NIS 2.0 – Neue Compliance-Vorgaben für Unternehmen

Eine essenzielle Neuerung ist die Unterscheidung zwischen wesentlichen und wichtigen Sektoren („Einrichtungen“), für die teilweise unterschiedliche Vorschriften gelten. Daneben wurde die Liste der bestehenden Sektoren der Kritischen Infrastrukturen ergänzt, welche sich teilweise mit den deutschen sog. KRITIS-Sektoren überschneiden.

• „Wesentliche“ Einrichtungen: u. a. die in Anhang I der Richtlinie genannten Sektoren wie Energie, Verkehr, Trinkwasser und Abwasser, Gesundheitswesen, Banken und Finanzmärkte, Digitale Infrastruktur, Raumfahrt, öffentliche Verwaltung
   
• „Wichtige“ Einrichtungen: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Ernährung, Industrie, Digitale Dienste, Forschung

Darüber hinaus können weitere wesentliche und wichtige Einrichtungen/Sektoren durch die Mitgliedstaaten benannt werden.

Zur Vermeidung von zu großen Unterschieden zwischen den Mitgliedstaaten, werden die genauen Schwellenwerte für die genannten Sektoren nicht mehr durch die Mitgliedstaaten festgelegt, sondern direkt durch NIS 2.0 bestimmt.

Der Anwendungsbereich der Richtlinie umfasst alle mittleren (50-249 Beschäftigte und bis 50 Mio. € Jahresumsatz) und großen Unternehmen (ab 250 Beschäftigte oder 50 Mio. € Jahresumsatz) in den wesentlichen und wichtigen Sektoren.

Kleinere Unternehmen (weniger als 50 Mitarbeiter und bis 10 Mio. € Jahresumsatz) sind vom Anwendungsbereich der NIS 2.0 grundsätzlich ausgenommen.

Für besonders kritische Dienste, z. B. Anbieter von öffentlichen elektronischen Kommunikationsnetzen, gilt jedoch eine Rückausnahme: Diese Dienste fallen in den Anwendungsbereich unabhängig von deren Größe.

NIS 2.0 sieht für die betroffenen Unternehmen einheitliche und – im Vergleich zu NIS 1.0 – umfangreichere Maßnahmen vor. Hierzu gehören u.a.:

• Erstellung von Risikoanalyse- und Informationssicherheitskonzepten,
• Maßnahmen zur Bewältigung von Sicherheitsvorfällen,
• Maßnahmen zur Aufrechterhaltung des Betriebs (z. B. Back-up-Management und Wiederherstellung),
• Sicherheit in der Beschaffung von IT- und Netzwerk-Systemen,
• Sicherheit in der Lieferkette,
• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung, gesicherte Kommunikation etc.

Die Risikomanagementmaßnahmen sind nach einem risikobasierten Vorgehen wirksam zu etablieren und liegen in der Verantwortung der Unternehmensleitung.

Signifikante Vorfälle und Bedrohungen sind den Behörden entsprechend den vorgeschriebenen Meldepflichten zu melden. Die Richtlinie enthält genaue Vorgaben über den Ablauf, Inhalt und Zeitraum solcher Meldungen.

Im Falle eines Cybervorfalls müssen Unternehmen drei konkrete Schritte innerhalb eines straffen Zeitplans erfüllen:

1. Unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahmen eines Vorfalls muss eine erste Warnung an die zuständige Behöre erfolgen.
    
2. Innerhalb von 72 Stunden müssen weitere Informationen über den Vorfall geliefert werden.

Innerhalb eines Monats muss schließlich ein finaler Bericht zum Vorfall vorliegen.

NIS 2.0 sieht strengere Aufsichts- und Durchsetzungsmaßnahmen, wie z. B. Vor-Ort-Kontrollen, regelmäßige Sicherheitsprüfungen oder anlassbezogene Ad-hoc-Prüfungen vor.

NIS 2.0 birgt für die Unternehmensleitung ein erhebliches Haftungsrisiko, denn diese kann für Verstöße gegen die Umsetzung und Überwachung der Risikomanagementmaßnahmen verantwortlich gemacht werden. Die Ausgestaltung der Haftung obliegt den Mitgliedstaaten in den nationalen Umsetzungsgesetzen.

Daneben sieht NIS 2.0 den folgenden Bußgeldrahmen vor:

• Wesentliche Sektoren: Höchstbetrag von mind. 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist),
   
• Wichtige Sektoren: Höchstbetrag von mind. 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
   
• Für den Fall, dass ein Verstoß zu einer Geldbuße nach der DSGVO führt, wird nach NIS 2.0 keine Geldbuße verhängt.