NIS2: Erweiterte Cybersicherheitspflichten und ihre Reichweite

NIS2 ist eine Richtlinie der Europäischen Union, die den Rechtsrahmen für Cybersicherheit in bestimmten Wirtschaftssektoren erweitert und verschärft. Sie richtet sich nicht nur an große Betreiber kritischer Infrastrukturen, sondern erfasst deutlich mehr Unternehmen als die Vorgängerregelung. Für mittelständische Betriebe stellt sich vor allem die Frage, ob sie in den Anwendungsbereich fallen und was daraus organisatorisch folgt. Die folgenden Ausführungen sind eine fachliche Einordnung und ersetzen keine Rechtsberatung.

Was NIS2 ist und wie es wirkt

Als EU-Richtlinie entfaltet NIS2 keine unmittelbare Wirkung gegenüber einzelnen Unternehmen. Sie verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationales Recht zu überführen. Maßgeblich für Ihr Unternehmen ist daher immer das jeweilige nationale Umsetzungsgesetz, dessen Ausgestaltung sich zwischen den Mitgliedstaaten in Details unterscheiden kann. Inhaltlich verfolgt die Richtlinie drei Stoßrichtungen: einen erweiterten Anwendungsbereich, konkretere Anforderungen an das Risikomanagement einschließlich der Lieferkette sowie ein verbindliches Meldewesen für erhebliche Sicherheitsvorfälle. Ergänzt wird dies durch eine ausdrückliche Verantwortung der Geschäftsleitung für die Umsetzung und Überwachung der Maßnahmen.

Wer betroffen sein kann

Die Betroffenheit ergibt sich grundsätzlich aus der Kombination von Sektor und Unternehmensgröße. Die Richtlinie benennt Sektoren mit hoher Kritikalität sowie weitere kritische Sektoren und unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, an die unterschiedlich strenge Aufsichtsregime anknüpfen.

• Zu den erfassten Bereichen zählen unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur sowie Teile der öffentlichen Verwaltung.
• Hinzu kommen weitere Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, bestimmte Bereiche des verarbeitenden Gewerbes und Anbieter digitaler Dienste.
• Größenschwellen orientieren sich an Beschäftigtenzahl und Umsatz beziehungsweise Bilanzsumme, wobei für einzelne Einrichtungsarten unabhängig von der Größe Sonderregelungen gelten können.
• Auch nicht unmittelbar erfasste Unternehmen können faktisch betroffen sein, wenn sie als Zulieferer oder Dienstleister vertragliche Anforderungen ihrer Auftraggeber erfüllen müssen.

Ob und in welcher Kategorie Ihr Unternehmen erfasst ist, lässt sich pauschal nicht beantworten. Die Einordnung sollte anhand des nationalen Umsetzungsgesetzes und der konkreten Geschäftstätigkeit geprüft und das Ergebnis nachvollziehbar dokumentiert werden, gegebenenfalls mit rechtlicher Begleitung.

Welche Maßnahmen im Kern gefordert sind

Die Richtlinie beschreibt die Anforderungen an das Risikomanagement bewusst technikoffen. Sie verlangt einen risikobasierten Ansatz mit Maßnahmen, die dem Stand der Technik und der jeweiligen Gefährdung angemessen sind.

• Verfahren zur Risikoanalyse und eine Leitlinie für die Sicherheit von Informationssystemen.
• Bewältigung von Sicherheitsvorfällen einschließlich definierter Abläufe und Zuständigkeiten.
• Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung und Krisenmanagement.
• Sicherheit in der Lieferkette und in den Beziehungen zu Dienstleistern.
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen.
• Konzepte zur Bewertung der Wirksamkeit, Schulungen, Kryptografie sowie Zugriffskontrolle und mehrstufige Authentifizierung.

Meldepflichten und Verantwortung der Leitung

Erhebliche Sicherheitsvorfälle sind gegenüber der zuständigen nationalen Stelle in einem gestuften Verfahren zu melden, beginnend mit einer sehr kurzfristigen Erstmeldung, gefolgt von einer inhaltlichen Meldung und einem Abschlussbericht. Praktisch bedeutet das: Ihr Unternehmen muss in der Lage sein, einen Vorfall innerhalb von Stunden zu erkennen, zu bewerten und zu melden. Das setzt Protokollierung, Erreichbarkeit und vorbereitete Abläufe voraus, die im laufenden Betrieb nicht improvisiert werden können. Hinzu kommt, dass die Geschäftsleitung die Maßnahmen billigen und ihre Umsetzung überwachen muss. Die Verantwortung lässt sich nicht vollständig an einen Dienstleister abgeben, auch wenn die technische Umsetzung ausgelagert wird.

Typische Fehleinschätzungen

Häufig wird angenommen, dass eine bestehende Zertifizierung oder ein vorhandenes Datenschutzkonzept die Anforderungen bereits abdeckt. Beides ist eine hilfreiche Grundlage, deckt sich aber nicht vollständig mit den Vorgaben. Ebenso verbreitet ist die Annahme, es genüge, die Technik zu ertüchtigen; tatsächlich liegt ein Schwerpunkt auf nachweisbaren Prozessen und deren regelmäßiger Überprüfung. Auch wer nicht unmittelbar erfasst ist, sollte die Anforderungen als Orientierung nutzen, da sie einen sinnvollen Mindeststandard beschreiben und zunehmend über Verträge an Zulieferer weitergegeben werden.

• NIS2 ist eine EU-Richtlinie; verbindlich ist für Ihr Unternehmen das jeweilige nationale Umsetzungsgesetz.
• Die Betroffenheit richtet sich nach Sektor und Größe und erfordert eine individuelle, dokumentierte Prüfung.
• Gefordert sind risikobasierte Maßnahmen, darunter Vorfallbewältigung, Backup, Lieferkettensicherheit und Zugriffskontrolle.
• Erhebliche Vorfälle unterliegen einer kurzfristigen, gestuften Meldepflicht.
• Die Geschäftsleitung trägt Verantwortung für Billigung und Überwachung; eine Auslagerung entbindet nicht davon.