISO27001 nutzen, haben dadurch einen Wettbewerbsvorteil, da sie viele der gesetzlich geforderten Maßnahmen bereits umgesetzt haben. Die Integration bestehender Zertifizierungen reduziert den Aufwand für die Anpassung an die neuen Vorgaben und verringert potenzielle Kosten.

Risikomanagementmaßnahmen

Das NIS2UmsuCG legt besonderen Wert auf das Risikomanagement und die Implementierung von Sicherheitsvorkehrungen, die den spezifischen Bedrohungen für Netz- und Informationssysteme gerecht werden. Unternehmen müssen umfassende Risikomanagementsysteme einrichten, um Bedrohungen zu erkennen und zu bewältigen.

Unternehmen sind verpflichtet, regelmäßige Risikoanalysen durchzuführen, um potenzielle Schwachstellen in ihrer IT-Infrastruktur zu identifizieren. Diese Analysen müssen nicht nur technische, sondern auch organisatorische Risiken erfassen.

Basierend auf der Risikobewertung müssen betroffene Unternehmen präventive und reaktive Sicherheitsmaßnahmen ergreifen. Dies umfasst technische Maßnahmen wie die Verschlüsselung von Daten und den Einsatz von Firewalls, aber auch organisatorische Maßnahmen wie Schulungen für Mitarbeiter und die Einführung von Notfallplänen.

Unternehmen müssen zudem auf Sicherheitsvorfälle vorbereitet sein. Dies bedeutet, dass effektive Notfallpläne und Krisenmanagementprozesse etabliert werden müssen, um im Ernstfall schnell reagieren zu können.

Anforderungen und Meldepflichten

Eine der größten Herausforderungen des NIS2UmsuCG sind die strengen Meldepflichten, die für Sicherheitsvorfälle gelten. Unternehmen müssen sicherstellen, dass sie in der Lage sind, Vorfälle schnell zu erkennen, zu bewerten und zu melden.

Wie oben beschrieben, sieht das Gesetz ein dreistufiges Meldesystem vor, bei dem Unternehmen innerhalb von 24 Stunden eine erste Meldung an die zuständigen Behörden abgeben müssen, sobald ein erheblicher Sicherheitsvorfall erkannt wird. Innerhalb von 72 Stunden muss dann ein umfassender Bericht mit detaillierten Informationen zur Natur des Vorfalls, den betroffenen Systemen und den ergriffenen Gegenmaßnahmen folgen. Schließlich ist nach Abschluss des Vorfalls ein Abschlussbericht zu erstellen, der die Reaktion auf den Vorfall dokumentiert.

Um diesen Meldepflichten nachkommen zu können, müssen Unternehmen geeignete technische Lösungen implementieren, die Sicherheitsvorfälle in Echtzeit überwachen und die notwendigen Informationen automatisch erfassen. Dies erfordert den Einsatz von Angriffserkennungssystemen (IDS/IPS) sowie Logging- und Monitoring-Tools, die Vorfälle rechtzeitig melden können.

Abschließend müssen Unternehmen jeden Vorfall umfassend dokumentieren und sicherstellen, dass die ergriffenen Maßnahmen zur Vorfallbewältigung nachvollziehbar sind. Dies stellt sicher, dass Behörden jederzeit die Einhaltung der gesetzlichen Vorgaben prüfen können.

Der Weg zur Umsetzung der NIS2-Richtlinie in Deutschland verläuft schrittweise und ist von mehreren Entwicklungsstufen geprägt, die in den vergangenen Jahren sowohl auf europäischer als auch nationaler Ebene umgesetzt wurden. Das ursprüngliche Ziel, das NIS2-Umsetzungsgesetz bis zum 17. Oktober 2024 in Kraft zu setzen, um der EU-Frist gerecht zu werden, scheint nicht mehr haltbar zu sein (Stand: September 2024). Nachfolgend werden der bisherige Zeitplan sowie die weiteren Schritte beschrieben.

Frühere Etappen der NIS-Richtlinie und des IT-Sicherheitsgesetzes

Die erste NIS-Richtlinie wurde 2016 verabschiedet und sah eine Frist bis Mai 2018 für die nationale Umsetzung vor. Deutschland reagierte darauf mit der Einführung des IT-Sicherheitsgesetzes und erweiterte später die Vorgaben durch das IT-Sicherheitsgesetz 2.0, das im Mai 2021 in Kraft trat und die Cybersicherheitsanforderungen verschärfte. Es legte strengere Sicherheitsanforderungen für kritische Infrastrukturen und digitale Dienste fest und war eine Vorstufe zur Umsetzung der später folgenden NIS2-Richtlinie.

Entwicklung der NIS2-Richtlinie und nationale Schritte

Die NIS2-Richtlinie (EU 2022/2555) wurde im Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht. Diese Richtlinie sieht einen einheitlichen Rechtsrahmen für Cybersicherheit in der gesamten EU vor und erweitert die Anforderungen auf eine größere Zahl von Unternehmen und Sektoren.

Bereits im Frühjahr 2023 stellte das Innenministerium erste Referentenentwürfe für das NIS2UmsuCG vor, um die Anforderungen der NIS2-Richtlinie in deutsches Recht zu überführen. Im Laufe des Jahres folgten weitere Diskussionsrunden und Anpassungen des Entwurfs, unter anderem im Juli und Dezember 2023. Mit einem Diskussionspapier im September 2023 setzte das Innenministerium den Dialog mit relevanten Stakeholdern fort, um offene Fragen zur praktischen Umsetzung und zu den potenziellen Auswirkungen des Gesetzes zu klären.

Der aktuelle Stand und die kommenden Meilensteine

• Beschluss im Bundeskabinett (Juli 2024): Im Sommer 2024 wurde der Gesetzesentwurf im Bundeskabinett beschlossen.
• 1. Durchgang im Bundesrat (September 2024): Am 27. September 2024 wurde das NIS2UmsuCG dem Bundesrat in erster Lesung vorgelegt und angenommen. Dies markiert den Beginn der parlamentarischen Beratungen über das Gesetz.
• 1. Lesung im Bundestag (Freitag, 11. Oktober 2024): Das Gesetz wurde in erster Lesung im Bundestag behandelt und zur Beratung an den Innenausschuss überwiesen.

Trotz des bisherigen Fortschritts ist die Einhaltung der ursprünglichen EU-Umsetzungsfrist bis zum Oktober 2024 fraglich. Verschiedene Verzögerungen in der Ausarbeitung und Abstimmung des Gesetzes lassen es unwahrscheinlich erscheinen, dass das NIS2UmsuCG noch 2024 vollständig verabschiedet wird. Aktuell sieht der Zeitplan vor, dass das Gesetz erst im März 2025 im Bundesgesetzblatt veröffentlicht und somit in Kraft tritt.

• 2. und 3. Lesung im Bundestag (Dezember 2024): Die abschließenden Lesungen im Bundestag sollen im Dezember 2024 stattfinden. Damit könnte das Gesetz im Bundestag verabschiedet werden, bevor es erneut dem Bundesrat zur endgültigen Zustimmung vorgelegt wird.
• Durchgang im Bundesrat (Februar 2025): Nach den Beratungen und Lesungen im Bundestag ist der zweite Durchgang im Bundesrat für Februar 2025 vorgesehen. Hier könnten letzte Anpassungen vorgenommen und das Gesetz endgültig bestätigt werden.
• Inkrafttreten des Gesetzes (März 2025): Nach der Veröffentlichung im Bundesgesetzblatt soll das NIS2UmsuCG im März 2025 in Kraft treten. Damit würden die neuen Cybersicherheitsanforderungen verbindlich und das bisherige BSI-Gesetz (BSIG) außer Kraft gesetzt werden.
• Rechtsverordnungen (danach, 2025): Einige spezifische Regelungen, etwa zu Meldeverfahren und technischen Standards, sollen durch Rechtsverordnungen präzisiert werden. Diese Verordnungen fehlen jedoch noch, und es bleibt unklar, wann sie fertiggestellt und in Kraft treten werden.

Während die ursprüngliche Frist für die nationale Umsetzung der NIS2-Richtlinie bis zum Oktober 2024 gesetzt war, ist die tatsächliche Verabschiedung des NIS2UmsuCG frühestens für März 2025 zu erwarten. Die Verzögerungen zeigen die Herausforderungen bei der Umsetzung komplexer europäischer Richtlinien in nationales Recht. Unternehmen und staatliche Einrichtungen sollten sich auf eine verlängerte Übergangsphase einstellen, während derer sie sich bereits auf die neuen Anforderungen vorbereiten können, bevor das Gesetz endgültig in Kraft tritt.

Das NIS2-Umsetzungsgesetz markiert einen bedeutenden Schritt zur Verbesserung der Cybersicherheitslandschaft in Deutschland und der gesamten EU. Auch wenn sich das Inkrafttreten des Gesetzes voraussichtlich bis März 2025 verzögern wird, bietet die frühe Vorbereitung auf die neuen Anforderungen jetzt schon klare Vorteile. Unternehmen, die bereits etablierte Sicherheitsstandards wie ISO/IEC 27001 implementiert haben, werden feststellen, dass der zusätzliche Aufwand zur Erfüllung der NIS2-Vorgaben geringer ist. Sie profitieren davon, bestehende Maßnahmen zu integrieren und zu optimieren.

Die NIS2-Richtlinie zielt nicht nur darauf ab, das Risiko von Cybervorfällen zu minimieren, sondern auch, langfristige wirtschaftliche Schäden zu verhindern. Durch die Erhöhung der Cybersicherheitsmaßnahmen können Unternehmen erhebliche Kosten durch Vermeidung von Betriebsausfällen und finanziellen Verlusten einsparen. Laut dem Branchenverband Bitkom verursacht Cyberkriminalität in Deutschland jährlich Schäden in Milliardenhöhe. Die Umsetzung der NIS2-Vorgaben könnte einen geschätzten Schaden von bis zu 3,6 Milliarden Euro jährlich abwehren, was deutlich zeigt, dass die Investitionen in Cybersicherheit langfristig rentabel sind.

Für Unternehmen ist es daher ratsam, bereits jetzt mit der Anpassung an die NIS2-Anforderungen zu beginnen. Die Etablierung eines starken Risikomanagements, die Einhaltung der Meldepflichten und die Integration sicherheitsrelevanter Technologien tragen nicht nur zur Einhaltung gesetzlicher Vorgaben bei, sondern stärken auch das Vertrauen der Kunden und Partner in die Widerstandsfähigkeit des Unternehmens. Die NIS2-Richtlinie ist somit nicht nur ein regulatorisches Instrument, sondern ein strategischer Vorteil in einer zunehmend digitalisierten und vernetzten Welt.

Links

Richtlinie (EU) 2022/2555 auf EUR-Lex:

https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32022L2555

Meldung des Deutschen Bundestages:

https://www.bundestag.de/dokumente/textarchiv/2024/kw41-de-nis-2-richtlinie-1023076