Registrierung, Risikomanagement, Meldepflicht NIS2: Auf unbestimmte Zeit verschoben

Anbieter zum Thema

BSI Bundesamt f. Sicherheit in der Informationstechnik

bb-net media GmbH

WatchGuard Technologies GmbH

Heidelberg iT Management GmbH & Co. KG

Nach dem Regierungswechsel muss die NIS2-Richtlinie in Deutschland erneut das Gesetzgebungsverfahren durchlaufen. Der Umsetzungsstichtag wird für das letzte Jahresdrittel erwartet. Eine Galgenfrist für deutsche Unternehmen.

Deutschland hat es nicht geschafft, die NIS2-Richtlinie fristgemäß zum 17. Oktober 2024 ­umzusetzen. Deshalb läuft jetzt ein Vertragsverletzungsverfahren der EU-Kommission gegen Deutschland. Voraussichtlich im letzten Jahres­drittel will die neue Bundesregierung das NIS2-Umsetzungs- und Cybersicherheitsstärkungs­gesetz (NIS2UmsuCG) endlich unter Dach und Fach bringen. Doch klar ist: NIS2 wird kommen und muss dann auch von jedem betroffenen Unternehmen bis spätestens zum Stichtag umgesetzt werden.

Mindestens 30.000 Unternehmen fallen unter die NIS2-Richtlinie und unterliegen künftig einer Meldepflicht. Die Betroffenheit muss selbst ermittelt werden. Dazu finden sich als Hilfestellung sogenannte NIS2-Checker im Internet. Deutsche Unternehmen müssen sich nach Inkrafttreten beim Bundesamt für Sicherheit in der Informa­tionstechnik (BSI) mit Unternehmensbezeichnung, Anschrift, Kontaktdaten sowie einer Liste aller EU-Mitgliedsstaaten, in denen eine Tätigkeit erfolgt, registrieren. Das BSI plant dafür eine ­digitalisierte Online-Portallösung. Weiterhin muss Cybersecurity künftig auch über Unternehmensgrenzen hinaus in der gesamten Lieferkette berücksichtigt werden.

Verborgene Risiken und entscheidende Handlungsschritte

Checkliste zur Umsetzung der NIS2-Anforderungen

Unter die Pflichten für die betroffenen Unternehmen fällt zudem, dass Risikomanagementmaßnahmen zu ergreifen sind, das heißt, sie müssen geeignete technische, operative und organisatorische Maßnahmen implementieren, um Risiken zu minimieren und die Auswirkungen von Sicherheitsvorfällen zu reduzieren. Dazu zählen beispielsweise Risikoanalyse und -bewertung, die Überwachung und Kontrolle der Sicherheitsmaßnahmen, Incident Response, Dokumentation und Nachweis, sowie die regelmäßige Schulung und Sensibilisierung der Mitarbeiter. Betreiber kritischer Anlagen werden vermutlich weitere Auflagen bekommen. Nach Verabschiedung eines geänderten BSI-Gesetzes zur Umsetzung der ­europäischen NIS2-Richtlinie wird das BSI konkrete Hinweise zu den einzelnen Pflichten und Maßnahmen geben.

International tätige Unternehmen müssen sich in allen EU-Ländern registrieren, in denen sie tätig sind und die dort geltenden, eventuell von der deutschen Umsetzung abweichenden Pflichten erfüllen, sofern die nationalen Gesetze dies erfordern. Ausnahmen sind hier beispielsweise vor­gesehen für DNS-Diensteanbieter, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Managed Service Provider und Managed Security Service Provider. Für diese soll eine zentrale Registrierung und Meldepflicht in dem EU-Mitgliedsstaat gelten, in dem das betroffene Unternehmen seine Hauptniederlassung hat.

Einen potenziellen Sicherheitsvorfall muss ein Unternehmen „unverzüglich“, auf jeden Fall aber innerhalb von 24 Stunden melden – auch an Feiertagen und Wochenenden. Für das BSI gilt hier „Schnelligkeit vor Vollständigkeit“. Regelmäßige Updates zu der Benachrichtigung nach 72 Stunden und nach 30 Tagen sowie ein Abschluss­bericht innerhalb eines Monats gehören nun ebenfalls zum Pflichtprogramm. Einen „Sicherheitsvorfall“ definiert Artikel 6 der NIS2-Richt­linie als „ein Ereignis, das die Verfügbarkeit, ­Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter ­Daten oder der Dienste, die über Netz- und Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigt“. Weiterhin gibt es noch den „erheblichen Sicherheitsvorfall“, der darüber hinausgehend entweder „schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann“ oder „andere natür­liche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann“, so das BSI.

Neue Regularien, neue Chancen

NIS2 und DORA stellen die Weichen für eine zukunftsweisende Cybersicherheit

Das NIS2UmsuCG muss zwar nach dem Regierungswechsel nochmals Bundestag und Bundesrat durchlaufen. Doch sind betroffene Unternehmen gut beraten, wenn sie sich – falls noch nicht geschehen – an den IT-Dienstleister ihres Vertrauens wenden. Dieser unterstützt bei der Risikoanalyse und -bewertung, hilft mit der Implementierung technischer Maßnahmen NIS2-ready zu werden, kann die Mitarbeitenden schulen und die Dokumentation der Maßnahmen übernehmen.

(ID:50389256)