Mobile-Menu

Stichtag 17. Oktober 2024 NIS2: Umsetzung und Konsequenzen bei Nichterfüllung

Von Ira Zahorsky 2 min Lesedauer

Anbieter zum Thema

G DATA CyberDefense AG
bb-net media GmbH
JACOB Elektronik GmbH

Zum 17. Oktober 2024 soll die NIS2-Richtlinie in deutsches Recht überführen sein. Doch bis heute ist sie nicht final verabschiedet. Welche Schwierigkeiten sich dadurch in der Umsetzung ergeben und welche Konsequenzen bei Nichterfüllung drohen, erläutert Michael Kuska, Salaried Partner bei der Sozietät Heuking.

Michael Kuska ist Salaried Partner bei der Sozietät Heuking.(Bild: Heuking)
Michael Kuska ist Salaried Partner bei der Sozietät Heuking.
(Bild: Heuking)

Die Zeit wird langsam knapp. Nur noch ein gutes halbes Jahr haben Unternehmen Zeit, die NIS2-Richtlinie umzusetzen. Auf dem Weg gibt es jedoch auch rechtliche Herausforderungen zu bewältigen.

Welche Schwierigkeiten bei der NIS2-Umsetzung ergeben sich aus rechtlicher Sicht?

Michael Kuska: Da das deutsche NIS2-Umsetzungsgesetz noch nicht final verabschiedet wurde und auch noch kein Entwurf für die neue KRITIS-Verordnung vorliegt, ergibt sich aktuell die Schwierigkeit, dass der konkrete Adressatenkreis noch nicht endgültig feststeht. Unternehmen und Organisation können daher noch nicht final beurteilen, ob und inwieweit sie von den Vorgaben des NIS2-Umsetzungsgesetzes betroffen sind. Bis zu einer endgültigen Verabschiedung des NIS2-Umsetzungsgesetzes und der neuen KRITIS-Verordnung sollten Unternehmen und Organisationen sich daher zunächst an den im aktuellen Entwurf des NIS2-Umsetzungsgesetzes vom 22.12.2023 genannten Schwellwerten und Sektoren orientieren und entsprechend planen.

Ferner stehen viele Unternehmen und Organisationen vor der Herausforderung, die Umsetzung der neuen IT-Sicherheitsvorgaben sauber zu planen und aufzusetzen. Aufgrund der engen Verzahnung von rechtlichen und technischen Anforderungen, vor allem im Bereich des Risikomanagements, empfiehlt es sich, dass auf eine enge Abstimmung von Rechtsabteilung und Security-Experten geachtet wird. Dies setzt natürlich die notwendige Expertise in beiden Bereichen voraus. Sollte diese in-house fehlen, ist eine frühzeitige Beschaffung externer Ressourcen zu empfehlen. Dies gilt sowohl mit Blick auf die rechtliche als auch die technische Beratung.

Welche Konsequenzen ergeben sich bei Nichterfüllung von NIS2 zum Stichtag?

Michael Kuska: Nach dem aktuellen Entwurf des NIS2-Umsetzungsgesetzes, welches die NIS2-Richtlinie in deutsches Recht überführen soll, besteht zunächst das Risiko, dass die zuständige Aufsichtsbehörde Aufsichts- und Durchsetzungsmaßnahmen gegen die betroffenen Einrichtungen einleitet, beispielsweise in Form von Anordnungen und Nachprüfungen. Zudem kann die zuständige Aufsichtsbehörde im Falle von Verstößen sogar Bußgelder verhängen. Der derzeit vorgesehene Bußgeldrahmen kann sich dabei – abhängig von den konkreten Umständen des Einzelfalls – auf bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes belaufen.

Zudem ist explizit eine persönliche Haftung der Geschäftsleitung vorgesehen, soweit diese nicht sicherstellt, dass die Umsetzung der gesetzlich vorgeschriebenen Risikomanagementmaßnahmen von ihr ordnungsgemäß gebilligt und überwacht wird.

In Deutschland werden die betroffenen Unternehmen und Organisationen allerdings wahrscheinlich noch eine gewisse zusätzliche Schonfrist bekommen: Denn der Gesetzgeber wird es wohl nicht schaffen, das NIS2-Umsetzungsgesetz bis zum Stichtag umzusetzen. Zu rechnen ist eher mit Ende dieses oder Anfang nächsten Jahres.

Michael Kuska

Michael Kuska, Salaried Partner bei der Sozietät Heuking, ist zertifizierter ISO 27001 Security Officer und Mitglied der Arbeitsgruppe IT-Sicherheitsrecht beim Bundesverband IT-Sicherheit e.V. (TeleTrusT). Er berät nationale und internationale Unternehmen und Organisationen in verschiedenen technologiegetriebenen Branchen, mit besonderem Schwerpunkt auf den Bereich Datenschutz und IT-Sicherheit.

(ID:49957809)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte

Jobs