Was ist die NIS2?

Wie viele Unternehmen wird die NIS2 voraussichtlich betreffen?

In Deutschland fallen schätzungsweise 29.000 Unternehmen unter die NIS2, in Europa etwa 400.000. Letztlich wird die Richtlinie aber wesentlich mehr Unternehmen betreffen. Denn die direkt betroffenen Betriebe müssen die Cybersecurity ihrer Lieferketten nun ebenfalls in den Blick nehmen. Automobilhersteller könnten künftig auch ihre mittelständischen Zulieferer dazu verpflichten, entsprechende Cybersecurity-Maßnahmen einzuführen, um selbst nicht gegen die EU-Vorgaben zu verstoßen.

Welche weiteren neuen Anforderungen stellt die NIS2?

Unternehmen müssen ihre Mitarbeitenden in puncto Cybersecurity schulen, sie etwa über entsprechende Programme für Phishing-Mails sensibilisieren, um hier eine entsprechende Acht- und Wachsamkeit aufzubauen. Außerdem soll bei Verstößen gegen die Anforderungen die Geschäftsführung persönlich haftbar gemacht werden. Diese trägt also künftig die Verantwortung für die Umsetzung der Sicherheitsmaßnahmen und kann sie nicht länger an Dritte delegieren. Grundsätzlich gilt: Cybersecurity-Management wird für die betroffenen Unternehmen zur Pflicht. Sie müssen zunächst eine Risikoanalyse durchführen, welche Geräte und Software sie verwenden, klären, wer welchen Zugang zu den internen Systemen hat und welches Risiko damit verbunden ist, und daraufhin geeignete Sicherheitsmaßnahmen implementieren. Dann geht es darum, Strukturen für einen möglichen Cyberangriff zu schaffen: Wer kümmert sich darum, dass bestimmte IT-Systeme vom Netz genommen werden, wer informiert Behörden, Geschäftspartnerinnen und -partner sowie Kundinnen und Kunden ? Denn mit der NIS2 werden auch strenge Meldepflichten eingeführt. Die Aufsichtsbehörden müssen innerhalb von 24 Stunden über den Vorfall und binnen 72 Stunden über die ergriffenen Gegenmaßnahmen informiert werden. Bei Verstößen gegen diese oder andere Anforderungen drohen empfindliche Strafen von bis zu zehn Millionen Euro oder bis zu zwei Prozent des weltweiten Jahresumsatzes. Die Anforderungen vollumfänglich umzusetzen ist für Unternehmen also elementar, um Strafen zu vermeiden und um die Folgen von Cyberangriffen zu minimieren und so zu gewährleisten, dass Produktion und Geschäftsbetrieb nach einer solchen Attacke möglichst uneingeschränkt weiterlaufen können. .

Wie können und sollten sich Unternehmen auf die NIS2 vorbereiten?

Mit der Umsetzung der NIS2 in nationales Recht im Oktober sind Übergangsfristen vorgesehen, die je nach Mitgliedsland unterschiedlich ausfallen können. Betroffene Betriebe sollten sich aber nicht zurücklehnen und bis zum Ende dieser Fristen warten. Denn die Meldefristen für Cybervorfälle werden bereits zwölf Monate nach der Umsetzung greifen, einige Mitgliedsländer wie Tschechien wollen auch die weiteren Verpflichtungen nach diesem Zeitraum bindend machen. Firmen, die in diesen Ländern Niederlassungen betreiben oder etwa als Zulieferer mit dortigen Unternehmen in einer Geschäftsbeziehung stehen, werden dann also ebenfalls bereits von den Auflagen der NIS2 erfasst. Grundsätzlich gilt dabei: Unternehmen werden von den Aufsichtsbehörden nicht etwa benachrichtigt, sondern müssen selbst entscheiden, ob sie in den Geltungsbereich der NIS2 fallen. Ab dem entsprechenden Stichtag müssen sie sich bei der zuständigen nationalen Behörde registrieren, Vorfälle melden und die notwendigen Anforderungen einhalten. Und bei vielen Unternehmen gibt es nach wie vor Lücken in der Cybersecurity. Von der NIS2 betroffene Betriebe sollten daher jetzt aktiv werden, um die erforderlichen Maßnahmen zu implementieren, und sich bei deren Umsetzung gegebenenfalls auch Unterstützung von außen holen.